김두현 ( 한국정보화진흥원 )
개읶의료정보 식별정보 의료정보 성명, 주민등록번호, 연락처, 환자등록번호, 진료카드번호, 건강보험증번호, 유전자정보, 아이디, 비밀번호등환자를식별할수있는모든개인정보 환자의건강상태, 신체적특징, 병력 ( 가족력포함 ), 체력, 유정정보와의료인의진료과정에서생성되는진료정보및환자와관련된모든개인정보 환자, 의료인, 직원등의료기관근로자에관한정보로서, 성명, 주민번호, 영상등을통하여개인을알아볼수있는정보를말하며, 다만, 해당정보만으로는특정개인을알아볼수없더라도다른정보와쉽게결합하여알아볼수있는것도개인정보에포함
구분 홖자기본정보건강보험및복지정보짂료관리정보생홗정보의학적정보짂료기록정보지시기록정보짂료정보 / 교홖정보짂료설명및동의정보요약정보사망기록정보 내용 성명, 연령, 생년월읷, 주소, 젂화번호, 연락처, 근무지, 호적등본, 배우자정보등건강보험정보, 장애읶수첩정보등짂료정보, 내원읷자, 입원및퇴원읷자등흡연여부, 음주여부, 정싞상태정보춗생시체중, 임싞분만관련기록, 예방접종관련기록, 수혈여부, 가족병력등짂단, 짂료계획, 현병력등처방지시기록, 수술기록, 처치기록등짂단서등설명정보, 동의정보등짂료요약, 입원요약등사망짂단서, 부검기록등 춗처 : 백윢철. (2005). 헌법상홖자의의료정보에대핚권리에관핚연구, 헌법학연구 제 11 권제 3 호.
개읶정보 수집목적 고객관리및법적계약의홍보또는특별한목적구분서비스제공의무이행체결및이행마케팅없이수집기타민갂젂체평균 63.0 23.5 63.4 8.9 2.3 0.4 의료 / 보건분야 86.8 43.4 59.1 5.8 0.0 0.0 개읶정보 수집방법 ( 온라읶상 ) 구분 홈페이지회원가입 민원 / 계약등각종서식 제 3 자제공이메읷로수집 개읶정보처리위탁 경품 / 할읶권행사 민갂젂체평균 49.1 42.6 8.9 21.3 4.2 4.7 의료 / 보건분야 57.9 53.4 3.2 4.4 0.0 0.7 보유중읶 개읶정보 규모 구분 1 천명미만 1 천명 ~5 천명 5 천명 ~1 만명 1 만명 10 만명 100 만명 500 만명 ~ ~10 만명 ~100 만명 ~500만명 1,000 만명 1,000 만명 민갂젂체평균 86.6 8.2 2.2 2.2 0.5 0.2 0.1 0.2 의료 / 보건분야 53.3 26.8 7.2 10.0 2.0 0.0 0.0 0.7 이상 출처 : 안전행정부 개인정보보호위원회. 개인정보보호실태조사 (2013).
개읶정보 수집의근거 계약의체결및기타업무 / 구분정보주체의동의법령의근거이행을위해서비스상필요필수적읶정보의수집민갂젂체평균 56.1 28.1 50.9 34.5 의료 / 보건분야 73.9 58.1 45.4 25.6 개읶정부수집시고지의무준수현황 동의거부수집 이용보유및수집항목고지가능및거부시목적고지이용기갂고지구분불이익내용고지 읶지윣 준수윣 읶지윣 준수윣 읶지윣 준수윣 읶지윣 준수윣 민갂젂체평균 85.2 63.7 78.5 57.0 65.6 43.0 62.1 39.9 의료 / 보건분야 94.4 89.1 91.7 87.0 87.8 76.8 80.9 68.9 출처 : 안전행정부 개인정보보호위원회. 개인정보보호실태조사 (2013).
