국가사이버보안기본지침 제52조, 지정 단말기를 통한 온라인 유지보수란?

국가·공공기관 정보화 담당자가 알아야 할 온라인 유지보수 보안 가이드

국가·공공기관에서 운영하는 정보시스템은 장애가 발생하거나 소프트웨어 업데이트, 보안패치, 환경설정 변경 등이 필요할 때 유지보수 작업이 이루어집니다.

과거에는 유지보수 담당자가 서버나 장비가 설치된 장소에 직접 방문하여 작업하는 방식이 일반적이었다면, 현재는 인터넷과 원격 접속 기술을 이용하여 유지보수 업체가 온라인으로 시스템을 관리하는 경우가 많습니다.

하지만 온라인 유지보수는 편리한 만큼 새로운 보안 위험을 발생시킬 수 있습니다.

유지보수 업체의 PC가 공격받거나 계정이 탈취되면 기관의 정보시스템으로 침입하는 통로가 될 수 있기 때문입니다.

이러한 위험을 관리하기 위해 「국가사이버보안기본지침」은 제52조(지정 단말기를 통한 온라인 유지보수)를 두고 온라인 유지보수에 필요한 구체적인 보안대책을 규정하고 있습니다.

특히 2026년 5월 1일 개정된 「국가사이버보안기본지침」에서는 지정 단말기, 다중인증, 온라인 용역 통제시스템 등을 통한 접근통제의 중요성이 더욱 명확하게 제시되어 있습니다.

제52조는 왜 필요한가?

온라인 유지보수의 가장 큰 장점은 시간과 장소의 제약을 줄일 수 있다는 것입니다.

예를 들어 기관의 홈페이지 서버에 장애가 발생했다고 가정해 보겠습니다.

유지보수 업체의 기술자가 기관에 직접 방문하지 않고 인터넷을 통해 서버에 접속하여 장애를 확인하고 설정을 변경할 수 있다면 장애 대응 시간을 크게 줄일 수 있습니다.

하지만 반대로 다음과 같은 문제가 발생할 수 있습니다.

• 유지보수 업체 계정이 탈취될 수 있음

• 유지보수 업체의 PC가 악성코드에 감염될 수 있음

• 원격 접속 경로가 공격자에게 노출될 수 있음

• 작업자가 필요 이상의 시스템 권한을 사용할 수 있음

• 누가 언제 접속했는지 확인하기 어려울 수 있음

• 작업 과정에서 중요 정보가 외부로 유출될 수 있음

따라서 온라인 유지보수는 단순히 "원격 접속 프로그램을 설치하면 되는 업무"가 아닙니다.

핵심은 누가, 어떤 단말기로, 어디에서, 어떤 통제시스템을 거쳐, 어떤 정보시스템에 접속했는지를 통제하고 기록하는 것입니다.

먼저 알아야 할 제51조와 제52조의 관계

제52조를 이해하기 위해서는 바로 앞의 제51조를 함께 볼 필요가 있습니다.

「국가사이버보안기본지침」 제51조는 정보시스템 유지보수와 관련하여 정보시스템 관리자가 직접 또는 용역업체를 활용하여 유지보수할 경우 콘솔 또는 지정된 단말기로부터의 접속만을 허용하도록 규정하고 있습니다.

즉 기본적인 원칙은 다음과 같이 이해할 수 있습니다.

정보시스템 유지보수는 아무 PC에서나 접속해서 수행해서는 안 된다.

그리고 제52조에서는 이러한 지정 단말기를 이용하여 인터넷을 통한 온라인 유지보수를 허용하는 경우 충족해야 할 보안조건을 구체적으로 제시합니다.

따라서 제52조는 온라인 유지보수를 자유롭게 허용하는 규정이라기보다,

"온라인 유지보수가 필요한 경우 어떤 보안통제를 갖추어야 하는가?"

를 규정한 조항이라고 이해하는 것이 좋습니다.

제52조의 적용 대상은?

2026년 5월 1일 개정된 제52조에 따르면, 기관의 장이 온라인 유지보수가 필요하다고 판단하고 유지보수 업체가 정해진 보안대책에 서면으로 동의하는 경우, 일정한 조건 아래 인터넷을 통한 온라인 유지보수를 허용할 수 있습니다.

대상은 민감등급 정보시스템을 포함한 소관 정보시스템이며, 제42조제1항에 따른 보안·네트워크장비는 제외됩니다.

