정보보안법2021-11-30 버전
- 카테고리
- 재판·인민보안
- 채택일
- 2017-10-12
- 보는중 버전
- 2021-11-30
- 조문수
- 43조
- 장수
- 5장
- 출처
- nis
* 과거 시점의 본문을 보고 있습니다. 셀렉터에서 “현행본”을 선택하면 최신 본문으로 돌아갑니다.
조문 로딩 중...
* 과거 시점의 본문을 보고 있습니다. 셀렉터에서 “현행본”을 선택하면 최신 본문으로 돌아갑니다.
조선민주주의인민공화국 정보보안법은 정보통신망과 정보체계, 정보의 보안, 정보보안제품의 개발, 리용에서 제도와 질서를 엄격히 세워 국가의 안전을 보장하며 나라의 정보화를 적극 추동하는데 이바지한다.
이 법에서 용어의 정의는 다음과 같다. 1. 정보란 콤퓨터를 비롯한 정보처리장치에 의하여 보관, 처리, 전송가능한 문서, 음성, 화상, 동영상 같은 수자화된 자료를 말한다. 2. 정보보안이란 정보통신망과 정보체계에 대한 불법침입, 정보의 루출, 변조 같은 침해로부터 정보통신망과 정보체계, 정보를 보호하는것을 말한다. 3. 정보통신망이란 정보를 주고 받을수 있는 통신망을 말하며 여기에는 자료통신망, 전화통신망, 유선TV망, 위성통신망 같은것이 속한다. 4. 정보보안체계란 정보통신망과 정보체계, 정보를 보호할 목적으로 관리적, 기술적, 물리적수단과 방법들을 유기적으로 결합하여 구축한 체계이다. 5. 정보보안제품이란 정보통신망과 정보체계, 정보를 보호할 목적으로 개발한 하드웨어제품과 쏘프트웨어제품을 말한다.
국가는 현실발전의 요구에 맞게 정보보안전망계획을 바로세우고 정보보안사업을 계획적으로 밀고나가도록 한다.
정보보안사업은 정보통신망과 정보체계의 안전한 운영을 보장하며 정보를 보호하기 위한 기본담보이다. 국가는 정보보안사업에 대한 통일적인 지도관리체계를 정연하게 세우고 기관, 기업소, 단체와 공민이 정보보안사업에서 정해진 질서를 엄격히 지키도록 한다.
국가는 정보보안부문의 과학연구사업과 정보보안담당일군, 전문가, 기술자양성을 위한 교육사업을 계획적으로 전망성있게 추진하여 정보보안의 질적수준을 끊임없이 높이도록 한다.
국가는 정보보안부문에 대한 투자를 계통적으로 늘여 그 물질기술적토대를 강화하도록 한다.
국가는 정보보안분야에서 다른 나라, 국제기구들과의 교류와 협조를 발전시킨다.
이 법은 기관, 기업소, 단체와 공민에게 적용한다. 공화국령역에 있는 다른 나라 및 국제기구의 대표기관과 외국투자기업, 외국인에게도 이 법을 적용한다.
정보보안사업과 관련하여 이 법에서 규제하지 않은 질서는 해당 법규에 따른다.
정보통신망 또는 정보체계를 운영 및 리용하려는 기관, 기업소, 단체는 정해진 기준에 따라 단위의 실정과 특성에 맞게 정보보안체계를 구축하여야 한다. 정보보안체계를 구축하지 않고는 정보통신망 또는 정보체계를 운영 및 리용할수 없다.
