정보보안관리운영 규정

제정         2021. 10. 13.

제1장 총  칙

제1조(목적) 이 규정은 「국가정보보안 기본지침」 및 「경기도 정보보호 관리체계 운영 규정」 등에 따라 경기도체육회(이하 “체육회”라 한다)의 정보보호 활동에 필요한 세부사항 규정을 목적으로 한다.

제2조(적용범위) 정보보안 관리운영 업무에 관하여는 법령 또는 다른 규정에 특별한 규정이 있는 경우를 제외하고는 이 규칙이 정하는 바에 의한다.

제3조(용어의 정의)

1. “정보통신망”이란 「전기통신기본법」 제2조제2호에 따른 전기통신설비 및 컴퓨터를 활용하거나 전기통신설비와 컴퓨터 이용기술을 활용하여 정보를 수집, 가공, 저장, 검색, 송신 또는 수신하는 정보통신체제를 말한다.

2. “정보시스템”이란 서버, 단말기, 휴대용저장매체, 네트워크 장비, 응용프로그램 등 정보의 수집, 가공, 저장, 검색, 송신 또는 수신에 필요한 일체의 하드웨어와 소프트웨어를 말한다.

3. “휴대용저장매체”란 디스켓(FD), 외장형하드디스크(HDD), USB메모리, 스마트폰, 디지털카메라 등 정보를 저장할 수 있는 모든 것으로 정보시스템과 분리할 수 있는 기억장치를 말한다.

4. “정보보안” 또는 “정보보호”란 정보시스템 및 정보통신망을 통해 수집, 가공, 저장, 검색, 송·수신되는 정보의 유출, 위·변조 및 훼손 등을 방지하기 위하여 관리적, 물리적 또는 기술적 수단 등을 강구하는 일체의 행위로서 국가사이버안전관리 규정 제2조제3호의 사이버안전을 포함한다.

5. “정보보호시스템”이란 정보의 수집, 저장, 검색, 송신 또는 수신할 경우에 정보의 유출, 위·변조 및 훼손 등을 방지하기 위한 하드웨어 및 소프트웨어를 말한다.

6. “전자정보”란 체육회의 행정업무 처리와 관련하여 컴퓨터 등 정보처리 능력을 가진 장치에 의하여 전자적인 형태로 송신, 수신 또는 저장되는 전자문서 및 전자기록물 등을 말한다.

7. “CCTV”란 일정한 공간에 지속적으로 설치되어 사람 또는 사물의 영상 등을 촬영하거나 이를 유·무선망을 통하여 전송하는 일체의 장치로서 「개인정보보호법 시행령」 제3조에 따른 폐쇄회로텔레비전(CCTV) 및 네트워크카메라 등을 말한다.

8. “정보통신실”이란 서버, 단말기, 라우터 등 네트워크 장비 또는 보안장비 등이 설치 운용되는 장소로서 전산실, 통신실, 관제센터 또는 전자정보의 보관실 등을 말한다.

9. “사용자”란 정보시스템 또는 정보통신망 등에 대한 접근 권한을 부여받았거나 사용 허가를 받은 사람을 말한다.

10. “관리자”란 정보시스템 및 보안자재 등 모든 정보통신기기의 운용자로서 사용자계정 생성, 삭제 등의 시스템 운영과 보안 관리를 책임지는 사람을 말한다.

11. “본인확인”이란 정보통신망을 통하여 정보시스템, 전자정보 등을 이용하는 사용자 또는 민원인 등이 가지고 있거나 알고 있는 정보를 이용하여 본인임을 확인하는 것을 말한다.

12. “접근권한”이란 정보시스템에 접속하여 정보자원을 활용할 수 있는 권한 및 전자정보를 생성, 변경, 열람 또는 삭제 등을 할 수 있는 권한을 말한다.

13. “사이버공격”이란 해킹, 컴퓨터바이러스, 논리폭탄, 메일폭탄, 서비스방해 등 전자적 수단에 의하여 정보시스템과 정보통신망 등을 불법침입, 교란, 마비, 파괴하거나 정보를 절취 또는 훼손하는 공격 행위를 말한다.

14. “민감정보”란 사상·신념, 노동조합·정당의 가입·탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보를 말한다.

제2장 정보보안 기본활동

제4조(정보보호책임관 운영) ① 이 규정에 따른 정보보호 업무를 총괄하기 위하여 정보보호책임관 제도를 운영한다.