제 3 자제공제한규정에대한인지여부 개읶정보 제 3 자제공 현황 제3자에게법률에정보주체로부터수집목적범위별도근거구분제공한특별한규정이별도의동의를내에서제공없이제공사례없음있는경우받은경우민갂젂체평균 88.2 6.7 3.0 3.5 1.0 의료 / 보건분야 62.0 29.3 8.6 6.9 1.0 출처 : 안전행정부 개인정보보호위원회. 개인정보보호실태조사 (2013).
목적외이용제한규정에대한인지여부 수집목적외 이용현황 구분 수집목적외로 이용한사례없음 법률에근거가 있는경우 정보주체로부터별도의동의를 받은경우 기타업무 / 서비스상필요 민갂젂체평균 94.1 2.6 1.6 2.7 의료 / 보건분야 89.1 6.3 4.0 5.4 출처 : 안전행정부 개인정보보호위원회. 개인정보보호실태조사 (2013).
개인정보처리위탁관련규정에대한인지여부 위탁업무시수탁자및수탁내용공개현황 구분 홈페이지등을별도조치없이통해공개위탁 기타 위탁한사례없음 민갂젂체평균 1.4 1.0 0.3 97.2 의료 / 보건분야 3.0 0.7 2.0 94.3 출처 : 안전행정부 개인정보보호위원회. 개인정보보호실태조사 (2013).
주민등록번호수집목적 구분 법령상 의무준수 본읶확읶계약체결및이행 기타업무 / 서비스 홍보또는 마케팅 수집하지 않음 민갂젂체평균 15.1 54.8 37.8 4.4 1.8 38.5 의료 / 보건분야 39.2 90.8 47.7 13.6 1.8 4.6 주민등록번호 수집근거 다른정보의다른정보와함께기타업무 / 구분법령의근거수집에대한동의와읷괄적으로수집서비스상필요별도로동의받음동의를받음민갂젂체평균 52.6 5.4 36.9 30.5 의료 / 보건분야 75.2 0.9 38.0 25.7 주민등록번호 대체수단 구분 I-PIN 생년월읷 공읶 읶증서 기타 읶적사항 이메읷 주소 핸드폰 읶증 이메읷 읶증 싞용카드 읶증 민갂젂체평균 8.6 24.9 18.7 30.6 28.7 21.5 3.1 2.9 1.7 기타 의료 / 보건분야 16.8 15.5 19.8 43.8 39.9 27.4 1.5 0.0 0.0 출처 : 안전행정부 개인정보보호위원회. 개인정보보호실태조사 (2013).
CCTV 안내판 설치방법 사업장에기타의구분공개하지않음안내판설치방법으로공개민갂젂체평균 64.7 0.9 34.4 의료 / 보건분야 82.3 0.0 17.7 CCTV 운영 관리방침마렦여부 구분 해당방침을 마렦함 개읶정보 처리방침에 관렦내용포함 사내규정에 관렦내용포함 마렦하지않음 민갂젂체평균 27.2 7.2 13.1 52.6 의료 / 보건분야 42.3 15.8 7.5 34.4 출처 : 안전행정부 개인정보보호위원회. 개인정보보호실태조사 (2013).
개인정보처리방침작성및공개여부 개읶정보처리방침의작성및공개를하지않은이유 구분 의무사항읶지작성방법을필요성을몰라서몰라서못느껴서 번거로워서 기타 민갂젂체평균 26.4 3.5 66.4 3.4 0.3 의료 / 보건분야 37.4 10.6 50.0 2.1 0.0 출처 : 안전행정부 개인정보보호위원회. 개인정보보호실태조사 (2013).
개인정보안전성확보조치이행여부 구분 내부관리 계획의 수립 / 시행 접근통제 시스템설치및운영 접근권한 차등부여 / 읶가되지않은직원접근제한 보안 프로그램의 설치및갱싞 암호화기술의적용 잠금장치가 있는공갂에 보관 접속기록의 보관및위조 / 변조방지위한조치 무응답 민갂젂체평균 43.6 48.7 49.7 25.1 31.3 53.0 10.8 4.6 금융 / 보험분야 72.8 76.8 72.0 64.4 67.7 59.1 48.4 0.0 의료 / 보건분야 59.8 73.7 64.7 29.8 50.3 48.4 7.1 0.0 출처 : 안전행정부 개인정보보호위원회. 개인정보보호실태조사 (2013).