즉 온라인 유지보수는 원칙적으로 필요한 업무를 위해 허용되는 것이며, 유지보수 업체가 원한다고 해서 자동으로 허용되는 방식이 아닙니다.

여기에서 중요한 책임 주체는 각급기관의 장입니다.

기관에서는 온라인 유지보수가 정말 필요한지 판단하고, 요구되는 보안대책을 마련한 후 유지보수 업체가 이를 준수하도록 해야 합니다.

제52조의 핵심 6가지 보안요건

제52조 제1항은 온라인 유지보수를 허용할 경우 다음과 같은 보안대책을 요구합니다.

① 지정된 장소의 지정 단말기에서만 접속

첫 번째 핵심은 접속 단말기를 제한하는 것입니다.

유지보수 업체 직원이 자신의 사무실 PC나 개인 노트북 등 아무 단말기에서나 기관 시스템에 접속하는 방식은 지양해야 합니다.

「국가사이버보안기본지침」은 지정된 장소에 설치된 지정된 단말기에서만 접속하도록 하고, 다중인증 등을 통해 해당 단말기에 대한 접근인원을 통제하도록 규정하고 있습니다.

쉽게 표현하면 다음과 같습니다.

일반적인 원격접속

유지보수 직원 → 인터넷 → 기관 시스템

이 아니라,

통제된 온라인 유지보수

지정 장소 → 지정 단말기 → 인증 → 온라인 용역 통제시스템 → 유지보수 대상 시스템

과 같은 구조를 갖추는 것입니다.

실무적으로 확인할 사항

정보화 담당자는 다음 사항을 확인하는 것이 좋습니다.

• 지정 단말기가 실제로 별도 지정되어 있는가?

• 지정 단말기의 설치 장소가 관리되고 있는가?

• 지정 단말기를 사용할 수 있는 사람이 제한되어 있는가?

• 다중인증이 적용되어 있는가?

• 퇴직자·사업 종료자 등의 접근권한이 즉시 제거되는가?

• 개인 PC나 임의의 노트북으로 접속하는 것을 차단하고 있는가?

지정 단말기는 다른 인터넷 용도로 사용하면 안 된다

두 번째 핵심은 지정 단말기의 전용화입니다.

제52조는 지정 단말기를 온라인 용역 통제시스템 접속 전용으로 운용하고 다른 목적의 인터넷 접속은 차단하도록 요구합니다.

왜 이런 통제가 필요할까요?

지정 단말기에서 일반적인 인터넷 검색, 이메일, 웹사이트 접속, 파일 다운로드 등을 허용하면 악성코드 감염 가능성이 높아지고, 그 단말기가 기관 정보시스템으로 연결되는 보안통로가 될 수 있기 때문입니다.

따라서 온라인 유지보수용 단말기는 일반적인 업무용 PC와 동일하게 운영하기보다는 유지보수 전용 보안 단말기로 생각하는 것이 바람직합니다.

권장되는 관리 방식

• 일반 인터넷 접속 차단

• 불필요한 프로그램 설치 제한

• USB 등 이동식 저장매체 사용 통제

• 관리자 권한 제한

• 최신 보안패치 적용

• 백신·보안제품 운영

• 접속 대상 시스템 제한

• 사용 가능한 유지보수 인원 제한

온라인 용역 통제시스템을 반드시 거치도록 해야 한다

제52조에서 가장 중요한 개념 중 하나가 온라인 용역 통제시스템입니다.

기관이 온라인 유지보수를 허용하고자 할 경우, 「국가사이버보안기본지침」 제26조와 연계하여 용역업체의 온라인 접속을 통제하기 위한 온라인 용역 통제시스템을 구축·운영하도록 하고 있습니다.

온라인 용역 통제시스템은 쉽게 말하면,

유지보수 업체와 기관의 정보시스템 사이에서 접속을 통제하고 기록하는 보안 관문

이라고 이해하면 됩니다.

예를 들어 다음과 같은 구조입니다.

유지보수 업체

↓

지정 단말기

↓

다중인증

↓

온라인 용역 통제시스템

↓

기관 정보시스템

이 구조를 사용하면 유지보수 업체가 기관의 내부 시스템에 직접 접근하는 것을 줄이고 중앙에서 접속을 관리할 수 있습니다.

왜 중간에 통제시스템을 두는가?

온라인 용역 통제시스템을 두는 이유는 크게 네 가지로 생각할 수 있습니다.

첫째, 접근통제

허가된 유지보수 인원만 접속할 수 있도록 통제합니다.

