교육과학기술부령 제33호

국가연구개발사업 공통 보안관리 규칙

< 2009.4.15.제정 공포 (2009.7.1.시행)>

제1조(목적) 이 규칙은 「국가연구개발사업의 관리 등에 관한 규정」   제16조제4항 및 제5항에 따른 국가연구개발사업 보안대책 수립ㆍ시행에 필요한 공통의 기준과 절차를 규정함을 목적으로 한다.

제2조(적용 범위) 이 규칙의 적용 범위는 다음 각 호와 같다.

1. 국가연구개발사업을 추진하는 중앙행정기관(이하 “중앙행정기관”이라 한다)

2. 「국가연구개발사업의 관리 등에 관한 규정」(이하 “영”이라 한다) 제2조제3호에 따른 전문기관

3. 국가연구개발사업을 수행하는 모든 연구기관 (이하 “연구기관”이라 한다)

제3조(보안대책의 수립ㆍ시행) 제2조 각 호에 따른 기관의 장은 국가연구개발사업 관련 보안관리 담당자를 지정하고 보안관리 규정을 마련하는 등 보안대책을 수립ㆍ시행하여야 한다.

제4조(보안관리심의회) ① 중앙행정기관의 장은 다음 각 호의 사항을 심의하기 위하여 보안관리심의회를 구성ㆍ운영하여야 한다.

1. 국가연구개발사업 보안관리 규정의 제정ㆍ개정

2. 전문기관의 보안관리에 관한 사항

3. 국가연구개발사업과 관련하여 보안사고가 발생한 경우 사후 조치사항

4. 그 밖에 위원장이 필요하다고 인정하는 사항

② 보안관리심의회의 위원장은 국가연구개발사업 업무를 담당하는 부서의 고위공무원단에 속하는 공무원으로 하고, 보안관리심의회의 구성과 운영에 관한 사항은 위원장이 정한다.

제5조(연구기관 보안관리심의회) ① 전문기관의 장 및 연구기관의 장은 다음 각 호의 사항을 심의하기 위하여 연구기관 보안관리심의회(이하 “연구보안심의회”라 한다)를 구성ㆍ운영하여야 한다. 다만, 중소기업ㆍ벤처기업 등 조직체계상 연구보안심의회를 운영하기 어려운 연구기관은 그러하지 아니하다.

1. 국가연구개발사업과 관련된 자체 보안관리 규정의 제정ㆍ개정

2. 연구개발과제 보안등급 변경에 관한 사항

3. 국가연구개발사업과 관련된 보안사고의 처리

4. 그 밖에 위원장이 필요하다고 인정하는 사항

② 연구보안심의회의 구성과 운영에 관한 사항은 연구보안심의회가 소속된 기관의 장이 정한다.

제6조(분류기준) ① 영 제4조제4항제8호에 따른 연구개발과제 보안등급은 다음 각 호와 같이 분류한다.

1. 보안과제: 연구개발 성과물 등이 외부로 유출될 경우 기술적, 재산적 가치에 상당한 손실이 예상되어 일정 수준의 보안조치가 필요한 경우로서 다음 각 목의 어느 하나에 해당하는 과제

가. 세계 초일류 기술제품의 개발과 관련되는 연구개발과제

나. 외국에서 기술이전을 거부하여 국산화를 추진 중인 기술 또는 미래핵심기술로서 보호의 필요성이 인정되는 연구개발과제

다. 「산업기술의 유출방지 및 보호에 관한 법률」제2조제2호의 국가핵심기술과 관련된 연구개발과제

라. 「기술개발촉진법」제2조제4호의 전략기술과 관련된 연구개발과제

마. 그 밖에 제7조에 따라 보안과제로 분류되어야 할 사유가 있다고 인정되는 과제

2. 일반과제: 보안과제로 지정되지 아니한 과제

② 연구개발과제 수행 과정 중 산출되는 모든 문서에는 제1항에 따라 분류된 보안등급을 표기하여야 한다.