정보보안체계를 구축한 기관, 기업소, 단체는 해당 기관으로부터 안전성검토를 받고 등록한 다음 정해진데 따라 정보보안체계를 관리운영하여야 한다. 이 경우 안정성검토와 등록은 정보통신망 또는 정보체계를 운영하는 기관, 기업소, 단체에 한하여 하며 이동자료통신망의 정보보안체계에 대하여서는 안전성검토만 받는다. 해당 기관은 안전성검토와 등록을 정해진 기일안에 해주어야 한다. 기관, 기업소, 단체는 안전성검토를 받고 등록한대로 정보보안체계를 관리운영하며 자의대로 변경시키지 말아야 한다. 전국적범위에서 도입되는 정보화대상의 정보보안체계에 대하여서는 안전성검토를 받고 등록한 다음 국가적인 최종도입심의를 받아야 한다. 필요에 따라 자료통신망 또는 정보체계에 대한 운영시험을 하려는 기관, 기업소, 단체는 정보보안체계를 구축하고 해당 기관의 합의를 받아야 한다. 운영시험에서는 가상적인 자료를 리용하여야 한다.
정보통신망 또는 정보체계를 운영 및 리용하는 기관, 기업소, 단체는 현실발전의 요구에 맞게 정보보안체계를 갱신하여야 한다. 갱신하였거나 안전성담보기간이 지난 정보보안체계는 안전성검토와 등록을 정해진 기일안에 다시 하여야 한다.
콤퓨터를 리용하여 업무를 진행하는 기관, 기업소, 단체는 우리 식 조작체계를 설치하고 리용하여야 한다. 우리 식 조작체계를 리용할수 없는 경우 해당 기관과 합의하고 필요한 조작체계를 리용할수 있다.
기관, 기업소, 단체와 공민은 정보통신망에 접속한 콤퓨터에 방화벽과 신분확인기능, 사건기록 및 추적기능, 자동신고기능, 침입검출 및 차단체계같은 해당한 보안기능을 구축하여야 한다. 정보통신망봉사기를 운영하는 기관, 기업소, 단체는 봉사기의 2중화체계를 세우며 봉사기에 대한 접근기록자료를 정해진 기간까지 보관관리하여야 한다.
정보통신망에서 정보체계를 운영하려는 기관, 기업소, 단체는 정해진 기준에 맞게 프로그람을 개발하고 해당 기관으로부터 안전성검토를 받은 다음 등록하여야 한다. 정보체계의 보안 및 관리운영을 맡아할수 있는 자체의 기술력량이 없는 기관, 기업소, 단체는 독자적으로 정보체계를 운영할수 없으며 필요한 경우에는 정보체계의 운영을 전문운영단위에 위탁할수 있다.
콤퓨터를 리용하는 기관, 기업소, 단체는 단위안에 비루스검역 및 감시체계를 세우고 승인된 최신왁찐프로그람을 설치, 리용하여야 한다. 제거되지 않는 콤퓨터비루스를 발견한 경우에는 즉시 왁찐프로그람개발단위 또는 해당 기관에 통보하고 필요한 대책을 세워야 한다.
왁찐프로그람을 개발하여 전국적범위에서 보급하려는 기관, 기업소, 단체는 비루스발생통보 및 왁찐프로그람보급을 전문으로 하는 홈페지를 개설하고 승인된 왁찐프로그람을 보급하며 왁찐기능을 부단히 갱신하여야 한다.
기관, 기업소, 단체와 공민은 전파감독기관에 등록한 전파설비를 리용하여야 한다.
기관, 기업소, 단체와 공민은 국제전자우편, 인터네트, 확스같은 국제통신설비의 설치, 리용에서 정해진 질서를 지켜야 한다.
국가정보통신시설에 대한 관리는 해당 체신기관, 기업소가 한다. 외국투자기업 또는 외국인이 국가정보통신시설에 대한 관리를 하려는 경우에는 해당 기관의 승인을 받아야 한다.
기관, 기업소, 단체와 공민은 정보통신망과 정보체계에 대한 침해가 발생한 경우 즉시 필요한 대책을 세우는것과 함께 해당 기관에 통보하여야 한다. 해당 기관은 침해가 발생한 원인을 과학적으로 분석하고 대응 및 복구대책을 제때에 세워야 한다.
