국가정보원법 개정에 따라, 사이버안보 업무규정 제정돼

국제 및 국가배후 해킹조직 등 사이버안보에 관한 정보의 수집ㆍ작성ㆍ배포와, 사이버공격 및 위협에 대한 예방 및 대응 업무를 국가정보원의 직무범위에 신설한 ‘국가정보원법’이 개정됨에 따라 직무 수행을 위한 사이버안보 업무규정 제정안이 2021년 1월1일자로 공포된다.

■주요 내용

사이버안보 업무규정 주요 내용은 다음과 같다.

국가정보원이 해당 직무를 수행함에 있어 법의 확대 해석 금지, 타법과의 관계 등 원칙을 규정한다.

또 국제 및 국가배후 해킹조직 등 사이버안보 정보의 수집ㆍ작성ㆍ배포 업무에 관한 협력체계와 정보공유에 관한 사항을 규정한다.

중앙행정기관 등 대상 사이버공격 및 위협에 대한 예방 및 대응 업무의 구체적 방안으로 보안대책 수립, 안전성확인, 실태평가, 보안관제, 사고조사 등을 규정하고 있다.

“사이버안보 업무”는 사이버공격 및 위협으로부터 국가 정보통신망을 보호함으로써 국가 정보통신망과 정보의 기밀성ㆍ무결성ㆍ가용성 등 안전성을 유지하기 위해 국가정보원이 수행하는 업무를 말한다.

“사이버공격 및 위협”은 해킹, 컴퓨터 바이러스, 서비스방해, 전자기파 등 전자적 수단에 의해 정보통신기기ㆍ정보통신망ㆍ정보저장영역을 침입ㆍ교란ㆍ마비ㆍ파괴하거나 정보를 위조ㆍ변조ㆍ훼손ㆍ절취하는 행위와 그와 관련된 위협을 말한다.

■국정원 업무수행 원칙

업무 수행 원칙을 보면, 국가정보원은 사이버정보 업무를 수행할 때 중앙행정기관 등 외부 기관에 대해서는 법령의 명확한 근거가 있거나 해당 기관의 명시적인 요청 또는 동의가 있는 경우를 제외하고는 정보통신망에 대한 접근 시도나 관련정보의 수집 등의 행위를 해서는 안된다.

또 국가정보원은 사이버 공격 예방ㆍ대응 업무를 수행할 때 중앙행정기관 등의 정보통신망이 정보통신기반보호법에 따른 주요 정보통신기반시설인 경우에는 정보통신기반보호법을 우선 적용해야 한다.

■사이버공격 예방ㆍ대응 업무 수행

예방과 대응 업무 수행을 위해, 국가정보원장은 국가안보실장 및 관계 중앙행정기관의 장과 협의해 중앙행정기관 등 대상 예방ㆍ대응 업무를 효율적ㆍ체계적으로 수행하기 위한 종합대책을 수립ㆍ시행한다. 이 경우 중앙행정기관 등의 특성ㆍ중요도 및 보안수준 등에 적합한 차별화된 대책을 수립ㆍ시행할 수 있다.

그리고 중앙행정기관 대상 사이버공격 및 위협을 예방하기 위해 다음 안정성 확인을 할 수 있다.

1. 중앙행정기관 등의 장이 시행하는 정보화사업(국가정보화 기본법 제13조 제1항의 적용을 받는 정보화사업을 수반하는 사업을 포함한다.)에 대한 보안성검토 및 이행여부 확인

2. 암호장치, 정보보호시스템, 보안기능이 있는 정보통신기기(이하 “IT보안제품”이라 한다) 및 암호모듈에 대하여 중앙행정기관 등의 도입 또는 운영에 필요한 보안요구사항의 수립

3. 중앙행정기관 등이 도입 또는 운영하는 IT보안제품 및 암호모듈이 제2호에 따른 보안요구사항에 적합한지 여부에 대한 검증

그리고 국가정보원장은 중앙행정기관 등의 활용 목적상 국가정보원의 직접 개발이 필요하다고 판단하는 암호장치 등 IT보안제품을 개발해 보급할 수 있다.

국가정보원장은 사이버공격 및 위협에 대한 예방 및 대응 업무를 수행하는 중앙행정기관 등의 공무원 및 임직원이 일정 수준 이상의 경력 및 자격요건을 갖출 수 있도록 관계 중앙행정기관의 장과 협의해 권장할 수 있다.

또 직무역량을 갖춘 인력을 양성하기 위해 교육 과정을 직접 운영하거나 관계 중앙행정기관의 장과 협의해 다른 공사 단체가 운영하는 교육과정을 직무역량 교육과정으로 지정할 수 있다.

더불어 국가정보원장은 중앙행정기관 등의 사이버공격 및 위협에 대한 예방 및 대응 실태를 평가할 수 있다. 이 경우 국가정보원장은 평가의 항목·절차·시기 등에 관하여 해당 기관의 장에게 미리 통보해야 한다.

■보안관제

그리고 중앙행정기관 등의 장은 사이버공격을 즉시 탐지ㆍ대응하는 업무를 해당기관 또는 관할 산하기관을 대상으로 하기 위한 시설ㆍ장비 및 전담인력을 갖춘 조직(이하 “보안관제센터”)을 국가보안관제체계와 연동해 설치ㆍ운영해야 한다. 다만, 다른 기관이 운영하는 보안관제센터를 활용해 사이버공격을 탐지하는 것이 효율적일 경우에는 이를 직접 설치하지 않을 수 있다.

또 국가정보원장은 중앙행정기관 등의 장과 합동으로 중앙행정기관 등 대상 보안관제를 실시할 수 있으며, 이를 위해 행정안전부장관 등 관계 중앙행정기관의 장과 협의해 국가보안관제체계를 구축ㆍ운영할 수 있다.

■경보 발령

한편 국가정보원장은 중앙행정기관 등 대상 사이버공격 및 위협에 대한 체계적인 대응 및 대비를 위해 파급영향, 피해규모 등을 고려해 경보를 발령할 수 있다. 다만 민간분야에 대해서는 과학기술정통부 장관이 경보를 발령하고 국방분야에 대해서는 국방부장관이 경보를 발령하며, 국가정보원장, 과학기술정통부장관 및 국방부 장관은 국가 차원에서의 효율적인 경보업무를 수행하기 위해 경보관련 정보를 발령 전에 상호 교환해야 한다.

또 국가 대상 사이버공격으로 인한 사고가 발생한 경우 국가정보원장은 관계 중앙행정기관의 장과 협의해 공격주체 규명ㆍ원인분석ㆍ피해내역 확인 등을 위한 조사를 실시할 수 있다. 다만, 국제 및 국가배후 해킹조직 등의 공격행위에 해당되지 않거나, 그 밖에 경미한 사고라고 판단될 경우 해당 기관 또는 관할 상급기관의 장이 자체적으로 조사하게 할 수 있다.

보다 상세한 내용은 데일리시큐 자료실에서 다운로드 가능하다.

★정보보안 대표 미디어 데일리시큐!★