개인정보의안전성확보조치기준 해설서 2016. 12.
목차 Ⅰ. 개인정보의안전성확보조치기준 1 Ⅱ. 개인정보의안전성확보조치기준해설 9 [ 제1조 ] 목적 10 [ 제2조 ] 정의 12 [ 제3조 ] 안전조치기준적용 26 [ 제4조 ] 내부관리계획의수립 시행 28 [ 제5조 ] 접근권한의관리 41 [ 제6조 ] 접근통제 46 [ 제7조 ] 개인정보의암호화 55 [ 제8조 ] 접속기록의보관및점검 65 [ 제9조 ] 악성프로그램등방지 67 [ 제10조 ] 관리용단말기의안전조치 69 [ 제11조 ] 물리적안전조치 71 [ 제12조 ] 재해 재난대비안전조치 73 [ 제13조 ] 개인정보의파기 76 [ 부칙 ] 79 [ 별표 ] 80 [ 붙임 ] FAQ 81 [ 참고 ] 안전조치기준적용유형 88
Ⅰ 개인정보의안전성확보조치기준 제정 2011. 9.30. 행정안전부고시제 2011-43 호 개정 2014.12.30. 행정자치부고시제 2014-7 호 개정 2016. 9. 1. 행정자치부고시제 2016-35 호 - 1 -
- 2 -
- 3 -
- 4 -
- 5 -
- 6 -
- 7 -
[ 별표 ] 개인정보처리자유형및개인정보보유량에따른안전조치기준 유형적용대상안전조치기준 제 5 조 : 제 2 항부터제 5 항까지 제 6 조 : 제 1 항, 제 3 항, 제 6 항및제 7 항 제 7 조 : 제 1 항부터제 5 항까지, 제 7 항 유형 1 ( 완화 ) 1만명미만의정보주체에관한개인정보를 제8조보유한소상공인, 단체, 개인 제9조 제10조 제11조 제13조 제 4 조 : 제 1 항제 1 호부터제 11 호까지및 유형 2 ( 표준 ) 100 만명미만의정보주체에관한개인정보를제15 호, 제3항부터제4항까지보유한중소기업 제5조 제6조 : 제1항부터제7항까지 10만명미만의정보주체에관한개인정보를 제7조 : 제1항부터제5항까지, 제7항보유한대기업, 중견기업, 공공기관 제8조 제9조 1만명이상의정보주체에관한개인정보를 제10조보유한소상공인, 단체, 개인 제11조 제13조 10 만명이상의정보주체에관한개인정보를 유형 3 ( 강화 ) 보유한대기업, 중견기업, 공공기관 제4조부터제13조까지 100 만명이상의정보주체에관한개인정보를보유한중소기업, 단체 - 8 -
Ⅱ 개인정보의안전성확보조치기준해설 [ 제 1 조 ] 목적 [ 제 2 조 ] 정의 [ 제 3 조 ] 안전조치기준적용 [ 제 4 조 ] 내부관리계획의수립 시행 [ 제 5 조 ] 접근권한의관리 [ 제 6 조 ] 접근통제 [ 제 7 조 ] 개인정보의암호화 [ 제 8 조 ] 접속기록의보관및점검 [ 제 9 조 ] 악성프로그램등방지 [ 제 10 조 ] 관리용단말기의안전조치 [ 제 11 조 ] 물리적안전조치 [ 제 12 조 ] 재해 재난대비안전조치 [ 제 13 조 ] 개인정보의파기 [ 부칙 ] [ 별표 ] - 9 -
제 1 조 목적 제1조 ( 목적 ) 이기준은 개인정보보호법 ( 이하 법 이라한다 ) 제23조제 2항, 제24조제3 항및제29조와같은법시행령 ( 이하 영 이라한다 ) 제21조및제30조에따라개인정보처리자가개인정보를처리함에있어서개인정보가분실 도난 유출 위조 변조또는훼손되지아니하도록안전성확보에필요한기술적 관리적및물리적안전조치에관한최소한의기준을정하는것을목적으로한다. 이기준은 개인정보보호법 제 조 민감정보의처리제한 제 항 제 조 고유식별정보의 처리제한 제 항및제 조 안전조치의무 와같은법시행령제 조 고유식별정보의안전성 확보조치 및제 조 개인정보의안전성확보조치 에근거한다 개인정보보호법 제 조 민감정보의처리제한 개인정보처리자가제 항각호에따라민감정보를처리하는 경우에는그민감정보가분실 도난 유출 위조 변조또는훼손되지아니하도록제 조에따른 안전성확보에필요한조치를하여야한다 제 조 고유식별정보의처리제한 개인정보처리자가제 항각호에따라고유식별정보를 처리하는경우에는그고유식별정보가분실 도난 유출 위조 변조또는훼손되지아니하도록 대통령령으로정하는바에따라암호화등안전성확보에필요한조치를하여야한다 제 조 안전조치의무 개인정보처리자는개인정보가분실 도난 유출 위조 변조또는훼손되지 아니하도록내부관리계획수립 접속기록보관등대통령령으로정하는바에따라안전성 확보에필요한기술적 관리적및물리적조치를하여야한다 - 10 -
