정보보호시스템 평가·인증 등에 관한 고시 제5조

제5조제1항에 따른 EAL1 내지 EAL7의 7개 등급의 평가

24의3 인증기관으로부터 승인받은 평가기관은 다음 각 호의 업무를 수행한다.

25평가기관의 책임은 다음 각 호와 같다.

26신청인의 의무는 다음 각 호와 같다.

제3장 평가 절차

27이 장에서는 (그림 1)의 절차도에서 평가신청을 위한 준비단계부터 평가보고서 작성까지의 평가수행 과정의 주요절차를 명시한다. 또한 평가기관이 정보보호시스템의 평가를 수행하는데 필요한 세부 활동 사항을 명시한다.

28평가기관의 장은 신청인의 요청이 있는 경우 평가등급에 영향을 미치지 않는 범위 내에서 평가신청 준비에 필요한 도움을 줄 수 있다.

29정보보호시스템을 평가받고자 하는 신청인은 별지 제1호 또는 제1-1호서식의 평가신청서와 제출물을 구비하여 평가기관의 장에게 평가신청을 하여야 한다.

30동일한 정보보호시스템을 2인 이상의 신청인이 평가를 받고자하는 경우에는 그중 1인을 대표신청인으로 선정하고, 다른 신청인은 별지 제2호서식의 공동신청인명부에 연서하여 공동으로 평가를 신청할 수 있다.

31신청인이 평가제품과 함께 제출하여야 하는 문서는 한글 또는 영어로 작성되어야 한다.

32삭제

33평가기관은 신청인으로부터 평가신청을 접수한 경우에는 평가신청접수증을 발급하여야 한다.

33의2평가기관의 장은 제출물의 내용에 미비점이 발견될 경우에는 신청인에게 보완을 요청할 수 있으며, 신청인이 이를 이행하지 않을 경우에는 인증기관과 협의를 거쳐 평가신청접수증을 발급하지 아니할 수 있다.

34평가기관의 장은 평가신청접수증 발급 후 상호 협의하여 신청인과 평가계약을 체결한다.

35평가기관 및 인증기관의 장은 제출물을 평가인증업무 이외의 목적으로 외부에 유출하거나 공개하여서는 안되며, 평가인증 수행규정에 따라 관리하여야 한다.

36평가기관의 장은 평가계약이 체결된 후 평가계약내용 및 제출물 1부를 인증기관의 장에게 제출한다.

37평가기관의 장은 평가계약에 따라 평가를 실시한다. 다만, 시급을 요하는 국가기반전략사업인 경우에는 우선평가를 실시할 수 있다.

38평가기관의 장은 평가수행을 위한 평가반을 구성한 후 평가수행계획서를 인증기관의 장에게 제출한다.

39평가기관의 장은 제출물에 대한 평가반의 이해를 도모하기 위하여 신청인에게 제출물에 대한 설명을 요청할 수 있다

40평가기관의 장은 평가제품 개발환경의 보안점검을 위해 필요할 경우 개발 업체를 방문하여 실사를 수행할 수 있으며, 이 때 발생되는 제반 비용은 신청인이 부담한다.

41신청인은 제40항의 개발환경 보안점검 결과에서 지적된 미비점을 보완하여야 한다.

42평가기관의 장은 평가제품이 공통평가기준에 명시된 요구수준을 만족하는지 여부를 평가한다.

43평가기관의 장은 평가과정에서 제출물이 미비하여 평가수행이 불가능한 경우에는 일정 기한을 정하여 신청인에게 제출물 보완을 요청할 수 있다.

44평가기관의 장은 원활한 평가진행을 위하여 신청인에게 평가환경의 지원을 요청할 수 있다.

45평가기관의 장은 평가를 원활히 수행하기 위해 필요할 경우 외부 전문가를 활용할 수 있다.

46평가기관의 장은 신청인과 체결한 평가계약서에 명시된 평가중단 사유가 발생하는 경우 평가기관 내부 규정에 따라 평가를 중단할 수 있다.

47평가기관의 장은 평가를 중단하고자 하는 경우 그 사유를 신청인과 인증기관의 장에게 문서로 통보하고 일정 기한을 정하여 평가를 계속 진행시키기 위한 조치를 요청할 수 있다.

48평가기관의 장은 신청인이 제47항에 의한 조치를 취하지 아니하는 경우 평가를 중단하고 평가계약을 해지한다.

49평가기관의 장은 평가가 종료된 경우 평가보고서 및 최종제출물을 인증기관의 장에게 제출한다.

49의2평가기관의 장은 신청인이 평가보고서의 열람 및 제공을 요구할 경우 이를 허용하여야 한다.

50평가보고서에 포함되어야 하는 내용은 다음과 같다.

제4장 인증절차

51이 장에서는 (그림 1)의 절차도에서 평가단계부터 인증서 교부까지의 인증수행 과정의 주요절차를 명시한다.

52인증기관의 장은 제49항에 의하여 평가기관의 장이 제출한 최종제출물 및 평가보고서를 검토하여 보완사항이 있을 경우 평가기관의 장에게 보완을 요청하고 평가기관의 장은 이에 대한 적절한 조치를 취하여야 한다.

53인증기관의 장은 평가기관의 장이 수행한 평가과정이 공정하고 객관적인지 여부를 확인한다.

54인증기관의 장은 평가내용의 적절성과 평가결과가 평가등급의 요구사항에 적합한지 여부를 확인한다. 다만, 평가내용 및 과정이 부적합하다고 판단되는 경우에는 평가기관의 장에게 보완을 요청할 수 있다.

