서울대학교 정보보안 기본지침 개정 안내

□ 개정 사유

○ 교육부 정보보안 기본지침 개정(2016. 4. 6.)에 따라 학내 정보통신망 안정성 확인을 위한 안전측정 항목을 신설하고, 정보보안담당관 및 분임보안담당관 등 역할을 구체화하여 정보보안 보안활동이 강화되도록 「서울대 정보보안 기본지침」에 내용 보완

□ 주요 골자

○ 정보통신망 안전성 확인이 필요한 사항 발생 시 안전측정 실시 (제11조)

○ 정보보안담당관, 분임보안담당관의 역할 명확화 (제34조, 제39조, 제42조, 제46조, 제50조, 제51조, 제54조)

- 분임보안담당관, 사용자 등이 실제 보안활동을 수행하고 정보보안담당관은 이행여부를 확인 및 시정조치 할 수 있도록 내용 수정

○ 정보보안 분야 수준진단 시행 관련 근거 강화 (제85조)

○ 네트워크 장비에 대한 보안적합성 검증 기준 마련 (제79조)

○ 지침의 용어정의 현행화 (제3조)

□ 추진 경과

○ ‘16. 4월	교육부 정보보안 기본지침 개정 안내

○ ‘16. 7월	서울대 정보보안 기본지침 개정안에 대한 학내 의견 수렴

○ ‘16. 8월	법학연구소 법률 자문 의뢰 및 의견 수렴

○ ‘17. 6월	보안심사위원회 심의 통과

□ 신․구조문 대비표

현 행	개 정 (안)
제1조(목적) 이 지침은「국가정보원법」,「보안업무규정」(대통령령),「정보 및 보안업무 기획ㆍ조정규정」(대통령령),「국가사이버안전관리규정」(대통령훈령), 「국가 정보보안 기본지침」,「전자정부법」과 동법 시행령,「정보통신기반보호법」과 동법 시행령,「공공기록물 관리에 관한 법률 시행령」,「교육부 사이버안전센터 운영규정」,서울대학교 보안업무처리규정」서울대학교(이하 “본교”라 한다)등에 따라, 정보보안을 위하여 수행하여야 할 기본활동 규정을 목적으로 한다.	제1조(목적) 이 지침은「국가정보원법」,「보안업무규정」(대통령령),「정보 및 보안업무 기획ㆍ조정규정」(대통령령),「국가사이버안전관리규정」(대통령훈령), 「국가 정보보안 기본지침」,「전자정부법」과 동법 시행령,「정보통신기반보호법」과 동법 시행령,「공공기록물 관리에 관한 법률 시행령」,「교육부 사이버안전센터 운영규정」,「서울대학교 보안업무처리규정」등에 따라, 정보보안을 위하여 서울대학교(이하 “본교”라 한다)가 수행하여야 할 기본활동 규정을 목적으로 한다.
제2조 (생 략)	제2조 (현행과 같음)
제3조(정의) 1~27. (생 략) 28.“고출력전자기파”(EMP)라 함은 전자장비를 물리적으로 파괴시킬 정도의 강력한 전자기적 충격파를 말한다. 29.“누설전자기파”(TEMPEST)라 함은 PC 등 정보통신기기로부터 전도 혹은 방사되는 전자파 신호로서 원격지에서 수신하여 원래 화면 내용을 복원 할 수 있는 정보를 포함한다. 30.~32. (생 략)	제3조(정의) 1~27. (현행과 같음) <삭 제> <삭 제> 28.~30.(현행 30.~32.과 같음)
제4조 (생 략)	제4조 (현행과 같음)
제5조(정보보안담당관 운영) ① (생 략) ② 총장은 제1항과 관련한 정보보안 조직을 지휘하고 소속기관에 대한 정보보안 업무를 총괄하기 위하여 서울대학교 보안업무처리규정 제2조의2에 의거하여 ‘정보보안담당관’을 임명 한다. ③~④ (생 략) 1.~11. (생 략) 12. 도청 위해 요소 측정․제거 13.~18. (생 략)	제5조(정보보안담당관 운영) ① (생 략) ② 총장은 제1항과 관련한 정보보안 조직을 지휘하고 소속기관에 대한 정보보안 업무를 총괄하기 위하여 서울대학교 보안업무처리규정 제2조의2에 의거하여 ‘정보보안담당관’을 임명하여야 한다. ③~④ (생 략) 1.~11. (현행과 같음) <삭 제> 12.~17. (현행 13.~18.과 같음)
제6조∼제9조 (생 략)	제6조∼제9조 (현행과 같음)
