전자서명인증 업무준칙

- 제.개정 이력 -

1. 소개
1.1 개요
1.1.1 배경 및 목적
주식회사 케이티(이하 “KT”라 한다)는 전자문서의 안전성 및 신뢰성을 확보하고, 그 이용을 활성화하기 위하여 제정된 전자서명법에 의거 전자서명인증사업자로서 인증시스템을 구축하여 운영하고 있습니다.
본 전자서명인증업무준칙(이하 “준칙"이라 한다)은 전자서명법(이하 “법”이라 한다), 동법 시행령(이하 “시행령”이라 한다), 동법 시행규칙(이하 “시행규칙”이라 한다), 과학기술정보통신부 전자서명인증업무 운영기준(이하 “운영기준”이라 한다)에 근거하여 인증서비스 제공에 관련한 필요한 사항을 정하고 전자서명인증업무 관련 당사자의 책임과 의무를 규정함을 목적으로 합니다.

1.1.2 전자서명인증체계 소개
KT는 안전하고 신뢰성 있는 전자서명인증서비스를 제공하기 위해 인증정책을 수립, 시행 및 감독하는 기관으로서, 인증서의 발급 및 인증관련 기록의 관리, 인증서를 이용한 인증업무 등을 제공하기 위한 전자서명인증체계를 구성하여 관리감독 합니다.

1.1.3 전자서명인증사업자 소개
KT는 1981년 창립 이후, 국내 최대 유무선 통합 통신사 및 디지털 플랫폼 기업으로서 ICT 정보통신분야의 오랜 경험과 높은 기술력을 보유하고 있으며, 2012년 12월 본인확인기관으로 지정되어 휴대폰 본인확인을 비롯한 PASS 브랜드 등의 인증서비스를 제공합니다. 또한 법에 의거하여 전자서명인증센터를 운영하고 전자서명인증서비스(이하 “인증서비스”라 한다)를 제공합니다. 인증서비스와 관련된 전자서명인증사업자 정보는 다음과 같습니다.

1.2 문서의 명칭
본 문서의 명칭은 ‘KT 전자서명인증업무준칙’ 이라 합니다.

1.3 전자서명인증체계 관련자
1.3.1 과학기술정보통신부
과학기술정보통신부는 전자문서의 안정성, 신뢰성 및 전자서명수단의 다양성을 확보하고 그 이용을 활성화하는 등 전자서명의 발전을 위하여 다음과 같은 업무를 수행합니다.
- 전자서명의 신뢰성 제고, 전자서명수단의 다양성 확보 및 전자서명의 이용 활성화
- 전자서명 제도의 개선 및 관계 법령의 정비
- 가입자와 이용자의 권익 보호
- 전자서명의 상호연동 촉진
- 법 제9조에 따른 인정기관 지정 및 제10조에 따른 평가기관의 선정 및 고시
- 그 밖에 전자서명의 발전을 위하여 필요한 사항

1.3.2 인정기관(한국인터넷진흥원)
법 제9조에 따라 지정된 인정기관으로서 다음의 업무를 수행합니다.
- 전자서명인증사업자가 법 제8조(운영기준 준수 사실의 인정)에 따른 자격을 갖추었는지 여부를 확인하여 운영기준 준수사실의 인정 여부 결정
- 전자서명인증사업자에 운영기준 준수 사실을 인정하는 경우 증명서 발급 및 공고

1.3.3 평가기관
전자서명인증사업자의 운영기준 준수 여부를 평가하는 기관으로 과학기술정보통신부 장관이 법 제10조에 따라 지정한 기관을 말하며, 평가기관은 평가를 신청한 전자서명인증사업자의 운영기준 준수 여부에 대해 평가를 하고, 그 결과를 인정기관에 제출하는 업무를 수행합니다.

1.3.4 KT(전자서명인증사업자)
1.3.4.1 역할
KT는 전자서명인증사업자로서 다음의 업무를 수행합니다.
①    인증서비스 제공과 관련된 가입자의 신원확인 업무
②    인증서 발급, 재발급, 폐지 등의 업무
③    인증서 관련 정보 공고
④    실시간 인증서 유효성 확인서비스(OCSP)
⑤    인증서 폐지목록(CRL) 공고
⑥    기타 인증서비스와 관련된 업무

1.3.4.2 책임과 의무사항
①    정확한 정보 제공
KT는 법 제15조(전자서명인증업무준칙의 준수 등)에 따라 가입자 및 이용자에게 인증서의 신뢰성이나 유효성에 영향을 미칠 수 있는 다음의 정보를 인증서비스 홈페이지 또는 KT 공고 시스템에 공고하여 그 사실을 확인할 수 있도록 합니다.
-    인증업무 휴지 또는 폐지
-    전자서명인증사업자 업무의 양도·양수·합병
-    전자서명인증업무준칙
-    인증서에 대한 정보(인증기관 인증서, 인증서 폐지목록(CRL))
-    기타 인증업무 수행관련 정보 등

②    전자서명생성정보의 보호
KT는 법 제19조(전자서명생성정보의 보호 등)에 따라 신뢰할 수 있는 소프트웨어나 하드웨어 등을 이용하여 안전한 방법으로 전자서명생성정보를 생성하며 생성된 전자서명생성정보가 분실·훼손 또는 도난·유출되지 않도록 안전하게 관리합니다.

③    전자서명생성정보 사용의 제한
KT는 법 제7조(전자서명인증업무 운영기준 등)에 따라 인증업무를 제공함에 있어서 전자서명검증정보에 합치하는 전자서명생성정보를 사용합니다.

④    전자서명생성정보 안전조치
KT는 법 제19조(전자서명생성정보의 보호 등)에 따라 KT 전자서명생성정보의 분실·훼손, 도난·유출 등 인증서의 신뢰성이나 유효성에 영향을 미치는 사유가 발생한 사실을 인지하는 경우 가입자에게 이를 지체없이 통보하며, 필요한 경우 당해 전자서명생성정보로 발급한 가입자의 인증서를 폐지합니다.

⑤    신원확인
KT는 법 제14조(신원확인)에 따라 가입자의 신원을 확인하며, 관련 서류를 요청할 수 있습니다.

⑥     부정행위 탐지
“KT”는 전자서명인증서비스를 수행할 때 부정행위 및 이상거래를 탐지할 수 있는 정책을 마련하여 운영하고 있습니다. 

1.3.5 가입자
1.3.5.1 정의
KT로부터 PASS 인증서를 발급받았거나 받으려는 KT PASS 회원을 의미합니다.

1.3.5.2 책임과 의무사항
①    정확한 정보제공
가입자는 법 제14조(신원확인)에 따라 인증서 발급 및 재발급 신청 시 정확한 가입자 정보를 KT에 제공해야 합니다. 아울러 KT가 신원확인을 위하여 관련 서류를 요청하는 경우 가입자는 성실히 협조해야 합니다.

②    인증서의 용도 내 사용
가입자는 정당한 이용 범위 및 용도에 맞게 인증서를 사용해야 합니다. 그리고 인증서를 사용하여 전자서명을 제공할 때에는, 당해 인증서에 포함된 전자서명검증정보에 합치하는 전자서명생성정보를 사용해야 합니다.

③    전자서명생성정보의 보호
가입자는 법 제19조(전자서명생성정보의 보호)에 따라 신뢰할 수 있는 소프트웨어나 하드웨어를 이용하여 전자서명생성정보를 생성하며, 생성된 전자서명생성정보가 분실·훼손 또는 도난·유출되지 않도록 안전하게 관리해야 합니다. 가입자는 가입자의 전자서명생성정보 보호의무 위반으로 인한 손해에 대해 배상할 책임이 있습니다. 

④    전자서명생성정보 안전조치
가입자는 법 제19조(전자서명생성정보의 보호)에 따라 전자서명생성정보가 분실·훼손 또는 도난·유출되었거나 안전하지 않다고 인지하는 경우 지체 없이 KT에 관련 사실을 통보하여 KT가 당해 인증서를 폐지할 수 있도록 협조해야 합니다. 가입자는 가입자의 전자서명생성정보 보호의무 위반으로 인한 손해에 대해 배상할 책임이 있습니다. 

1.3.6 대리인
대리인은 가입자의 인증서비스 관련 업무를 대리하기 위해 가입자로부터 권한을 위임받은 개인(유언집행자, 법정대리인 등) 또는 법인을 의미합니다.
KT는 대리인에 의한 인증서 가입 신청을 받지 않으나, 예외적인 사유에 한해 폐지 신청은 가능합니다.

1.3.7 이용자
1.3.7.1 정의
KT가 제공하는 인증서비스를 이용하여 가입자의 전자서명생성정보와 전자서명검증정보의 합치 여부를 확인하는 또는 확인하려는 자를 말합니다.

1.3.7.2 책임과 의무사항
①    인증서의 사용목적 이해
이용자는 KT가 가입자에게 발급한 인증서의 이용범위 및 용도, 유효기간을 확인하고 목적에 맞게 인증서비스를 이용해야 합니다.
이용자는 고의 또는 과실로 인하여 허위 또는 불법적인 정보를 제공하거나 제3자의 동의 없이 제3자의 정보를 기재함으로써 초래하는 손해에 대하여 전적으로 책임져야 합니다.

