서울특별시 세입시스템 접근권한 관리 규정자치법규 2005500

이 훈령은 「지방세기본법」, 「서울특별시 시세 기본 조례」, 「서울특별시 시세 기본 조례 시행규칙」, 「개인정보 보호법」, 「전자정부법」, 「지방세외수입금의 징수 등에 관한 법률」에 따라 서울특별시 세입시스템의 사용자 접근권한 관리의 기준 및 절차 등을 정하여 세입시스템 내 구축된 각종 세입정보에 대한 보안업무 수행에 필요한 사항을 규정함을 목적으로 한다.

이 훈령은 서울특별시 세입시스템을 설치하여 사용하는 기관 및 사용자에게 적용한다.

이 훈령에서 사용하는 용어의 정의는 다음과 같다. ① "세입시스템"이란 서울특별시(이하 "시"라 한다) 및 자치구의 지방세 및 지방세외수입(이하 "지방세입"이라 한다) 과징업무 수행을 위해 부과ㆍ징수ㆍ체납자료의 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송신ㆍ수신에 활용되는 전자기기와 소프트웨어의 조직화된 체계로 구성된 전산시스템으로써 세무종합시스템과 세외수입종합징수시스템을 말한다.
② "세입시스템 관리자"란 세입시스템을 총괄적으로 관리하는 시 세무과장을 말한다.
③ "세입시스템 운영자"란 세입시스템 사용자가 지방세입 업무를 전산 처리할 수 있도록 세입시스템을 구축ㆍ운영하는 담당자를 말한다.
④ "권한관리책임자"란 세입시스템 사용자에 대한 본인 확인 및 접근 권한 부여에 관한 책임자를 말한다.
⑤ "권한관리자"란 권한관리책임자로부터 권한관리를 하도록 지정받은 공무원을 말한다.
⑥ "사용자"란 세입시스템 사용을 위해 권한관리책임자로부터 세입시스템에 접근권한을 부여받은 자로서 세입시스템을 사용하여 관련 업무를 직접 처리하는 자를 말한다.
⑦ "세입정보"란 세입시스템에 기록된 모든 정보를 말한다.
⑧ "접근권한"이란 세입시스템에 접속하여 세입정보 자원을 활용할 수 있는 권한과 세입부과정보를 생성ㆍ변경ㆍ열람ㆍ삭제 등을 할 수 있는 권한을 말한다.
⑨ "행정전자서명인증서"란 「전자정부법」에 의해 행정안전부 및 중앙행정기관에서 발급하는 인증서로 생성된 전자서명을 말한다.

제2장 접근권한 관리

① 지방세입 업무의 목적으로 세입시스템 또는 세입정보에 접근하고자 하는 모든 사용자는 본인확인 및 접근권한 확인 절차를 반드시 거쳐야 한다.
② 세입시스템 관리자는 세입정보 보안을 위해 세입시스템의 접근권한과 관련된 법령 개정 사항을 반영한 접근권한 부여기준 수립 및 최신 정보보호 방안 도입 등의 종합 정책을 수립하여야 한다.

① 세입시스템 관리자는 세입시스템의 종류 또는 기관에 따라 사용자에 대한 본인확인 및 접근권한 부여에 관한 책임자를 다음 각 호와 같이 지정ㆍ운영 한다.
1. 시: 세외수입팀장(지방세외수입 분야), 세무정보화팀장(지방세 분야)
2. 자치구: 세무부서의 장
② 시의 권한관리책임자는 세입시스템의 보안업무를 총괄하며, 접근권한 관리를 원활하게 운영하기 위하여 다음 각 호의 업무를 수행하여야 한다.
1. 사용자 본인확인 및 접근권한 관리와 관련된 기능의 구현
2. 세입시스템 사용 내역에 대한 기록의 사후 점검 및 확인
3. 세입시스템 사용 내역과 관련된 자료의 보관 및 주기적 백업 등 관리
③ 권한관리책임자는 해당기관의 사용자 본인확인 및 접근권한 확인을 위하여 다음 각 호의 업무를 수행하여야 한다.
1. 사용자 본인확인ㆍ접근권한 부여의 기준 및 절차 수립
2. 사용자 접근권한 부여 여부의 심사
3. 사용자 등록ㆍ관리 및 접근권한 부여
④ 권한관리책임자는 사용자 본인확인 및 접근권한 확인을 효율적으로 수행하기 위하여 제3항제3호에 해당하는 업무를 수행하도록 권한관리자를 부서별 1인(지방세입 업무를 각각 수행하고 있는 부서는 2인)으로 지정ㆍ운영 한다.