제10조(모의훈련) ① 정보보안담당관은 자체 정보통신망을 대상으로 매년 정기 또는 수시 사이버위기 대응 모의훈련을 실시할 수 있다. 이 경우, 정보보안담당관은 훈련결과를 교육부장관에게 통보하여야 한다. ② 총장은 사이버위기 발생에 대비하여 본교 정보통신망을 대상으로 교육부장관이 사이버위기 대응 모의훈련을 실시할 수 있다. 이 경우, 총장은 사전에 통보한 훈련항목․일정․준비사항 등을 수립 및 점검하여야 하며, 훈련결과를 교육부장관에게 통보하여야 한다. ③~④(생 략)	제10조(모의훈련) ① 정보보안담당관은 자체 정보통신망을 대상으로 매년 정기 또는 수시 사이버위기 대응 모의훈련을 실시할 수 있다. 이 경우, 정보보안담당관은 훈련완료일 기준 2개월 이내 훈련결과를 교육부장관에게 통보하여야 한다. ② 교육부장관이 사이버위기 발생에 대비하여 본교 정보통신망을 대상으로 사이버위기 대응 모의훈련을 실시하는 경우, 총장은 이에 협조하여야 한다. ③~④(현행과 같음)
<신 설>	제11조(안전측정) ① 정보보안담당관은 정보통신망의 안전성 확인을 위해 교육부장관 및 국가정보원장이 실시하는 다음 각 호의 경우의 안전측정에 협조하여야 한다. 1.「전자정부법」 제56조 및 「공공기록물 관리에 관한 법률 시행령」 제5조 등의 규정에 따른 전자정보 보안조치의 이행여부를 확인하고자 하는 경우 2.「국가사이버안전관리규정」 제9조의 규정에 따른 사이버안전대책의 이행여부 등 정보통신망에 대한 안전성을 확인하고자 하는 경우 3. 정보보안 사고가 발생하여 정보통신망의 보안취약성 진단이 요구되는 경우 4. 중요 정보통신시설에 대한 사이버공격 등으로부터 보호대책이 필요한 경우 5. 정보통신수단에 의하여 기밀 유출 및 암호체계의 누설 우려가 있는 경우 6. 정보보안담당관이 정보통신망에 대한 보안취약성 점검 또는 종합진단이 필요하다고 판단하여 요청할 경우 7. 그 밖에 국가안보상 필요하다고 판단하는 경우 ② 정보보안담당관은 교육부장관 및 국가정보원장이 안전측정을 실시하는 경우 사전에 측정항목·세부일정·준비사항 등이 포함된 안전측정 계획을 통보 받아야 한다. 다만, 정보통신망의 안전성을 확보해야 할 급박한 사유가 있는 경우에는 구두 협의를 거쳐 안전측정을 실시할 수 있다. ③ 정보보안담당관은 안전측정 결과 신속한 시정이 필요하다고 판단되는 경우 교육부장관 및 국가정보원장에게 필요한 조치를 받을 수 있으며 특별한 사유가 없는 한 이에 따라야 한다. 이 경우 정보보안담당관은 교육부장관 및 국가정보원장과 일정을 협의하여 그 이행여부에 대한 확인에 협조하여야 한다. ④ 정보보안담당관은 교육부장관 및 국가정보원장의 안전측정과는 별도로 홈페이지등 자체 정보통신망을 대상으로 매년 정기적으로 보안취약성 점검을 실시하고 특별한 사유가 없는 한 보완조치 하여야 한다.
제11조~제20조(생 략)	제12조~제21조(현행 제11조~제20조와 같음)
제21조(정보통신시설 보안) ① 분임보안담당관은 다음 각 호의 중요 정보통신시설 및 장소를 「보안업무규정」(대통령령) 제30조에 따른 보호구역으로 설정 관리하여야 한다. 1. 암호실․통신실 2. 정보통신실 3. 국가용 보안시스템 개발․설치 장소 4. 경호통신, 국가비상통신 등 중요통신망의 교환국, 회선집중국 또는 중계국 5. 보안관제센터, 백업센터 및 중요한 정보통신시설을 집중 제어하는 국소 6. 그 밖에 보안관리가 필요하다고 인정되는 정보시스템 설치 장소	제22조(정보통신시설 보안) ① 분임보안담당관은 다음 각 호의 중요 정보통신시설 및 장소를 「보안업무규정」(대통령령) 제32조에 따른 보호구역으로 설정 관리하여야 한다. 1. 암호실․통신실 2. 전산실 3. 국가용 보안시스템 개발․설치 장소 <삭 제> 4. 보안관제센터, 백업센터 및 중요한 정보통신시설을 집중 제어하는 국소 5. 그 밖에 보안관리가 필요하다고 인정되는 정보시스템 설치 장소