②    인증서의 유효성 확인
이용자는 인증서 기재사항 등에 의하여 전자서명의 진위여부를 확인하기 위하여 다음의 조치를 취해야 합니다.
가. 인증서의 유효 여부의 확인
나. 인증서의 폐지 여부의 확인
다. 법 제15조(전자서명인증업무준칙의 준수 등)에 따라 인증서의 이용범위 또는 용도를 제한하는 경우 이에 관한 사항에 대한 확인

1.3.8 인증서서비스 중계기관
1.3.8.1 정의
KT는 KT와 이용자 간 PASS 인증서 서비스를 연동하고 이에 따라 전자서명 요청 및 전자서명인증업무를 중계하는 외부기관을 “인증서서비스 중계기관”으로 지정하여 운영할 수 있습니다. 인증서 서비스 중계기관의 업무는 아래와 같습니다.

1.3.8.2 책임과 의무사항
①    서비스 연동
인증서서비스 중계기관은 이용자가 효율적으로 KT의 PASS 인증서 서비스를 이용할 수 있도록 KT와 이용자 간 시스템을 상호 연동하고 지원하여야 합니다.

②    중계업무의 수행
인증서서비스 중계기관은 가입자에 대한 이용자의 전자서명인증 요청을 KT에게 전송하여 가입자에게 전자서명인증을 수행하게 하고, 이에 따라 가입자가 생성한 전자서명인증 정보를 중계서버를 통해 이용자에게 안전한 방법으로 전송하는 업무를 수행합니다.

③    민원대응
인증서서비스 중계기관은 가입자와 이용자의 PASS 인증서 서비스 이용에 따른 민원에 대응하여야 합니다.

④    배상 및 책임
인증서서비스 중계기관은 본 인증업무준칙상 의무사항을 위반함으로써 KT, 가입자 또는 이용자에게 손해를 입힌 경우 관련 법령 및 본 약관, 인증업무준칙에 따라 KT, 가입자 또는 이용자에게 그 손해에 대해 배상할 책임이 있습니다.

⑤    인증업무준칙의 준수
인증서서비스 중계기관은 KT PASS 인증서 서비스 연동을 위한 중계업무와 관련하여 본 인증업무준칙에서 정한 바에 따라 업무를 성실히 수행할 의무를 가집니다.

⑥    가입자의 개인정보보호
인증서서비스 중계기관은 본 준칙에 따른 중계업무 수행 중 취득한 가입자 또는 이용자의 개인정보를 개인정보보호법 및 관련 법령, 당사의 개인정보처리방침에 따라 보호하고 관련 자료에 대한 보안을 유지할 의무가 있습니다.

1.3.9 인증서서비스 수탁기관
KT는 위수탁 계약을 통해 외부 전문업체에게 전자서명인증시스템 및 PASS인증서 서비스 개발과 운영·유지보수, 고객민원 대응 업무 등의 업무를 위탁할 수 있습니다

1.3.10 등록대행기관
KT는 등록대행기관(Registration Authority)을 두지 않고 인증서 발급, 신원확인을 직접 수행합니다.

1.4 인증서 종류
1.4.1 인증서 발급 대상
KT는 개인에게 인증서를 발급합니다.

1.4.2 인증서의 용도 및 유효기간
KT가 발급하는 인증서의 용도 및 유효기간은 다음과 같습니다.

※ 만 14세 미만의 미성년자는 인증서 발급이 제한됩니다.

1.4.3 인증서의 이용제한
KT가 발급하는 모든 인증서는 발급 시의 용도 및 사업자간 계약 또는 합의된 업무 내에서만 이용되어야 합니다. 발급받은 목적과 용도에 벗어나 부정하게 사용하는 것을 금지합니다. 또한 유효기간이 만료 또는 폐지된 인증서를 사용하여서는 안됩니다.

1.5 준칙의 관리
1.5.1 준칙 제정 및 개정 기관
KT는 준칙을 제정하고 인증 정책의 일관성을 유지하기 위한 개정을 관리합니다.

1.5.2 준칙의 개정 관리
본 준칙의 변경이 필요하다고 판단한 경우에 이를 개정합니다. 또한, 본 준칙이 개정된 경우 다음의 내용을 포함한 준칙의 개정 관련 기록을 유지/관리하여야 합니다.
-    준칙의 버전
-    적용 업무 및 범위의 개요
-    준칙의 개정 기록(개정된 기존 준칙의 규정, 개정 내용, 개정 사유 등)
준칙을 개정하는 경우에는 개정 준칙을 적용 7일 이전까지 인증서비스 홈페이지에 게시하고 이에 따라 전자서명인증업무를 수행합니다. 이때 개정된 준칙과 이전 준칙의 조회기능을 제공하며, 효력발생일을 명시합니다.

1.5.3 준칙 수립 및 개정 담당자
본 준칙의 제·개정에 대한 책임과 권한은 인증업무관리책임자에게 있으며, 기술적 또는 절차적인 변경 등의 사유가 발생할 경우 법률검토 등 유관부서 검토 및 인증업무관리책임자의 승인을 받아 개정합니다.
-    관리부서 : KT 전자서명인증팀
-    전자우편 : pass.cert@kt.com
-    주소 : 서울특별시 종로구 종로3길 33 KT 광화문빌딩 East
-    전화 : 100번, 휴대전화 114+통화(무료)

1.5.4 준칙의 공지
KT는 제·개정된 준칙을 인증서비스 홈페이지 내에 공고합니다.

1.5.5 준칙에 대한 가입자 동의
회사는 본 준칙을 개정할 수 있습니다. 가입자는 변경된 준칙의 공고 이후 30일 내(공고일 포함)에 서면 또는 E-mail로 이의를 제기할 수 있습니다.

1.6 정의 및 약어
본 준칙에서 사용되는 용어 및 약어는 전자서명법 및 그 하위 법령에 의거하여 해석 및 적용됩니다.
①    “전자문서”란 정보처리시스템에 의하여 전자적 형태로 작성ㆍ변환되거나 송신ㆍ수신 또는 저장된 정보를 말합니다.
②    “전자서명”이란 다음 각 목의 사항을 나타내는데 이용하기 위하여 전자문서에 첨부되거나 논리적으로 결합된 전자적 형태의 정보를 말합니다. 가. 서명자의 신원 나. 서명자가 해당 전자문서에 서명하였다는 사실
③    “전자서명생성정보”란 전자서명을 생성하기 위하여 이용하는 전자적 정보를 말합니다.
④    “전자서명수단”이란 전자서명을 하기 위하여 이용하는 전자적 수단을 말합니다.
⑤    “전자서명인증”이란 전자서명생성정보가 가입자에게 유일하게 속한다는 사실을 확인하고 이를 증명하는 행위를 말합니다.
⑥    “인증서”란 전자서명생성정보가 가입자에게 유일하게 속한다는 사실 등을 확인하고 이를 증명하는 전자적 정보를 말합니다.
⑦    “전자서명인증업무”란 전자서명인증, 전자서명인증 관련 기록의 관리 등 전자서명인증서비스를 제공하는 업무를 말합니다.
⑧    “전자서명인증사업자”란 전자서명인증업무를 하는 자를 말합니다.
⑨    “가입자”란 전자서명생성정보에 대하여 전자서명인증사업자로부터 전자서명인증을 받은 자를 말합니다.
⑩    “이용자”란 전자서명인증사업자가 제공하는 전자서명인증서비스를 이용하는 자를 말합니다.
⑪    “전자서명검증정보”란 전자서명을 검증하기 위하여 이용하는 전자적 정보를 말합니다.
⑫    “전자서명인증시스템”이란 전자서명인증서비스를 제공하기 위해 운영하는 시스템을 말합니다.
⑬    “가입자 소프트웨어”란 KT에서 제공·운영하는 인증서를 발급, 재발급, 폐지, 관리하고 가입자가 전자서명인증서비스를 받을 수 있는 소프트웨어를 말합니다.
⑭    “신뢰저장환경(WB SE: WhiteBox Crypto Secure Element)”이란 모바일 단말에서 가입자 전자서명생성정보를 안전하게 저장·관리하기 위한 영역으로, WhiteBox 기반의 Software 저장 공간을 말합니다.
⑮    “DN(Distinguished Name)”이란 가입자 객체를 명확히 구별할 수 있도록 부여하는 고유한 이름을 말합니다. 유일한 인증서를 소유하는 것을 식별하기 위한 표준화된 식별 명칭을 말합니다.
16    “CRL(Certificate Revocation List)”이란 인증서가 유효하지 않음을 증명하는 인증서 폐지목록을 말합니다.
17    “CSR(Certificate Signing Request)”이란 인증서 발급을 위해 필요한 정보를 담고 있는 인증서 신청 형식 데이터를 말합니다.
18    “금융계좌 점유인증”이란 KT가 획득한 실명정보와 가입신청자가 입력한 계좌 명의자 정보가 일치하는 경우, 해당 계좌로 1원을 송금하고 입금자명의 문자열을 활용하여 본인 명의의 계좌가 개설되어 있고 해당 계좌에 접근이 가능함을 확인하는 신원확인 수단을 말합니다.
19    “PASS 앱”이라 함은 KT에서 제공하는 모바일 애플리케이션 서비스로서 본인확인, 전자서명인증 등 다양한 인증서비스를 제공하는 애플리케이션을 말합니다.
20    “인증서 갱신발급”이란 인증서가 유효한 갱신 기간 내 가입자의 신청에 따라 기존 인증서를 폐지하고 유효기간이 갱신된 새로운 인증서를 발급하는 기능을 말합니다. 
21    “인증서 재발급”이란 기존 인증서 효력 여부를 떠나, 가입자의 신청에 따라 기존 인증서를 폐지하고 새로운 인증서를 발급하는 기능을 말합니다. 

