PowerPoint 프레젠테이션

Size: px

Start display at page:

Download "PowerPoint 프레젠테이션"

여원 운
6 years ago
Views:

2 개인정보침해현황 개인정보침해민원신고추이 개인정보침해규모 177,736 건 166,801 건 158,900 건 122,215 건 39,811 건 54,832 건 18,206 건 23,333 건 25,965 건 35,167 건 2005 년 2006 년 2007 년 2008 년 2009 년 2010 년 2011 년 2012 년 2013 년 2014 년 출처 : 개인정보침해신고센터

3 개인정보보호처리단계별위반사례 1. 수집이용 2. 업무위탁관련 3. 개인정보파기 4. 안전조치의무 5. 기타사항 3

4 개인정보보호이용 제공시위반사례 최근 3 년동안공무원 257 명이개인정보불법열람으로적발 이중 28 명은해고됨

5 전 ( 全 ) 공공기관개인정보보호실태점검 카드사유출사고와관련하여국민적불안감이증가됨에따라사전예방적차원에서전공공기관에대해자체개인정보보호일제점검추진 대상 : 중앙부처, 지자체, 교육청 ( 소속 산하기관포함 ) 기간 : ( 금 ) ( 금 ) <2 주간 > 내용 : 제 3 자제공, 위탁, 접근권한관리등 13 개분야 64 개항목 접속기록항목 : 시스템접속시 2 3 개항목 (ID, 일시, IP) 은관리하나, 업무수행 ( 열람 수정 삭제 인쇄등 ) 내역관리 접근권한관리전보 퇴직등인사이동시사용자계정에대한권한부여 변경 말소내역을기록하고 3 년간보관 접속기록관리 : 통상 2 3 개월단기저장 관리하는접속기록을 6 개월이상저장 관리접속기록보관 : 접속기록이위 변조및도난, 분실되지않도록시스템이외의별도보조저장장치에안전하게보관 필수고지사항 : 정보주체동의에따라개인정보수집 이용시필수고지항목 (4 개 ) 중 동의거부권등 누락

6 공공부문개인정보보호실태점검결과 (1) 개인정보보호범정부 TF 주관으로각부처별로 < 개인정보보호실태점검단 > 구성하여실태점검실시기간 : 월 월 ( 서면전수조사 취약분야중심현장점검 ) 내용 : 제 3 자제공, 위탁, 접근권한관리등 13 개분야 64 개항목및자체가감 관리 유통측면 : 과도하게수집 보존하면서관리 감독은미흡 - 기존의서식에의거반복하여관행적으로수집, 참고용항목까지필수항목으로과다하게수집 - 분쟁대비등을이유로보존기간을장기로설정, 목적달성후에도혹시몰라서 ( 관행적으로 ) 파기를지연 - 취급자 수탁자, 시스템담당자등에대한교육및관리 감독이미흡하고정기또는수시실태조사및점검미실시 기술적측면 : 시스템의기능 제어상보호조치한계점노출 - 시스템접속기록이대부분기본사항 (ID 일시 IP) 만관리되고유출확인등에필요한업무수행내역 ( 열람 출력등 ) 은미관리 - 전보 퇴직등인사이동시시스템접근권한을즉시부여 변경 말소하지않거나그내역을 3년보다 ( 표준지침 ) 짧은기간보관 인프라측면 : 조직 인력및예산등전반적환경이열악함 - 다른업무병행등개인정보보호전담인력 조직이없고구체적인현장상황에서응용 적용하는전문성이낮음 - 주민번호의암호화조치, 해킹방지, 모니터링등을위한각종시스템 S/W 구축 도입등에필요한예산이부족

7 공공부문개인정보보호실태점검결과 (2) 관리 유통측면 : 수집 보존 파기등원점에서전반재검토필요 - 즉시시정조치 : 관행적 과도항목삭제등수집서식개선, PC 등의임시저장자료 파기, 취급자 수탁자대상교육실시 - 중장기개선중 : 파일별수집항목 보유기간적정성재검토, 주민번호처리근거 마련또는생년월일대체, 정기 수시점검강화 기술적측면 : 신종해킹 침해방지를위해시스템개선필요 - 즉시시정조치 : 대량조회시사전승인조치, 전보자등접근권한현행화및 보안서약서징구, 전산실등출입통제강화 - 중장기개선중 : 시스템의성능향상및보안 S/W 도입, 접근통제시스템 ( 방화벽 등 ) 설치, 업무망 / 인터넷망분리추진인프라측면 : 인력 전문성보강및조직정립, 예산확대필요 - 즉시시정조치 : 전문성강화, 신속대응을위해침해사고대응매뉴얼배포, 내부 관리계획수립및개인정보처리방침현행화 - 중장기개선중 : 개인정보보호전담인력 조직확충, 주민번호암호화및보안 시스템설치등예산확보추진

