제1조(목적)
제1조(목적) 이 훈령은 「지방세기본법」, 「서울특별시 시세 기본 조례」, 「서울특별시 시세 기본 조례 시행규칙」, 「개인정보 보호법」, 「전자정부법」, 「지방세외수입금의 징수 등에 관한 법률」에 따라 서울특별시 세입시스템의 사용자 접근권한 관리의 기준 및 절차 등을 정하여 세입시스템 내 구축된 각종 세입정보에 대한 보안업무 수행에 필요한 사항을 규정함을 목적으로 한다.
제2조(적용범위)
제2조(적용범위) 이 훈령은 서울특별시 세입시스템을 설치하여 사용하는 기관 및 사용자에게 적용한다.
제3조(용어의 정의)
제3조(용어의 정의) 이 훈령에서 사용하는 용어의 정의는 다음과 같다. ① "세입시스템"이란 서울특별시(이하 "시"라 한다) 및 자치구의 지방세 및 지방세외수입(이하 "지방세입"이라 한다) 과징업무 수행을 위해 부과·징수·체납자료의 수집·가공·저장·검색·송신·수신에 활용되는 전자기기와 소프트웨어의 조직화된 체계로 구성된 전산시스템으로써 세무종합시스템과 세외수입종합징수시스템을 말한다.② "세입시스템 관리자"란 세입시스템을 총괄적으로 관리하는 시 세무과장을 말한다.③ "세입시스템 운영자"란 세입시스템 사용자가 지방세입 업무를 전산 처리할 수 있도록 세입시스템을 구축·운영하는 담당자를 말한다.④ "권한관리책임자"란 세입시스템 사용자에 대한 본인 확인 및 접근 권한 부여에 관한 책임자를 말한다.⑤ "권한관리자"란 권한관리책임자로부터 권한관리를 하도록 지정받은 공무원을 말한다.⑥ "사용자"란 세입시스템 사용을 위해 권한관리책임자로부터 세입시스템에 접근권한을 부여받은 자로서 세입시스템을 사용하여 관련 업무를 직접 처리하는 자를 말한다.⑦ "세입정보"란 세입시스템에 기록된 모든 정보를 말한다.⑧ "접근권한"이란 세입시스템에 접속하여 세입정보 자원을 활용할 수 있는 권한과 세입부과정보를 생성·변경·열람·삭제 등을 할 수 있는 권한을 말한다.⑨ "행정전자서명인증서"란 「전자정부법」에 의해 행정안전부 및 중앙행정기관에서 발급하는 인증서로 생성된 전자서명을 말한다.
제4조(기본원칙)
제4조(기본원칙) ① 지방세입 업무의 목적으로 세입시스템 또는 세입정보에 접근하고자 하는 모든 사용자는 본인확인 및 접근권한 확인 절차를 반드시 거쳐야 한다.② 세입시스템 관리자는 세입정보 보안을 위해 세입시스템의 접근권한과 관련된 법령 개정 사항을 반영한 접근권한 부여기준 수립 및 최신 정보보호 방안 도입 등의 종합 정책을 수립하여야 한다.
제5조(권한관리책임자의 지정·운영)
제5조(권한관리책임자의 지정·운영) ① 세입시스템 관리자는 세입시스템의 종류 또는 기관에 따라 사용자에 대한 본인확인 및 접근권한 부여에 관한 책임자를 다음 각 호와 같이 지정·운영 한다.1. 시: 세외수입팀장(지방세외수입 분야), 세무정보화팀장(지방세 분야)2. 자치구: 세무부서의 장② 시의 권한관리책임자는 세입시스템의 보안업무를 총괄하며, 접근권한 관리를 원활하게 운영하기 위하여 다음 각 호의 업무를 수행하여야 한다.1. 사용자 본인확인 및 접근권한 관리와 관련된 기능의 구현2. 세입시스템 사용 내역에 대한 기록의 사후 점검 및 확인3. 세입시스템 사용 내역과 관련된 자료의 보관 및 주기적 백업 등 관리③ 권한관리책임자는 해당기관의 사용자 본인확인 및 접근권한 확인을 위하여 다음 각 호의 업무를 수행하여야 한다.1. 사용자 본인확인·접근권한 부여의 기준 및 절차 수립2. 사용자 접근권한 부여 여부의 심사3. 사용자 등록·관리 및 접근권한 부여④ 권한관리책임자는 사용자 본인확인 및 접근권한 확인을 효율적으로 수행하기 위하여 제3항제3호에 해당하는 업무를 수행하도록 권한관리자를 부서별 1인(지방세입 업무를 각각 수행하고 있는 부서는 2인)으로 지정·운영 한다.