2. 전자서명인증업무 관련 정보의 공고
2.1 공고 설비
①    KT는 인증서, 인증서 유효성 확인 정보 등 전자서명인증업무와 관련된 정보를 공고하는 설비를 이중화 구성(Active-Active)으로 안정적으로 운영 관리합니다.
②    KT는 전자서명인증업무 관련 정보를 정확히 제공하기 위해 관련법령에 따라 공고설비를 안전하게 운영 관리합니다.

2.2 공고 방법
KT는 준칙을 포함하여 인증업무와 관련된 정보를 누구든지 확인 가능한 인터넷을 통해 공고하며, 공고위치는 다음과 같습니다.
-    인증서비스 홈페이지(이용약관 등) : https://ktpass.kt.com
-    인증업무준칙 : https://ktpass.kt.com/cert/digitalsignature
-    인증서 폐지목록 : 가입자 인증서 CRL Distribution Points에 기재된 URL을 통해 해당 CRL 다운로드함
-    인증서 유효성 확인서비스 : http://ocsp.cert.kt.com (이용자와의 별도 계약에 의해 제공할 수 있음)

2.3 공고 주기
인증서 발급 및 관리 등에 관련된 정보는 처리 후 공고하며, 인증서 폐지목록(CRL)은 최대 24시간을 주기로 갱신·공고합니다. 주기는 변경될 수 있으며, 변경이 발생하는 경우 당해 사실을 KT 인증서비스 홈페이지에 공고합니다.

2.4 공고된 정보에 대한 책임
KT는 인증업무준칙 및 서비스이용약관 등에 따라 폐지된 인증서의 공고 누락에 의해 가입자 또는 이용자에게 손해를 입힌 때에는 법 제20조(손해배상책임)에 따른 책임을 집니다.

3. 신원확인
3.1 가입자 이름 표시 방법
인증서 가입자를 구별하기 위한 가입자 이름 표시 방법은 X.500에서 정한 DN(Distinguished Name) 규격을 따르며, 가입자 실명과 가입자별 유일한 식별정보를 통해 생성된 고유값을  CN(Common Name)에 기입함으로써 유일성을 보장합니다.

3.2 인증서 신규발급 시 신원확인
KT가 가입자의 신원을 확인할 때에는 법 제14조(신원확인)와 시행령 제9조(신원확인의 방법)에 따라 본인임을 확인하기 위해 신원정보의 진위 및 주체를 확인하는 절차를 거칩니다.
①    KT는 본인확인기관의 휴대폰 본인확인서비스와 인증서비스를 이용하고자 하는 본인명의로 가입된 휴대폰 개통정보 확인을 통해 신원을 확인합니다.
②    또한, 금융기관의 전자금융거래 가입자임을 확인하기 위해 금융계좌 점유인증으로 가입자의 예금주 성명 및 계좌 보유 확인 정보를 이용하여 신원을 확인합니다.
③    가입자를 등록하거나 인증서를 발급하기 전에 인증서의 이용범위, 전자서명의 효력, 가입자 전자서명생성정보 및 인증서의 생성 및 보관 등에 대한 이용약관을 가입자와 이용자에게 앱 화면 제시를 통해 안내하고 이용약관 동의 절차를 거칩니다.

3.3 인증서 갱신발급, 재발급 및 변경 시 신원확인
KT는 인증서 갱신발급 및 변경 기능을 제공하지 않습니다. 인증서 재발급 시에는 ‘3.2 인증서 신규발급 시 신원확인’과 동일한 절차로 신원을 확인합니다.

3.4 인증서 효력정지, 효력회복, 폐지 시 신원확인
KT는 인증서 효력정지, 효력회복 기능을 제공하지 않습니다.
①    인증서 폐지는 KT PASS 앱 > 인증서 > 상세 메뉴에서 삭제를 선택하여 가입자가 직접 폐지하며, 가입자가 KT PASS 앱을 통해 직접 인증서를 폐지하는 경우에는 PASS 앱에 등록한 PIN 번호 또는 생체인증으로 본인확인을 수행하고 인증서 PIN 번호를 입력하여 처리합니다. 
②    KT 고객센터를 통해 인증서 폐지 요청시는 별도의 가입자 신원확인 절차를 거친 후 관리자에 의해 인증서를 폐지 처리합니다.

4. 인증서 관리
4.1 인증서 발급 신청
신청 주체는 국내에 거주하는 개인이며, 이 신청 주체가 직접 KT에 인증서 발급을 신청합니다. 가입자는 KT PASS 앱의 인증서 발급 요청 기능을 실행한 후 인증서의 이용범위, 전자서명의 효력 등에 대한 이용약관에 동의 후 발급 신청 처리가 시작됩니다.

4.2 인증서 발급 신청 처리
4.2.1 인증서 발급 처리
KT PASS 앱을 이용하여 다음 절차에 의해 인증서 발급을 신청하면 KT는 법에 따라 가입자 신원확인을 수행한 후 인증서를 발급합니다.
①    가입자가 KT PASS 앱을 통해 인증서비스 이용약관 동의 후 가입 신청
②    가입자가 휴대폰 본인확인 수행
③    가입자가 본인명의의 계좌를 통해 계좌소유인증 수행
④    KT는 위의 절차를 통해 가입자의 신원 확인을 수행한 후, 가입자가 제출한 전자서명검증정보의 유일성과 정보의 합치 여부 확인을 통하여 전자서명생성정보의 소유자가 가입자 본인임을 확인

4.2.2 인증서 발급 제한
KT는 다음 어느 하나에 해당하는 경우에 인증서 발급을 제한하거나 거절할 수 있습니다.
①    만 14세 미만의 가입자
②    타인의 명의를 도용하여 신청하였거나 그렇다고 의심되는 경우
③    인증서 발급절차 상 허위 사실을 입력하였거나 그렇다고 의심되는 경우
④    통신장애 등의 기술상 문제로 인증서를 발급하지 못하는 경우
⑤    도난/분실/유출된 정보를 이용하여 신청 또는 발급하였거나 그렇다고 의심되는 경우
⑥    PASS 앱 실행 불가상태 또는 추가인증 등에 실패한 경우

KT는 인증서 발급에 제한이나 거절 사유가 없는 한 PASS 앱을 이용하여 인증서 발급을 신청한 가입자에게 즉시 인증서를 발급합니다.

4.3 인증서 발급 절차 및 보호 조치
4.3.1 인증서 발급 절차
인증서 발급신청을 받은 KT는 인증서를 발급하기 전에 인증서 발급신청 내용에 대해 다음의 검증을 실시함으로써 전자서명생성정보가 가입자에게 유일하게 속함을 확인합니다.
①    CSR, 신청내용 등을 이용한 가입자 및 전문 위·변조 확인
②    가입자가 제출한 CSR 내의 전자서명검증정보의 유일성 확인
③    KT가 발급한 유효한 인증서 중에 동일한 전자서명검증정보가 없음을 확인
④    가입자가 제출한 전자서명검증정보에 합치하는 전자서명생성정보 소유여부 확인
⑤    인증서에 등록될 정보의 정확성 확인

KT는 인증서 발급신청 내용에 대한 검증 후, 인증서 발급신청이 정당한 가입자에게 다음의 사항이 포함된 인증서를 발급·전송합니다.
①    가입자의 이름
②    가입자의 전자서명검증정보
③    가입자와 KT가 이용하는 전자서명 방식
④    인증서의 일련번호
⑤    인증서의 유효기간
⑥    인증서 발급자인 KT의 명칭 (인증기관임을 확인할 수 있는 정보)

KT가 발급하는 인증서는 DN으로 서로 구분될 수 있습니다.
KT는 인증서 신청등록 시 가입자가 등록한 명칭으로 인증서, CRL 내의 기본영역에 사용될 명칭을 구성하며 당해 명칭의 구성방식은 국내외 표준을 따릅니다. 가입자가 신청등록 시 등록 가능한 명칭은 실명을 원칙으로 합니다.

4.3.2 인증서 발급 시 가입자 정보 보호조치
KT는 인증서 발급 신청을 위해 사전에 가입자 정보에 대한 동의를 득한 후 정보통신망을 통해 전송하며, 모든 가입자 정보는 HTTPS(TLS 암호화) 통신을 이용하여 안전하게 전송함으로써 가입자 정보의 기밀성과 무결성 등을 보장합니다.

4.4 인증서 수령
가입자는 KT가 제공하는 가입자 소프트웨어를 이용하여 KT가 생성한 인증서를 HTTPS 암호통신망을 통해 수령한 후 휴대폰의 신뢰저장환경에 안전하게 저장합니다.

4.5 인증서 이용
KT는 가입자가 인증을 수행한 후 전자서명생성정보를 이용할 수 있도록 기능을 제공합니다.
KT는 가입자가 자신의 전자서명생성정보를 이용하여 전자서명을 생성 할 때마다 가입자 인증을 수행합니다. KT는 이용자가 가입자(서명자)의 신원을 식별할 수 있도록 전자서명검증과 인증서 유효성검증이 모두 완료되면 연계정보(CI)를 제공합니다.
가입자는 ‘1.3.5.2 책임과 의무사항’의 내용을 준수하며, ‘1.4.2 인증서의 용도 및 유효기간’과 ‘1.4.3 인증서의 이용제한’에 따라 발급받은 인증서의 용도와 유효기간을 확인하여 인증서를 이용하도록 유의하여야 합니다.
이용자는 가입자 인증서를 통한 인증서비스 이용 시 ‘1.3.7.2 책임과 의무사항’의 내용을 준수해야 합니다.