② 사무처장은 정보보호최고책임관(CSO)으로서 체육회 정보보호에 관한 업무를 총괄하고, 정보보호관리체계의 효과적 운영을 위하여 필요한 규정과 정책을 수립하며 시행한다.

③ 체육회 정보보호 업무를 담당하는 부서의 장은 발령과 동시에 정보보안담당관이 되며, 제5조에 따라 정보보호 기본활동을 수행한다.

④ 분임보안담당관은 담당부서 직원 중 1인을 지명하며 정보보호 관련 규정 및 지침을 준수하여 해당 분야의 정보보호 활동을 수행한다.

제5조(기본활동) 정보보안담당관은 정보통신 수단에 의한 각종 정보의 누설(漏泄)을 방지하고 보호하여야 하며 다음 각 호의 정보보안 기본 활동을 수행하여야 한다.

1. 정보보안 정책 및 세부추진계획 수립·시행

2. 정보보안 관련 규정·지침 등 제·개정

3. 정보보안 지도점검 및 심사분석

4. 정보통신실, 정보통신망 및 전자정보 등의 보안관리

5. 정보보안 관리실태 평가 및 정보보안 감사

6. 사이버공격에 대한 초동조치 및 대응

7. 사이버위협정보 수집·분석 및 보안관제

8. 정보보안 예산 및 전문인력 확보

9. 정보보안 사고조사 및 결과 처리

10. 정보보안 교육 및 정보협력

11. 국가정보원장이 개발하거나 안전성을 검증한 정보보호시스템의 운용 및 보안관리

12. 정보시스템 및 정보통신망 보안대책의 수립·시행

13. ‘사이버 보안 진단의 날’ 계획 수립·시행

14. 기타 정보보안 관련 사항

제6조(분임보안담당관의 임무)  ① 분임보안담당관은 부서 내 사용자와 소관 정보시스템의 정보보안관리 현황을 관리 감독하여야 하며, 업무를 효율적으로 수행하기 위하여 부서별 정보보안담당자를 지정·운영하여야 한다.

② 부서별 정보보안담당자는 서무 업무담당자가 되며, 분임정보보안담당관의 업무를 보좌하여 소관부서의 정보보안업무를 수행한다.

③ 부서별 정보보안담당자는 효율적인 정보보안업무를 수행하기 위하여 다음 각 호의 사항을 관리하여야 한다.

1. ‘사이버 보안진단의 날’ 내 PC 지키미 이행 및 감독에 관한 사항

2. 악성코드 유무 및 인터넷망 PC에 업무자료 무단 사용의 주기적 점검에 관한 사항

3. 업무용PC, 휴대용 저장매체 등 정보자산 및 네트워크 현황 관리

4. 부서 내 무선네트워크(인터넷) 무단사용 금지에 관한 사항

5. 정보보안 관련 의견 수렴 및 전달

6. 그 밖에 부서 내 정보보안에 관한 사항

제7조(사용자관리)  ① 분임보안담당관은 정보통신망을 통하여 중요 행정·비밀·개인정보를 취급하는 직원 및 보호구역에 상시 근무하는 용역업체 직원에 대하여 다음 각 호의 보안조치를 하여야 한다.

1. 별지 제1호 서식의 정보보안 및 개인정보 보호 서약서 징구

2. 「보안업무 규정」 제8조에 따른 비밀취급 대상자일 경우에는 비밀취급인가 취득

② 분임보안담당관은 인사이동 또는 퇴직자가 있는 경우에 다음 각 호의 보안조치를 신속하게 실시하여야 한다.

1. PC, 노트북 등(이하 “PC 등”이라 한다)에 저장되어 있는 중요 전자정보(비밀, 개인정보 등)의 삭제 및 사용자계정의 즉시 변경 또는 사용 중지

2. 「보안업무 규정 시행세칙」 제13조제2항에 따른 보안서약서 징구(퇴직 시)

3. 전자정보 복사가 필요한 경우에는 정보보안담당관에게 승인 요청

4. 부서별 정보보안담당자는 복사된 전자정보에 중요 행정·비밀·개인정보 등이 없는지 최종 확인

③ 분임보안담당관은 외부 인력을 활용하여 행정업무용 소프트웨어(웹 포함)를 개발, 운용, 정비 등을 수행할 경우에는 해당 인력의 고의 또는 실수로 인한 정보 유출이나 파괴를 방지하기 위하여 보안조치를 하여야 한다.