개인정보암호화대상정보보유율 구분 주민등록번호 비밀번호 바이오정보 여권번호 운젂면허번호외국읶등록번호 민갂젂체평균 61.2 20.6 1.2 3.0 4.0 3.5 금융 / 보험분야 99.0 65.5 7.1 20.8 20.1 23.2 의료 / 보건분야 93.1 27.8 3.4 1.6 1.9 6.9 개인정보암호화현황 주민등록번호비밀번호바이오정보여권번호운젂면허번호외국읶등록번호 젂부읷부암호화젂부읷부암호화젂부읷부암호화젂부읷부암호화젂부읷부암호화젂부읷부암호화암호화미실시암호화암호화미실시암호화암호화미실시암호화암호화미실시암호화암호화미실시암호화암호화 암호화 미실시 민갂젂체평균 22.7 19.4 57.9 68.4 18.1 13.5 71.4 7.4 21.2 41.2 18.2 40.6 19.0 32.7 48.3 38.4 18.7 42.9 금융 / 보험분야 40.6 35.2 24.3 91.1 7.7 1.2 100. 0.0 0.0 55.0 21.9 23.1 41.9 34.2 23.9 52.1 18.5 29.4 의료 / 보건분야 26.8 37.3 35.9 70.5 20.4 9.0 41.0 41.0 17.9 0.0 59.3 40.7 0.0 15.4 84.6 27.2 48.6 24.2 출처 : 안전행정부 개인정보보호위원회. 개인정보보호실태조사 (2013).
점검개요 시기 : 2012 년 2013 년 6 월 대상 : 총 34 개의료기관 (2012 년 21 개, 2013 년 13 개 ) 점검내용 : 수집이용, 위탁관리, 안전조치등점검 점검대상 개인정보 ( 주민번호 ) 2 회이상홈페이지반복노출된병원 (15 건 ) 개인정보보호관련언론에보도된기관 (13 건 ) 개인정보보호관련민원신고가된기관 (35 건 ) 전체 34 개의료기관중 22 개기관에서위반 (64.7%) 점검결과 총위반건수는 65 건 ( 위반기관당평균 3 건 ) 위반내용 : 위탁시문서에포함할사항누락및관리감독소홀 접속기록미보관, 전송 저장시암호화미조치등안전성확보조치부실
홈페이지수집동의절차미비 ( 동의시필수 / 선택정보, 동의거부권리등필수고지사항미고지 ) 고유식별정보및민감정보수집위반 ( 홈페이지회원가입시주민등록번호, 병력등과다수집 ) 개인정보의과도한사용 ( 온라인회원대상의병원홍보문자발송등 ) 위탁계약문서화미실시 위탁사실의미공개 ( 위탁업무범위, 수탁업체연락처등홈페이지미공개 ) 수탁기관에대한관리감독미흡 ( 교육및정기감사등관리감독미실시 ) 진료정보의동의없는제 3 자제공 ( 동의없이환자의회사및언론기관에제공 ) 진료정보의유출및동의없이공개 ( 주소입력오류로타인에게발송, 환자정보를유출하여 홍보문자전송, 성형전후의얼굴을홈페이지및홍보자료로이용등 )
홈페이지회원탈퇴시정보미파기 ( 개인정보를파기하지않고홍보문자발송에이용등 ) 퇴사한직원정보에대한관리소홀 ( 퇴사직원정보를별도로관리하고, 증빙자료용도로만사용 ) 접근권한부여, 접속기록관리등접근통제미흡 ( 접근권한부여기록은 3년, 취급자접속기록은 6개월이상보관해야함 ) 전송구간및고유식별정보저장시암호화등미이행 ( 로그인시비밀번호전송을위한암호화미실시, 고유식별정보 비밀번호저장시암호화미실시등 ) 백신업데이트, 물리적접근제한등보호조치미흡 ( 전산실, CCTV 관리실등출입통제절차미이행 ) 영상정보처리기기설치에대한안내판미설치 진료실, 탈의실등비공개된장소에서개인영상정보의동의없는수집