4.6 인증서 갱신발급
인증서 갱신발급은 유효한 갱신 기간 내 가입자의 신청에 따라 기존 인증서를 폐지하고 새로운 인증서를 발급하는 경우에 해당하며, KT는 인증서 갱신 발급 기능을 제공하지 않습니다.

4.7 인증서 재발급
인증서 재발급은 기존 인증서 효력 여부를 떠나 인증서가 발급된 상태에서 가입자가 신규 발급을 신청하는 경우에 해당하며, 기존 인증서가 폐지되고 신규로 인증서가 발급됩니다. 발급절차는 ‘4.2 인증서 발급 신청 처리’와 동일하게 진행합니다.

4.8 인증서 변경
KT는 인증서 변경 기능을 제공하지 않습니다. 가입자의 등록 정보가 변경된 경우에는 ‘4.7 인증서 재발급’ 절차에 따라 현재 인증서를 폐지하고 인증서를 재발급 받을 수 있습니다.

4.9 인증서 효력정지, 효력회복, 폐지
KT는 인증서 효력정지, 효력회복 기능을 제공하지 않습니다. 인증서 폐지는 인증서 유효기간 만료 전에 가입자의 신청 또는 가입자 신청과 무관하게 KT에서 KT 인증업무 수행의 안전성, 보안성, 신뢰성 등을 위한 부득이한 사유로 인해 인증서의 효력을 영구히 종료하는 것을 말합니다.
가입자의 인증서를 폐지시키는 경우, 인증서의 유효기간 및 종류에 상관없이 그 효력이 신속하게 상실됩니다. 가입자가 KT PASS 앱 메뉴를 통해 인증서를 직접 폐지할 때는 즉시 처리되며, KT 고객센터를 통해 폐지 요청하는 경우에는 업무 처리 가능시간 기준 최대 24시간 이내 처리됩니다. 또한, 인증서 폐지목록(CRL)은 최대 24시간을 주기로 갱신·공고합니다.

4.9.1 폐지 사유
KT는 다음의 사유가 발생한 경우 당해 인증서를 폐지합니다.
①    가입자 또는 그 대리인이 인증서 폐지를 신청한 경우
②    가입자의 명의변경 혹은 기기변경에 따라 단말기가 변경된 경우
③    PASS 앱 초기화 및 삭제, PASS 앱에 등록한 PIN번호 10회 입력을 실패한 경우
④    가입자의 사망 등의 사유가 발생한 경우
⑤    가입자가 부정한 방법(예: 허위정보 제공 등)으로 인증서를 발급 또는 이용한 사실을 인지하였거나, 그 가능성을 객관적으로 인지한 경우
⑥    가입자의 전자서명생성정보가 분실·훼손 또는 도난·유출된 경우
⑦    가입자가 KT의 인증서비스 이용약관 및 본 준칙의 가입자 의무사항을 준수하지 않은 경우 
⑧    가입자가 최근 12개월 간 PASS 앱 서비스 접속이 없으면서 더 이상 KT 이동통신 이용자가 아닌 경우

4.9.2 폐지 신청
가입자는 KT PASS 앱 > 인증서 > 설정 메뉴에서 인증서 삭제를 선택하여 직접 폐지를 요청하거나, KT 고객센터를 통해 인증서 폐지 요청 접수를 할 수 있습니다. 인증서가 발급·저장된 휴대폰 분실 또는 전자서명생성정보의 분실·훼손 및 도난·유출의 경우에도 KT 고객센터를 통하여 인증서 폐지를 신청할 수 있습니다.
가입자가 직접 폐지 신청을 할 수 없는 예외적인 사유(사망, 군입대, 장기체류, 형집행중인자, 행방불명)가 있을 때에는 가입자의 대리인이 폐지 신청을 할 수 있으며, KT 홈페이지(https://www.kt.com)에 게시되어 있는 ‘전기통신서비스 이용기본약관’ 부칙의 별표1 ‘해지청약 구비서류’에 게시되어 있는 대리인임을 확인할 수 있는 구비서류 및 사실관계 입증서류 제출이 요구됩니다.
가입자가 KT PASS 앱 메뉴를 통해 인증서를 직접 폐지할 때는 즉시 처리되며, KT 고객센터를 통해 폐지 요청하는 경우에는 업무 처리 가능시간 기준 최대 24시간 이내 처리됩니다.

4.9.3 인증서 폐지목록(CRL)의 갱신과 공고
KT는 가입자 인증서의 폐지 결과를 반영하여 최대 24시간 주기로 인증서 폐지목록(CRL)을 갱신하고, 갱신 즉시 KT 공고 시스템에 공고합니다.

4.9.4 강제 폐지에 따른 공지
KT는 ‘4.9.1 폐지 사유’에 따라 인증서를 강제로 폐지하는 경우 당해 가입자에게 전화 또는 문자메시지(LMS) 및 기타 방법을 이용하여 해당 사실을 통지합니다. 가입자에게 직접 통지가 불가한 경우에는 KT 인증서비스 홈페이지 또는 KT PASS 앱을 통해 공지하거나 인증서비스 이용약관 및 개인정보처리방침 등을 통한 사전 공지로 갈음할 수 있습니다.

4.10 인증서 유효성 확인 서비스
인증서 유효성 확인 서비스(OCSP)란 전자서명인증체계에서 인증서비스 이용의 신뢰성 확보를 위한 인증서 유효성 확인 기능 제공을 위해 요구되는 실시간 인증서 상태 확인 프로토콜(OCSP, Online Certificate Status Protocol)을 의미합니다.
이용자는 이 서비스를 이용하여 KT에서 발급한 인증서의 유효성을 실시간으로 검증할 수 있습니다.
이용자는 KT와 이 서비스 이용계약을 체결하고 서버인증서를 발급받아 자신의 웹서버에 설치해야 합니다. 이와 관련된 소프트웨어는 KT의 기술 협력사로부터 지원받을 수 있습니다.
이 때 서비스 이용수수료, 이용계약의 해지, 기타 제공 조건 등은 상호 협의된 계약내용에 따릅니다.
KT는 인증서 유효성 확인 서비스를 표준 OCSP 프로토콜뿐 아니라, 별도의 API 서비스를 통해서도 제공할 수 있습니다.

4.11 서비스 가입 해지
가입자가 KT PASS 앱 회원탈퇴 및 이용약관 동의를 철회할 경우 자동으로 서비스 가입이 해지됩니다. KT PASS 앱 회원탈퇴 및 서비스 가입 해지는 이용약관이 정하는 바에 따르며, 관련된 인증서 정보와 가입자의 개인정보는 KT PASS 개인정보처리방침에 따라 파기합니다.

4.12 기타 부가 서비스
기타 부가 서비스는 제공되지 않습니다.

5. 시설 및 운영 관리
5.1 물리적 보호조치
5.1.1 시설 위치와 구조
KT 전자서명인증센터는 2곳의 데이터센터에 메인센터와 DR센터로 구분하여 구축되어 있으며, 데이터센터 내의 다른 시스템과 물리적으로 분리되어 있습니다.

5.1.2 물리적 보호 조치
5.1.2.1 운영실의 격실 분리
KT는 다음의 인증시스템을 별도의 운영실로 분리합니다.
①    최상위 인증기관 전자서명생성정보, 인증서 생성관리 및 중계 인증기관 인증서 발급 기능을 제공하는 시스템은 별도의 운영실에 분리
②    가입자정보 관리 기능을 제공하는 시스템, 인증기관 전자서명생성정보 관리, 가입자 인증서 생성·발급 기능을 제공하는 시스템은 동일 운영실에 설치할 수 있으나 다른 시스템과는 별도 운영실로 분리
③    인증서 공고기능을 제공하는 시스템, 인증서 상태확인 기능을 제공하는 시스템은 동일 운영실에 설치할 수 있으나 다른 설비와는 별도 운영실로 분리

5.1.2.2 물리적 접근통제
KT는 외부로부터의 침입이나 불법적 접근시도 등의 물리적 위협으로부터 인증시스템 등이 설치된 장소를 보호하기 위하여 다음과 같은 물리적 접근 통제를 수행합니다.
①    KT의 인증시스템은 별도의 통제구역 내에 설치·운영
②    KT의 출입통제 시스템은 신원확인카드, 지문인식 등을 다중으로 결합하여 통제구역에 대한 접근통제 운영
③    KT는 인증시스템의 물리적 접근통제를 위하여 보안 케이지 내에 설치
④    KT는 하드웨어 보수 등의 업무수행을 위하여 외부인이 인증시스템 운영실 등에 출입할 경우에 반드시 담당관리자가 동행
⑤    KT는 출입통제시스템과 연계하여 통제구역 출입내역을 기록하고 정기적으로 그 기록을 검토
⑥    KT는 다음의 감시통제시스템을 설치하며 이상상황 발생시 경보 및 인접시설 간 유·무선 연락기능을 확보
-    CCTV 카메라 및 모니터링 시스템 설치·운영
-    침입감지시스템

5.1.3 물리적 잠금장치
KT는 주요 저장·기록 매체를 접근이 제한된 장소의 내화 금고에 저장하여 물리적으로 접근을 통제합니다.