③ 「보안업무규정」에 따라 ⅠㆍⅡㆍⅢ급 비밀 또는 대외비로 분류된 과제와 「군사기밀보호법 시행령」에 따라 군사ⅠㆍⅡㆍⅢ급 비밀 또는 대외비로 분류된 과제에 대해서는 제1항과 제2항의 규정에도 불구하고 관련 법령에서 정하는 바에 따른다.

제7조(분류 절차) ① 연구책임자가 영 제4조제4항에 따라 연구개발계획서를 작성하여 신청할 때에는 제6조에 따라 보안등급을 분류하여 중앙행정기관의 장 또는 전문기관의 장에게 제출하여야 한다.

② 중앙행정기관의 장은 연구개발과제를 선정할 때에는 영 제5조제1항에 따른 연구개발과제평가단에 영 제5조제3항제4호에 따른 보안등급 분류의 타당성을 검토하게 하고 그 결과를 반영하여 보안등급을 결정한다.

제8조(보안등급 변경) ① 전문기관의 장 및 연구기관의 장이 연구개발과제의 보안등급을 변경할 경우에는 국가연구개발사업과 관련된 자체 보안관리 규정에서 정한 절차에 따라 연구보안심의회의 심의를 거쳐 변경할 수 있으며, 소관 중앙행정기관의 장에게 변경내용, 변경 사유 등을 제출하여야 한다.

② 중앙행정기관의 장은 제1항에 따라 제출받은 보안등급의 변경내용 등이 적절하지 않다고 판단될 때에는 그 보안등급의 변경을 철회할 것을 명할 수 있다.

③ 전문기관의 장 및 연구기관의 장은 보안등급을 변경한 경우 이와 관련된 연구기관에 통보하여야 한다.

제9조(보안등급에 따른 조치) ① 전문기관의 장은 연구개발과제의 선정ㆍ평가ㆍ관리와 관련하여 보안과제와 일반과제로 보안등급을 구분하고 이에 따른 보안대책을 수립ㆍ시행하여야 한다.

② 연구기관의 장 및 연구책임자는 제6조의 보안등급에 따른 보안관리 조치를 하여야 하며 그 내용은 별표와 같다.

③ 중앙행정기관의 장은 주관연구기관의 장과 보안과제에 대하여 협약을 체결하는 경우 영 제7조제1항제14호에 따라 별표의 조치사항을 이행하여야 함을 협약에 명시하여야 한다.

제10조(국가연구개발사업과 관련된 자체 보안관리 규정 마련) ① 전문기관의 장 및 연구기관의 장은 제5조제1항에 따라 자체 연구보안심의회의 심의를 거쳐 국가연구개발사업과 관련된 자체 보안관리 규정을 마련하여 시행하여야 한다.

② 중앙행정기관의 장은 영 제16조제6항에 따라 국가연구개발사업 보안실태 점검 등을 통하여 제1항의 보안관리 규정에 대하여 개선조치를 명할 수 있다. 이 경우 소관 중앙행정기관이 여럿일 경우에는 협의를 통하여 개선조치 사항을 정한다.

③ 영 제2조에 따른 주관연구기관(세부과제의 경우 협동연구기관)의 연구개발과제에 참여하는 영 제15조에 따른 참여기관은 주관연구기관의 국가연구개발사업 보안관리 규정 및 조치에 따른다.

제11조(연구개발과제 보안관리 현황 보고) ① 전문기관의 장은 연구기관의 국가연구개발사업 보안관리 현황을 별지 서식에 따라 조사할 수 있다.

② 전문기관의 장은 제1항의 조사 결과를 종합하여 소관 중앙행정기관의 장이 정하는 기한 내에 보고하여야 한다.

제12조(보안사고 발생 시 처리) ① 전문기관의 장 및 연구기관의 장은 연구개발과제와 관련하여 정보자료의 유출, 연구개발 정보시스템 해킹 등의 보안사고가 발생한 경우 그 사고를 인지한 즉시 필요한 조치를 함과 동시에 소관 중앙행정기관의 장에게 보고하여야 하며, 사고 일시ㆍ장소, 사고자 인적사항, 사고내용 등 세부적인 사고 경위를 보고일부터 5일 이내에 추가로 제출하여야 한다.