제8조(정보시스템 보안책임 범위) ① 분임보안담당관은 정보시스템을 도입 운용하고자 하는 경우 관리자와 사용자를 지정하여야 한다.

② 사용자는 PC 등 정보시스템을 사용하거나 본인의 계정으로 정보통신망에 접속하는 것과 관련된 보안책임을 진다.

③ 관리자는 서버, 네트워크 장비 등 공통으로 사용하는 정보시스템의 운용과 관련된 보안책임을 진다.

④ 분임보안담당관은 소관 정보시스템의 최종 변경현황을 별지 2호 서식의 정보시스템 관리대장에 기록·관리하여야 한다.

⑤ 정보보안담당관은 정보시스템 운용과 관련한 보안취약점을 발견하거나 보안대책 강구가 필요하다고 판단한 경우에는 사용자·관리자·분임보안담당관에게 시정을 요구할 수 있다.

제9조(중요 정보통신시설 보안관리) ① 다음 각 호의 어느 하나에 해당하는 중요 정보통신시설과 장소를 관리하는 부서의 장(이하 “보호구역 분임보안담당관”이라 한다)은 「보안업무 규정」 제32조에 따라 소관 정보통신시설 및 장소를 보호구역으로 설정하여야 하며 보호구역임을 식별할 수 있는 표찰을 정문에 게시하여야 한다. 단, 표찰게시로 보안상 노출 취약성이 인정되는 경우에는 부착하지 아니할 수 있다.

② 보호구역 분임보안담당관은 보안상 불필요한 인력이 보호구역에 접근 또는 출입하는 것을 제한하거나 금지시켜야 한다. 업무상 필요에 의해 출입하는 자에 대하여는 별지 제3호 서식의 보호구역 출입자 관리대장에 기록·관리하여야 한다. 다만, 상시출입자로 지정된 사람에 대하여는 그러하지 아니할 수 있다.

제10조(정보보안 지도점검) ① 정보보안담당관은 정보보안의 취약분야를 개선하기 위하여 연 1회 이상 정보보안 지도점검을 실시할 수 있다.

제11조(정보보안 교육 및 전문성 제고) ① 정보보안담당관은 정보보안에 대한 교육계획(외부전문기관 위탁교육 포함)을 수립하여 연 1회 이상 전체직원을 대상으로 교육을 실시하여야 한다.

② 정보보안담당관은 정보보안 전문기관 교육 및 기술세미나 참석을 장려하는 등 정보보안 담당자의 전문성 제고를 위해 노력하여야 한다.

제12조(사이버보안 진단의 날) ① 정보보안담당관은 매월 세 번째 수요일을 ‘사이버 보안 진단의 날’로 지정하여 운영한다. 다만, 주와 요일을 달리 지정하여 운영하는 것이 타당한 경우에는 그러하지 아니할 수 있다.

② 정보보안담당관은 ‘사이버 보안 진단의 날’에 소관 정보통신망의 악성코드 감염 여부, 정보시스템의 취약 여부 등 정보보안업무 전반에 대하여 체계적이고 종합적인 보안진단을 실시하여야 한다.

제3장  요소별 보안관리

제1절 전자정보 보안대책

제13조(PC 등 보안관리)  ① 분임보안담당관은 행정업무를 목적으로 PC 등을 구입 또는 보급받은 경우 사용자를 지정하고 초기 설정된 사용자계정 및 비밀번호를 변경하여야 한다.

② 사용자는 비인가자가 무단으로 PC 등을 조작하여 전자정보를 유출하거나 위·변조 및 훼손시키지 못하도록 다음 각 호의 보안활동을 실시하여야 한다.

