주요정보통신기반시설 취약점 분석·평가 기준행정규칙 2041446

1. 취약점 분석ㆍ평가 개요

o 취약점 분석ㆍ평가란, 악성코드 유포, 해킹 등 사이버 위협에 대한 주요정보통신기반시설의 취약점을 종합적으로 분석 및 평가ㆍ개선하는 일련의 과정을 말함

- 주요정보통신기반시설 관리기관은 주요정보통신기반시설의 안정적 운영을 위하여 사이버보안 점검항목과 항목별 세부 점검항목을 도출하여 취약점 분석을 실시

- 취약점 분석 결과 발견된 취약점에 대해 위험등급 부여, 개선방향을 수립하는 등의 유기적인 평가 수행

2. 취약점 분석ㆍ평가 수행 주체 및 주기

□ 수행 주체

o 취약점 분석ㆍ평가는 주요정보통신기반시설의 관리기관이 직접 수행하거나 외부기관에 위탁하여 실시할 수 있음

- 관리기관이 직접 수행할 경우, 정보통신기반 보호법 시행령 [별표1]에 따라 자체 전담반 구성

- 관리기관이 외부기관에 위탁할 경우, 정보통신기반 보호법 제9조제3항에 따른 전문기관(한국인터넷진흥원, 정보공유ㆍ분석센터, 한국전자통신연구원, 정보보호 전문서비스 기업 등)에 위탁

※ 정보보호 전문서비스 기업 : 정보보호산업의 진흥에 관한 법률 제23조에 따라 과학기술정보통신부 장관이 지정한 기업

□ 수행 주기

o 주요정보통신기반시설로 지정된 때에는 지정 후 6개월 이내에 취약점 분석ㆍ평가를 실시

- 6개월 이내 취약점 분석ㆍ평가를 수행치 못할 경우, 관할 중앙행정기관의 장의 승인을 얻어 3개월 연장가능 (총 9개월)

- 주요정보통신기반시설로 최초 지정일로부터 6개월 이전 취약점 분석ㆍ평가를 하였을 경우 수행한 것으로 간주

※ 단, 6개월 이내의 취약점 분석ㆍ평가 수행 내용이 본 기준에 부합할 경우에 한하여 인정

o 주요정보통신기반시설에 대한 최초의 취약점 분석ㆍ평가를 한 후에는 매년 정기적으로 취약점 분석ㆍ평가 실시

- 취약점 분석ㆍ평가를 수행할 때에는 취약점 분석ㆍ평가 계획 수립, 가용자원과 대상 시설의 식별, 자산의 중요도 산정, 해당 시스템에 대한 정밀분석 실시

- 주요정보통신기반시설에 중대한 변화가 있거나, 관리기관의 장이 필요하다고 판단하는 경우, 1년이 되지 않아도 취약점 분석ㆍ평가를 실시할 수 있음

3. 취약점 분석ㆍ평가의 범위 및 항목

□ 분석ㆍ평가 대상 범위

o 주요정보통신기반시설의 세부시설로 정의된 정보보호 대상 자산(정보시스템, 제어시스템)

o 정보보호 대상 자산과 직ㆍ간접적으로 연계되어 기반시설에 영향을 미치는 타 시스템 등 물리적/관리적/기술적 분야

※ 연계된 타 시스템이란 내부 시스템과 외부 기관과의 연계전용망, 원격 접속을 위한 VPN 망, 인터넷 연결망 등의 접속구간과 정보시스템을 의미

□ 분석ㆍ평가 항목

o 취약점 분석ㆍ평가 기본항목은 ①관리적, ②물리적, ③기술적으로 구분

- 기본항목은 3단계(상ㆍ중ㆍ하)로 중요도를 분리 [붙임2]