② 중앙행정기관의 장은 보안사고가 발생한 경우 국가정보원과 합동으로 그 경위를 조사할 수 있으며, 연구기관의 장과 연구책임자 등은 조사에 성실히 협조하여야 한다.

③ 관계 중앙행정기관의 장, 전문기관의 장, 연구기관의 장은 조사가 끝날 때까지 관련 내용을 공개하지 아니하여야 하며, 사고를 수습한 후 재발방지 대책을 마련하여야 한다.

제13조(보안관리 위반 시 조치) ① 전문기관, 연구기관, 연구책임자 및 참여연구원 등은 이 규칙에서 정하는 사항 및 관련 국가연구개발사업 보안관리규정을 지켜야 한다.

② 중앙행정기관의 장은 제9조에 따른 보안관리 조치 및 제12조에 따른 보고 등을 정당한 사유 없이 이행하지 않은 자에 대하여 국가연구개발사업의 선정 또는 평가 등에서 불리한 조치를 할 수 있음을 영 제7조제1항제14호에 따라 협약의 내용에 포함하여야 한다.

부칙

이 규칙은 2009년 7월 1일부터 시행한다.

[별표]

국가연구개발사업 보안관리 조치사항(제9조 관련)

1. 보안관리 체계

해당 과제	세부 조치사항	이행 대상
		연구기관	연구 책임자
모든 과제	1. 이 규칙 또는 관계 법령에 따라 연구기관 보안관리 실정을 반영한 자체 보안관리규정의 제정ㆍ개정	○
모든 과제	2. 연구개발과제 보안관리와 관련한 각종 안건을 심의하기 위한 연구보안심의회 운영	○
모든 과제	3. 연구과제 보안관리 업무의 종합계획ㆍ관리를 담당하는 보안관리책임자 및 보안 업무 전담직원 지정ㆍ배치	○
모든 과제	4. 국가연구개발사업 보안관리 부서 및 연구 인력에 대한 보안 관련 규정 교육ㆍ홍보 실시	○
모든 과제	5. 자체 보안관리 규정에 보안 우수자 및 규정 위반자에 대한 상벌 조치 명시	○
모든 과제	6. 보안사고 예방ㆍ조치ㆍ대응 등 재발 방지책 마련	○
모든 과제	7. 연구기관 및 연구원에 대한 정기ㆍ수시 보안점검 및 보안교육 실시	○
모든 과제	8. 화재, 홍수, 재난, 재해 등 비상시 대응계획 수립	○
보안 과제	9. 외국기업 및 국외연구기관과 공동연구ㆍ위탁연구 시 중앙행정기관의 사전 승인 절차 이행	○

2. 참여연구원 관리

해당 과제	세부 조치사항	이행 대상
		연구기관	연구 책임자
모든 과제	1. 참여연구원(외국인 포함)의 채용ㆍ갱신ㆍ퇴직 시 고용계약서 및 보안서약서를 받고, 이 경우 연구과제 보안관리 의무 및 그 위반 시의 제재 등을 명시	○	○
모든 과제	2. 연구과제 수행 연구원의 보안의식을 높이기 위한 보안 관련 교육 이수		○
모든 과제	3. 퇴직(예정)자의 반출(예상)자료에 대한 보안성 검토, 연구성과물 회수, 전산망 접속 차단 등을 제때 조치	○
모든 과제	4. 외부기관 파견자 등 임시직 및 방문자에 대한 별도 보안조치	○	○
모든 과제	5. 연구성과 유출 혐의(전력)자가 과제에 참여할 경우 특별 관리조치	○
모든 과제	6. 참여연구원의 해외 출장 시 사전 보안교육 및 귀국보고 실시	○	○
보안 과제	7. 외국인 연구원의 별도 보안조치(영문 보안서약서 작성, 출입지역 제한, 반출ㆍ반입 물품 제한, 특이 동향 관리 등)	○
보안 과제	8. 보안과제 참여연구원이 과제와 관련하여 접촉하는 외국인 현황 관리	○	○
보안 과제	9. 외국인 연구원의 보안과제 참여 시 소속 기관장의 승인절차 이행		○