정보통신망과 정보체계에서 다음과 같은 행위는 할수 없다. 1. 비법적으로 정보통신시설 또는 망에 접근하거나 보관된 정보를 수정, 복사, 삭제, 루출시키는 행위 2. 콤퓨터비루스를 비롯한 악성프로그람을 류포시키는 행위 3. 한번에 정해진 량을 초과하여 신호를 보내는것과 같은 방법으로 정보처리에서 오유를 발생하게 하는 행위 4. 해당 기관의 승인없이 원격으로 취약점검사와 같은 보안기능검사를 진행하는 행위 5. 국가적으로 승인되지 않은 정보처리장치, 프로그람을 보관, 설치, 리용하는 행위 6. 기타 정보통신망과 정보체계의 정상운영에 지장을 줄수 있는 행위
기관, 기업소, 단체는 정보를 정보통신망을 통하여 주고 받거나 정보처리장치에 보관하려는 경우 정해진 비밀등급에 따라 암호화를 진행하여야 한다. 암호가 로출된 경우에는 즉시 변경하여야 한다.
정보통신망을 통하여 정보체계를 운영하는 기관, 기업소, 단체는 개별적공민의 신분정보를 등록하는 경우 필요이상의 자료를 등록하지 말아야 하며 등록된 신분정보가 외부에 루출되거나 다른 목적에 리용되지 않도록 하여야 한다.
기관, 기업소, 단체는 인터네트나 국가자료통신망을 통하여 기관내부자료가 루출되지 않도록 인터네트와 국가자료통신망, 기관내부망을 물리적으로 서로 격페시켜야 한다. 인터네트나 공중자료통신망에 련결된 콤퓨터에서는 기관내부자료를 편집 및 보관할수 없다.
기관, 기업소, 단체는 업무프로그람의 개발을 의뢰하거나 도입시험을 하는 경우 가상적인 자료를 리용하여야 한다. 업무프로그람의 개발을 의뢰받은 기관, 기업소, 단체와 개발에 참가한 개별적공민은 개발과정에 알게 된 비밀을 루설하거나 개발한 업무프로그람을 다른 목적에 리용하지 말아야 한다.
기관, 기업소, 단체와 공민은 업무프로그람과 외부기억매체를 업무활동에 리용하려는 경우 정해진 절차에 따라 등록하고 리용하여야 한다.
전자거래업무체계를 운영하려는 기관, 기업소, 단체는 가입자의 신분과 전자문서의 내용에 대한 정확성을 확인할수 있도록 전자인증체계를 세우며 그에 대한 중앙전자인증지도기관의 리용승인을 받아야 한다. 중앙전자인증지도기관은 전자인증체계에 대한 리용승인을 정해진 기일안에 해주어야 한다.
다른 나라 프로그람과 장치를 수입, 리용하려는 기관, 기업소, 단체는 해당 기관의 승인을 받아야 한다. 승인을 받지 않은 다른 나라의 프로그람과 장치는 수입, 리용할수 없다.
정보보안제품의 개발은 정해진 개발단위가 한다. 기관, 기업소, 단체도 필요에 따라 정보보안제품을 자체로 개발할수 있다. 전국적범위에서 도입되는 정보보안제품은 국가가 정한 기준에 도달하여야 한다.
해당 기관, 기업소, 단체는 정보보안제품을 정해진 규격대로 개발하여야 한다. 정보보안제품의 규격은 해당 기관과 합의한 다음 규격제정기관에 등록하여야 한다.
기관, 기업소, 단체는 정보보안제품 또는 정보보안관련제품을 개발한 경우 그에 대하여 안전성검토를 받은 다음 등록하여야 한다. 이 경우 정보보안관련제품에 대하여서는 안전성검토만 받으며 정보보안제품등록신청문건에는 개발자로부터 받은 해당 담보서를 첨부하여야 한다. 안전성검토를 받지 않았거나 등록하지 않은 정보보안제품 또는 정보보안관련제품은 도입, 판매, 리용할수 없다. 해당 기관은 안전성검토와 관련한 기준을 국가규격으로 정하고 그것을 현실발전의 요구에 맞게 갱신하여야 한다. 전국적범위에서 도입되는 정보보안제품은 안전성검토를 받고 등록한 다음 국가적인 최종도입심의를 받아야 한다.