1. 장비별(CMOS)·전자정보별(문서자료 암호화) 및 사용자별(로그온)로 비밀번호 사용 및 주기적인 변경

2. 10분 이상 작업을 중단할 경우 비밀번호가 적용된 화면보호기 설정

3. 최신 백신 프로그램, PC용 침입차단·탐지시스템 등 설치 운용

4. 운영체제·응용프로그램에 대해 월 1회 이상 주기적인 보안패치 실시

5. 메신저, P2P, 웹하드, 상용 클라우드 등 업무에 무관하거나 Active-X 등 보안에 취약한 프로그램과 비인가 프로그램·장치의 설치금지

6. 음란, 도박, 증권 등 업무와 무관한 사이트 접근차단

7. 공유폴더의 삭제

8. 그 밖에 국가정보원장이 안전성을 검증하여 배포한 프로그램의 운용 및 보안경고문

③ 사용자는 PC 등을 교체·반납 또는 폐기하거나 고장으로 외부에 수리를 의뢰하고자 하는 경우에는 정보보안담당관과 사전에 협의하여 하드디스크에 수록된 전자정보가 유출 또는 훼손되지 않도록 보안대책(보안서약서 징구, 하드디스크 분리, 저장자료 삭제 등)을 강구하여야 한다.

④ PC 등을 반출·반입할 경우에는 해당 분임보안담당관의 승인을 얻고 반출·반입하여야 한다.

⑤ 사용자는 출장 또는 휴가 등으로 장시간 이석할 경우 노트북 등 휴대가 가능한 PC 등은 잠금장치가 있는 사물함 등 안전한 장소에 보관하거나 도난방지 케이블을 설치하여야 한다.

⑥ 사용자는 인가받지 않은 PC 등(개인소유 등)을 무단 반입하여 사용하여서는 아니 된다. 다만, 부득이한 경우에는 정보보안담당관의 승인을 받아 반출하여야 한다.

⑦ 정보보안담당관은 비인가자로부터 중요 전자정보·비밀·개인정보 등을 보호하기 위하여 PC 등에 설치된 휴대용저장매체 연결장치를 제거하거나 이를 통제하기 위한 보안시스템을 설치하여야 한다.

제14조(홈페이지 구축 및 게시자료 보안관리)  ① 분임보안담당관은 홈페이지를 구축할 경우 다음 각 호의 사항을 포함한 보안대책을 강구하여야 한다.

② 분임보안담당관은 개인정보를 포함한 중요 자료가 홈페이지에 무단 게시되지 않도록 홈페이지 게시자료의 범위·방법 등을 명시한 자체 홈페이지 정보공개 보안지침을 수립하여야 한다.

③ 홈페이지에 정보를 게시하고자 하는 분임보안담당관은 정보보안담당관과 협의하여 비밀 등 비공개 자료가 게시되지 않도록 하여야 한다. 다만, 기존에 게시한 자료의 내용 중 단순히 수치를 변경하는 등의 경미한 사항에 대하여는 예외로 한다.

④ 사용자는 개인정보, 비공개 정보 및 민감정보 등이 포함된 자료를 홈페이지에 공개하여서는 아니 된다.

⑤ 사용자는 인터넷 블로그·카페·게시판·개인 홈페이지 또는 SNS 등 공개된 인터넷망에 행정업무 관련 자료를 게시하여서는 아니 된다.

⑥ 분임보안담당관은 소관 홈페이지에 제4항의 자료가 게시되었는지 여부를 수시로 확인하여야 하며 공개된 것을 인지한 경우 이를 즉시 삭제하는 등의 보안조치를 하여야 한다.

⑦ 홈페이지 구축 및 운영과 관련한 세부적인 보안사항은 “홈페이지 SW(웹) 개발보안 가이드” 등 관련 지침 및 규정을 따른다.

제15조(사용자계정관리)  ① 분임보안담당관은 사용자에게 소관 정보시스템 접속에 필요한 사용자계정(ID) 부여 시 비인가자의 도용 및 불법접속 등을 방지하기 위하여 다음 각 호의 보안조치를 하여야 한다.

1. 비밀번호 등 사용자 식별·인증 수단이 없는 사용자계정은 사용 금지

2. 신규 사용자계정 신청 시 신원확인 후 발급

3. 사용자별 또는 그룹별로 접근권한 부여, 사용자계정을 공동으로 사용 금지

4. 외부 사용자의 계정부여는 불허하되, 부득이한 경우에는 분임정보보안담당관의 책임 하에 유효기간을 설정하는 등 보안조치를 강구한 후 허용

5. 직원의 퇴직 또는 보직 변경시 불필요한 사용자계정은 신속히 삭제

6. 장시간 사용하지 않는 휴면계정을 점검하여 필요하지 않은 경우 삭제

② 분임보안담당관은 관리자계정에 대하여 관리자로 지정된 자만이 사용하며 권한이 없는 타인에게 계정을 대여할 수 없다. 단, 유지보수 등을 위하여 외부업체 직원에게 관리자계정을 제공할 경우 분임보안담당관의 승인 하에 제공할 수 있다.