3. 연구개발내용 및 결과의 관리

해당과제	세부 조치사항	이행 대상
		연구기관	연구 책임자
모든 과제	1. 연구개발과제 수행과정 중 산출되는 모든 문서에 보안등급 표기		○
모든 과제	2. 연구수행 단계별 특허권ㆍ지식재산권 확보 방안과 주요 연구자료 및 성과물의 무단 유출 방지를 위한 보안책 마련ㆍ시행	○	○
모든 과제	3. 연구개발 성과의 대외 공개(홈페이지 게재 포함) 및 제공 시, 연구책임자의 사전 보안성 검토 확인절차 이행	○	○
모든 과제	4. 연구개발결과의 해외 기술이전(양도) 추진 시 관계법령 준수 - 「산업기술의 유출방지 및 보호에 관한 법률」 제11조(국가핵심기술의 수출 등) - 「기술개발촉진법」 제13조(전략기술 수출의 승인 등)	○
모든 과제	5. 연구개발 결과 활용 시 국내에 있는 자를 계약체결 대상으로 우선 고려	○
보안 과제	6. 외부 기관과 보안과제의 공동(협동ㆍ위탁 포함)연구 협약 시 성과물의 귀속, 자료 제공 및 장비 반납 등에 관한 사전 보안대책 마련 및 적용	○	○
보안 과제	7. 연구성과물 기술 실시(사용) 계약 시 “제3자 기술 실시(사용)권 금지협약” 체결	○

4. 연구시설 관리

해당 과제	세부 조치사항	이행 대상
		연구기관	연구 책임자
모든 과제	1. 노트북, 외장형 하드디스크 드라이브 등 정보통신매체에 대한 반입ㆍ출입 절차 마련 및 이행	○	○
모든 과제	2. 외곽, 주요 시설물에 폐쇄회로 텔레비전, 침입감지센서 등 첨단장비를 설치ㆍ운용	○
모든 과제	3. 연구개발과제와 관련된 핵심기술 및 정보를 보관하는 전산실 및 중요시설물에 대해서 보호구역 지정 후 특별 보안관리 조치	○
모든 과제	4. 외부 입주기관(벤처기업 포함)의 연구시설 내부 출입통제 조치	○
보안 과제	5. 연구시설 출입자에 대한 개인별 출입권한 차등 부여 및 통제	○
보안 과제	6. 외부방문자 출입 시 보안관리책임자의 사전 허가 후에 담당 직원이 방문자와 함께 방문지역 동행	○	○

5. 정보통신망 관리

해당과제	세부 조치사항	이행 대상
		연구기관	연구 책임자
모든 과제	1. 연구개발과제의 보안을 목적으로 전산망 보호를 위한 방화벽 시스템, 침입탐지시스템 등 각종 장비의 설치ㆍ운영	○
모든 과제	2. 외부에서 내부망 접속 시 사용자 인증으로 정보시스템 접근 제한 조치	○
모든 과제	3. 컴퓨터에 각종 장비 및 소프트웨어 설치 시, 보안관리책임자의 사전 승인	○	○
모든 과제	4. 무선통신망 구축 시 비인가 사용자의 차단을 위한 사용자 인증, 암호화 통신, 암호화 키의 주기적 변경 등 보안조치	○
모든 과제	5. 사전에 소속 기관에서 인가받은 보안 이동형 저장매체 사용	○	○
모든 과제	6. 보안시스템 안전사고에 대비 데이터 백업시스템 구축ㆍ운영 및 원거리 지역 보안시설에 중요 데이터 별도 복사본 보관	○
모든 과제	7. 비인가 개인용 정보통신매체 반입ㆍ출입 통제 및 내부망 연결 제한	○	○
모든 과제	8. 업무용 컴퓨터 대상 보안 소프트웨어, 보안패치 등 설치 및 업데이트	○	○
모든 과제	9. 보안사고에 대비하여 정보시스템 사용 기록(최소 6개월 이상) 보관 - 보관 권장기간 : 1년	○
모든 과제	10. 직책, 업무에 따라 각종 전산 자료에 대한 차등적 접근권한 부여	○
모든 과제	11. 네트워크 자료(시스템 구성, IP 현황 등)의 대외 보안관리	○
모든 과제	12. 전산장비 폐기 및 외부 이관 시, 하드디스크 드라이브 등에 저장된 주요 자료가 불법으로 복구되지 않도록 조치	○	○
보안 과제	13. 내부망의 연구실별 물리적 또는 논리적(방화벽 등) 분리	○	○
보안 과제	14. 업무용 컴퓨터 자료를 휴대전화, 이동형 저장매체 등 개인용 정보통신매체에 복사ㆍ저장ㆍ전송할 경우 보안관리책임자의 사전 승인	○	○
보안 과제	15. 인터넷을 이용하여 외부로 자료 전송 시, 승인 절차 등 보안대책 마련 및 이행	○	○
보안 과제	16. 메신저, 인터넷 저장소, 외부 이메일 등 자료 유출 가능 경로 접속차단	○