정보보안제품을 개발한 기관, 기업소, 단체는 정보보안제품의 보안기능을 발전하는 현실에 맞게 끊임없이 갱신하여야 한다. 보안기능을 갱신하였거나 안전성담보기간이 지난 정보보안제품은 안전성검토와 등록을 다시 하여야 한다.
정보보안제품을 개발하는 기관, 기업소, 단체는 제품의 비밀이 새여나가지 않도록 정보보안제품연구개발공정에 대한 보안관리체계를 세워야 한다. 기관, 기업소, 단체와 공민은 승인없이 정보보안제품의 핵심관련기술자료를 류통시키거나 다른 나라에 내가거나 학술론문, 잡지, 전시회같은것을 통하여 공개할수 없으며 정보보안제품의 보안약점을 위법행위에 리용하지 말아야 한다.
기관, 기업소, 단체는 승인된 정보보안제품을 리용하여야 한다. 리용이 중지되였거나 파괴, 고장같은 원인으로 리용할수 없는 정보보안제품은 정해진 절차에 따라 페기 또는 삭제한다.
정보보안사업에 대한 지도통제를 강화하는것은 국가의 정보보안정책을 철저히 관철하기 위한 중요담보이다. 국가는 현실발전의 요구에 맞게 정보보안사업에 대한 지도체계를 바로세우고 감독통제를 강화하도록 한다.
국가는 나라의 정보보안사업을 통일적으로 장악지도하기 위하여 내각을 비롯한 해당 기관의 책임일군들로 국가적인 비상설위원회를 조직, 운영한다. 기관, 기업소, 단체는 정해진 기준에 따라 비상설정보보안위원회를 조직하고 단위안의 정보보안사업을 계획하고 그 집행정형을 장악통제하며 제기되는 문제를 토의대책하여야 한다.
정보보안사업에 대한 감독통제는 해당 감독통제기관이 한다. 해당 감독통제기관은 기관, 기업소, 단체와 공민이 정보보안사업질서를 엄격히 지키도록 정상적으로 감독통제하여야 한다.
정보보안사업과 관련하여 정해진 질서를 어겼을 경우 비법적으로 얻은 돈과 물건, 해킹행위나 악성프로그람의 제작을 비롯한 엄중한 위법행위에 리용된 설비와 쏘프트웨어는 몰수한다.
정보통신망 또는 정보체계의 운영 및 리용과 관련하여 정해진 질서를 어겼을 경우 중지처벌을 주거나 망가입을 차단시킨다. 앞항의 행위가 정상이 무거운 경우에는 페업처벌을 주거나 망가입을 취소시킨다.
다음의 경우에는 기관, 기업소, 단체와 공민에게 벌금처벌을 준다. 1. 말단방화벽을 설치하지 않거나 국내산 최신왁찐프로그람에 의한 실시간 비루스감시 및 검역체계를 세우지 않고 정보통신망과 정보체계를 운영 또는 리용하였을 경우 기관, 기업소, 단체에는 50만~150만원, 공민에게는 5,000~1만원 2. 승인을 받은대로 정보통신망과 정보체계를 운영하지 않았을 경우 기관, 기업소, 단체에는 50만~150만원 3. 제기된 보안취약점을 퇴치하지 않고 국가자료통신망홈페지를 운영하였을 경우 기관, 기업소, 단체에는 100만~150만원 4. 할당받은 통신회선과 IP주소, 식별자, 암호를 비법적으로 다른 기관, 기업소, 단체 또는 공민에게 빌려주거나 넘겨주었을 경우 기관, 기업소, 단체에는 50만~150만원, 공민에게는 1만~5만원 5. 인터네트와 국가자료통신망, 기관내부망을 물리적으로 서로 격페시키지 않았을 경우 기관, 기업소, 단체에는 50만~150만원 6. 봉사기2중화체계를 세우지 않고 대외홈페지를 비롯한 중요정보체계를 운영하였을 경우 기관, 기업소, 단체에는 100만~150만원 7. 해당 기관의 승인없이 원격으로 취약점검사와 같은 보안기능검사를 진행하였을 경우 공민에게는 10만원 8. 