제16조(비밀번호 관리)  ① 사용자 및 관리자는 정보시스템의 비밀번호 무단사용 방지를 위하여 다음 각 호와 같이 구분하여 사용하여야 한다.

1. 비인가자 접근방지를 위한 접근용 비밀번호(1차)

2. 사용자가 서버 등 정보통신망에 접속 인가된 인원인지 여부를 확인하는 사용자 인증 비밀번호(2차)

3. 문서의 열람, 수정 및 출력 등 사용권한을 제한할 수 있는 전자정보별 비밀번호(3차)

② 비밀이나 중요 전자정보에는 반드시 전자정보별로 비밀번호를 부여하되 공개 또는 열람 자료에 대하여는 부여하지 아니할 수 있다.

③ 비밀번호는 다음 각 호의 사항을 반영하여 숫자와 문자, 특수문자 등을 혼합하여 9자리 이상으로 정하고 분기별로 1회 이상 주기적으로 변경하여야 한다.

1. 사용자계정(ID)과 동일하지 않은 것

2. 개인 신상 및 부서명칭 등과 관계가 없는 것

3. 일반 사전에 등록된 단어는 사용을 피할 것

4. 동일단어 또는 숫자를 반복하여 사용하지 말 것

5. 사용된 비밀번호는 재사용하지 말 것

6. 동일 비밀번호를 여러 사람이 공유하여 사용하지 말 것

7. 응용프로그램을 이용한 비밀번호 자동 입력기능 사용 금지

8. 관리자계정과 사용자계정의 비밀번호는 다르게 부여

9. 초기 부여된(default) 임시 비밀번호는 로그인 후 즉시 변경

④ 정보시스템에 등록된 비밀번호는 반드시 암호화되어야 한다.

제17조(E-Mail 등 보안대책) ① 분임보안담당관은 웜·바이러스 등 악성코드로부터 사용자 PC 등 E-Mail 시스템을 보호하기 위하여 국가정보원장이 안전성을 검증한 백신 프로그램, 바이러스 월, 해킹메일 차단시스템을 구축하는 등 보안대책을 강구하여야 한다.

② 사용자는 상용 E-Mail을 이용한 중요 전자정보의 송·수신을 금지하며 E-Mail를 이용하여 송·수신한 중요 전자정보는 열람 후 메일함에서 즉시 삭제하여야 한다.

③ 사용자는 E-Mail에 포함된 첨부파일이 자동 실행되지 않도록 설정하고 첨부파일 다운로드 시 반드시 최신 백신 프로그램으로 악성코드 은닉 여부를 검사하여야 한다.

④ 사용자는 출처가 불분명하거나 의심되는 제목의 E-Mail은 열람을 금지하고 해킹메일로 의심되는 E-Mail을 수신한 경우에는 즉시 정보보안담당관에게 신고하여야 한다.

제18조(정보시스템 개발 보안)  ① 분임보안담당관은 정보시스템을 자체적으로 개발하고자 하는 경우에는 다음 각 호의 사항을 고려하여 보안대책을 수립하고 정보보안담당관에게 보안성 검토를 의뢰하여야 한다.

1. 독립된 개발 장소를 확보하고 비인가자의 접근 통제

2. 개발시스템과 운용시스템의 물리적인 분리

3. 소스코드 관리 및 소프트웨어 보안관리

② 정보화사업 담당자는 외부용역 업체와 계약하여 정보시스템을 개발하고자 하는 경우에는 다음 각 호의 사항을 고려하여 보안대책을 수립하고 분임정보보안담당관의 승인을 받아야 한다.

1. 외부인력 대상 신원확인, 보안서약서 징구, 보안교육 및 점검

2. 외부인력의 보안준수 사항 확인 및 위반시 배상책임의 계약서 명시

3. 외부인력의 정보시스템 접근권한 및 제공자료 보안대책

4. 외부인력에 의한 장비 반입·반출 및 자료 무단반출 여부 확인

5. 제1항제1호부터 제3호까지의 사항

③ 분임보안담당관은 제1항 및 제2항과 관련하여 보안대책의 적절성을 수시로 점검하고 정보시스템 개발을 완료한 경우에는 정보보안 요구사항을 충족하는지 시험 및 평가를 수행하여야 한다.