둘째, 접속 대상 통제

특정 유지보수 시스템에만 접근하도록 제한할 수 있습니다.

셋째, 작업 추적

누가 언제 접속했는지 기록할 수 있습니다.

넷째, 사고 조사

보안사고가 발생했을 때 접속기록을 통해 원인을 분석할 수 있습니다.

즉 온라인 용역 통제시스템은 단순한 "원격접속 서버"가 아니라 접근통제와 감사·추적을 위한 보안통제 지점으로 이해하는 것이 좋습니다.

접속 로그는 최소 1년 이상 보관

제52조의 네 번째 핵심요건은 로그 기록입니다.

온라인 유지보수 과정에서 접속사실이 기록되도록 하고, 해당 로그기록을 1년 이상 보관하도록 규정하고 있습니다.

로그는 단순히 "접속했다"는 사실만 기록하는 것으로 끝내기보다는 실제 사고 조사에 도움이 되도록 관리하는 것이 중요합니다.

예를 들어 다음과 같은 정보가 관리 대상이 될 수 있습니다.

• 접속 일시

• 접속 계정

• 접속 단말기

• 접속 IP

• 접속 대상 시스템

• 작업 시간

• 접속 종료 시간

• 인증 결과

• 주요 작업 이력

기관 내부 기준과 사용 중인 통제시스템의 기능에 따라 세부 항목은 달라질 수 있지만, 누가 언제 어떤 경로로 시스템에 접근했는지를 추적할 수 있어야 한다는 것이 핵심입니다.

또한 로그를 저장하는 것만큼 중요한 것이 로그의 위·변조 방지와 접근권한 관리입니다.

유지보수 계약 종료 후에도 보안점검 대상이 된다

제52조는 유지보수 계약 기간 중에만 보안관리를 하는 것으로 끝나지 않습니다.

유지보수 계약 시행일부터 계약 종료 후 30일이 경과하는 날까지의 기간 중 발주기관, 발주기관의 상급기관 및 국가정보원장의 정기 또는 수시 보안점검을 받을 수 있도록 규정하고 있습니다. 불시 점검도 포함됩니다.

따라서 계약서에 단순히 "유지보수 업무를 수행한다"라고만 작성하기보다 온라인 유지보수와 관련된 보안점검 및 협조사항을 명확하게 반영하는 것이 실무적으로 중요합니다.

유지보수 업체의 서면 동의가 중요하다

제52조는 기관이 필요하다고 판단하는 것뿐만 아니라 용역업체가 제시된 보안대책에 서면으로 동의하는 경우를 전제로 하고 있습니다.

따라서 사업 초기부터 보안요구사항을 명확히 해야 합니다.

특히 제13조에서는 온라인 개발 또는 온라인 유지보수가 필요하다고 판단할 경우 관련 보안 준수사항을 제안요청서 등에 포함하도록 규정하고 있습니다.

따라서 RFP나 과업지시서 작성 단계에서부터 다음과 같은 내용을 명시하는 것이 좋습니다.

• 온라인 유지보수 필요 여부

• 지정 단말기 사용

• 다중인증

• 온라인 용역 통제시스템 사용

• 일반 인터넷 접속 차단

• 접속 로그 보관

• 보안점검 수검

• 유지보수 인력 관리

• 보안사고 발생 시 조치

• 사업 종료 시 접근권한 회수

이렇게 해야 사업 수행 단계에서 "업체가 원격접속을 요구하는데 어떻게 해야 하는가?"라는 문제가 발생하는 것을 줄일 수 있습니다.

온라인 용역 통제시스템이 없는 경우는?

제52조에는 중요한 예외가 있습니다.

온라인 용역 통제시스템이 구축되지 않은 기관이라도 온라인 유지보수를 즉시 수행하지 않으면 기관 업무 수행에 현저한 저해가 예상되는 경우에는 공개등급 정보시스템에 한하여 직접 접속하는 온라인 유지보수를 일시적으로 허용할 수 있습니다. 2026년 5월 1일 개정 내용에도 이 예외가 반영되어 있습니다.

여기서 중요한 것은 세 가지입니다.

첫째, 통제시스템이 없다는 이유만으로 일반적인 직접 접속이 허용되는 것은 아닙니다.

둘째, 즉시 유지보수가 필요하고 업무 수행에 현저한 저해가 예상되는 상황이어야 합니다.

셋째, 대상은 공개등급 정보시스템으로 제한됩니다.