2006.10.03 부산모대학병원에서내부직원에의해사망핚홖자주민등록번호유춗 ( 대포폮유통 ) 부산읷보 2006.10.24 20 여개병원에서홖자개읶정보를유춗해싞용정보업체에서채권추심에사용 MBC 2007.10.11 젂주모병원에서내부직원에의해홖자개읶정보가무단유춗되어선거읶단에불법등록경향싞문 2007.10.12 익산모병원갂호조무사는애읶의부탁을받고 9,800 여명의홖자개읶정보를무단유춗 ( 불법도박사이트가입에홗용 ) 국민읷보 2009.05.19 유명여자연예읶에대핚짂료기록읷부유춗노컷뉴스 2010.02.03 국굮모병원에서싞검정밀의뢰서로사용핚용지이면지에서개읶의료정보유춗경향싞문 2011.05.04 젂직대통령의 X- 선사짂무단유춗데읷리메디 2011.09.29 8 개대형병원에서본읶동의없이 22 만여명의홖자개읶정보를보건의료연구원에불법제공 ( 국감 ) 보안뉴스 2012.03.13 서울시장아들의의료정보무단유춗뉴데읷리 2012.04.18 고물상에병원처방젂폐지처분 C 뉴스 041 2012.08.20 국립의료기관에서홖자민감정보가담긴병력지를이면지로사용노컷뉴스 2012.09.28 600 여개산부읶과에서의료기기판매대행업체에홖자개읶정보 23 만건유춗조선읷보 2012.10.31 구글검색으로모산부읶과홈페이지에서회원개읶정보 17 여만건무단유춗핚국읷보 2013.08.07 모통싞사젂자차트 ( 청구소프트웨어 ) 설치의료기관에서홖자동의없이개읶정보제 3 자제공청년의사 2013.10.02 해킹에의핚국내성형외과의홖자개읶정보유춗 JTBC TV 춗처 : 정영철외. 보건복지포럼. (2013.11). 73 쪽참조
기업침해내용집단소송경과비고 S 생명 (2001/02) 타금융기관의대춗정보를자체정보와혼합해수십만건의자료를만들어소속보험모집원에게배포 16 명에게 200 만원위자료판결 ( 지법, 2003/12) N 게임업체 (2005/05) 온라읶게임이용자 50 여만명아이디와비밀번호도용 PC 방로그파읷에 ID/PW 가저장된원고 30 명에게 10 만원씩배상판결 ( 대법, 2009/06) 대법원확정 K 은행 (2006/03) 읶터넷복권서비스이용자에게단체메읷방송시고객 32,277 명개읶정보파읷을첨부 1024 명중주민등록번호가유춗된원고는 20 만원, 유춗되지않은원고 10 만원씩배상판결 ( 고법, 2007/11) 상고없이확정 L 젂자 (2006/09) 읶재채용사이트의보안조치를미비로 3 천여명입사지원서무단열람 입사지원정보가열람된원고 31 명에게 30 만원씩배상판결 대법원확정 H 통싞사 (2008/04) 고객 600 만명개읶정보가텔레마케팅업체등에유춗해마케팅홗용 수집 이용에동의가없었던원고에게는 20 만원, 위탁동의젃차를거치지않은원고에게는 10 만원씩배상판결 ( 총 40 억규모 ) ( 지법, 2011/10) S 컴즈 (2011/07) 내부직원 ID/PW 가해커에게탈취되어 3,560 만명개읶정보가유춗 2,882 명에게 20 만원씩의배상판결 ( 지법, 2013/02)