제19조(정보시스템 유지보수 보안) ① 분임보안담당관은 소관 정보시스템 유지보수와 관련한 보안대책 수립 시 다음 각 호의 사항을 고려하여야 한다.

1. 유지보수 인력에 대한 보안서약서 집행, 보안교육 등을 포함한 유지보수 인가절차를 마련하고 인가된 인력만 유지보수에 참여

2. 결함이 의심되거나 발생한 결함, 예방·유지보수에 대한 기록·관리

3. 유지보수를 위하여 원래 설치장소 외 다른 장소로 정보시스템을 이동할 경우 통제수단 강구

4. 유지보수 일시, 감독자 인적사항, 출입 통제조치, 정비내용 등 기록·관리

② 관리자는 자체 유지보수 절차에 따라 정기적으로 정보시스템 정비를 실시하고 관련 기록을 보관하여야 하며, 정보시스템을 변경할 경우 정보시스템의 설계·코딩·테스트·구현과정에서의 보안대책을 마련하고 분임보안담당관은 관련 적절성을 주기적으로 확인하여야 한다.

③ 분임보안담당관은 시스템관리자 등이 유지보수와 관련된 장비·도구 등을 반출입할 경우 악성코드 감염 여부, 자료 무단반출 여부를 확인하는 등 보안조치를 하여야 하며, PC, 노트북, 휴대용저장매체 등을 반출입하는 경우에는 별지 제4호 서식의 휴대용저장매체(전산장비 포함) 반출·반입 대장에 기록 후 사전에 다음 각 호의 보안조치를 실시하고 사용하여야 한다.

1. “내PC지키미” 프로그램을 실행하여 보안 취약점 점검 및 제거

2. 노트북 등 반입 시 무선통신 기능 불능화(Driver 파일 삭제 등) 조치

3. 최신 백신 프로그램을 이용한 악성코드 감염 여부 확인

4. 유지보수에 불필요한 프로그램 설치 여부

5. 휴대용 무선장비의 반입을 금지하고 스마트폰 등을 무선 모뎀으로 활용하지 못하도록 조치

6. 허가받지 않은 USB메모리 등 휴대용저장매체 사용 금지

④ 분임보안담당관은 외부에서 원격으로 정보시스템을 유지보수하는 것을 원칙적으로 금지하여야 하며 부득이한 경우에는 자체 보안대책을 수립한 후 분임정보보안담당관의 승인하에 한시적으로 허용할 수 있다.

제20조(정보시스템 접근권한 관리)  ① 관리자와 사용자에 대한 접근권한 관리 및 본인확인을 위해서는 다음 각 호의 사항을 수행하여야 한다.

1. 특성에 맞는 접근권한 정책의 수립 및 시행

2. 보직변경, 퇴직 등 인사이동이 있을 경우 관련 정보시스템 접근권한 조정

3. 연 1회 이상 접근권한 정책의 시행 여부 확인

4. 접근권한의 불법적 이용에 대하여 수시 확인 및 감독 등

② 분임보안담당관은 접근권한은 법령 또는 규정 등에 따라 허용된 자에 한하여 업무에 필요한 최소한의 범위로 사용자에 따라 차등 부여하여야 한다.

③ 다음 각 호에 해당하는 전자정보인 경우에는 사용자 본인 확인 및 접근권한 확인절차 없이 정보 접근이 가능하도록 할 수 있다.

1. 법령 등에 의하여 공개를 목적으로 작성된 정보

2. 일반 시민에게 알리기 위하여 작성된 각종 홍보자료

3. 그 밖에 체육회장이 공개하기로 정한 정보

④ 분임보안담당관은 비밀 등 중요 전자정보를 취급하는 정보시스템의 경우 전자인증서와 별도로 바이오정보, 일회용 비밀번호(OTP) 등을 이용한 인증방식을 복수로 채택하는 등 안전성을 강화할 수 있는 방안을 마련하여야 한다.

제2절  전자정보 보안대책

제21조(CCTV 보안관리)  ① 분임보안담당관은 CCTV 운용에 필요한 카메라, 중계·관제서버, 관리용 PC 등 관련 시스템을 비인가자의 임의 조작이 물리적으로 불가능하도록 설치하여야 한다.

② CCTV 상황실은 보호구역으로 지정 관리하고 출입통제장치를 도입하여야 하다.