5.1.4 화재, 수재, 정전방지 및 방호
5.1.4.1 화재 예방
KT는 인증시스템 운영실 등에 대한 화재예방을 위하여 필요한 화재 탐지기, 화재 소화장치 등을 설치하고 있습니다.

5.1.4.2 수재 방지
KT는 인증시스템, 침입차단시스템 및 네트워크설비, 전원접속장치 등이 물에 노출되지 않도록 바닥으로부터 60cm 떨어진 위치에 이격하여 설치하고 있습니다.

5.1.4.3 정전 방지
KT는 갑작스러운 정전으로 인한 시스템의 심각한 피해를 방지하기 위하여 무정전 전원 공급장치(UPS)를 이용하며, 별도의 자가발전기를 설치하여 안정적으로 전원을 공급합니다.

5.1.4.4 방호
인증시스템 운영실의 외벽(인증시스템 운영실의 외부와 맞닿은 면)은 인증업무의 제공에 필수적으로 요구되는 인증시스템을 외부 침입으로부터 보호할 수 있도록 설계합니다.
①    외벽은 내부가 노출되지 않도록 마감
②    외벽은 천장, 바닥까지 완벽하게 마감
③    창문이 있는 경우 강화유리 또는 강화필름으로 코팅한 유리를 사용

5.1.5 항온•항습, 통풍 및 기타 보호설비
5.1.5.1 항온•항습, 통풍
인증시스템 운영실은 24시간 항온·항습을 유지하기 위하여 온·습도 측정이 가능하도록 항온항습기를 설치·운영하며, 통풍창은 통풍창으로 사람이 통과할 수 없도록 차폐막을 설치합니다.

5.1.5.2 기타 보호설비
인증시스템 운영실 내에 물리적인 침입을 감지하고 이를 경보하여 주는 장치를 다음과 같이 설치합니다.
①    침입감지장치에 이상이 생겼을 경우 이를 감지하는 기능
②    침입감지장치가 침입을 감지하였을 경우 관리자에게 즉각 알리는 기능

5.1.6 시설 및 장비의 폐기처리 절차
KT는 시설 및 장비 등을 폐기하는 경우 기술적·관리적 및 물리적 조치를 통하여 정보복구가 불가능한 방법으로 폐기합니다.
특히, 전자적 파일 형태인 경우에는 복원이 불가능한 방법으로 영구 삭제합니다. 이외의 기록물, 인쇄물, 서면, 그 밖의 기록매체인 경우에는 파쇄 또는 소각합니다.
복원이 불가능한 방법이란 현재의 기술수준에서 사회통념상 적정한 비용으로 파기한 정보의 복원이 불가능하도록 조치하는 방법을 말합니다.

5.1.7 원격지 백업설비 안전운영
KT는 재난상황 대비와 전자서명생성정보 등 주요 인증업무 관련 자료를 안전하게 백업하기 위하여 메인센터로부터 직선거리 100km 이상 떨어진 원격지에 물리적인 출입통제장치, 감시시스템 등 보호설비를 갖춘 DR센터를 구축하여 운영하고 있습니다.

5.2 절차적 보호조치
5.2.1 업무의 종류와 업무 분장
KT는 인증업무의 안전성과 신뢰성을 확보하기 위하여 인증업무 수행인력을 역할별로 분리하여 조직하며, 해당 인력은 ‘5.3.1 자격요건’에서 정한 자격 및 경력을 갖추고 아래 업무를 수행합니다.
①    인증업무 관리책임자(CA Head, CAH)는 전자서명인증 업무를 총괄하며, 인증업무 정책, 사업연속성계획, 재해복구계획 등을 승인합니다.
②    인증정책 관리자(Policy Administrator, PA)는 인증업무 정책 수립, 등록, 유지 및 개정을 하며, 인증관리 담당자에 대한 인증업무 교육 등 정기적인 교육을 수행합니다.
③    보안관리자(Security Administrator, SA)는 인증기관 시스템과 인증서비스에 대한 보안정책 수립과 관리업무를 수행하며, 인증업무 직무자들에 대한 정보보안 교육을 수행 또는 관리합니다. 또한, 보안사고에 대응하고 정보유출 또는 침해사고시 원인분석 및 조치를 수행합니다.
④    내부감사자(Internal Auditor, IA)는 인증서 신규 발급 및 관리에 대한 정기적인 내부감사를 수행합니다. 또한, 인증서서비스 중계기관에 대한 운영내역 감사를 수행합니다.
⑤    키 관리자(Key Manager, KM)는 암호화 모듈 장비를 관리하고 적절한 장소에 보관합니다. 암호화 모듈 장비 관련된 키 생성 데이터를 내화금고에 안전하게 보관하며, 해당 데이터 사용이 적절하게 수행되었는지 확인합니다. 암호화 모듈 활성화에 필요한 접근권한(m of n) 담당자에게 필요한 물품 및 정보를 제공하고 관리합니다. 또한 인증기관 키 생성/보관/운반/마이그레이션/파기 등 세부 절차 및 규정에 따라 키 관리 업무를 수행합니다.
⑥    다자인증 권한자(Quorum Authenticator)는 인증시스템 다자인증 카드의 소유자로, 다자인증이 필요한 업무수행시 m of n 인증을 수행합니다. 또한, ROOT CA와 CA 다자인증 권한자는 엄격히 분리하며, 인증업무 관리책임자에 의해 공식적으로 업무 담당자를 지정합니다.
⑦    ROOT CA 관리자(ROOT CA Administrator)는 ROOT CA 시스템을 관리하고, CA인증서 폐지목록(ARL)을 발급 및 관리합니다.
⑧    CA 관리자(CA Administrator)는 인증 시스템(CA)에서 인증서 신규 발급/재발급/폐지를 수행하고 관리하고, 인증서 폐지목록(CRL)을 발급하고 관리합니다.
⑨    RA 관리자(RA Administrator)는 등록관리시스템(Registration Administration System)에서 가입자 인증서 신규 발급/재발급/폐지 등 가입자 요청 정보를 등록 및 관리합니다.
⑩    가입자 신원확인 담당자(Validation Specialist, VS)는 가입자가 제출한 신청서 및 신원확인 자료를 수령하고 국내법 또는 전자서명인증사업자 규정에 따른 신원확인 절차를 수행합니다. 또한, 온라인으로 가입자 신청 및 신원확인이 처리되면 해당 내역을 확인하고 감시하며, 비정상적인 신청 또는 신원확인 이슈 발생시 내부보고 및 승인 후 처리합니다.
⑪    웹 사이트 관리자(Website Manager, WM)는 인증기관(CA) 웹사이트를 운영하고 관리하며, 인증업무준칙(CPS), 사용자 이용약관 등을 웹사이트에 게시하고 관리합니다. 개인정보보호지침 등 공개가 필요한 규정 및 규칙을 공개하고 관리합니다. 이 외 필요하다고 판단되는 정보에 대해 내부 승인을 득한 후 공개하고 관리합니다.
⑫    개발관리자(Development Manager, DM)는 인증업무에 필요한 개발 관련 업무를 수행 및 관리하며, 국내외 국제 기술표준 및 필요에 의한 기술요건을 분석하고, 시스템 및 어플리케이션에 적용합니다. 또한, 테스트용 인증서를 발급 및 관리하고, 인증시스템 감사로그에 해당업무가 기록되는지 확인합니다.
⑬    금고관리자(Safe Manager)는 전자서명인증센터 내 금고를 관리합니다.
⑭    개인정보 관리자(Personal Information Manager)는 인증서 서비스의 개인정보 보호정책의 수립과 관리의무를 수행하며 이행여부를 점검합니다. 또한, 관련 법 준수를 위한 규정과 정책에 기반하여 인증업무 직무자들에 대한 개인정보 보호 교육을 수행 또는 관리합니다.
⑮    운영자(Operator, OP) 중 운영책임자는 전자서명인증시스템에 대한 운영업무를 총괄하며, 운영자의 작업계획을 승인하는 등 관리/감독 업무를 수행합니다. 또한, 인증서서비스 중계서버 운영책임자를 통해 인증서서비스 중계서버 운영 현황을 관리하고 주기적인 점검을 수행합니다. 전자서명인증시스템 운영자는 전자서명인증시스템을 구성하는 네트워크, 시설 및 장비, DBMS, 미들웨어 등을 운영 및 관리하고 유지보수 업무를 수행합니다. 인증서서비스 중계서버 운영자는 인증서서비스 중계서버를 구성하는 네트워크, 시설 및 장비, DBMS, 미들웨어 등을 운영 및 관리하고 유지보수 업무를 수행합니다.
16   개발자(Developer)는 PASS 인증시스템 개발을 위한 IT개발 업무 요건 분석 및 어플리케이션 요구사항을 정의, 분석, 설계합니다. 어플리케이션 개발 및 시험 후 상용시스템에 적용하여 정상 서비스 동작 여부를 검증합니다.

5.2.2 업무분리 원칙의 준수
KT는 인증업무 운영시의 신뢰성 및 보안성 확보를 위하여 다음과 같이 업무분리 원칙을 준수합니다.
①    전자서명생성정보의 생성, 백업, 복구 등의 업무는 3인 이상의 권한 있는 직원이 공동으로 수행합니다.
②    인증서 발급 및 관리 업무는 2인 이상이 공동으로 수행합니다.
③    동일 시스템에 대한 운영자 및 내부감사자의 역할을 구분하고 접근통제를 시행합니다.