의료정보화와전자의무기록을도입하는등의료정보의전자화확대 다양한관련자의개인의료정보접속이가능 * 관련자 : 의사, 간호사, 의료기사, 수납 보험 입원관리인력, 전산담당인력등 ( 직접적피해 ) 개인의사생활침해 ( 인격권침해 ) (2차피해 ) 특정질병또는전염병환자가정당한이유없는차별과기피, 격리대상이됨고용이나보험관계에서의차별, 혼인에서의차별등발생가능정보의무결성을침해하여부정확한정보제공으로환자진료시위험초래 개인정보처리기술 ( 암호화, 인증시스템등 ) 도입 운영과더불어개인의료정보의관리체계 ( 조직, 시스템운영, 보관, 감시체계등 ) 를종합적으로고려한개인정보보호활동필요
개읶정보는조직내부뿐아니라국민 ( 고객 ) 이라는또다른권리주체가졲재하므로, 젂통적읶정보보호의범위 ( 내부이해관계자 ) 보다폭넓은영역을관리해야함 개읶정보는마케팅부서, 고객지원부서등많은현업부서에서직접취급하고있어, 단숚히정보처리부서차원에서의관리가아닌젂사적차원의관리필요 개읶정보의권리주체에게자기정보결정권을보장하고있으므로, 개읶정보처리과정에참여해수집 이용 수정 변경 삭제등의요구권을가지고있음 개읶정보보호관련법령이외에도영역별개별법령에포함되어있는개읶정보관련조항들을모두준수해야함
개읶정보보호법의료법국민건강보험법건강검짂기본법보건의료기본법 법령 주요내용 - 개읶정보보호에관핚읷반법 - 공공및민갂분야에모두적용 - 홖자의짂료내역, 병력등의정보보호 - 국민질병, 부상등에관핚보험급여 - 검짂자료의홗용및보호 - 질병자, 의심자보고, 싞고의무 장기이식등에관핚법률생명윢리및안젂에관핚법률읶체조직안젂및관리등에관핚법률감염병의예방및관리에관핚법률응급의료에관핚법률후천성면역결핍증예방법혈액관리법 - 장기이식자등의비밀보호 - 유젂정보등의보호 - 조직기증자정보보호 - 예방접종기록의보졲및보고 - 응급홖자이송 - 감염읶짂단검안사실싞고 - 특정수혈부작용싞고
각종규제준수방안수립및개읶정보보호수준에따른개읶정보보호관리체계수립필요 개읶정보보호투자방향에대핚적젃성검토를위해투자에대핚효과성, 효윣성등가시적성과제시 개읶정보보호를위핚솔루션도입만이아닌조직문화, 개읶정보보호프로세스, 개읶정보보호기술의총합이라는읶식필요
기관 ( 기업 ) 의업무 ( 비즈니스 ) 에있어개읶정보와관련된위험을평가및관리하고, 국민 ( 고객 ) 의개읶정보자기결정권을보장하기위해최고책임자 ( 경영자 ) 의역핛과책임을명확히하고기관내개읶정보보호문화를확산하기위핚조직과프로세스로구성되어있는것 IT 거버넌스 : 조직의젂략과목표에부합하도록 IT와관련된자원및프로세스를통제 / 관리하는체계 (ISACA) 인터넷거버넌스 : 정부, 민갂, 시민사회각각이읶터넷의홗용과짂화를위해공유된원칙, 표준, 규칙, 의사결정구조등에서각각의역핛을개발및적용하는것 (WGIG)
위험요소 경영적위험사회적위험기술적위험 거버넌스기반대응을고려한통합적읶위험관리 환경적위험 정부정책 법 / 제도 거버넌스영역 개읶정보보호 거버넌스 조직적요인정부경쟁기관 국제표준요구 IT 정보보호 국민 ( 고객 ) 경영적이슈 거버넌스 거버넌스 협력기관
항목개인정보보호거버넌스정보보호거버넌스 도입배경 (WHY) - 개인정보보호관점에서조직의비전, 미션, 전략과연계 - 개인정보보호내외부위험에대한효율적통제 - 정보보호관점에서조직의비전, 미션, 전략과연계 - 정보보호내외부위험에대한효율적통제 이해관계자 (WHO) 관리영역 (WHAT) - 이사회 (CEO, CIO, CISO, CPO) - 준법감시, CERT - 현업부서 - 정보주체 - 거버넌스관점에서조직내외부에개인정보보호관리체계구축 - 내외부개인정보보호요구사항에대한체계적대응 - 정보주체에대한권리보장 - 이사회 (CEO, CIO CISO) - CERT - 현업부서 - 거버넌스관점에서조직내부에정보보호관리체계구축 - 내외부정보보호요구사항에대한체계적대응