[별지 서식]                                                           (1쪽)

연구개발과제 보안관리 현황

(담당 부서:                담당자:            전화번호:                       )

□ 기관명:                      □ 기간: 20  . 1. 1 ～ 20  . 12. 31 (1년)

□ 연구보안심의회 운영 현황

개최 일자	심의 건수	주요 사항	비고

□ 사업 및 과제 현황

대사업명	중사업명	세부사업명	세부(단위)과제			비고
			보안과제수	일반과제수	계

주1) 대사업명은 프로그램 단위 사업명 기재(예: 미래원천사업, 기초사업, 원자력사업 등)

주2) 중사업명은 중간단계 사업명 기재(예: 미래원천사업 중 나노사업, 바이오사업, 우주사업 등)

주3) 세부사업명은 최하위단계 사업명 기재(예: 나노사업 중 나노원천사업, 나노기반협력사업 등)

주4) 세부(단위)과제는 보고기간에 수행한 세부(단위)과제 수를 기준으로 작성

- 계속과제는 1개 과제로 하되, 보안등급이 변경된 경우에는 변경 후 보안등급으로 기재

□ 보안과제 관리 현황

세부사업명	세부(단위)과제명	연구책임자	연구기간		보안과제 지정일자	보안과제 관리 사유
			‘07년도	‘08년도
			‘07. . .~‘08. . .	‘08. . .~‘09. . .

주1) 보안과제로 지정되어 있는 과제만 기재(일반과제에서 보안과제로 변경된 과제도 포함)

210㎜×297㎜(일반용지 60g/㎡(재활용품))

(2쪽)

□ 보안등급에 따른 조치 현황

조치 사항	보안과제 건수	일반과제 건수	비고
① 외국기업 및 국외연구기관 위탁 시 중앙행정기관 승인
② 외국인 참여 시 기관장 승인
③ 연구 성과물 대외공개 시 보안대책 수립
④ 보안점검 및 보안교육 실시 횟수	( )회 실시
⑤ 국가연구개발사업과 관련된 자체 보안관리 규정 마련 여부	( Y / N )		관련 규정, 조항
⑥ 보안사고 대응체계 마련 여부	( Y / N )		관련 대책 별첨

□ 보안과제 해제 현황

세부사업명	세부(단위)과제명	연구책임자	연구기간		보안과제 해제일자	보안과제 해제 사유
			‘07년도	‘08년도
			‘07. . .~‘08. . .	‘08. . .~‘09. . .

□ 연구개발과제 보안사고 관리 현황

세부사업명	세부(단위)과제명	연구책임자	보안사고 발생일자	보안사고 주요내용	보안사고 처리결과

주1) 필요시 세부명세 첨부

□ 그 밖의 건의사항

위와 같이 본 기관의 연구개발과제 보안관리 현황을 제출합니다.

20   .     .     .

보안관리 부서장:                   (인)

연 구 기 관 장:                 (직인)

전 문 기 관 장  귀하