5.2.3 업무 담당자 현황 및 담당자 인증 방법
5.2.3.1 업무 담당자 현황
KT 인증업무 주요 업무 담당자 현황은 아래와 같으며, 직무기술서와 업무분장표에 의해 세부업무별 담당자를 지정하고 업무 권한과 책임을 부여합니다.

5.2.3.2 담당자 인증 방법
KT의 인증업무 담당자는 신원확인카드와 지문인증 기반의 다중인증 방법으로 보호되는 통제구역에 대한 출입을 통제하고, 인증업무시스템의 접근은 인증업무에 대한 업무분장표에 따라 업무 접근을 통제합니다.

5.3 인적 보안
KT는 직원 채용 시 신원조사를 실시하고 있으며, 인증시스템 운영인력의 자격과 자질을 분기별 1회 조사하고 동 사항의 유지여부를 지속적으로 관리합니다.

5.3.1 자격 요건
KT는 인증업무에 필요한 시설 및 장비의 운영인력으로서 다음의 요건을 갖춘 자를 확보합니다.
①    정보통신기사·정보처리기사 및 전자계산기조직응용기사 이상의 국가기술자격 또는 이와 동등 이상의 자격이 있다고 과학기술정보통신부가 인정하는 자격을 갖출 것
②    과학기술정보통신부가 정하여 고시하는 정보보호 또는 정보통신 운영·관리 분야에서 2년 이상 근무한 경력이 있을 것

5.3.2 교육 및 업무 순환
①    KT는 보호조치에 대하여 소속직원이 관련내용을 숙지할 수 있도록 내부교육 등의 필요한 조치를 취합니다.
②    KT는 보안관리자 및 보안실무자, 인증시스템을 관리하는 직원이 연 1회 이상 정보보호관련 내부 또는 외부교육을 이수하도록 합니다.
③    KT는 인증시스템을 관리하는 직원에 대하여 업무상 취득한 기밀사항의 준수에 관한 서약서를 작성하여 날인하도록 합니다.
④    KT는 업무환경의 변화 등으로 인하여 보호조치의 수정·보완이 필요한 경우, 이를 지체 없이 보완합니다.
⑤    KT는 인증시스템을 관리하는 직원이 인사이동 또는 퇴직하는 경우에는 내부규정에 따라 계정삭제 및 저장매체 반납 등의 적절한 조치를 취하도록 합니다.

5.3.3 비 인가된 행위에 대한 처벌
비 인가된 행위에 대하여 KT는 내부 규정이 정하는 바에 따라 해당 직원을 징계합니다.

5.4 감사 기록
5.4.1 감사기록의 유형 및 보존기간
KT는 인증업무 운영과 관련된 기록과 인증시스템, 출입통제 시스템, 네트워크 보안 시스템에서 생성되는 다음의 사건에 대한 세부내역을 감사기록에 5년간 보존합니다.
①    가입자정보의 입력·접근·변경·삭제
②    전자서명생성정보의 생성·접근·파기
③    인증서의 생성·발급·폐지
④    가입자 인증서의 등록 및 관리
⑤    인증시스템의 시작과 종료
⑥    계정의 추가 및 삭제
⑦    사용자 권한 변경
⑧    로그온(logon) 및 로그오프(logoff)
⑨    기타 인증시스템 관리자의 주요 활동

5.4.2 감사기록 보호조치
KT의 내부감사자는 인증시스템의 감사기록을 조회하고 관리합니다.
각 시스템의 감사기록은 내부감사자가 총괄 관리하며, 시스템의 각 업무담당자는 각자의 업무에 대한 감사기록만을 열람할 수 있습니다.
또한, 내부감사자가 분기 1회 감사기록에 대한 적정성 및 기록이력을 검토하고 인증업무 관리책임자에게 승인을 받습니다.

5.4.3 감사기록 백업주기 및 절차
KT는 각 인증시스템의 감사기록을 분기별 1회 백업하여 원격지 시설 내 저장장치에 보존합니다.

5.5 기록 보존
5.5.1 보존기록의 유형 및 보존기간
KT는 인증업무를 수행함에 있어 다음 사항에 대해 당해 인증서 효력이 소멸된 날로부터 5년 동안 기록·보존합니다.
①    인증서 발급 및 관리 등 인증업무
②    인증시스템 등의 운영업무
③    연계정보 송수신 시간 및 대상

5.5.2 보존기록의 보호조치
KT는 보존기록에 대해 물리적 및 절차적, 인적 통제를 통해 보호조치를 취하고 있으며, 조회가 필요할 경우 인적 통제를 통한 인가된 관리자의 업무범위에 한정시키며 내화금고 또는 시건 장치가 구비된 캐비닛에 보관하여 보존기록의 위·변조 및 훼손을 방지하도록 보호합니다.
KT는 ‘5.5.1’의 기록을 인증업무를 수행하는 시설과 해당 시설로부터 100km 이상의 원격지 저장설비에 각각 1부씩 보존합니다.
보존기간이 만료된 기록은 복구 불가능하도록 안전하게 파기합니다.

5.5.3 보존기록의 백업주기 및 백업절차
KT는 보존기록을 천재지변 및 기타 재난 발생시 보존기록의 손실 및 파괴에 대비하여 원격지 저장 설비에 분기별 1회 백업하여 저장합니다.

5.5.4 보존기록의 시간 기준
KT는 보존되는 모든 기록의 정확성을 유지하기 위해 NTP 서버와 정기적으로 시간을 동기화 하고 있습니다.

5.6 전자서명인증사업자의 전자서명생성정보 갱신
KT는 자신의 전자서명생성정보가 갱신될 경우 갱신된 KT 인증서를 공고 시스템에 게시함으로써 이용자에게 배포하고, 가입자 인증서 발급·재발급 시 가입자 소프트웨어를 통해 KT 인증서를 내려줌으로써 가입자에게 배포합니다.

5.7 장애 및 재난 복구
KT는 인증시스템 장애 및 전자서명생성정보 유출 등에 따른 인증업무의 중단 또는 그와 동등한 사고와 자연재해(테러, 화재, 홍수, 지진 등), 기술적 재해(Hardware, Software 장애, 전력, 통신망 등)를 대비한 보호 조치를 위하여 신속한 대응 및 복구체제를 구축하고 있습니다.

5.7.1 장애 및 재난 유형별 처리 및 복구
KT는 인증서비스 장애 및 재해 시 장애 및 재해 유형별로 전파 및 복구를 진행합니다.

5.7.1.1 인증업무 장애 유형
①    다음의 장애 유형은 ‘주의’의 비상상황 등급으로 분류합니다.
- 인증시스템의 장애, 오작동 등으로 인한 장애
- 웜, 바이러스, DDos 공격 등으로 인한 장애

②    다음의 장애 유형은 ‘경계’의 비상상황 등급으로 분류합니다.
- 해킹 등 침해사고에 의한 가입자 전자서명생성정보 유출
- 인증서 발급서비스 장애

③    다음의 장애 유형은 ‘심각’의 비상상황 등급으로 분류합니다.
- 가입자 인증서 발급에 사용하는 전자서명생성정보 유출 및 손상
- 해킹 등 침해사고에 의한 가입자 전자서명생성정보가 대량 유출되어 부정 사용되는 사고 발생
- 인증서 유효성 확인 서비스 장애

5.7.1.2 인증업무 장애 유형별 복구
①    웜, 바이러스, DDos 공격 등으로 인한 장애의 경우 관련 침입차단시스템을 이용하여 해당 IP 및 포트를 차단하고, 침입탐지시스템을 통한 모니터링 강화조치를 취합니다.
②    해킹으로 인한 가입자 인증서 유출의 경우 유출된 가입자의 인증서를 폐지하고 가입자에게 통보합니다.
③    웜, 바이러스, DDos 공격 및 해킹 등에 대비하여 방화벽, 침입탐지시스템, 보안S/W, ID, PASSWORD 관리 및 S/W의 최신패치로 방어하며, 피해 발생 시 백업데이터로 복구합니다.
④    논리적 장애 발생 시 장애이전시점 복구 기능을 이용하여 복구합니다.
⑤    시스템 접근 가능 IP통제, 서버보안 S/W 설정 등으로 주요 자원에 대한 접근통제 및 복구체제를 구성합니다.

5.7.2 인증업무 장애방지 등 연속성 보장 대책
①    KT는 인증시스템을 이중화하여 무정지 운영체제를 운영하며 장애의 방지에 최선의 노력을 다합니다.
②    KT는 가입자 인증서 등의 주요 데이터의 훼손·멸실이 발생하였을 경우 백업된 자료를 이용하여 신속히 복구하고 서비스의 연속성을 보장합니다.
③    KT는 연 1회 재해복구 훈련을 실시하며, 전자서명생성정보에 대한 키 복구 관련 도상훈련은 2년, 실복구훈련은 5년 주기로 시행하고 있습니다.
④    KT는 인증업무 운영인력을 주·야간으로 운영하여 연중 무휴로 인증업무를 제공합니다.

5.8 업무 휴지, 폐지, 종료
KT는 전자서명인증사업을 휴지, 폐지 또는 종료하는 경우 다음의 절차를 따릅니다.

5.8.1 인증업무 휴지
자연재해 또는 천재지변이 아닌 불가피한 사정으로 KT가 인증업무의 전부 또는 일부를 휴지하고자 하는 때에는 휴지기간을 정하여 휴지하고자 하는 날의 30일 전까지 서면, 전자우편, 팩스, 전화 또는 이와 유사한 방법 중 하나 이상의 방법으로 가입자에게 해당 사실을 통보하고 이를 홈페이지 또는 어플리케이션을 통하여 게시합니다. 단, 가입자의 연락처를 알 수 없는 등 불가피한 사유가 있는 경우에는 KT 인증서비스 홈페이지에 30일 이상 게시하는 것으로 통보를 갈음합니다.