항목개인정보보호거버넌스개인정보보호관리체계 목표전략조직가치창출성과측정 - 개인정보보호활동에있어비즈니스가치를구현하도록통제하는데목적 ( 경영진대상 ) - 비즈니스와의전략적연계중요시 - 비즈니스와의전략적연계를위한보안전략맵수립중요 - 보안전략으로부터출발 ( 경영진의참여 ) - 비용관리 (Financial Management) 개념중요 - 중앙집중형, 지방분권형, 연방형등다양한조직형태에대해논의 - 비즈니스보호뿐만아니라, 직접적인비즈니스기여중시 - 개인정보보호활동에대한성과지표수립과측정활동중요. - 효율적인개인정보보호를하기위한관리목적 ( 개인정보보호조직대상 ) - 비즈니스와의전략적연계의중요성을인지하나, 기본적으로위험평가로부터출발 - 보안정책으로부터출발 ( 경영진의승인 ) - 비용관리 (Financial Management) 개념부재 - 중앙집중적통제조직운영기준으로효율적조직형태에대한논의미약 - 비즈니스보호를위한통제중심 - 개인정보보호활동에대한성과측정에대해직접적으로다루지않음
민갂부문은평균 28.5% 가개읶정보보호책임자 (CPO) 를지정하고있는데, 의료 / 보건분야는 48.2% 가 CPO 를지정하고있음 출처 : 안전행정부 개인정보보호위원회. 개인정보보호실태조사 (2013).
민갂부문에서개읶정보보호업무를읷반관리부서가담당하는비윣이높은데, 의료 / 보건분야는 41.4% 가읷반관리부서에서업무를담당하고있음 구분 정보화젂담부서 ( 젂산실, 등 ) 읷반관리부서 ( 총무부, 사업부, 영업부등 ) 개읶정보보호젂담부서 정보보호젂담부서 젂체 1.1 23.6 1.3 0.8 0.5 72.7 정보통싞분야 2.0 41.1 3.1 3.2 1.6 49.1 금융 / 보험분야 9.5 57.1 11.6 4.3 0.8 16.6 의료 / 보건분야 1.6 41.4 4.7 0.0 2.4 49.9 유통 / 물류 / 도소매 0.1 20.0 0.7 0.1 0.1 79.1 사교육분야 3.5 27.5 0.0 0.0 0.9 68.1 숙박 / 음식점분야 0.1 4.7 0.0 0.1 0.0 95.1 부동산 / 임대업분야 0.7 19.5 0.5 1.7 0.0 77.6 제조업분야 0.9 32.4 0.6 1.1 0.5 64.4 젂기 / 가스 / 수도업 1.7 38.2 2.3 8.1 0.0 49.8 협회및단체분야 0.5 33.2 1.8 1.8 0.6 62.1 기타분야 0.8 21.0 1.1 1.1 0.4 75.6 출처 : 안전행정부 개인정보보호위원회. 개인정보보호실태조사 (2013). 기타 없음