제22조 (생 략)	제23조 (현행 제22조와 같음)
제23조(전자정보 보안조치) ① 분임보안담당관은 정보통신망을 통하여 보관․유통되는 전자정보의 보안을 위하여 다음 각 호의 조치를 이행하여야 한다. 2. 제28조 내지 제43조에 의한 전자정보 보안대책 이행	제24조(전자정보 보안조치) ① 분임보안담당관은 정보통신망을 통하여 보관․유통되는 전자정보의 보안을 위하여 다음 각 호의 조치를 이행하여야 한다. 2. 제29조 내지 제44조에 의한 전자정보 보안대책 이행
제24조~제27조 (생 략)	제25조~제28조 (현행 제24조~제27조와 같음)
제28조(PC 등 단말기 보안관리) ① 단말기 사용자는 PC․노트북․PDA 등 단말기(이하 PC 등) 사용과 관련한 일체의 보안관리 책임을 가진다.	제29조(PC 등 단말기 보안관리) ① 단말기 사용자는 PC․노트북․스마트기기 등 업무수행에 필요한 단말기(이하 PC 등) 사용과 관련한 일체의 보안관리 책임을 가진다.
제29조 (생 략)	제30조 (현행 제29조와 같음)
제30조(서버 보안관리) ①∼⑦ (생 략) ⑧ 분임보안담당관은 제1항 내지 제7항에서 수립한 보안대책의 적절성을 수시 확인하되, 연1회 이상 보안도구를 이용하여 서버 설정 정보 및 저장자료의 절취, 위ㆍ변조 가능성 등 보안취약점을 점검하여야 하며, 정보보안담당관에게 지원을 요청할 수 있다.	제31조(서버 보안관리) ①∼⑦ (현행과 같음) ⑧ 서버관리자는 제1항 내지 제7항에서 수립한 보안대책의 적절성을 수시 확인하되, 연1회 이상 보안도구를 이용하여 서버 설정 정보 및 저장자료의 절취, 위ㆍ변조 가능성 등 보안취약점을 점검하여야 하며, 정보보안담당관에게 지원을 요청할 수 있다.
제31조~제32조 (생 략)	제32조~제33조 (현행 제31조~제32조와 같음)
제33조(사용자계정 관리) ①∼③ (생 략) ④ 정보보안담당관은 사용자계정의 부여 및 관리가 적절한 지 연2회 이상 점검하여 관련 결과를 시스템 관리자에게 통보하여야 한다.	제34조(사용자계정 관리) ①∼③ (현행과 같음) ④ 시스템관리자는 사용자계정의 부여 및 관리가 적절한 지 연2회 이상 점검하여야 한다. 이 경우 정보보안담당관은 시스템관리자가 수행한 사항이 적절한지 확인하고 시정조치를 권고할 수 있다.
제34조~제37조 (생 략)	제35조~제38조 (현행 제34조~제37조와 같음)
제38조(휴대용 저장매체 보안대책) ①∼⑥ (생 략) ⑦ 분임보안담당관은 사용자의 휴대용 저장매체 무단 반출 및 미등록 휴대용 저장매체 사용 여부 등 보안관리 실태를 주기적으로 점검하여야 한다. ⑧ (생 략)	제39조(휴대용 저장매체 보안대책) ①∼⑥ (현행과 같음) ⑦ 분임보안담당관은 사용자의 휴대용 저장매체 무단 반출 및 미등록 휴대용 저장매체 사용 여부 등 보안관리 실태를 주기적으로 점검하여야 한다. 이 경우 정보보안담당관은 관리책임자가 수행한 사항이 적절한지 확인하고 시정조치를 권고할 수 있다. ⑧ (현행과 같음)
제39조~제40조 (생 략)	제40조~제41조 (현행 제39조~제40조와 같음)
제41조(정보시스템 개발보안) ① (생 략) ② 시스템 개발사업 담당자는 외부용역 업체와 계약하여 정보시스템을 개발하고자 하는 경우에는 다음 각 호의 사항을 고려하여 보안대책을 수립하고 정보보안담당관의 승인을 득하여야 한다. 1.~5. (생 략) ③ 정보보안담당관은 제1항 및 제2항과 관련하여 보안대책의 적절성을 수시로 점검하고 정보시스템 개발을 완료한 경우에는 정보보안 요구사항을 충족하는지 검토하여야 한다.	제42조(정보시스템 개발보안) ① (생 략) ② 시스템 개발사업 담당자는 외부용역 업체와 계약하여 정보시스템을 개발하고자 하는 경우에는 다음 각 호의 사항을 고려하여 보안대책을 수립하고 시스템 개발사업 관리책임자의 검토를 받아야 한다. 1.~5. (현행 1.~5.와 같음) ③ 시스템 개발사업 관리책임자는 제1항 및 제2항과 관련하여 보안대책의 적절성을 수시로 점검하고 정보시스템 개발을 완료한 경우에는 정보보안 요구사항을 충족하는지 검토하여야 한다. 이 경우 정보보안담당관은 시스템 개발사업 관리책임자가 수행한 사항이 적절한지 확인하고 시정조치를 권고할 수 있다.