제3장 본인확인의 방법 및 절차

① 권한관리자는 최초 접근권한이 부여된 자에 대해 세입시스템에 사용자 등록과 함께 권한을 부여하여야 한다.
② 사용자가 업무처리를 위하여 세입시스템에 접근하고자 할 때에는 행정전자서명인증서로 본인임을 확인하여야 한다. 다만, 신규발령, 행정전자서명인증서 유실ㆍ삭제 등으로 인해 행정전자서명인증서를 사용할 수 없는 경우에는 행정전자서명인증서를 발급 또는 재발급받기 전까지 기간에 한하여 사용자계정(ID) 및 비밀번호를 사용하는 방식으로 확인할 수 있다.
③ 제2항에도 불구하고 지방세 체납 차량 무선영치 업무 또는 질서위반행위 단속 업무를 위한 모바일 기기 등의 사용자는 사용자계정(ID) 및 비밀번호를 사용하는 방식으로 확인한다.

① 시의 권한관리책임자는 원칙적으로 유지보수업체 또는 외주용역 업체의 직원이 세입시스템에 임의로 접근하지 못하도록 하여야 한다.
② 시의 권한관리책임자는 유지보수 업체 또는 외주용역 업체의 직원이 운영상 불가피한 사유로 세입시스템 또는 세입정보에 접근을 필요로 하는 때에는 사용자계정(ID) 및 비밀번호를 사용하는 본인확인 방식을 적용하되, 다음 각 호의 보안대책을 마련한 후 접근을 승인하여야 한다.
1. 보안서약서의 징구
2. 계약기간 동안 접근 허용
3. 분기 또는 반기 단위의 접근 허용 적정성 심사
4. 내부 네트워크와 접근 가능한 네트워크의 분리
5. 최소 범위의 접근권한 설정
6. 그 밖에 세입시스템 또는 세입정보 보호를 위하여 필요하다고 판단되는 사항
③ 시의 권한관리책임자는 유지보수 업체 또는 외주용역 업체의 직원에 대한 세입시스템 또는 세입정보 접근 승인 내역 및 사유 등을 포함한 외주업체 권한 승인 현황을 별지 제1호 서식에 따라 기록 및 관리하여야 한다.

제4장 접근권한 부여 기준 및 관리절차

① 세입시스템 접근, 정보 열람 등 모든 접근권한은 법령 또는 업무규정 등에 따라 허용된 자에 한하여 업무수행에 필요한 최소한의 범위로 부여하여야 한다.
② 권한관리책임자는 다음 각 호의 기준에 따라 접근권한을 부여한다.
1. 개인 신상, 재산 등과 관련된 정보의 접근권한은 업무와 관련 있는 담당자 및 결재권자로 제한하여 부여
2. 접근권한 부여 범위를 세목별(「지방세기본법」 제7조의 규정에 따른 세목), 업무별(부과, 수납, 과오납, 체납, 현계 등), 행정동별로 구분하여 부여
3. 세부 접근권한은 조회, 수정, 출력, 일괄작업, 자료받기로 구분하여 부여
③ 제2항에도 불구하고 세외수입종합징수시스템은 제2항제2호 및 제3호는 적용하지 아니하고 부서별로 부여할 수 있다.