제6조(사용자 등록 및 본인확인)
제6조(사용자 등록 및 본인확인) ① 권한관리자는 최초 접근권한이 부여된 자에 대해 세입시스템에 사용자 등록과 함께 권한을 부여하여야 한다.② 사용자가 업무처리를 위하여 세입시스템에 접근하고자 할 때에는 행정전자서명인증서로 본인임을 확인하여야 한다. 다만, 신규발령, 행정전자서명인증서 유실·삭제 등으로 인해 행정전자서명인증서를 사용할 수 없는 경우에는 행정전자서명인증서를 발급 또는 재발급받기 전까지 기간에 한하여 사용자계정(ID) 및 비밀번호를 사용하는 방식으로 확인할 수 있다.③ 제2항에도 불구하고 지방세 체납 차량 무선영치 업무 또는 질서위반행위 단속 업무를 위한 모바일 기기 등의 사용자는 사용자계정(ID) 및 비밀번호를 사용하는 방식으로 확인한다.
제7조(외주직원 등의 본인확인)
제7조(외주직원 등의 본인확인) ① 시의 권한관리책임자는 원칙적으로 유지보수업체 또는 외주용역 업체의 직원이 세입시스템에 임의로 접근하지 못하도록 하여야 한다.② 시의 권한관리책임자는 유지보수 업체 또는 외주용역 업체의 직원이 운영상 불가피한 사유로 세입시스템 또는 세입정보에 접근을 필요로 하는 때에는 사용자계정(ID) 및 비밀번호를 사용하는 본인확인 방식을 적용하되, 다음 각 호의 보안대책을 마련한 후 접근을 승인하여야 한다.1. 보안서약서의 징구2. 계약기간 동안 접근 허용3. 분기 또는 반기 단위의 접근 허용 적정성 심사4. 내부 네트워크와 접근 가능한 네트워크의 분리5. 최소 범위의 접근권한 설정6. 그 밖에 세입시스템 또는 세입정보 보호를 위하여 필요하다고 판단되는 사항③ 시의 권한관리책임자는 유지보수 업체 또는 외주용역 업체의 직원에 대한 세입시스템 또는 세입정보 접근 승인 내역 및 사유 등을 포함한 외주업체 권한 승인 현황을 별지 제1호 서식에 따라 기록 및 관리하여야 한다.
제8조(접근권한 부여 기준)
제8조(접근권한 부여 기준) ① 세입시스템 접근, 정보 열람 등 모든 접근권한은 법령 또는 업무규정 등에 따라 허용된 자에 한하여 업무수행에 필요한 최소한의 범위로 부여하여야 한다.② 권한관리책임자는 다음 각 호의 기준에 따라 접근권한을 부여한다.1. 개인 신상, 재산 등과 관련된 정보의 접근권한은 업무와 관련 있는 담당자 및 결재권자로 제한하여 부여2. 접근권한 부여 범위를 세목별(「지방세기본법」 제7조의 규정에 따른 세목), 업무별(부과, 수납, 과오납, 체납, 현계 등), 행정동별로 구분하여 부여3. 세부 접근권한은 조회, 수정, 출력, 일괄작업, 자료받기로 구분하여 부여③ 제2항에도 불구하고 세외수입종합징수시스템은 제2항제2호 및 제3호는 적용하지 아니하고 부서별로 부여할 수 있다.