따라서 이 조항을 "통제시스템이 없어도 원격 유지보수를 할 수 있다"는 일반적인 예외조항으로 이해해서는 안 됩니다.

재난·위기 상황에는 별도 규정도 있다

2026년 5월 1일 개정된 제52조에는 재난 및 위기 상황에 대한 별도 규정도 신설되었습니다.

제1항의 요건에도 불구하고 「재난 및 안전관리 기본법」 및 「감염병의 예방 및 관리에 관한 법률」 등에 따른 국가 재난 또는 위기 상황에 해당하는 경우, 각급기관의 장은 국가정보원장의 보안성 검토를 통해 국가정보원장과 협의하여 유지보수를 허용할 수 있도록 규정하고 있습니다.

즉 긴급상황이라고 해서 기관이 임의로 보안통제를 모두 생략할 수 있다는 의미는 아닙니다.

오히려 긴급상황에서도 보안성 검토와 협의를 통해 예외적인 유지보수를 관리하도록 한 것입니다.

제52조와 제26조 용역업체 보안은 함께 봐야 한다

온라인 유지보수는 기술적인 접속통제만으로 끝나지 않습니다.

「국가사이버보안기본지침」은 제52조 제3항에서 정보시스템 온라인 유지보수 보안과 관련한 사항에 대해 제26조(용역업체 보안)를 준용하도록 하고 있습니다.

또한 제26조에서는 온라인 유지보수를 허용할 경우 용역업체의 온라인 접속을 통제하기 위한 온라인 용역 통제시스템을 구축·운영하도록 하고 있으며, 보안대책 준수가 미흡하고 시정이 어렵다면 온라인 유지보수 허가를 취소하거나 계약상 해지권에 따라 계약을 해지할 수 있도록 규정하고 있습니다.

따라서 정보화 담당자는 제52조만 단독으로 보는 것보다 다음의 연계구조로 이해하는 것이 좋습니다.

제13조
→ RFP·과업지시서에 온라인 유지보수 보안요구사항 반영

↓

제26조
→ 용역업체 보안관리

↓

제51조
→ 유지보수는 콘솔 또는 지정 단말기에서 접속

↓

제52조
→ 인터넷을 통한 온라인 유지보수 시 구체적인 보안통제 적용

↓

온라인 용역 통제시스템
→ 접속 통제·감사·기록

이렇게 연결해서 관리해야 합니다.

정보화사업 담당자가 사업 단계별로 확인해야 할 사항

사업 기획 단계

먼저 온라인 유지보수가 정말 필요한지 검토합니다.

다음과 같은 질문을 해볼 수 있습니다.

• 해당 시스템은 온라인 유지보수가 필요한가?

• 장애 발생 시 현장 방문 방식으로 대응할 수 있는가?

• 유지보수 대상 시스템의 정보등급은 무엇인가?

• 인터넷을 통한 접근이 보안상 적절한가?

• 온라인 용역 통제시스템을 사용할 수 있는가?

RFP·제안요청서 작성 단계

온라인 유지보수가 필요한 경우 제안요청서와 과업지시서에 관련 보안요구사항을 명확하게 포함합니다.

「국가사이버보안기본지침」 제13조 역시 온라인 개발 또는 온라인 유지보수가 필요한 경우 관련 보안 준수사항을 제안요청서 등에 포함하도록 하고 있습니다.

계약 단계

계약서에는 다음 내용을 명확히 반영하는 것이 좋습니다.

• 지정 단말기 사용

• 접속 가능 인원

• 다중인증

• 온라인 용역 통제시스템 사용

• 접속 로그 관리

• 보안점검 수검

• 보안사고 신고 및 대응

• 사업 종료 시 계정 및 접근권한 회수

운영 단계

실제 온라인 유지보수가 시작되면 다음을 지속적으로 관리해야 합니다.

사람

누가 접속할 수 있는가?

단말기

어떤 PC에서 접속하는가?

경로

어떤 통제시스템을 통해 접속하는가?

권한

어떤 시스템까지 접근할 수 있는가?

기록

접속 및 작업기록이 남는가?

점검

보안점검과 감사가 가능한가?

실무 체크리스트

다음 체크리스트를 활용하면 온라인 유지보수 보안대책을 점검하기 편리합니다.

자주 발생할 수 있는 잘못된 운영 사례

사례 1. 유지보수 업체 직원의 개인 노트북으로 접속

편리하다는 이유로 업체 직원이 자신의 노트북에서 기관 시스템에 접속하는 방식은 지정 단말기 원칙과 맞지 않을 수 있습니다.