8 2014 년개인정보보호관리수준진단결과 (1) ( 목적 ) 공공기관의개인정보보호관리체계및개인정보침해예방활동등을종합적으로진단하여공공분야전반의개인정보보호수준향상도모 ( 내용 ) 관리체계구축, 보호대책시행, 침해사고대책등 3개분야, 12개지표에대한기관별평가 (2015년신규지표추가 ) 구분 대상 종합평균 ( 전년대비 ) 분야별 관리체계보호대책침해사고대책 전체평균 422개 87.91(1.37 ) 중앙부처 44개 95.62(4.37 ) 광역자치단체 17개 94.84(6.72 ) 지방공기업 135개 89.98(5.27 ) 기초자치단체 226개 시범운영 (50 개 ) : 중앙부처산하기관 (87.75 점 )

9 2014 년개인정보보호관리수준진단결과 (2) ( 결과 ) 개인정보파일관리, 이용 제공절차수립등은양호 위탁업무에따른관리감독, 시스템의안전한이용및관리등은개선필요 분야 [3] 진단지표 [11] 평균중앙광역기초공기업산하 관리체계구축 개인정보보호기반마련 [ 전담조직. 인력. 예산 ] 위탁업무에따른개인정보보호활동 개인정보보호교육추진 개인정보보호책임자의역할수행 보호대책수립. 시행 개인정보이용. 제공절차운영 개인정보파일관리 개인정보영향평가수행 영상정보처리기기설치및운영 개인정보침해사고대책 개인정보노출방지및자율개선 개인정보침해사고대응절차수립 개인정보처리시스템의안전한이용및관리

10 관리수준진단에따른보완필요사항 (1) 개인정보를취급하거나처리하는위탁업무는 457 개기관 (97%) 시행 - 수탁업체를대상으로개인정보보호교육, 감독업무를수행하는비율은 50% 수준에불과 위탁계약목적 위탁업무문서화 위탁업무목적및범위 재위탁제한 수탁자교육및관리감독 개인정보가분실, 도난, 유출, 변조또는훼손되지않도록정기적으로수탁자를교육 안전성확보조치 ( 기술적, 관리적보호조치 ) 처리금지 손해배상 관리현황점검등감독 수탁자가개인정보를안전하게처리하는지를 정기적으로감독 - 개인정보처리현황및실태, 목적외이용및제공, 표준개인정보처리위탁계약서 ( 안 ) 은개인정보보호종합지원포털 (privacy.go.kr) 의자료실에서확인 재위탁여부, 안전성확보조치여부등

11 관리수준진단에따른보완필요사항 (2) 442개기관 (94%) 개인정보침해사고대응체계수립 운영 - 기초, 지방공기업, 산하기관등일부기관대응체계미수립 387개기관 (87%) 취급자에게침해사고대응절차를전파 - 중앙, 기초, 지방공기업, 산하기관등일부기관전파실적없음 개인정보처리시스템은 465개기관 (99%) 에서보유기관단위의접근권한정책은 409개기관 (88%) 이수립 운영 - 접근권한정책보완필요 - 처리시스템에대한접속기록점검실적이없음

[ 참고 ] 개인정보처리시스템관리 접근권한및접속기록 접근권한관리 접속기록관리 책임자 : 전체권한부여차등부여예 ) 읽기, 쓰기, 변경 취급자 : 업무목적에따라최소한의범위로부여예 ) 읽기 전보, 퇴직등인사이동시권한삭제해당계정을변경및말소 정기점검, 후속조치 사용자별수행한명령기록

12 [ 참고 ] 개인정보처리시스템관리 접근권한및접속기록 접근권한관리 접속기록관리 책임자 : 전체권한부여차등부여예 ) 읽기, 쓰기, 변경 취급자 : 업무목적에따라최소한의범위로부여예 ) 읽기 전보, 퇴직등인사이동시권한삭제해당계정을변경및말소 정기점검, 후속조치 사용자별수행한명령기록 사용자의접속상태 사용자들의정보 ( 로그인, 로그아웃, 재부팅 ) 등점검 불법적인접근방지를위한대책마련등후속조치이행 접근권한부여, 변경, 말소에대한내역기록및보관 (3 년 ) 이력관리 기록관리 접속 ID, 날짜및시간, IP주소, 수행업무등을저장 (6개월이상) 정기적으로백업을수행