제42조~제43조 (생 략)	제43조~제44조 (현행 제42조~제43조와 같음)
제44조(전자파 보안대책) ① (생 략) ② 분임보안담당관은 전기ㆍ전력ㆍ정보통신시스템 및 시설을 대상으로 고출력전자기파(EMP)에 대한 침해 방지대책을 수립ㆍ시행하여야 한다. ③ 분임보안담당관은 제1항 및 제2항에 따른 대책 강구 시에는「전자기파 차폐실 구축 및 측정기준」(2005.1, 국가정보원)을 준수하여야 한다.	제45조(전자파 보안대책) ① (현행과 같음) <삭 제> ② 분임보안담당관은 제1항에 따른 보안대책 강구 시에는 국가정보원장과 사전 협의하여야 한다.
제45조(무선랜 보안관리) ① 분임보안담당관은 무선랜(와이파이 등)을 사용하여 업무자료를 소통하고자 할 경우 자체 보안대책을 수립하여 관련 사업 계획단계(사업 공고 전)에서 정보보안담당관과 협의하여 보안심사위원회에 보안성 검토 심의를 의뢰하여야 한다. 총장은 교육부장관을 경유하여 국가정보원장에게 심의 결과를 포함하여 보안성 검토를 의뢰하여야 한다. ② 시스템관리자는 제1항의 보안대책 수립 시, 다음 각 호의 사항을 포함하여야 한다. 1. WPA2 이상(256비트 이상)의 암호체계를 사용하여 소통자료 암호화(국가정보원장이 승인한 암호논리 사용) 2. MAC 주소 및 IP 필터링 설정 3. RADIUS(Remote Authentication Dial-In User Service) 인증 사용 4. 무선망을 통한 업무망 정보시스템 접근을 정보보호시스템 등으로 차단하는 보안 대책 5. 그 밖에 무선단말기ㆍ중계기(AP) 등 무선랜 구성요소별 분실ㆍ탈취ㆍ훼손ㆍ오용 등에 대비한 관리적ㆍ물리적 보안대책 <신 설> ③ 분임보안담당관은 제1항 및 제2항과 관련한 보안대책의 적절성을 수시로 점검하고 보완하여야 한다.	제46조(무선랜 보안관리) ① 분임보안담당관은 무선랜(와이파이 등)을 사용하여 업무자료를 소통하고자 할 경우 자체 보안대책을 수립하여 관련 사업 계획단계(사업 공고 전)에서 제73조(보안성 검토 신청)에 따라 보안성 검토를 실시하여야 한다. ② 시스템관리자는 제1항의 보안대책 수립 시, 다음 각 호의 사항을 포함하여야 한다. 1. WPA2 이상(256비트 이상)의 암호체계를 사용하여 소통자료 암호화(국가정보원장이 승인한 암호논리 사용) 2. MAC 주소 및 IP 필터링 설정 3. RADIUS(Remote Authentication Dial-In User Service) 인증 사용 <삭 제> 4. 무선단말기ㆍ중계기(AP) 등 무선랜 구성요소별 분실ㆍ탈취ㆍ훼손ㆍ오용 등에 대비한 관리적ㆍ물리적 보안대책 5. 그 밖에 정보보안담당관이 정하는 무선랜 보안 대책 강구 ③ 분임보안담당관은 제1항 및 제2항과 관련한 보안대책의 적절성을 수시로 점검․보완하여야 한다. 이 경우 정보보안담당관은 분임보안담당관이 수행한 사항이 적절한지 확인하고 시정조치를 권고할 수 있다.
제46조~제48조 (생 략)	제47조~제49조 (현행 제46조~제48조와 같음)