③ 시스템관리자는 CCTV 카메라, 비디오서버, 관제서버 및 관련 정보통신망을 설치할 경우 행정망 및 인터넷망과 분리 운영하는 것을 원칙으로 한다. 다만, 부득이하게 인터넷망을 이용할 경우에는 전송내용을 암호화하여야 한다.

④ 분임보안담당관은 CCTV 시스템 일체의 사용자계정·비밀번호 등 시스템 인증대책을 강구하고 허용된 특정 IP에서만 접속을 허용하는 등 비인가자의 침입에 대비한 통제대책을 강구하여야 한다.

제22조(정보통신망 자료 보안관리)  ① 분임보안담당관은 다음 각 호에 해당하는 정보통신망 관련 현황 및 자료를 현행화하여 관리하여야 하며 보안에 유의하여야 한다.

1. 정보시스템 운용현황

2. 정보통신망 구성현황

3. IP주소 할당현황

4. 중요 정보화사업 추진현황

② 분임보안담당관은 다음 각 호의 자료를 대외비로 분류하여 관리하여야 한다. 다만, 국가안보와 직결되는 중요한 정보통신망 관련 세부자료는 해당 등급의 비밀로 분류하여 관리하여야 한다.

1. 정보통신망 세부 구성현황(IP주소 세부 할당현황 포함)

2. 국가용 보안시스템 운용 현황

3. 보안취약점 분석·평가 결과물

4. 그 밖에 보호할 필요가 있는 정보통신망 관련 자료

제23조(정보시스템 위탁운영 보안관리) ① 분임보안담당관은 소관 정보시스템에 대한 외부업체의 위탁운영을 최소화하되 불가피한 경우에는 사전에 보안대책을 강구하고 추진하여야 한다.

② 정보시스템의 위탁운영은 용역업체 등의 직원이 지정된 장소에 상주하여 수행하는 것을 원칙으로 한다. 다만, 용역업체 직원의 상주가 불가한 타당한 사유가 있는 경우에는 보안대책을 강구하는 조건으로 그러하지 아니할 수 있다.

제3절 용역사업자 등 보안관리

제24조(정보화 사업의 외주용역에 따른 보안관리) ① 정보화사업, 정보호호사업, 보안컨설팅사업 등을 수행하는 업무담당자는 외부업체와 용역계약을 체결하는 경우 「경기도 정보보호 관리체계 운영 규정」 제3장제5절 용역사업자 등 보안관리 규정을 준용하며, 용역업체 직원을 대상으로 별지 제5호, 제6호 서식에 의한 서약을 집행한다.

제5장  보   칙

제25조(준용) 이 규정에 명시되지 않은 사항은 다음 각 호의 관련 규정·지침에 따른다.

1. 「전자정부법」 및 같은 법 시행령

2. 「국가 정보보안 기본지침」

3. 「국가사이버안전관리 규정」

4. 「전기통신기본법」 및 같은 법 시행령

5. 「개인정보보호법」 및 같은 법 시행령

6. 「모바일 전자정부 서비스 관리 지침」

7. 「보안업무 규정」 및 「보안업무 규정 시행규칙」

8. 「홈페이지 소프트웨어 개발보안 가이드」

9. 「정보통신기반보호법」 및 같은 법 시행령

10. 「공공기관의 정보공개에 관한 법률」 및 같은 법 시행령

11. 「경기도 정보보호 관리체계 운영 규정」

12. 기타 정보보안 관계 법령 및 지침·가이드·매뉴얼

부   칙(2021. 10. 13.)

제1조(시행일) 이 규정은 이사회에서 의결한 날로부터 시행한다.