사례 2. 지정 단말기에서 일반 인터넷 사용

온라인 유지보수용 단말기로 웹사이트를 자유롭게 접속하거나 이메일을 사용하는 것은 제52조의 전용 운영 취지에 맞지 않습니다.

사례 3. VPN만 설치하면 된다고 생각하는 경우

VPN은 통신구간을 보호하는 기술 중 하나일 수 있지만, 제52조에서 요구하는 지정 단말기, 접근인원 통제, 온라인 용역 통제시스템, 로그관리 등의 전체 보안요건을 VPN 하나로 대체할 수 있다고 단정해서는 안 됩니다.

사례 4. 로그는 저장하지만 실제로 확인하지 않는 경우

로그를 보관하는 것뿐만 아니라 이상 접속이나 비인가 접속을 확인할 수 있는 관리체계가 필요합니다.

사례 5. 계약서에는 온라인 유지보수 관련 내용이 없는 경우

사업자가 선정된 후 업체가 원격접속을 요청하는 상황이 발생하면 보안요구사항을 적용하는 데 어려움이 생길 수 있습니다.

따라서 처음부터 RFP와 계약조건에 관련 보안요구사항을 반영하는 것이 중요합니다.

가장 쉽게 이해하는 제52조

제52조의 핵심을 한 문장으로 표현하면 다음과 같습니다.

"온라인 유지보수를 허용하더라도 아무 곳에서나 아무 PC로 접속하도록 하지 말고, 지정 단말기와 인증, 통제시스템, 로그 및 점검체계를 통해 접속과 작업을 관리하라."

결국 제52조의 핵심은 특정 원격접속 제품을 사용하는 것에 있지 않습니다.

핵심은 접근통제 + 경로통제 + 사용자통제 + 기록관리 + 점검체계입니다.

정보화 담당자를 위한 핵심 정리

「국가사이버보안기본지침」 제52조를 실무적으로 이해할 때는 다음 7가지를 기억하면 됩니다.

① 온라인 유지보수는 필요성이 있는 경우에 허용

② 지정된 장소의 지정 단말기를 사용

③ 다중인증 등을 통해 접근인원을 통제

④ 지정 단말기는 온라인 용역 통제시스템 접속 전용으로 운영

⑤ 유지보수 대상 시스템과의 통신구간을 통제

⑥ 접속 로그를 1년 이상 보관

⑦ 유지보수 기간뿐 아니라 계약 종료 후 30일까지 보안점검에 대응

그리고 온라인 용역 통제시스템이 구축되지 않은 경우의 직접 접속 예외는 업무수행에 현저한 저해가 예상되는 경우의 공개등급 정보시스템에 한정된 일시적 예외라는 점을 반드시 기억할 필요가 있습니다.

온라인 유지보수는 국가·공공기관 정보시스템을 효율적으로 운영하기 위한 중요한 수단입니다.

그러나 원격접속의 편리성만 강조하면 유지보수 업체의 계정 탈취, 악성코드 감염, 비인가 접근, 중요정보 유출 등의 보안위험이 발생할 수 있습니다.

「국가사이버보안기본지침」 제52조는 이러한 위험을 줄이기 위해 지정 단말기 → 인증 → 온라인 용역 통제시스템 → 대상 정보시스템 → 로그 및 점검이라는 통제체계를 중심으로 온라인 유지보수를 관리하도록 하고 있습니다.

따라서 국가·공공기관의 정보화사업 담당자는 온라인 유지보수를 단순한 IT 운영 편의 기능이 아니라 정보시스템 접근권한을 외부 유지보수 인력에게 부여하는 보안업무로 이해할 필요가 있습니다.

특히 사업 기획 단계부터 RFP, 계약, 시스템 구축, 운영, 사업 종료까지 제52조의 요구사항을 연계하여 관리한다면 온라인 유지보수 과정에서 발생할 수 있는 보안 위험을 보다 체계적으로 관리할 수 있습니다.

※ 이 글은 「국가사이버보안기본지침」의 2026년 5월 1일 개정본과 공개된 관련 행정규칙 자료를 바탕으로 이해를 돕기 위해 재구성한 설명입니다. 실제 사업에 적용할 때에는 해당 시점의 최신 지침, 기관 자체 보안지침 및 관련 계약·사업 기준을 함께 확인해야 합니다.