13 개인정보보호현장점검현황 점검및행정처분총괄현황 ( 단위 : 개소, 건 ) 구분 합계 검사기관 * ,267 처분기관 ** ,039 위반건수 ** ,705 * 현장점검및온라인점검을포함한건수임 *, ** 검사월기준통계이며, 행정처분진행중인사항이있어변동가능

개인정보보호현장점검주요내용 위반주체, 위반내역및조치내용별세부현황 CCTV 설치 운영위반 ( 25) 안전조치미흡 ( 29) ( 단위 :

152, 172) 116 < 주요위반사항 > 동의방법위반 ( 22) 과도한개인정보수집 ( 16) 개인정보미파기 ( 21) 침해,

14 개인정보보호현장점검주요내용 위반주체, 위반내역및조치내용별세부현황 CCTV 설치 운영위반 ( 25) 안전조치미흡 ( 29) ( 단위 : 개소, 건 ) 위 수탁위반 ( 26) 137 동의없는수집이용 ( 15, 17, 23, 24) 128 고지의무불이행 ( 152, 172) 116 < 주요위반사항 > 동의방법위반 ( 22) 과도한개인정보수집 ( 16) 개인정보미파기 ( 21) 침해, 훼손및누설 ( 34, 59) CCTV 설치 운영 2. 개인정보보호안전조치 3. 위 수탁에따른사항 4. 수집및고지방법및절차 5. 개인정보미파기 열람 정정 삭제위반 ( 35, 36, 37) 6 * 기타 ( 28, 30, 31, 32, 33) * 취급자감독 (28조), 처리방침공개 (30조), 보호책임자지정 (31조), 개인정보파일등록 (32조), 개인정보영향평가 (33조)

15 2015 년중점검점추진사항 개인정보처리 IT 수탁사검사 개인정보를집중적으로처리하는 IT수탁사에대한검사강화 2014년 1개 IT수탁사가 788개위탁사 ( 고객 ) 의개인정보처리 1개 IT 수탁사가 2만개병의원개인정보시스템유지보수 IT수탁사로하여금위탁사의개인정보처리시스템개선이행계획서징구및개선추진 개발단계부터개인정보보호법준수관리강화 자율점검후검사 업종별주요협 단체와공동으로자율점검실시후검사추진자율점검추진후개선필요사항에대한자율적인개선유도향후개인정보보호현장검사시자율적인개선계획이행여부확인자율적인이행을실시한기관의경우, 행정처분유예등인센티브제공으로, 자율적인개인정보보호법이행을유도

16 13 년행정처분사례 ( 공공부문 ) 기관명위반사항위반내용처분결과 공사 구청 시청 구의회 연구원 기관 기관 위탁관리 안전조치 유출통지 위탁관리 안전조치 위탁관리 안전조치 위탁관리 안전조치 안전조치 처리방침 위탁관리 안전조치 위탁관리 안전조치 위탁계약시필수사항문서미반영 개인정보업무위탁시수탁사미공개 비밀번호의일방향암호화적용위반 고유식별정보송 수신시암호화미적용 안전한비밀번호작성규칙미적용 개인정보유출통지미흡 위탁계약문서상필수포함항목일부누락및개인정보처리수탁사미공개 수탁사관리 감독일부소홀 ( 교육미실시 ) 비밀번호전송시암호화미적용 위탁계약시홈페이지등수탁사미공개 외부에서관리자페이지접속시안전한접속수단미적용 비밀번호전송시암호화미적용 위탁계약문서상필수포함항목일부누락및수탁사미공개 외부에서관리자페이지접속시안전한접속수단미적용, 홈페이지개인정보노출 고유식별정보전송시암호화미적용 외부에서관리자페이지접속시안전한접속수단미적용, 안전한비밀번호작성규칙수립및적용미흡 고유식별정보및비밀번호저장 전송시암호화미적용 개인정보처리방침공개시필수항목일부누락 위탁계약시필수포함항목전부누락및수탁사미공개 개인정보처리시스템의계정공유 ( 접근권한관리미흡 ) 고유식별정보전송시암호화미적용 위탁계약시필수포함항목전부누락 고유식별정보및비밀번호전송시암호화미적용 기관경고, 과태료부과, 시정명령등 공사 수집절차 위탁관리 안전조치 개인정보수집시동의절차미흡 위탁문서상필수항목누락 수탁사관리 감독미흡 개인정보처리시스템접속로그저장 보관미실시