5.8.2 인증업무 폐지
자연재해 또는 천재지변이 아닌 불가피한 사정으로 KT가 인증업무를 폐지하고자 하는 때에는 폐지하고자 하는 날의 60일 전까지 서면, 전자우편, 팩스, 전화 또는 이와 유사한 방법 중 하나 이상의 방법으로 가입자에게 통보하고 홈페이지 또는 어플리케이션을 통해 게시·안내합니다. 단, 가입자의 연락처를 알 수 없는 등 불가피한 사유가 있는 경우에는 KT 인증서비스 홈페이지에 30일 이상 게시하는 것으로 통보를 갈음합니다.
게시하는 내용에는 가입자의 개인정보 폐기 등 가입자 보호조치를 포함합니다.

6. 기술적 보호조치
6.1 전자서명생성정보 보호
6.1.1 전자서명생성정보 생성
①    KT는 인가된 자만이 전자서명생성정보를 생성할 수 있습니다.
②    KT는 내부 및 외부의 정보통신망과 연결되지 않고 물리적 침해 등으로부터 보호되는 안전한 키 생성시스템 또는 전자서명인증사업자의 시설 및 장비 등에 관한 규정의 기술 규격을 만족하는 하드웨어보안모듈(HSM)에서 전자서명생성정보를 생성합니다.
③    KT는 인증기관 전자서명생성정보를 생성하기 위하여 다자인증 통제 설정을 ‘3 of 5’ 로 하며, 다자인증 통제 설정에 따라 인증을 수행할 수 있는 5명 중 최소 3명이 인증에 성공한 경우에 전자서명생성정보를 생성합니다.

6.1.2 전자서명생성정보의 크기 및 해시 값
KT는 안전하고 신뢰할 수 있는 전자서명 알고리즘을 사용하기 위하여 다음과 같은 크기의 정보 및 해시 값을 이용합니다.
①    최상위인증기관 전자서명생성정보
-    RSA : 4096 비트
-    SHA-256 : 256 비트
②    인증기관 전자서명생성정보
-    RSA : 4096 비트
-    SHA-256 : 256 비트
③    가입자 전자서명생성정보
-    RSA : 2048 비트
-    SHA-256 : 256 비트

6.2 전자서명생성정보 보호 조치
6.2.1 전자서명생성정보 저장
KT는 전자서명생성정보를 안전하게 저장하기 위하여 전자서명인증사업자의 시설 및 장비 등에 관한 규정의 기술 규격을 만족하는 하드웨어보안모듈(HSM)을 이용하여 전자서명생성정보가 분실, 훼손 또는 도난, 유출되지 않도록 안전하게 관리합니다.

6.2.2 전자서명생성정보 이용
KT 및 가입자의 전자서명생성정보는 당해 인증서가 유효한 기간 동안 사용할 수 있습니다. KT는 전자서명생성정보의 생성 및 사용이 종료된 후 지체 없이 시스템 메모리에서 전자서명생성정보를 삭제합니다.

6.2.3 전자서명생성정보 백업 보관
①    KT는 전자서명생성정보를 백업하여 메인센터와 원격지 DR센터 금고에 안전하게 보관합니다.
②    KT는 전자서명생성정보 백업 절차 수행 시, 2인 이상의 권한 있는 업무 담당자가 공동으로 수행합니다.

6.2.4 전자서명생성정보 파기 방법
KT는 인증서의 유효기간이 만료되거나 전자서명생성정보가 훼손·유출되었을 경우 당해 전자서명생성정보를 복구 불가능하도록 완전히 파기합니다.

6.3 전자서명생성정보 및 전자서명검증정보의 관리
KT는 PASS앱 및 신뢰할 수 있는 소프트웨어나 하드웨어(HSM) 등을 이용하여 안전한 방법으로 전자서명생성정보를 생성하며 생성된 전자서명생성정보가 분실•훼손 또는 도난•유출되지 않도록 안전하게 관리합니다.

6.4 데이터 보호조치
KT는 전자서명생성정보의 유출방지를 위하여 전자서명생성정보 생성에 직접적으로 연관된 데이터는 전자서명생성정보 생성 즉시 메모리에서 삭제되며, 기타 데이터를 이용하여 전자서명생성정보를 유추하는 것은 불가능합니다.

6.5 시스템 보안 통제
①    KT는 인증시스템을 이중화하여 구성합니다.
②    KT는 인증업무와 관련된 주요 프로그램 또는 프로세스의 동작여부를 점검할 수 있는 시스템을 설치 운영합니다.
③    KT는 인증시스템의 운영에 필요한 프로그램만을 설치합니다.
④    KT는 인증시스템의 운영체제에서 불필요한 사항은 삭제합니다.
⑤    KT는 인증시스템 운영체제의 문제점 해결을 위한 최신의 패치를 설치하여 운영합니다.
⑥    KT는 인증시스템을 잠금장치가 장착된 보안 케이지에 보관하고, 잠금장치의 열쇠는 별도의 보관함을 마련하여 관리합니다.
⑦    KT는 인증시스템에 대한 논리적인 접근통제를 설정합니다.
⑧    KT는 인증시스템의 추가/폐기/변경에 관한 사항을 자산관리시스템에 기록하고 관리합니다.
⑨    KT는 인증시스템의 추가/폐기/변경에 관한 사항을 내부 지침에 의거 관리합니다.
⑩    KT는 서비스 방해공격을 방지하기 위하여 침입탐지시스템을 사용합니다.
⑪    KT는 네트워크 보안을 위하여 침입차단시스템을 사용합니다.

6.6 시스템 운영 관리
KT는 인증 S/W의 형상관리 등 인증시스템의 운영에 대한 형상관리를 합니다.
①    인증시스템의 S/W 등록에 대한 형상관리
②    인증시스템의 변경사항 등 운영관리에 대한 형상관리

6.7 네트워크 보호조치
①    KT는 인증서 서비스 네트워크를 이중화로 구성하여 장애에 대비하고, 침입차단 및 침입탐지시스템을 사용하여 네트워크를 보호합니다.
②    KT는 침입차단시스템 및 침입탐지시스템을 설치합니다.
③    KT는 인증업무 제공을 위하여 별도의 네트워크 회선을 사용합니다.
④    KT는 침입차단시스템 및 침입탐지시스템에 해당 기능의 소프트웨어만 설치합니다.
⑤    KT는 침입탐지시스템의 침입탐지에 관련된 데이터베이스를 매일 갱신하고, 네트워크관리시스템을 이용하여 인증시스템을 지속적으로 모니터링 합니다.
⑥    KT는 로그기록을 매일 분석하여 침입시도, 네트워크 부하 등을 파악하고 이에 적절하게 대처합니다.
⑦    KT는 침입차단시스템 및 침입탐지시스템에 대한 논리적인 접근통제를 설정합니다.
⑧    KT는 침입차단시스템 및 침입탐지시스템에 대한 추가/폐기/변경에 관한 사항을 자산관리시스템에 기록하고 관리합니다.
⑨    KT는 침입차단시스템 및 침입탐지시스템의 추가/폐기/변경에 관한 사항을 내부 지침에 의거 관리합니다.

6.8 시점확인 서비스 보호조치
KT는 시점확인 서비스를 제공하지 않으므로 해당사항 없습니다.

7. 인증서 형식

7.1 인증서 형식

KT가 발급하는 가입자 인증서는 X.509 v3 인증서 프로파일 규격을 준수합니다.

1) 기본필드

[1] CN=KT PASS CA 1, OU=KT PASS, O=KT CORP, C=KR

[2] CN=가입자실명-고유번호, OU=PERSON, OU=KT PASS, OU=KT CA, O=KT CORP, C=KR

2) 확장필드
 

[1] CPS 변경(‘22년 11월)전 발급된 인증서의 CPSuri : https://fido.kt.com/digitalsignature
 

7.2 인증서 유효성 확인 정보 형식

KT가 생성하는 인증서 폐지목록(CRL)은 X.509 v2 규격을 준수합니다.

1) 기본필드

[1] 효력정지 및 폐지된 인증서가 없는 경우 Revoked Certificates 필드를 생성하지 않음

[2] 아래 ‘3) CRL 엔트리 확장필드’ 참조

[3] 아래 ‘2) CRL 확장필드’ 참조

2) CRL 확장필드

[1] CRLDP 와 동일

[2] IndirectCRL을 사용할 때는 반드시 “TRUE”로 설정.

3) CRL 엔트리 확장필드

7.3 인증서 유효성 확인 서비스 형식

KT는 다음과 같은 내용을 포함하는 인증서 유효성 확인 서비스용 인증서를 사용합니다.

1)    기본필드

‘7.1 인증서 형식의 1) 기본필드’와 동일합니다.

2)    확장필드

8. 감사 및 평가
8.1 감사 및 평가 현황
①    KT는 운영기준 준수 사실의 인정을 받기 위해서는 매년 평가기관의 평가를 받습니다.
②    평가기관은 평가를 신청한 전자서명인증사업자의 운영기준 준수 여부에 대해 평가를 하고, 그 결과를 인정기관에 제출합니다.
③    과학기술정보통신부 장관은 운영기준에 부합한다고 인정하는 국제적으로 통용되는 평가를 정하여 고시할 수 있으며, 전자서명인증사업자가 국제통용평가를 받으면 평가기관의 평가를 받은 것으로 봅니다.
④    운영기준 준수 사실 인정의 유효기간은 인정받은 날로부터 1년으로 합니다.