① 자치구 권한관리책임자가 자치구 권한관리자를 지정하거나 교체한 때에는 문서로 세입시스템 관리자에게 접근권한을 신청하여야 하며, 시 권한관리책임자는 별지 제2호 서식에 따라 권한관리자 현황을 기록 및 관리하여야 한다.
② 본인확인에 필요한 정보 유출에 의해 세입시스템 사용이 중단된 사용자는 접근권한을 재신청 하여야 하며, 권한관리책임자는 다음 각 호의 기준에 따라 접근권한을 부여한다.
1. 행정전자서명인증서 유출 시 인증서 재발급 후 권한부여
2. 사용자계정(ID) 유출 시 동일한 사용자계정(ID) 부여 금지
③ 본인확인에 필요한 정보 유출에 의해 세입시스템 접근권한이 중단된 사용자는 접근권한을 재심사하여야 한다.
④ 접근권한 심사결과 사용 승인이 결정된 사용자에 대해서는 권한관리자는 부여된 권한에 따라 세입시스템에 등록하고 별지 제3호 서식에 따라 사용자 현황을 기록하고 관리하여야 한다.

제5장 사용자의 안전성ㆍ보안성 확보

① 사용자는 세입시스템 또는 세입정보에 접근할 때 사용되는 행정전자서명인증서, 사용자계정(ID), 비밀번호 등 사용자 본인확인에 필요한 정보를 타인과 공유하지 않고 안전하게 관리하여야 한다.
② 본인확인에 필요한 정보 유출의 우려가 있을 경우 즉시 권한관리자와 세입시스템 운영자에게 보고하여야 한다. 이 경우 권한관리자와 세입시스템 운영자는 즉시 해당 사용자가 세입시스템을 사용하지 못하도록 조치한 후 세입시스템 사용기록을 점검한 후. 권한관리책임자에게 그 결과보고와 함께 이상 유무에 따라 적절한 조치를 취하여야 한다.

① 기관의 조직개편ㆍ인사발령ㆍ사무분장의 변경 등으로 사용자의 접근권한을 변경해야 할 경우, 권한관리책임자는 그 변경된 인사 내역에 따라 지체 없이 접근권한을 변경하여야 한다.
② 권한관리자는 세입시스템 및 세입정보에 대한 접근권한 관리의 적절성 및 접근권한의 오ㆍ남용 여부를 매월 세 번째 수요일(사이버ㆍ보안 진단의 날)에 자체점검하고 그 결과를 권한관리책임자에게 보고하여야 한다.

① 시의 권한관리책임자는 정보유출 방지 및 접근권한 관리 업무를 효율적으로 수행하기 위하여 자치구의 사용자 접근권한 관리 실태를 정기적으로 점검할 수 있으며, 개선사항에 대한 조치를 권고할 수 있다.
② 자치구 권한관리책임자는 운영실태 점검에 따른 개선 권고사항을 이행하여야 하며, 조치결과를 세입시스템 관리자에게 보고하여야 한다.

제6장 사용 내역의 기록 및 보관 등

① 세입시스템 관리자는 사용자가 비공개 대상정보를 생성ㆍ수정ㆍ삭제ㆍ열람 등을 하고자 하는 경우 다음 각 호의 사항을 포함하는 세입정보 사용 내역을 기록으로 남길 수 있도록 세입시스템을 구축ㆍ운영하여야 한다.
1. 사용자 접근 기록 및 사용 시간
2. 사용자 식별 정보
3. 사용자가 생성ㆍ변경ㆍ열람ㆍ삭제한 정보의 내역
4. 세입시스템 관리자가 생성ㆍ변경ㆍ열람ㆍ삭제한 정보의 내역
5. 그 밖에 접근권한의 오ㆍ남용 및 세입정보 유출 여부를 검증하기 위해 필요하다고 판단되는 정보

① 세입시스템 관리자는 세입시스템 또는 세입정보 사용내역에 대한 기록은 저장매체를 이용하여 최소한 3년 이상 보관하여야 한다.
② 세입시스템 관리자는 사용내역에 대한 기록이 변경되거나 삭제될 수 없도록 세입시스템을 구축하고 시 권한관리책임자의 사전 승인이 없는 한 세입시스템에 접근할 수 없도록 하여야 한다.

이 규정에 명시되지 않은 사항은 다음의 관련 규정 및 지침에 따른다.
1. 「개인정보 보호법」
2. 「전자정부법」
3. 「보안업무규정」
4. 「서울특별시 보안업무 처리규칙」
5. 「행정기관 정보시스템 접근권한 관리 규정」
6. 「개인정보의 안정성 확보조치 기준」
7. 「국가 정보보안 기본지침」