17 14 년행정처분사례 (1) ( 민간부문 ) 수집 이용, 제공시동의및고지의무위반 개인정보과도수집및서비스거부금지 개인정보의파기의무위반 개인정보수집동의를받는방법위반 개인정보수집시정보주체의동의미획득 홈페이지상담게시판 ( 제품관련문의, 고객상담 ) 에서개인정보 ( 성명, 연락처, 이메일 ) 수집시동의미획득 개인정보수집시필수고지사항 * 미고지 * 고지항목 (4 개 ) : 수집이용목적, 수집항목, 보유이용기간, 미동의시불이익고지 개인정보의필요최소한수집 과도한수집금지 홈페이지회원정보수집후준영구보유 ( 이용및보유기간을수집목적에맞게조정필요 ) 민원처리, 수수료정산명분으로개인정보를과도수집보관 수취인확인의유일정보로보기어려운지문정보까지과도수집 최소한의정보외의수집에미동의시재화또는서비스제공 홈페이지에서선택정보인주소수집에미동의시회원가입절차가정지되어서비스이용제한됨 보유기간경과, 처리목적달성후개인정보미파기 홈페이지에서탈퇴한회원정보일부또는전부미파기 보유기간을경과하거나수집목적을달성한개인정보미파기 동의시필수 / 선택등구분동의방법위반 홈페이지에서주민번호와여권정보를일반정보와구분않고일괄동의받음 홈페이지에서일반정보와마케팅활용정보를구분않고일괄하여동의받음 제공동의시수집이용과구분동의미실시 선택적사항미동의시서비스거부금지위반 홈페이지에서선택정보인여권번호수집에미동의시회원가입절차가정지되어서비스이용제한 마케팅활용목적미동의시회원가입제한

18 14 년행정처분사례 (2) ( 민간부문 ) 공개된장소에 CCTV 설치목적위반 불법영업단속을회피할목적으로총 9 대의 CCTV 설치 운영 CCTV 설치 운영시안내판 * 설치위반 * 필수사항 (3 개 ) : 설치목적및장소, 촬영범위및시간, 관리책임자의성명및연락처 / 영상정보처리기기설치 운영위탁시수탁자의명칭및연락처 영상정보처리기기 (CCTV) 설치 운영위반 개인영상정보의안전성확보조치위반가영상정보에대한접근권한및접근통제미흡나안전한저장 전송기술미적용 수사목적영상정보제공시암호화하지않고 로전송다물리적보호조치미흡 DVR 보관장소에별도의잠금장치미설치 영상정보처리기기운영 관리방침수립 * 미흡 * 필수사항 (7 개 ) : 설치근거목적, 설치대수위치촬영범위, 책임접근권한자, 확인방법장소, 열람등요구조치, 안전조치 영상정보처리기기운영관리방침수립시필수사항일부또는전부누락 영상정보처리위탁에따른조치 * 미흡 * 필수사항 (7 개 ) : 위탁목적범위, 목적외처리금지, 기술적관리적보호조치, 재위탁제한, 안전성확보조치, 관리현황점검감독, 손해배상 영상정보처리위탁시필수반영사항을문서 ( 계약서 ) 에일부또는전부누락 영상정보관리대장기록 관리미흡 * 표준지침제 46 조 ( 이용제 3 자제공파기의기록및관리 ) 상정보제 3 자제공후파기여부등확인소홀

19 14 년행정처분사례 (3) ( 민간부문 ) 개인정보처리위탁시준수사항위반 위탁시필수사항 * 을문서 ( 계약서 ) 에미반영 * 필수사항 (7 개 ) : 위탁목적범위, 목적외처리금지, 기술적관리적보호조치, 재위탁제한, 안전성확보조치, 관리현황점검감독, 손해배상 위탁시필수사항을문서에일부또는전부누락 개인정보처리수탁사를미공개 수탁자를홈페이지에공개하지않음 수탁자 00 개소중 0 개소공개누락 수탁사교육및실태점검등관리 감독소홀 개인정보보호수탁사교육및실태점검등관리감독미실시 개인정보취급자에대한감독위반 개인정보의안전성확보조치 * 의무위반 개인정보처리방침의수립및공개위반 개인정보취급자에대한교육미실시 * 조치사항 (6 개 ) : 내부관리계획수립, 접근통제및접근권한제한, 저장전송시암호화, 접속기록보관, 보안프로그램설치, 물리적보호조치 개인정보처리방침수립및공개시필수항목 * 누락 * 필수항목 (8 개 ) : 처리목적, 처리및보유기간, 제 3 자제공, 위탁, 정보주체권리의무및행사방법, 처리항목, 파기사항, 안전성확보조치