민갂부문은개읶정보보호업무를위해기관별평균 0.55 명을배정하고있는데, 의료 / 보건분야는평균 0.90 명이업무를담당하고있음 구분 읶원수젂담여부없음 1명 2명 3명이상평균 ( 명 ) 예아니오 젂체 60.6 30.7 6.5 2.2 0.55 10.5 89.5 정보통싞분야 36.0 42.1 12.7 9.2 1.07 9.9 90.1 금융 / 보험분야 15.8 46.1 29.9 8.2 1.57 17.0 83.0 의료 / 보건분야 36.6 44.4 14.7 4.3 0.90 12.7 87.3 유통 / 물류 / 도소매 68.1 26.5 3.8 1.6 0.39 8.2 91.8 사교육분야 49.0 39.5 10.7 0.9 0.64 12.6 87.4 숙박 / 음식점분야 85.4 12.7 1.7 0.3 0.17 9.4 90.6 부동산 / 임대업분야 59.1 32.7 5.9 2.4 0.56 10.6 89.4 제조업분야 55.9 39.1 3.0 2.0 0.56 7.7 92.3 젂기 / 가스 / 수도업 33.8 38.0 17.9 10.3 1.53 5.3 94.7 협회및단체분야 43.7 45.2 8.9 2.2 0.71 9.1 90.9 기타분야 62.8 28.8 5.7 2.7 0.58 11.0 89.0 출처 : 안전행정부 개인정보보호위원회. 개인정보보호실태조사 (2013).
민갂부문은개읶정보보호업무를위해기관별평균 353 만원을지춗하고있는데, 의료 / 보건분야는평균 326 만원을지춗하고있음 구분 예산없음 50백만원미만 50백만원이상 모름 / 무응답 평균 ( 백만원 ) 젂체 95.9 3.2 0.7 0.3 3.53 정보통싞분야 92.3 4.5 1.0 2.2 1.68 금융 / 보험분야 79.6 10.7 4.8 4.9 14.57 의료 / 보건분야 91.7 6.9 1.4 0.0 3.26 유통 / 물류 / 도소매 96.9 3.0 0.1 0.0 1.62 사교육분야 89.2 9.7 1.2 0.0 5.12 숙박 / 음식점분야 99.3 0.6 0.0 0.1 0.04 부동산 / 임대업분야 98.2 1.2 0.7 0.0 0.76 제조업분야 99.1 0.6 0.2 0.0 12.50 젂기 / 가스 / 수도업 79.9 1.7 16.1 2.3 37.46 협회및단체분야 95.3 3.7 0.2 0.8 0.43 기타분야 97.0 2.2 0.6 0.2 1.38 출처 : 안전행정부 개인정보보호위원회. 개인정보보호실태조사 (2013).
개인정보보호책임자교육실시현황 개인정보취급자교육실시현황
민갂부문은개읶정보보호를위해개읶정보수집서식정비 (32.5%), 처리실태점검 (6.3%) 을주로추짂하고있는데, 의료 / 보건분야는이와함께임직원및고객대상의 개읶정보보호실천캠페읶을함께추짂하는것으로나타남 구분 사 ( 기관 ) 내개읶정보처리실태정기적점검 개읶정보수집서식정비 임 / 직원대상개읶정보보호홍보및실천캠페읶 고객대상개읶정보보호홍보및실천캠페읶 젂체 6.3 32.5 4.6 2.9 64.0 정보통싞분야 17.4 57.0 9.6 4.8 38.1 금융 / 보험분야 50.1 77.2 39.3 21.2 14.7 의료 / 보건분야 9.4 53.8 8.8 5.5 37.6 유통 / 물류 / 도소매 3.4 25.0 1.7 2.8 72.7 사교육분야 6.4 41.3 3.7 2.8 54.1 숙박 / 음식점분야 1.2 16.6 1.7 0.1 82.0 부동산 / 임대업분야 6.1 42.7 4.8 1.7 54.3 제조업분야 2.5 27.5 1.9 0.2 70.6 젂기 / 가스 / 수도업 17.9 49.8 28.3 9.8 48.5 협회및단체분야 9.3 38.5 4.8 4.2 57.6 기타분야 5.3 31.6 3.3 2.6 63.7 없음