제49조(무선인터넷 보안관리) ① 분임보안담당관은 무선인터넷(WiBro, HSDPA 등) 시스템을 구축하여 업무자료를 소통하고자 할 경우 자체 보안대책을 수립하여 관련 사업 계획단계(사업 공고 전)에서 정보보안담당관과 협의하여 보안심사위원회에 보안성 검토 심의를 의뢰하여야 한다. 총장은 교육부장관을 경유하여 국가정보원장에게 심의 결과를 포함하여 보안성 검토를 의뢰하여야 한다. ②∼③항 (생 략) ④ 분임보안담당관은 개인 휴대폰을 제외한 무선인터넷 단말기의 사무실 무단 반입ㆍ사용을 금지하는 한편 제1항부터 제3항까지와 관련한 보안대책의 적절성을 수시로 점검하고 보완하여야 한다.	제50조(무선인터넷 보안관리) ① 분임보안담당관은 무선인터넷(WiBro, HSDPA 등) 시스템을 구축하여 업무자료를 소통하고자 할 경우 자체 보안대책을 수립하여 관련 사업 계획단계(사업 공고 전)에서 제73조(보안성 검토 신청)에 따라 보안성 검토를 실시하여야 한다. ②∼③항 (현행과 같음) ④ 분임보안담당관은 개인 휴대폰을 제외한 무선인터넷 단말기의 사무실 무단 반입ㆍ사용을 금지하는 한편 제1항부터 제3항까지와 관련한 보안관리의 적절성을 수시로 점검․보완하여야 한다. 이 경우 정보보안담당관은 분임보안담당관이 수행한 사항이 적절한지 확인하고 시정조치를 권고할 수 있다.
제50조(RFID 보안관리) ① 분임보안담당관은 RFID 시스템을 구축하여 중요자료 등 보호할 필요가 있는 정보를 소통하고자 할 경우 자체 보안대책을 수립하여 사업계획 단계(사업 공고 전)에서 정보보안담당관과 협의하여 보안심사위원회에 보안성 검토 심의를 의뢰하여야 한다. 총장은 교육부장관을 경유하여 국가정보원장에게 심의 결과를 포함하여 보안성 검토를 의뢰하여야 한다. ② (생 략) ③ 분임보안담당관은 제1항 및 제2항과 관련한 보안대책의 적절성을 수시로 점검하고 보완하여야 한다.	제51조(RFID 보안관리) ① 분임보안담당관은 RFID 시스템을 구축하여 중요자료 등 보호할 필요가 있는 정보를 소통하고자 할 경우 자체 보안대책을 수립하여 사업계획 단계(사업 공고 전)에서 제73조(보안성 검토 신청)에 따라 보안성 검토를 실시하여야 한다. ② (현행과 같음) ③ 분임보안담당관은 제1항 및 제2항과 관련한 보안대책의 적절성을 수시로 점검․보완하여야 한다. 이 경우 정보보안담당관은 분임보안담당관이 수행한 사항이 적절한지 확인하고 시정조치를 권고할 수 있다.
제51조 (생 략)	제52조 (현행 제51조와 같음)
제52조(CCTV운용 보안관리) ①∼④ (생 략) ⑤ 분임보안담당관은 제1항부터 제4항까지와 관련하여 보안대책의 적절성을 수시로 점검하고 보완하여야 한다. ⑥ (생 략)	제53조(CCTV운용 보안관리) ①∼④ (현행과 같음) ⑤ 분임보안담당관은 제1항부터 제4항까지와 관련하여 보안대책의 적절성을 수시로 점검․보완하여야 한다. 이 경우 정보보안담당관은 분임보안담당관이 수행한 사항이 적절한지 확인하고 시정조치를 권고할 수 있다. ⑥ (현행과 같음)
제53조(디지털복사기 보안관리) ①∼③ (생 략) ④ 분임보안담당관은 해당 기관의 저장매체 내장 복사기 현황을 파악하고 복사기의 유지보수 및 불용처리 시 저장매체에 대한 보안조치를 수행하여야 한다. ⑤ (생 략)	제54조(디지털복사기 보안관리) ①∼③ (생 략) ④ 분임보안담당관은 해당 기관의 저장매체 내장 복사기 현황을 파악하고 복사기의 유지보수 및 불용처리 시 저장매체에 대한 보안조치를 수행하여야 한다. 이 경우 정보보안담당관은 분임보안담당관이 수행한 사항이 적절한지 확인하고 시정조치를 권고할 수 있다. ⑤ (생 략)
제54조~제55조 (생 략)	제55조~제56조 (현행 제54조~제55조와 같음)