20 홈페이지서식점검결과 (1) 내용 : 민간협 단체홈페이지점검 ( 의료, 보험업, 여행업, 복지시설, 자동차학원등 ) 기간 : 월 ~11 월 <9 개월 > 번호점검내용주요지적사항 ㅇ홈페이지게시판등에서개인정보수집에따른고지없이개인정보수집 ㅇ홈페이지에서실제수집하는개인정보의항목과개인정보수집에따른고지내용의개인정보 1 2 수집 이용시필수사항고지방법제3자제공시필수사항고지방법 항목이불일치ㅇ개인정보수집에따른고지내용으로 개인정보처리방침 의내용을그대로링크ㅇ개인정보수집필수항목과선택항목을구분하지않고기술ㅇ고지사항중 4번째사항인 개인정보제공거부권리및그에따른불이익 에대한내용미고지ㅇ고지사항중 5번째사항인 개인정보제3자제공거부권리및그에따른불이익 에대한내용미고지 3 동의사항에대한동의방법 ㅇ개인정보수집에따른동의시 미동의 칸없이 동의 란만제공 ㅇ홍보및마케팅목적으로개인정보를수집하면서별도의구분동의없이개인정보수집 선택적동의사항또는서비스ㅇ선택정보제공미동의시회원가입이불가하다는문구를고지내용으로사용 4 홍보목적의개인정보처리ㅇ개인정보수집화면에서개인정보수집필수항목과선택항목에대한구분없이개인정보수집 미동의시서비스제공거부 ㅇ선택정보미제공시다음화면으로진행되지않도록홈페이지개발 운영

21 홈페이지서식점검결과 (2) 번호점검내용주요지적사항 6 고유식별정보처리시별도ㅇ외국인등록번호등수집하면서별도의구분동의미적용동의및필수사항고지방법 7 법에근거한주민등록번호 처리 ㅇ법적인근거없이홈페이지를통한회원가입, 자원봉사신청, 후원신청시주민등록번호수집 ㅇ홈페이지에공개한오프라인서식 ( 자원봉사및후원신청, 채용, 민원등 ) 에서주민등록번호수집 8 주민등록번호처리시에도홈페이지ㅇ본인인증시 I-Pin, 휴대폰등대체가입수단미제공회원가입시대체가입수단제공방법 9 비밀번호규칙적용방법 ㅇ 8 자리이내의비밀번호사용등비밀번호규칙미적용 10 고유식별정보, 비밀번호등전송시 암호화방법 ㅇ보안서버 (SSL) 미적용ㅇ로그인화면에서는적용되어있으나, 관련정보수정화면등에서미적용하는등보안서버 (SSL) 기능을일부화면에서만적용ㅇ홈페이지에서개인정보를수집하지않고있다고해서, 개인정보를처리하는기관임에도홈페이지에 11 처리방침내용및고지방법 개인정보처리방침을미공개 ㅇ홈페이지의첫화면에서개인정보처리방침을조회할수있는메뉴미제공 ㅇ개인정보책임자의성명및연락처미기재등개인정보처리방침의필수기재사항을누락하고고지

22 [ 참고 ] 공공기관홈페이지개인정보주요노출사례 출처 : 2014 년홈페이지개인정보노출방지가이드라인 22

23 [ 참고 ] 홈페이지개인정보노출발생비율및방지대책 공공기관 [ 홈페이지개인정보노출비율 ] 비영리기관 구분종합대책세부사항설계오류에의한개인정보노출위험진단홈페이지설계검토보안취약점에의한개인정보노출위험진단기술적필터링시스템측면개인정보보호시스템운영개인정보노출점검시스템구글개인정보노출점검시스템 관리적측면 개인정보노출관리범위의명확화 개인정보노출관리 개인정보노출방지교육 [ 홈페이지개인정보노출방지대책 ] 휴면홈페이지정비 개인정보노출방지관리지침준수개인정보노출상시점검업무담당자교육홈페이지이용자주의사항게시 23

개인정보처리방침_성동청소년수련관.hwp

개인정보처리방침_성동청소년수련관.hwp 서울시립성동청소년수련관 개인정보 처리방침 서울시립성동청소년수련관은 개인정보 보호법 제30조에 따라 정보주체의 개인정 보를 보호하고 이와 관련한 고충을 신속하고 원활하게 처리할 수 있도록 하기 위하여 다음과 같이 개인정보 처리지침을 수립 공개합니다. 제1조(개인정보의 처리목적) 1 서울시립성동청소년수련관은 다음의 목적을 위하여 개인정보를 처리합니다. 처리하고