8.2 평가자의 신원, 자격
①    평가자의 신원 및 자격은 시행령 제5조(평가기관의 선정기준 및 절차 등)에 따라 선정됩니다.
②    평가기관의 전문인력 요건은 전자서명법 시행령 [별표1]에 따릅니다.

8.3 평가 대상과 평가자의 관계
평가기관은 전자서명 법령상 과학기술정보통신부에 의해 ‘피 평가기관에 대한 공정성, 객관성, 신뢰성, 독립성의 확보’한 것으로 인정받은 기관으로 평가자와 평가 대상과는 독립성 등이 유지되고 있습니다.

8.4 평가 목적 및 내용
①    KT는 인정기관으로부터 운영기준의 준수 사실에 대해 인정받기 위해 평가기관으로부터 평가를 받습니다.
②    평가내용은 전자서명인증사업자의 운영기준 준수 여부에 대하여 평가를 하며, 자세한 사항은 평가기관이 정한 세부평가 기준에 따릅니다.

8.5 부적합 사항에 대한 조치
KT는 평가결과 부적합 사항이 있거나, 과학기술정보통신부로부터 법 제17조(시정명령)에 의거하여 시정명령을 받는 경우 운영기준 준수 사실 인정의 유효기간 또는 인정기관에서 권고한 기간 내에 시정조치를 이행합니다.

8.6 결과 보고
평가기관은 평가를 신청한 전자서명인증사업자의 운영기준 준수 여부에 대해 평가를 하고 그 결과를 인정기관에 제출하여야 합니다.

8.7 내부 감사
KT는 전자서명인증업무의 독립성 유지 활동을 위해 전자서명인증업무 관리조직 내 감사업무를 수행하는 내부감사자를 선임하고, 내부감사자는 내규에 따라 내부감사계획 수립, 실행, 결과보고, 조치 등 분기별 1회 정기감사를 수행합니다.

9. 전자서명인증업무 보증 등 기타사항
9.1 수수료
①    가입자가 전자서명인증서비스를 이용하는데 있어서, 가입자에게는 별도의 수수료가 부과되지 않습니다.
②    KT는 이용자에게 인증서비스 이용 등에 대해 이용요금을 부과할 수 있습니다. 이용요금 및 해지시 환불정책은 이용자와의 별도 계약에 따릅니다.

9.2 배상
9.2.1 배상 책임
①    KT는 전자서명인증업무의 수행과 관련하여 가입자 또는 인증서를 신뢰한 이용자에게 손해를 입힌 경우에는 그 손해를 배상합니다. 
②    KT는 신뢰할 수 있는 인증을 획득한 암호화 모듈 및 보안 기술규격을 적용하는 것을 원칙으로 하며, 암호알고리즘, 암호모듈 및 키 운영, 암호알고리즘이 적용되는 메커니즘 등과 같은 전자서명인증시스템 암호 운영 관련 전반에서 가입자 또는 이용자에게 손해가 발생하였을 때에도 책임을 부담합니다

9.2.2 배상책임 면책
KT는 고의 또는 과실이 없음을 입증하면 9.2.1에 따른 배상책임이 면제됩니다. 

9.3 영업비밀
KT는 “부정경쟁방지 및 영업비밀보호에 관한 법률”을 준수하고 있습니다.

9.4 개인정보보호
9.4.1 인증업무 관련정보의 보호범위 및 책임
KT는 인증업무 수행과정에서 얻게 되는 다음의 자료에 대하여 개인정보의 보호를 준수하며, 이를 위반할 경우 관련 법률이 정하는 바에 따라 책임을 집니다. 그러나, KT는 제3자가 법률에서 정한 요건 및 절차에 따라 정보제공을 요구하는 경우 이를 따를 수 있습니다.
①    가입자의 개인정보(본인의 동의가 있거나, 인증서 및 공고 시스템에 공개된 내용 제외)
②    인증업무 관련 전문 기록과 전문에 대한 로그
③    KT에서 생성 또는 보관하는 인증업무 관련 감사자료
④    재해복구대책
⑤    KT 인증업무 운영관련 보안조치
⑥    그 외 개인정보 보호가 필요한 자료

9.4.2 개인정보보호를 위한 조치
KT는 개인정보의 안전성 확보를 위해 다음과 같은 안전성 확보조치를 취하고 있습니다.
①    관리적 조치 : 개인정보보호 관련 규정 및 계획 수립, 개인정보취급자 최소화 및 교육 등
②    기술적 조치 : 개인정보처리시스템 접근통제 및 접근권한 관리, 고유식별정보(연계정보) 등 주요 개인정보 암호화, 네트워크 송수신 구간 암호화, 컴퓨터 바이러스의 피해방지를 위한 백신 프로그램 연계, 키보드 입력 값에 대한 해킹방지를 위해 키보드보안장치 설치 및 운영, 침입탐지시스템 등 보안솔루션 설치 및 운영 등
③    물리적 조치 : 전산실 및 자료보관실 접근통제, 장비 및 자료 반출입 통제 등

9.4.3 개인정보 수집 및 이용목적
KT는 인증서 발급 및 관리, 인증서비스 관련 각종 공고 및 통보, 인증서 부정발급 확인, 부정사용 방지 및 단말기 지정 등의 목적을 위해 법, 시행령 및 시행규칙에서 규정한 정보 등 최소한의 개인정보를 수집하고 있으며, 인증서비스 홈페이지(https://ktpass.kt.com)에 게시된 ‘개인정보처리방침’에 따라 개인정보를 처리합니다.

9.4.4 개인정보보호에 대한 처리방침
KT 인증서비스의 개인정보보호에 관한 사항은 개인정보처리방침을 수립하여 시행하고 있으며, 동 내용은 인증서비스 홈페이지 및 KT PASS 앱에서 확인하실 수 있습니다.

9.5 지식재산권
다음 사항에 대한 지식재산권은 저작권법 등 관련 법률에 따라 KT에 귀속됩니다.
①    KT 인증시스템을 위해 개발된 소프트웨어 및 하드웨어
②    준칙 및 서비스 이용약관
③    기타 관련 법령에 따라 KT에게 권리가 귀속되는 저작물, 상표 등
④    KT가 생성한 전자서명정보

9.6 보증
KT는 본 준칙에 한하여 보증하며, 이 외의 보증사항은 없습니다. 

9.7 보증 예외 사항
KT는 법, 시행령, 시행규칙 및 준칙 ‘9.6 보증’에서 정한 사항 이외의 사항, 즉 가입자의 신용, 가입자정보의 불변성 등을 보증하지 않습니다.

9.8 보험의 보상 범위
KT는 가입자 또는 이용자에 대한 손해배상을 담보하기 위하여 총 한도보상액 10억원인 보험에 가입하고 있습니다.

9.9 배상 한계
KT는 가입자 또는 인증서를 신뢰하는 이용자에게 발생하는 손해에 대해 그 손해를 배상합니다. 다만, KT가 고의 또는 과실이 없는 경우에는 그 배상책임이 면제됩니다.

9.10 준칙의 효력
본 준칙은 2024년 10월 21일부터 시행합니다.
준칙이 개정되면 개정 전 내용은 개정 준칙의 효력발생일에 그 효력이 종료됩니다.

9.11 통지 및 의사소통
KT는 관련자와의 전자서명인증서비스와 관련된 주요 정보의 통지 및 의사소통의 수단으로 전화, 문자메시지(SMS, LMS, MMS), 모바일 어플리케이션 Push메시지, KT인증서비스 홈페이지(https://ktpass.kt.com) 공지 또는 모바일 어플리케이션 서비스 화면 내 게시 등의 방법을 사용합니다. 

9.12 이력 관리
KT는 준칙의 제·개정 이력을 관리하며, 개정된 준칙과 개정 이전의 준칙은 KT인증서비스 홈페이지(https://ktpass.kt.com)에서 열람할 수 있습니다.

9.13 분쟁 해결
9.13.1 법적 효력
전자서명인증체계 관련자에게 전달되는 문서(또는 전자문서)는 아래와 같이 법적 효력을 갖습니다.
- 전자문서 및 전자거래 기본법 제4조(전자문서의 효력)의 각 항에 따른 사항
- 전자서명법 제3조(전자서명의 효력)의 각 항에 따른 사항

9.13.2 분쟁 해결 절차
전자서명인증업무와 관련하여 KT와 가입자 또는 이용자간 분쟁이 발생한 경우 법 제22조(분쟁의 조정)에 따라 전자문서·전자거래분쟁조정위원회에 조정을 신청하여 관련 절차에 따라 신속한 방법으로 분쟁을 해결할 수 있습니다.

9.14 관할 법원
본 준칙은 대한민국의 관계법령에 따라 해석되고 적용됩니다.
KT와 가입자 또는 이용자간의 인증업무와 관련한 분쟁이 발생할 경우 소송의 관할법원은 민사소송법상의 관할법원으로 합니다.

9.15 관련 법률 준수
KT는 전자서명법, 전자서명법 시행령, 전자서명법 시행규칙 및 개인정보보호법, 정보통신망 이용촉진 및 정보보호 등에 관한 법률 등 관련 법령을 준수합니다.

9.16 기타 규정
해당 사항 없습니다.