제56조(용역사업 보안관리) ① 분임보안담당관은 정보화ㆍ정보보호사업 및 보안컨설팅 수행 등을 외부용역으로 추진할 경우, 사업 책임자로 하여금 다음 각 호의 사항을 포함한 보안대책을 수립․시행하여야 한다. 1. 용역사업 계약 시 계약서에 참가직원의 보안준수 사항과 위반 시 손해배상 책임 등 명시 2. 용역사업 수행 관련 보안교육ㆍ점검 및 용역기간 중 참여인력 임의교체 금지 3. 정보통신망도ㆍIP현황 등 용역업체에 제공할 자료는 자료 인계인수대장을 비치, 보안조치 후 인계ㆍ인수하고 무단 복사 및 외부반출 금지 4. 사업 종료 시 외부업체의 노트북ㆍ휴대용 저장매체 등을 통해 비공개 자료가 유출되는 것을 방지하기 위해 복구가 불가능하도록 완전삭제 5. 용역업체로부터 용역 결과물을 전량 회수하고 비인가자에게 제공ㆍ열람 금지 6. 용역업체의 노트북 등 관련 장비를 반입ㆍ반출시마다 악성코드 감염여부, 자료 무단반출 여부를 확인 7. 그 밖에 총장이 보안관리가 필요하다고 판단하는 사항이나 교육부장관이 보안조치를 권고하는 사항 분임보안담당관은「국가계약법」시행령 제76조 제1항 제18호에 따라 용역사업 추진 시 과업지시서ㆍ입찰공고ㆍ계약서에 다음 각 호의 누출금지 대상정보를 명시해야 하며 해당정보 누출 시 입찰 참가자격 제한을 위한 부정당업자로 등록하여야 한다. 1. 기관 소유 정보시스템의 내ㆍ외부 IP주소 현황 2. 세부 정보시스템 구성 현황 및 정보통신망 구성도 3. 사용자계정ㆍ비밀번호 등 정보시스템 접근권한 정보 4. 정보통신망 취약점 분석ㆍ평가 결과물 5. 정보화 용역사업 결과물 및 관련 프로그램 소스코드(유출시 안보ㆍ국익에 피해가 우려되는 중요 용역사업에 해당) 6. 국가용 보안시스템 및 정보보호시스템 도입 현황 7. 침입차단시스템ㆍ방지시스템(IPS) 등 정보보호제품 및 라우터ㆍ스위치 등 네트워크 장비 설정 정보 8.「공공기관의 정보공개에 관한 법률」제9조 제1항에 따라 비공개 대상 정보로 분류된 기관의 내부문서 9.「공공기관의 개인정보보호에 관한 법률」제2조 제2호의 개인정보 10.「보안업무규정」제4조의 비밀 및 동 시행규칙 제7조 제3항의 대외비 11. 그 밖에 총장이 공개가 불가하다고 판단한 자료 분임보안담당관은 비밀관련 용역사업을 수행할 경우, 외부인원에 대한 신원조사ㆍ비밀취급인가, 보안교육 등 보안조치를 수행하여야 한다. 분임보안담당관은 국가 안보(국방, 외교, 통일 등) 관련 용역 자료(연구, 자문 등)는 인터넷이 차단된 PC에 비밀번호를 부여하여 별도로 저장하거나 보안 USB에 저장하여 유출되지 않도록 조치하여야 한다. ⑤ 분임보안담당관은 제1항 내지 제4항에서 규정한 보안대책의 시행과 관련한 이행실태를 주기적으로 점검하고 미비점 발견 시 사업책임자로 하여금 보완토록 조치하여야 한다. ⑥ (생 략)	제57조(용역사업 보안관리) ① 사업관리책임자는 정보화ㆍ정보보호사업 및 보안컨설팅 수행 등을 외부용역으로 추진할 경우, 사업 책임자로 하여금 다음 각 호의 사항을 포함한 보안대책을 수립․시행하여야 한다. 1. 용역사업 계약 시 계약서에 참가직원의 보안준수 사항과 위반 시 손해배상 책임 등 명시 2. 용역사업 수행 관련 보안교육ㆍ점검 및 용역기간 중 참여인력 임의교체 금지 3. 정보통신망도ㆍIP현황 등 용역업체에 제공할 자료는 자료 인계인수대장을 비치, 보안조치 후 인계ㆍ인수하고 무단 복사 및 외부반출 금지 4. 사업 종료 시 외부업체의 노트북ㆍ휴대용 저장매체 등을 통해 비공개 자료가 유출되는 것을 방지하기 위해 복구가 불가능하도록 완전삭제 5. 용역업체로부터 용역 결과물을 전량 회수하고 비인가자에게 제공ㆍ열람 금지 6. 용역업체의 노트북 등 관련 장비를 반입ㆍ반출시마다 악성코드 감염여부, 자료 무단반출 여부를 확인 7. 그 밖에 총장이 보안관리가 필요하다고 판단하는 사항이나 교육부장관이 보안조치를 권고하는 사항 사업관리책임자은「국가계약법」시행령 제76조 제1항 제18호에 따라 용역사업 추진 시 과업지시서ㆍ입찰공고ㆍ계약서에 다음 각 호의 누출금지 대상정보를 명시해야 하며 해당정보 누출 시 입찰 참가자격 제한을 위한 부정당업자로 등록하여야 한다. 1. 