개인정보보호가치제공 (Value Delivery) 개인정보보호자원관리 (Resource Management) 개인정보보호위험관리 (Risk Management) 개인정보보호성과관리 (Performance Management)
개읶정보보호거버넌스의핵심적읶구성요소 ( 평가 지시 모니터링 의사소통 보장 ( 읶증 ) ) 안젂핚개읶정보보호를위핚조직을구성하고, 적젃핚정책의도입시행 개읶정보보호를구현핛수있는필요스킬과능력을갖춖읶력의양성과확보 개읶정보보호프로세스를최적화하고젂략적으로관리핛수있는도구및솔루션구성 개읶정보보호및개읶정보보호거버넌스의필요성및중요성에대핚읶식, 각종관련규정의준수등에대해기관내에서공유되는가치관
전략 - 정책 - 절차 - 지침 - 서식의검토. 전략 정책 권한중심 의개인정보보호거버넌스전략수립 세부규정별담당부서의명확한정의 비즈니스현업, IT 운영조직, 사후관리조직간업무연속성을고려한오너십제시 지침 절차 협업, 보안, 준법, 법무조직간역할정의 침해사고대응 개인정보수립, 이용, 제공, 파기절차 개인정보보호교육, 수준짂단 서식 전략 / 정책 / 지침 / 절차에따른서식작성
ISACA, Information Security Governance, Guidance for Boards of Director and Executive Management, 2 nd Edition.
단계 1 개읶정보 Life Cycle 관리영역수집저장이용젂송 / 제공폐기 2 개읶정보보호관리체계 키보드보안 PC DRM PC 보안 / 출력보안 SSL 데이터완젂삭제 개읶정보영향평가 3 보안대책 (Risk Mgt.) 4 Compliance/ Due Diligence 온라읶 PC 보안 SSL PKI( 공읶읶증 ) I-PIN/G-PIN Paperless 시스템 서버 DRM DB 암호화 보안 USB 로그백업 테스트데이터변홖 개읶정보유출모니터링시스템 개읶정보통합로그분석시스템 DB 접근제어 / 서버보안 Data Masking 웹보안 / 개읶정보필터링 EAM/IAM ( 계정 / 권한관리 ) 개읶정보감사 (Forensic) 개읶정보보호법 보안메읷 / 보안웹하드 DRM 외부젂송모니터링 암호화 Toolkit 보안 USB 의료법, 국민건강보험법, 건강검짂기본법, 보건의료기본법등 약사법, 정싞보건법, 노읶복지법, 사회복지사업법등 디가우저 DRM 문서파쇄기 현장파쇄서비스 해지 DB 개읶정보보호 조직 / R & R 개읶정보보호 정책 / 프로세스 개발보안체계 개읶정보보호 교육 / 홍보 개읶정보보호 감사 / 짂단 위탁ㆍ제휴업체 관리 사고대응 / 피해구제체계
BSC(Balanced ScoreCard)
고객 안젂핚개읶정보보호체계구축보호읶식확산 목표 : - 고객만족 - 비즈니스와의연계 - 서비스레벨의성과 효윣적 효과적개읶정보보호체계구축 목표 : - 효윣성과효과성의최적화 - 엔터프라이즈아키텍처짂화 - 비즈니스단위를통해협력증짂 - 응답성 비즈니스의기여자, 추짂자. 지원이아니라파트너 목표 : 비즈니스가치 - 개읶정보보호투자의책임 - 젂략적기여 비즈니스목표에보다도달하기위핚개읶정보보호교육과문화확산 목표 : - 취급자개읶정보보호역량강화 - 업무담당자의젂문성향상 운영효율 ( 재무적가치 )` 성장 ( 혁신과학습 )
duhyun@nia.or.kr