접근 및 조작리력, 침입기록, 봉사기실출입기록같은 정보보안관련리력 및 기록자료들을 자의대로 변경시키거나 삭제하였을 경우 기관, 기업소, 단체에는 50만~150만원, 공민에게는 5만~10만원 9. 안전성검토를 받지 않았거나 등록하지 않은 정보보안제품과 승인되지 않은 프로그람을 판매, 도입, 류포하였을 경우 기관, 기업소, 단체에는 50만~150만원, 공민에게는 5만~10만원 10. 외부기억매체의 등록, 리용질서를 어겼을 경우 기관, 기업소, 단체에는 10만~150만원, 공민에게는 5,000~1만원 11. 정해진 비밀등급에 따라 암호화를 진행하지 않고 정보통신망을 통하여 정보를 주고 받거나 정보처리장치에 보관하였을 경우 기관, 기업소, 단체에는 10만~150만원, 공민에게는 5,000~1만원 12. 비상설정보보안위원회를 조직하지 않거나 정해진대로 운영하지 않았을 경우 기관, 기업소, 단체에는 50만~150만원
다음의 경우에는 책임있는 자에게 경고, 엄중경고처벌 또는 3개월이하의 무보수로동, 로동교양처벌을 준다. 1. 비법적으로 정보통신시설 또는 망에 침입하였을 경우 2. 방화벽과 신분확인기능, 사건기록 및 추적기능, 자동신고기능, 침입검출 및 차단체계같은 해당한 보안기능을 구축하지 않고 정보통신망과 정보체계를 운영하였을 경우 3. 중요 정보통신망과 정보체계를 운영하는 단위들에서 정해진 관리운영질서를 지키지 않아 해킹분석과 대응, 정상운영에 지장을 주었을 경우 4. 국가자료통신망에 승인받지 않은 홈페지를 공개시켰거나 비밀에 속하는 자료와 사회주의생활양식에 맞지 않는 자료를 홈페지를 통하여 주고 받았거나 홈페지에 게재하였을 경우 5. 인터네트와 국가자료통신망, 기관내부망을 물리적으로 서로 격페시키지 않았거나 봉사기2중화체계를 세우지 않고 대외홈페지를 비롯한 중요 정보체계를 운영하였거나 정보보안관련리력자료를 자의대로 변경시키거나 정해진 보관기일전에 삭제하였을 경우 6. 정해진 비밀등급에 따라 암호화를 진행하지 않고 정보통신망을 통하여 정보를 주고 받거나 정보처리장치에 보관하였거나 공중자료통신망에 련결된 정보처리장치에 기관내부자료를 보관하거나 공유시켜 루설하였거나 루설공간을 조성시켰을 경우 7. 정보통신선로를 절단하거나 국가자료통신망위상구조를 자의대로 변경시켜 정보통신망과 정보체계의 운영에 지장을 주었을 경우 8. 안전성검토를 받지 않거나 등록하지 않고 정보통신망과 정보체계를 운영하였거나 안전성검토와 등록, 규격합의를 정해진 기일안에 해주지 않았을 경우 9. 해당 기관의 승인없이 정보보안제품의 핵심관련기술자료를 류통시키거나 다른 나라에 내가거나 학술론문, 잡지, 전시회같은것을 통하여 공개하였을 경우 10. 왁찐프로그람을 개발하는 단위에서 새로 발생하는 콤퓨터비루스에 대한 대응대책을 제때에 세우지 않았을 경우 11. 정보보안과 관련한 국가적인 조직사업집행을 태공하였을 경우 12. 비상설정보보안위원회를 조직하지 않거나 정해진대로 운영하지 않았을 경우 13. 이 법 제22조의 행위를 하였을 경우앞항 1~13호의 행위가 정상이 무거운 경우에는 3개월이상의 무보수로동, 로동교양처벌 또는 강직, 해임, 철직처벌을 준다.
이 법을 어긴 행위가 범죄에 이를 경우에는 책임있는자에게 형법의 해당 조항에 따라 형사적책임을 지운다.