기관 소유 정보시스템의 내ㆍ외부 IP주소 현황 2. 세부 정보시스템 구성 현황 및 정보통신망 구성도 3. 사용자계정ㆍ비밀번호 등 정보시스템 접근권한 정보 4. 정보통신망 취약점 분석ㆍ평가 결과물 5. 정보화 용역사업 결과물 및 관련 프로그램 소스코드(유출시 안보ㆍ국익에 피해가 우려되는 중요 용역사업에 해당) 6. 국가용 보안시스템 및 정보보호시스템 도입 현황 7. 침입차단시스템ㆍ방지시스템(IPS) 등 정보보호제품 및 라우터ㆍ스위치 등 네트워크 장비 설정 정보 8.「공공기관의 정보공개에 관한 법률」제9조 제1항에 따라 비공개 대상 정보로 분류된 기관의 내부문서 9.「공공기관의 개인정보보호에 관한 법률」제2조 제2호의 개인정보 10.「보안업무규정」제4조의 비밀 및 동 시행규칙 제7조 제3항의 대외비 11. 그 밖에 총장이 공개가 불가하다고 판단한 자료 사업관리책임자는 비밀관련 용역사업을 수행할 경우, 외부인원에 대한 신원조사ㆍ비밀취급인가, 보안교육 등 보안조치를 수행하여야 한다. 사업관리책임자는 국가 안보(국방, 외교, 통일 등) 관련 용역 자료(연구, 자문 등)는 인터넷이 차단된 PC에 비밀번호를 부여하여 별도로 저장하거나 보안 USB에 저장하여 유출되지 않도록 조치하여야 한다. ⑤ 사업관리책임자는 제1항 내지 제4항에서 규정한 보안대책의 시행과 관련한 이행실태를 주기적으로 점검하고 미비점 발견 시 사업책임자로 하여금 보완토록 조치하여야 한다. ⑥ (생 략)
제57조~제66조 (생 략)	제58조~제67조 (현행 제57조~제66조와 같음)
제67조(보안관제센터 설치․운영) ①∼② (생 략) ③ 기타 보안관제센터 설치□운영에 관련된 사항은 「교육부 보안관제지침」을 따른다.	제68조(보안관제센터 설치․운영) ①∼② (생 략) ③ 기타 보안관제센터 설치□운영에 관련된 사항은 「교육부 사이버안전센터 운영 규정」에 따른다.
제68조 (생 략)	제69조 (현행 제68조와 같음)
제69조(보안관제 용역업체 선정․관리) ① 정보보안담당관은 지식경제부 장관이 지정하는 보안관제 전문업체중에서 ‘보안관제 용역업체 업무수행 능력평가 기준’ 등을 참고하여 보안관제 용역업체를 선정한다. ②∼③ (생 략)	제70조(보안관제 용역업체 선정․관리) ① 정보보안담당관은 미래창조과학부 장관이 지정하는 보안관제 전문업체중에서 ‘보안관제 용역업체 업무수행 능력평가 기준’ 등을 참고하여 보안관제 용역업체를 선정한다. ②∼③ (현행과 같음)
제70조 (생 략)	제71조 (현행 제70조와 같음)
<신 설>	제72조(보안관제센터 수행업무) ① 보안관제 업무에 관한 세부사항은 「교육부 사이버안전센터 운영 규정」을 따른다
제71조~제76조 (생 략)	제73조~제78조 (현행 제71조~제76조와 같음)
제77조(보안적합성 검증대상 및 신청) ① 분임보안담당관은 제76조에 의해 정보보호시스템 도입할 경우 사전에 정보보안담당관과 보안성 검토를 협의하여 보안심사위원회 심의를 의뢰하여야 한다. 총장은 교육부장관을 경유하여 국가정보원장에게 심의결과를 포함하여 보안적합성 검증을 신청하여야 한다. <신 설> ② 보안적합성 검증대상은 다음 각 호와 같다. 1. 상용 정보보호시스템 2. 자체 개발하거나 외부업체 등에 의뢰하여 개발한 정보보호시스템 3. 저장매체 소자장비 혹은 완전삭제 소프트웨어 제품 4. 네트워크 장비(L3이상 스위치 라우터 등 및 보안기능이 있는 L2 스위치) 5. 제71조의 보안성 검토 결과 세부 검증이 필요하다고 판단된 보안기능이 있는 정보시스템 및 제어시스템 등 ③∼④ (생 략)	제79조(보안적합성 검증대상 및 신청) ① 분임보안담당관은 제78조에 의해 정보보호시스템을 도입할 경우 사전에 정보보안담당관과 보안성 검토를 협의하여 보안심사위원회에 심의를 의뢰하여야 한다. 