- 기본 항목의 중요도 "상"인 점검항목은 매년 1회 필수적으로 점검

- 기본 항목의 중요도 "중", "하" 인 항목은 기관의 사정에 따라 선택 점검

※ 점검결과 사용되지 않거나, 불필요한 항목은 안전한 설정값 변환 등 보호대책 마련

4. 수행 절차 및 방법

□ 수행절차 : 4단계 구성

□ 1단계 : 취약점 분석ㆍ평가 계획 수립

o 주요정보통신기반시설 관리기관은 취약점 분석ㆍ평가 수행주체(자체ㆍ외부위탁), 수행절차, 소요예산, 산출물 등을 포함한 자체 세부계획 수립

□ 2단계 : 취약점 분석ㆍ평가 대상 선별

o 주요정보통신기반시설의 정보시스템, 제어시스템 등 자산을 식별하고, 유형별(네트워크, 보안, 시스템)로 그룹화하여, 취약점 분석ㆍ평가 대상 목록 작성

o 식별된 대상목록의 각 자산에 대하여 중요도를 산정

※ 주요정보통신기반시설의 특성을 고려하여 상ㆍ중ㆍ하, 1∼3등급 등으로 구분

□ 3단계 : 취약점 분석 수행

o 취약점 분석ㆍ평가를 위한 관리적/물리적/기술적 세부 점검항목표 작성

- [붙임2]에 제시된 취약점 점검항목을 기본으로 하며, 기관의 주요 취약 분야에 따라 추가 보완하여 점검표를 작성

- 특정 시스템(특정OS, 특정DB 등)에 대해서는 [붙임2]의 점검항목을 기반으로 일부 항목을 조정하여 점검표 마련

※ 예) VMS, OS/2 등의 특정OS 시스템은 [붙임2]의 유닉스 점검항목을 기반으로 점검을 수행하고 시스템 상황에 따라 일부 항목을 가감

o 취약점 분석요령은 세부 점검항목표에 따라 관리적/물리적/기술적으로 구분하여 확인

- 관리적 점검 요령은 정보보호 정책/지침 등 관련 문서 확인과 정보보호 담당자, 시스템 관리자, 사용자 등과의 면담으로 확인

- 물리적 점검 요령은 전산실, 현관, 발전실 등의 통제구역을 실사하여 확인

- 기술적 점검 요령은 점검도구(툴), 수동점검 모의해킹 등을 통해 확인

※ 직전년도에 발견된 취약점에 대해서는 중점적으로 확인

□ 4단계 : 취약점 평가 수행

o 취약점 분석 결과에 대해 세부내용을 서술하고 발견된 취약점별 위험등급 표시 및 개선방향 수립을 원칙으로 함

- 위험등급은 상ㆍ중ㆍ하 등 3단계로 표시

※ 비밀성, 무결성, 가용성을 고려하여 위험등급(상ㆍ중ㆍ하)을 정의하고 구분

- 취약점별 개선방향 수립 시 위험등급 "상"은 조기, "중", "하"는 중기 또는 장기로 구분하고, 기간 내 완료가 가능한 개선계획을 수립ㆍ실행

o 취약점 분석ㆍ평가 결과는 [붙임4]의 산출식 예시를 참고하여 정량적인 점수(100점 만점)로 산출ㆍ관리할 수 있다.

o 다만, 아래의 경우 해당 취약점을 ‘조치불가 취약점‘으로 분류하여, 조치불가 증빙자료와 보완대책을 주요정보통신기반시설 보호대책에 반영ㆍ관리

- 기술적 분야 취약점에 대한 보호조치 방안이 존재하지 않는 경우

- 기술적 분야 취약점을 조치 시 주요정보통신기반시설 서비스 중단, 장애 등으로 서비스 운영이 불가능 한 경우

o 취약점 분석ㆍ평가 결과는 [붙임4]의 산출식 예시를 참고하여 정량적인 점수(100점 만점)로 산출ㆍ관리할 수 있다.

5. 기타사항

o 취약점 분석ㆍ평가에서 발견된 위험요소(취약점)는 주요정보통신기반시설 보호대책에 반영

- 차년도 주요정보통신기반시설 보호대책 추진 과제 중 "예방계획" 또는 "대응복구계획"에 기재

o 취약점 분석ㆍ평가 결과의 유출 방지를 위한 관리강화

- 취약점 분석ㆍ평가 결과(물)는 해당 기관이 대외비 또는 영업비밀 수준으로 관리하고, 수행업체의 저장매체(노트북, USB 등)에 저장된 자료는 폐기ㆍ확인

- 수행업체로 인한 외부유출 방지를 위하여 벌칙조항이 포함된 서약서 징구

o 과학기술정보통신부장관은 「행정규제기본법」 및 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 이 고시에 대하여 2025년 1월 1일을 기준으로 매 3년이 되는 시점(매 3년째의 12월 31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.

o 이 고시는 고시한 날부터 시행한다.