<별지 제1호>

정보보안 및 개인정보보호 서약서 본인은 정보시스템 및 정보통신망을 통하여 중요 행정·비밀·개인정보를 취급함에 있어 정보보안 및 개인정보 보호의 중요성을 인식하고 다음 각 호의 사항을 준수할 것을 서약합니다. 1. 업무수행 중 취득한 모든 정보를 업무에 한해 이용할 것이며, 타 용도 또는 제3자에게 누설하지 않겠습니다. 2. 경기도체육회로부터 제공받은 정보자산(전자정보, 휴대용저장매체, 전산장비, 프로그램 등)을 훼손, 분실 등으로부터 안전하게 관리하겠습니다. 3. 정보보안 및 개인정보 보호를 위하여 승인받지 않은 정보자산을 반입하여 사용하지 않겠으며, 정보시스템 사용 또는 본인의 계정으로 정보통신망에 접속하는 것과 관련된 모든 보안책임을 지겠습니다. 4. 퇴직시 경기도체육회로부터 제공받은 모든 정보자산을 반드시 반납할 것이며, 퇴직 후에도 퇴직 전에 취득한 모든 비밀·개인정보 취급 및 중요 행정업무는 물론이고 기타 누설됨으로 인하여 경기도체육회에 손해가 될 수 있는 각종 정보에 대하여는 이를 일체 누설치 않겠습니다. 5. 경기도체육회의 정보보호 정책 및 지침 등을 성실히 준수하겠으며 위반 시 관련 규정에 따라 처벌도 감수하겠습니다. 년 월 일
서 약 자	부 서 명 : 직 위 : 성 명 : (인)
개인정보 취급	□ 동 의 ※ 개인정보보호법 제15조제1항(개인정보의 수집·이용)에 따라 본인의 개인정보를 제공할 것을 동의합니다.

<별지 제2호>

정보시스템 관리대장

연번	소 속	관리자 (성명)	종 류 (서버·PC 등)	관리번호	도입일자	비고

<별지 제3호>

보호구역 출입자 관리대장

소 속	직위/직급	성 명	용 도	입회자	출입일시
					부 터	까 지

<별지 제4호>

휴대용저장매체(전산장비 포함) 반출·반입 대장

<관리책임자 : ○○○>

장비명	관리번호 (S/N)	사용자 (직급)	용 도	반출·입 일시 (반/출)	악성코드 감염 및 자료유출 여부	확인

<별지 제5호>

보 안 서 약 서 본인은 년 월 일부터 (용역사업 명칭 또는 대행업무 명칭)을 수행함에 있어 다음 각 호의 사항을 준수할 것을 서약합니다. 1. (용역사업 명칭 또는 대행업무 명칭) 업무수행 중 알게 될 일체의 내용이 직무상 기밀 사항임을 인정한다. 2. 이 기밀을 누설함이 국가안전보장 및 국가이익에 위해가 될 수 있음을 인식하여 업무수행 중 지득한 제반 기밀사항을 일체 누설하거나 공개하지 아니한다. 3. 기밀을 누설하거나 관계 규정을 위반한 때에는 관계 법령 및 계약에 따라 어떠한 처벌 및 불이익도 감수한다. 4. 하도급 업체를 통한 사업 수행시 하도급업체로 인해 발생하는 위반사항에 대하여 모든 책임을 부담한다. 년 월 일
서 약 자 (업체 대표) (참여 직원)	업 체 명 : 직 위 : 생년월일 : 성 명 :	(서명)
서약 집행자 (담당임직원)	소 속 : 직 위 : 생년월일 : 성 명 :	(서명)
개인정보 취급	□ 동의 ※ 개인정보보호법 제15조제1항(개인정보의 수집·이용)에 따라 본인의 개인정보를 제공할 것을 동의합니다.

<별지 제6호>

보 안 확 약 서 본인은 귀 기관과 계약한 ________________________ 용역사업의 수행을 완료함에 있어 다음 각 호의 보안사항에 대한 준수책임이 있음을 서약하며 이에 확약서를 제출합니다. 1. 업체(단체) 및 사업 참여자가 용역사업 수행 중 취득한 모든 자료를 반납 및 파기하였으며 지득한 정보에 대한 유출을 절대 금지하겠습니다. 2. 하도급업체에 대해 상기 항과 동일한 보안사항 준수책임을 확인하고 보안확약서를 징구하였으며 하도급업체가 위의 보안사항을 위반할 경우에 주사업자로서 이에 동일한 법적 책임을 지겠습니다. 3. 상기 보안사항을 위반할 경우에 귀 기관의 사업에 참여제한 또는 기타 관련법규에 따른 책임과 손해배상을 감수하겠습니다. 년 월 일
서 약 자 (업체 대표)	업 체 명 : 직 위 : 생년월일 : 성 명 :	(서명)
서약 집행자 (담당임직원)	소 속 : 직 위 : 생년월일 : 성 명 :	(서명)
개인정보 취급	□ 동의 ※ 개인정보보호법 제15조제1항(개인정보의 수집·이용)에 따라 본인의 개인정보를 제공할 것을 동의합니다.