제9조(접근권한 신청 및 부여)
제9조(접근권한 신청 및 부여) ① 자치구 권한관리책임자가 자치구 권한관리자를 지정하거나 교체한 때에는 문서로 세입시스템 관리자에게 접근권한을 신청하여야 하며, 시 권한관리책임자는 별지 제2호 서식에 따라 권한관리자 현황을 기록 및 관리하여야 한다.② 본인확인에 필요한 정보 유출에 의해 세입시스템 사용이 중단된 사용자는 접근권한을 재신청 하여야 하며, 권한관리책임자는 다음 각 호의 기준에 따라 접근권한을 부여한다.1. 행정전자서명인증서 유출 시 인증서 재발급 후 권한부여2. 사용자계정(ID) 유출 시 동일한 사용자계정(ID) 부여 금지③ 본인확인에 필요한 정보 유출에 의해 세입시스템 접근권한이 중단된 사용자는 접근권한을 재심사하여야 한다.④ 접근권한 심사결과 사용 승인이 결정된 사용자에 대해서는 권한관리자는 부여된 권한에 따라 세입시스템에 등록하고 별지 제3호 서식에 따라 사용자 현황을 기록하고 관리하여야 한다.
제10조(사용자 정보관리)
제10조(사용자 정보관리) ① 사용자는 세입시스템 또는 세입정보에 접근할 때 사용되는 행정전자서명인증서, 사용자계정(ID), 비밀번호 등 사용자 본인확인에 필요한 정보를 타인과 공유하지 않고 안전하게 관리하여야 한다.② 본인확인에 필요한 정보 유출의 우려가 있을 경우 즉시 권한관리자와 세입시스템 운영자에게 보고하여야 한다. 이 경우 권한관리자와 세입시스템 운영자는 즉시 해당 사용자가 세입시스템을 사용하지 못하도록 조치한 후 세입시스템 사용기록을 점검한 후. 권한관리책임자에게 그 결과보고와 함께 이상 유무에 따라 적절한 조치를 취하여야 한다.
제11조(접근권한 점검·관리)
제11조(접근권한 점검·관리) ① 기관의 조직개편·인사발령·사무분장의 변경 등으로 사용자의 접근권한을 변경해야 할 경우, 권한관리책임자는 그 변경된 인사 내역에 따라 지체 없이 접근권한을 변경하여야 한다.② 권한관리자는 세입시스템 및 세입정보에 대한 접근권한 관리의 적절성 및 접근권한의 오·남용 여부를 매월 세 번째 수요일(사이버·보안 진단의 날)에 자체점검하고 그 결과를 권한관리책임자에게 보고하여야 한다.
제12조(운영실태 점검 및 개선권고)
제12조(운영실태 점검 및 개선권고) ① 시의 권한관리책임자는 정보유출 방지 및 접근권한 관리 업무를 효율적으로 수행하기 위하여 자치구의 사용자 접근권한 관리 실태를 정기적으로 점검할 수 있으며, 개선사항에 대한 조치를 권고할 수 있다.② 자치구 권한관리책임자는 운영실태 점검에 따른 개선 권고사항을 이행하여야 하며, 조치결과를 세입시스템 관리자에게 보고하여야 한다.
제13조(사용내역 기록)
제13조(사용내역 기록) ① 세입시스템 관리자는 사용자가 비공개 대상정보를 생성·수정·삭제·열람 등을 하고자 하는 경우 다음 각 호의 사항을 포함하는 세입정보 사용 내역을 기록으로 남길 수 있도록 세입시스템을 구축·운영하여야 한다.1. 사용자 접근 기록 및 사용 시간2. 사용자 식별 정보3. 사용자가 생성·변경·열람·삭제한 정보의 내역4. 세입시스템 관리자가 생성·변경·열람·삭제한 정보의 내역5. 그 밖에 접근권한의 오·남용 및 세입정보 유출 여부를 검증하기 위해 필요하다고 판단되는 정보
제14조(사용기록의 보관)
제14조(사용기록의 보관) ① 세입시스템 관리자는 세입시스템 또는 세입정보 사용내역에 대한 기록은 저장매체를 이용하여 최소한 3년 이상 보관하여야 한다.② 세입시스템 관리자는 사용내역에 대한 기록이 변경되거나 삭제될 수 없도록 세입시스템을 구축하고 시 권한관리책임자의 사전 승인이 없는 한 세입시스템에 접근할 수 없도록 하여야 한다.
제15조(준용)
제15조(준용) 이 규정에 명시되지 않은 사항은 다음의 관련 규정 및 지침에 따른다.1. 「개인정보 보호법」2. 「전자정부법」3. 「보안업무규정」4. 「서울특별시 보안업무 처리규칙」5. 「행정기관 정보시스템 접근권한 관리 규정」6. 「개인정보의 안정성 확보조치 기준」7. 「국가 정보보안 기본지침」