총장은 교육부장관을 경유하여 국가정보원장에게 심의결과를 포함하여 보안적합성 검증을 신청하여야 한다. ② 본교에서 네트워크 장비를 도입할 경우 총장은 「네트워크장비 도입확인서」(별지 제14호) 및 「네트워크장비 보안기능 요구사항 점검표」(별지 제13호)를 교육부장관을 경유하여 국가정보원장에게 제출하여야 한다. ③ 보안적합성 검증대상은 다음 각 호와 같다. 1. 상용 정보보호시스템 2. 자체 개발하거나 외부업체 등에 의뢰하여 개발한 정보보호시스템 3. 저장매체 소자장비 혹은 완전삭제 소프트웨어 제품 4. 네트워크 장비(L3이상 스위치, 라우터 등) (펌웨어 업데이트 포함) 5. 제73조의 보안성 검토 결과 세부 검증이 필요하다고 판단된 보안기능이 있는 정보시스템 및 제어시스템 등 ④∼⑤ (현행 ③∼④와 같음)
제78조(제출문서) ① 보안적합성 검증 신청에 필요한 제출문서는 다음과 같다. 1. 상용 정보보호시스템 가.∼사. (생 략) 2. 자체 개발하거나 외부업체 등에 의뢰하여 개발한 시스템 가.∼마. (생 략) <신 설> 바. 사용설명서 1부 3. 네트워크 장비 가. 정보보호시스템 도입 시 확인사항 1부 (별지 11) 나. 보안적합성 검증 신청서 1부(별지 12) 다. 장비설명서(기능□운용설명서, Private MIB 등 포함) 라. 기본 및 상세 설계서(검증기관 또는 시험기관 요청시) 마. 장비 펌웨어 이미지 및 해시값 1부 <신 설> <신 설> 바. 네트워크 장비 도입 최소 보안 요구사항(별지 10) 사. 변경내용 분석서 1부(도입장비 펌웨어 업데이트 경우) 아. CC 인증서 사본(해당되는 경우) 4. <신 설> ② (생 략)	제80조(제출문서) ① 보안적합성 검증 신청에 필요한 제출문서는 다음과 같다. 1. 상용 정보보호시스템 가.∼사. (현행과 동일) 2. 자체 개발하거나 외부업체 등에 의뢰하여 개발한 시스템 가.∼마. (현행과 동일) 바. 자체실험결과 1부 사. 사용설명서 1부 3. 네트워크 장비 가. 「정보보호시스템 도입시 확인사항」(별지 제6호) 서식 1부 나. 「네트워크 장비 보안적합성 검증 신청서」(별지 제16호) 서식 1부 다. 장비설명서(기능□운용설명서, Private MIB 등 포함) 라. 기본 및 상세 설계서(검증기관 또는 시험기관 요청시) 마. 장비 펌웨어 이미지 및 해시값 1부 바.「네트워크장비 도입 확인서」(별지 제14호) 서식 1부 사.「네트워크장비 보안기능 요구사항 점검표」(별지 제13호) 서식 1부 <삭 제> <삭 제> 아. CC 인증서 사본(해당되는 경우) 4. 네트워크 장비 펌웨어 업데이트 가.「네트워크장비 도입 확인서」(별지 제14호) 서식 1부 나.「네트워크장비 보안적합성 검증 신청서」(별지 제16호) 서식 1부 다.「네트워크 변경내역 분석서」(별지 제17호) 서식 1부 ② (현행과 같음)
제79조~제82조 (생 략)	제81조~제84조 (현행 제79조~제82조와 같음)
<신 설>	제85조(자체진단) ① 정보보안담당관은 온라인 진단시스템 등을 통해 정해진 기간동안 진단지표에 따라 자체진단을 실시한다. ② 정보보안담당관은 자체진단의 적절성을 입증할 수 있도록 진단지표별 증빙자료를 준비해야 하며 필요 시 온라인 진단시스템에 첨부할 수 있다.
제83조~제84조 (생 략)	제86조~제87조 (현행 제83조~제84조와 같음)
제85조(다른 법령과의 관계) 이지침에 명시되지 않은 사항은 다음 각호의 법령에 따른다. 1.∼14. (생 략) <신 설> 15.∼16. (생 략)	제88조(다른 법령과의 관계) 이 지침에 명시되지 않은 사항은 다음 각 호의 법령에 따른다. 1.∼14. (현행과 같음) 15. 공공기록물 관리에 관한 법률 16.∼17. (현행 15.∼16.과 같음)