개인정보보호법시행령 제 조 고유식별정보의안전성확보조치 법제 조제 항에따른고유식별정보의안전성확보 조치에관하여는제 조를준용한다 이경우 법제 조 는 법제 조제 항 으로 개인정보 는 고유식별정보 로본다 제 조 개인정보의안전성확보조치 개인정보처리자는법제 조에따라다음각호의 안전성확보조치를하여야한다 개인정보의안전한처리를위한내부관리계획의수립 시행 개인정보에대한접근통제및접근권한의제한조치 개인정보를안전하게저장전송할수있는암호화기술의적용또는이에상응하는조치 개인정보침해사고발생에대응하기위한접속기록의보관및위조변조방지를위한조치 개인정보에대한보안프로그램의설치및갱신 개인정보의안전한보관을위한보관시설의마련또는잠금장치의설치등물리적조치 행정자치부장관은개인정보처리자가제 항에따른안전성확보조치를하도록시스템을 구축하는등필요한지원을할수있다 제 항에따른안전성확보조치에관한세부기준은행정자치부장관이정하여고시한다 이기준은개인정보처리자에게적용된다 개인정보처리자는업무를목적으로개인정보 파일을운용하기위하여스스로또는다른사람을통하여개인정보를처리하는공공기관 법인 단체 사업자및개인등을말한다 개인정보처리자는개인정보를처리함에있어서개인정보가분실 도난 유출 위조 변조또는훼손되지아니하도록안전성확보에필요한기술적 관리적및물리적안전조치에관한최소한의기준을준수하여야한다 개인정보처리자는처리하는개인정보의종류및중요도 개인정보를처리하는방법및환경등을고려하여개인정보가분실도난유출위조변조또는훼손되지 아니하도록충분한안전조치를취하도록노력하여야한다 이기준을위반하여안전성확보에필요한조치를하지아니한자는 천만원이하의과태료를부과하며 안전성확보에필요한조치를하지아니하여개인정보를분실 도난 유출위조변조또는훼손당한자는 년이하의징역또는 천만원이하의벌금에 처한다 - 11 -
제 2 조 정의 제 2 조 ( 정의 ) 이기준에서사용하는용어의뜻은다음과같다. 1. 정보주체 란처리되는정보에의하여알아볼수있는사람으로서그정보의주체가되는사람을말한다. 2. 개인정보파일 이란개인정보를쉽게검색할수있도록일정한규칙에따라체계적으로배열하거나구성한개인정보의집합물 ( 集合物 ) 을말한다. 3. 개인정보처리자 란업무를목적으로개인정보파일을운용하기위하여스스로또는다른사람을통하여개인정보를처리하는공공기관, 법인, 단체및개인등을말한다. 4. 대기업 이란 독점규제및공정거래에관한법률 제14조에따라공정거래위원회가지정한기업집단을말한다. 5. 중견기업 이란 중견기업성장촉진및경쟁력강화에관한특별법 제 2조에해당하는기업을말한다. 6. 중소기업 이란 중소기업기본법 제 2조및동법시행령제3조에해당하는기업을말한다. 7. 소상공인 이란 소상공인보호및지원에관한법률 제2조에해당하는자를말한다. 8. 개인정보보호책임자 란개인정보처리자의개인정보처리에관한업무를총괄해서책임지는자로서영제32조제2항에해당하는자를말한다. 9. 개인정보취급자 란개인정보처리자의지휘 감독을받아개인정보를처리하는업무를담당하는자로서임직원, 파견근로자, 시간제근로자등을말한다. 10. 개인정보처리시스템 이란데이터베이스시스템등개인정보를처리할수있도록체계적으로구성한시스템을말한다. 11. 위험도분석 이란개인정보유출에영향을미칠수있는다양한위험요소를식별 평가하고해당위험요소를적절하게통제할수있는방안마련을위한종합적으로분석하는행위를말한다. - 12 -
