[별지 2] 취약점 점검 및 침투테스트 동의서

■「클라우드컴퓨팅서비스 보안인증에 관한 고시」 [별지 제2호서식]

취약점 점검 및 침투테스트 동의서

신청인

업체명(상호명)

사업자등록번호

성명(대표자)

전화번호

주소

이메일

신청기관은 클라우드컴퓨팅서비스 보안인증 취득을 위해서 취약점 점검 및 침투테스트를 받아야 하며 클라우드컴퓨팅서비스 보안인증 평가의 침투테스트 및 취약점 진단에 대해 아래와 같은 상호의무, 비밀유지 및 책임제한에 관한 내용에 동의하여야 합니다.

상호의무

1. 신청기관은 클라우드컴퓨팅서비스 보안 인증범위 내의 정보시스템 중 평가팀에서 취약점 점검 및 침투테스트를 수행하고자 요구하는 대상이 되는 정보시스템에 대해서 불가피한 사유가 있지 않는 한 최대한 수행에 협조하여야 한다.

2. 신청기관은 평가팀에서 취약점 점검 및 침투테스트를 수행하기 위해서 필요한 정보제공을 요청할 경우 이를 제공하여야 한다.

3. 신청기관은 평가팀에서 취약점 점검 및 침투테스트를 수행하기 위해서 필요한 환경을 요청할 경우 이를 제공하여야 한다.

4. 평가팀은 클라우드컴퓨팅서비스 보안 인증범위 내의 정보시스템 중 신청기관과 협의된 정보시스템에 대해서 취약점 점검 및 침투테스트를 수행한다.

5. 평가팀은 협의된 정보시스템 이외의 정보시스템에 대해서 취약점 점검 및 침투테스트를 수행하고자 할 경우 사전에 신청기관과 협의하여야 한다.

6. 평가팀은 취약점 점검 및 침투테스트를 수행하기 전에 수행기간 및 대상, 수행IP주소 등을 문서화하여 신청기관에 제공하여야 한다.

7. 침투테스트의 대상은 아래를 기본으로 하며 신청기관의 클라우드컴퓨팅서비스 환경 구성에 따라 추가 혹은 축소될 수 있다.

침투테스트 대상 영역

외부 인터넷으로부터 클라우드컴퓨팅서비스 포털로 침투

이용자 VM으로부터 하이퍼바이저로 또는 다른VM의 침투

8. 평가팀은 취약점 점검 및 침투테스트를 수행하면서 발생 가능한 소프트웨어, 하드웨어에 대한 영향 또는 손상에 대해서 신청기관에 설명하여야 한다.

9. 평가팀은 취약점 점검 및 침투테스트를 수행하면서 신청기관의 소프트웨어, 하드웨어에 대한 이상동작 또는 손상을 최소화하도록 노력하여야 한다.

10. 신청기관은 취약점 점검 및 침투테스트 기간 동안 신청기관 내 정보시스템 침입 및 이상 알림에 대해서 예외처리, 통보 등 대응 업무를 수행하여야 한다.

11. 신청기관은 취약점 점검 및 침투테스트로 장애발생 시 수행의 일시 중단을 요청할 수 있으며, 평가팀은 이에 즉시 협조하여야 한다. 단, 신청기관은 장애처리 후 침투테스트 및 취약점 진단 수행이 즉시 재개될 수 있도록 협조하여야 한다.

12. 평가팀은 취약점 점검 및 침투테스트를 수행한 후 결과에 대해서 문서로 제공하며, 신청기관이 이에 대한 설명을 요청할 경우 설명하여야 한다.

13. 평가팀은 취약점 점검 및 침투테스트를 수행한 후 발견한 문제점에 대해서 신청기관에 보완조치를 요청할 수 있다.

14. 신청기관은 요청받은 문제점에 대해서 보완조치를 지체 없이 시행하여야 한다.

15. 신청기관은 요청받은 문제점에 대해서 보완조치 방법을 평가팀을 통해 안내받을 수 있으나, 최종적인 보완조치 방법의 결정은 신청기관이 하며 이에 대한 책임은 신청기관에 있다.

16. 신청기관은 정해진 기간 내에 보완조치를 완료하고, 이에 대해 평가기관에 통보하여야 한다.

17. 평가기관은 신청기관의 보완조치 적절성을 확인하고, 필요 시 이행여부를 확인 할 수 있다.

18. 평가팀은 보완조치 내역에 대해서 취약점 점검 및 침투테스트를 수행하여 보완조치 이행여부를 확인할 수 있으며, 신청기관은 이에 적극 협조하여야 한다.

19. SaaS/PaaS 사업자의 경우, 취약점 점검 및 침투테스트 동의서에 대해 IaaS 사업자의 동의를 득하여야 한다.

비밀유지

1. 평가팀은 신청기관이 제공하거나, 취약점 점검 및 침투테스트를 통해서 얻은 아래의 기밀정보에 대해서 외부에 공개 또는 누출되지 않도록 하여야 하며, 내부에서도 최소한의 필요에 의해서 기밀정보가 취급되어야 한다.

1) 취약점 점검 및 침투테스트를 위해서 신청기관이 제공한 정보

2) 신청기관이 기밀로 지정한 정보

3) 취약점 점검 및 침투테스트의 결과

4) 일체의 개인정보

5) 신청기관의 사업정보

6) 이에 준하는 비밀수준의 정보

2. 평가팀은 타법령에 의해서 기밀정보의 제공을 명시적으로 요청받았을 경우 외부에 제공할 수 있으나, 이 경우에도 반드시 한국인터넷진흥원을 통해서 제공하여야한다. 한국인터넷진흥원은 외부에 기밀정보를 제공할 경우에도 기밀정보에 대해서 최대한 비식별화 조치를 취하여 제공하여야 한다.

책임제한

1. 평가기관은 취약점 점검 및 침투테스트로 인한 소프트웨어, 하드웨어에 대한 영향 또는 손상에 대해서 책임을 지지 않는다.

2. 취약점 점검 및 침투테스트의 수행은 신청기관의 클라우드컴퓨팅서비스에 대해서 현 시점 및 미래의 침투로부터 안전하다는 것을 보장하지 않는다.

상기 사항들을 확인하고 동의합니다.

년     월     일

신청인(대표자)

(서명 또는 인)

한국인터넷진흥원 또는 인증기관의 장

귀중

210mm×297mm[백상지(80g/㎡)]