55인증기관의 장은 필요시 평가기관의 장에게 평가내용 및 평가결과에 대하여 구체적인 설명을 요청할 수 있다.

56인증기관의 장은 평가결과의 타당성공정성에 대한 심의의결 및 신청인과 평가기관간의 분쟁 조정 등을 위하여 인증위원회(이하 "위원회" 라 한다)를 구성운영할 수 있다.

57위원회는 인증기관, 평가기관, 관계기관, 학계 및 연구기관 등의 전문가 12인 이내로 구성하며, 위원 및 위원장은 인증기관의 장이 위촉한다.

58위원회는 재적위원 과반수 출석으로 개최하고 출석위원 전원의 찬성으로 의결한다.

59삭제

60긴급한 사유 등으로 인해 위원회를 개최할 수 없거나 의결안건이 경미하다고 위원장이 판단할 경우 서면으로 심의의결할 수 있다.

61위원회는 평가결과가 부적합하다고 심의한 경우에는 부적합 판정을 내릴 수 있다.

62위원은 위원회 활동 과정에서 알게 된 사항을 외부에 유출하거나 공개하지 못한다.

63이 고시에서 정한 것 이외에 위원회의 구성 및 운영 등에 관하여 필요한 사항은 인증기관의 장이 별도로 정하여 운영한다.

64인증보고서에 포함되어야 하는 내용은 다음과 같다.

65인증기관의 장은 인증보고서를 홈페이지 등에 공개하여야 한다.

66인증기관의 장은 위원회의 심의 결과에 따라 부적합 등급을 부여하거나 해당 공통평가기준에 따른 평가등급을 부여할 수 있다.

67인증기관의 장은 위원회가 심의한 결과를 평가기관의 장 및 신청인에게 통보한다.

68인증기관의 장은 정보보호시스템 인증제품 소개책자에 다음 사항을 등재하여 관리한다.

69인증기관의 장은 정기적으로 인증제품 소개책자를 발간하여 배포할 수 있다.

70인증기관의 장은 위원회의 심의결과에 따라 별지 제3호 또는 제3-1호서식의 인증서를 발급한다.

71인증서를 교부받은 신청인은 별표 2의 정보보호시스템 인증마크를 사용하고자 할 경우 별지 제4호서식의 인증마크 사용신청서를 인증기관의 장에게 제출하여야 한다.

72삭제

제5장 평가인증 사후관리

73평가기관의 장은 평가계약 해지 및 인증이 완료된 경우에는 제출물을 신청인에게 반환하여야 하며, 반환이 불가능한 경우에는 폐기하여야 한다.

73의2인증기관의 장은 평가과정에서 평가계약이 해지되거나, 인증을 완료한 경우 제출물을 신청인에게 반환하고, 반환이 불가능한 경우 이를 폐기하여야 한다.

74 73의2 규정에도 불구하고 업무상 계속 제출물(원시프로그램 및 하드웨어 설계서는 제외)을 보관할 필요가 있을 경우에는 신청인과 협의하여 5년간 보관할 수 있다.

75인증기관의 장은 인증제품을 표본 추출하여 인증제품 소개책자에 등재된 내용과 동일한지 여부를 확인할 수 있다.

76인증기관의 장은 인증제품에 새로운 취약점이 발견되는 등 평가등급을 유지할 수 없는 경우 인증서를 교부받은 신청인에게 필요한 조치를 요청할 수 있다.

77인증기관의 장은 다음의 경우에 대하여 인증제품의 인증을 취소하고 그 사유를 해당 신청인에게 통보한다.

78인증기관의 장은 인증제품의 인증이 취소된 경우에는 해당 인증제품을 인증제품 소개책자에서 삭제하고 이를 공고한다.

79신청인은 인증이 취소되는 경우 지체 없이 인증서를 인증기관의 장에게 반납하여야 한다.

80삭제

81신청인은 다음 각 호의 경우 별지 제5호서식의 인증효력유지 신청서를 작성하여 인증기관의 장에게 제출할 수 있다.

82인증기관의 장은 제81항의 변경 내용을 검토하여 변경승인, 재평가를 결정하여 그 결과를 신청인에게 통보한다.

83제82항에서 변경승인된 경우에는 인증의 효력이 그대로 유지된다.

84신청인은 인증기관의 장의 결정에 따라 재평가를 평가기관의 장에게 신청할 수 있다.

85평가기관의 장은 재평가시 이전에 제출한 대체 가능한 제출물에 대해서는 그 일부를 면제할 수 있다.

86삭제

87삭제

88삭제

제6장 보호프로파일 평가인증절차

89보호프로파일의 평가를 받고자 하는 신청인은 별지 제1호서식의 평가신청서와 보호프로파일을 구비하여 평가기관의 장에게 평가신청을 하여야 한다.

90보호프로파일의 평가는 정보보호시스템의 평가절차를 준용한다. 다만, 보호프로파일의 경우에는 개발환경 보안점검을 시행하지 않는다.

91평가기관의 장은 평가가 종료된 경우 보호프로파일 평가보고서를 작성하여 인증기관의 장에게 제출한다.

92보호프로파일의 평가결과에 대한 평가보고서에 포함되어야 하는 내용은 다음과 같다.

93인증기관의 장은 평가기관의 장이 수행한 보호프로파일의 평가 과정이 객관적이며, 공통평가기준에 적합하게 수행되었음을 인증하는 경우 다음 사항을 정보보호시스템 인증제품 소개책자에 등재하여 관리한다.

94인증기관의 장은 위원회의 심의결과에 따라 별지 제3-2호서식의 보호프로파일 인증서를 발급한다.

제7장 평가수수료

95평가기관이 국가정보화기본법 시행령