12. 비밀번호 란정보주체또는개인정보취급자등이개인정보처리시스템, 업무용컴퓨터또는정보통신망등에접속할때식별자와함께입력하여정당한접속권한을가진자라는것을식별할수있도록시스템에전달해야하는고유의문자열로서타인에게공개되지않는정보를말한다. 13. 정보통신망 이란 전기통신기본법 제 2조제2호에따른전기통신설비를이용하거나전기통신설비와컴퓨터및컴퓨터의이용기술을활용하여정보를수집 가공 저장 검색 송신또는수신하는정보통신체계를말한다. 14. 공개된무선망 이란불특정다수가무선접속장치 (AP) 를통하여인터넷을이용할수있는망을말한다. 15. 모바일기기 란무선망을이용할수있는 PDA, 스마트폰, 태블릿PC 등개인정보처리에이용되는휴대용기기를말한다. 16. 바이오정보 란지문, 얼굴, 홍채, 정맥, 음성, 필적등개인을식별할수있는신체적또는행동적특징에관한정보로서그로부터가공되거나생성된정보를포함한다. 17. 보조저장매체 란이동형하드디스크, USB메모리, CD(Compact Disk), DVD(Digital Versatile Disk) 등자료를저장할수있는매체로서개인정보처리시스템또는개인용컴퓨터등과용이하게연결 분리할수있는저장매체를말한다. 18. 내부망 이란물리적망분리, 접근통제시스템등에의해인터넷구간에서의접근이통제또는차단되는구간을말한다. 19. 접속기록 이란개인정보취급자등이개인정보처리시스템에접속한사실을알수있는계정, 접속일시, 접속자정보, 수행업무등을전자적으로기록한것을말한다. 이경우 접속 이란개인정보처리시스템과연결되어데이터송신또는수신이가능한상태를말한다. 20. 관리용단말기 란개인정보처리시스템의관리, 운영, 개발, 보안등의목적으로개인정보처리시스템에직접접속하는단말기를말한다. - 13 -
1. 정보주체 란처리되는정보에의하여알아볼수있는사람으로서그정보의주체가되는 사람을말한다. 정보주체란 개인정보보호법 에의한권리의행사주체라고도할수있다 이법의보호를받는정보주체가되기위한사항은다음과같다 처리되는정보에의하여알아볼수있는사람 법인이나단체가아닌살아있는사람 처리되는정보의주체가되는자 2. 개인정보파일 이란개인정보를쉽게검색할수있도록일정한규칙에따라체계적으로 배열하거나구성한개인정보의집합물 ( 集合物 ) 을말한다. 개인정보파일이란개인의이름이나고유식별정보 등을색인 이나검색값으로하여쉽게검색할수있도록체계적으로배열 구성한집합물을말한다 개인정보파일은일반적으로전자적형태로구성된데이터베이스 를 의미하는경우가많지만 그외에체계적인검색 열람을위한색인이되어있는컴퓨터문서파일 수기 문서자료등도포함된다 3. 개인정보처리자 란업무를목적으로개인정보파일을운용하기위하여스스로또는 다른사람을통하여개인정보를처리하는공공기관, 법인, 단체및개인등을말한다. 개인정보처리자는업무를목적으로개인정보를처리하는자이다 순수한개인적인 활동이나가사활동을위해서개인정보를수집 이용 제공하는자는개인정보처리자가아니다 개인정보처리자는개인정보파일을운용하기위하여개인정보를처리하는자이다 - 14 -
개인정보처리자는스스로개인정보를처리할수도있지만다른사람을통해서개인정보를처리하는경우에도개인정보처리자에해당한다 개인정보처리자는공공기관 법인 단체 개인이모두포함된다 처리란개인정보의수집 생성 연계 연동 기록 저장 보유 가공 편집 검색 출력 정정 복구 이용 제공 공개 파기 그밖에이와유사한행위를말한다 4. 대기업 이란 독점규제및공정거래에관한법률 제 14 조에따라공정거래위원회가지정한 기업집단을말한다. 대기업이란공정거래위원회가지정한상호출자제한기업집단및채무보증제한기업집단을말한다 독점규제및공정거래에관한법률 제 조 제 조 상호출자제한기업집단등의지정등 공정거래위원회는대통령령이정하는바에의 하여상호출자제한기업집단및채무보증제한기업집단 이하 상호출자제한기업집단등 이라한다 을지정하고동기업집단에속하는회사에이를통지하여야한다 법제처에서제공하는국가법령정보센터 에서관련법률을검색할수있다 5. 중견기업 이란 중견기업성장촉진및경쟁력강화에관한특별법 제 2 조에해당하는 기업을말한다. 중견기업이란다음의요건을모두갖춘기업을말한다 중소기업기본법 제조에따른중소기업이아닐것 공공기관의운영에관한법률 제조에따른공공기관이아닐것 그밖에지분소유나출자관계등이 중견기업성장촉진및경쟁력강화에관한 특별법 시행령으로정하는기준에적합한기업 - 15 -
중견기업성장촉진및경쟁력강화에관한특별법제조제조정의 이법에서사용하는용어의뜻은다음과같다 중견기업이란다음각목의요건을모두갖춘기업을말한다 가중소기업기본법 제조에따른중소기업이아닐것나공공기관의운영에관한법률 제조에따른공공기관이아닐것 다 그밖에지분소유나출자관계등이대통령령으로정하는기준에적합한기업 중견기업성장촉진및경쟁력강화에관한특별법시행령 제 조 제 조 중견기업및중견기업후보기업의범위 법제 조제 호다목에서 지분소유나출자 관계등이대통령령으로정하는기준에적합한기업이란다음각호의요건을모두갖춘기업을말한다 소유와경영의실질적인독립성이다음각목의어느하나에해당하지아니하는기업일것 가 독점규제및공정거래에관한법률 제 조제 항에따른상호출자제한기업집단또는 채무보증제한기업집단에속하는기업 나독점규제및공정거래에관한법률시행령 제 조제 항에따른상호출자제한기업집단지정기준인자산총액이상인기업또는법인외국법인을포함한다 이하같다이해당기업의주식상법 제조의에따른의결권없는주식은제외한다 또는출자지분이하 주식등 이라한다 의 분의 이상을직접적또는간접적으로소유하면서최다출자 자인기업 이경우최다출자자는해당기업의주식등을소유한법인또는개인으로서단독으로또는다음의어느하나에해당하는자와합산하여해당기업의주식등을가장 많이소유한자로하며 주식등의간접소유비율에관하여는 국제조세조정에관한법률시행령 제조제 항을준용한다 주식등을소유한자가법인인경우 그법인의임원 주식등을소유한자가개인인경우 그개인의친족 통계법 제조에따라통계청장이고시하는한국표준산업분류에따른다음각목의 어느하나에해당하는업종을영위하는기업이아닐것 가 금융업나 보험및연금업다 금융및보험관련서비스업 민법 제조에따라설립된비영리법인이아닐것 - 16 -
6. 중소기업 이란 중소기업기본법 제 2 조및동법시행령제 3 조에해당하는기업을말한다. 중소기업이란다음어느하나에해당하는기업을말한다 업종별로매출액또는자산총액등이시행령으로정하는기준에맞을것 지분소유나출자관계등소유와경영의실질적인독립성이시행령으로정하는기준에맞을것 사회적기업육성법 제 조제 호에따른사회적기업중에서 중소기업기본법 시행령으로정하는사회적기업 협동조합기본법 제조에따른협동조합 협동조합연합회 사회적협동조합 사회적협동조합연합회중 중소기업기본법 시행령으로정하는자 중소기업기본법제조제조중소기업자의범위 중소기업을육성하기위한시책이하 중소기업시책이라한다의대상이되는중소기업자는다음각호의어느하나에해당하는기업이하 중소기업이라한다을영위하는자로한다 다음각목의요건을모두갖추고영리를목적으로사업을하는기업가 업종별로매출액또는자산총액등이대통령령으로정하는기준에맞을것나 지분소유나출자관계등소유와경영의실질적인독립성이대통령령으로정하는기준에맞을것 사회적기업육성법 제 조제 호에따른사회적기업중에서대통령령으로정하는 사회적기업 협동조합기본법 제 조에따른협동조합 협동조합연합회 사회적협동조합 사회적 협동조합연합회중대통령령으로정하는자 중소기업은대통령령으로정하는구분기준에따라소기업 과중기업 으로 구분한다 제항을적용할때중소기업이그규모의확대등으로중소기업에해당하지아니하게된경우그사유가발생한연도의다음연도부터 년간은중소기업으로본다 다만 중소 기업외의기업과합병하거나그밖에대통령령으로정하는사유로중소기업에해당하지아니하게된경우에는그러하지아니하다 중소기업시책별특성에따라특히필요하다고인정하면 중소기업협동조합법 이나그 밖의법률에서정하는바에따라중소기업협동조합이나그밖의법인단체등을중소기업자로할수있다 - 17 -
중소기업기본법시행령 제 조 제 조 중소기업의범위 중소기업기본법 이하 법 이라한다 제 조제 항제 호에따른 중소기업은다음각호의요건을모두갖춘기업으로한다 다음각목의요건을모두갖춘기업일것 가 해당기업이영위하는주된업종과해당기업의평균매출액또는연간매출액이하 평균매출액등이라한다이별표 의기준에맞을것나 자산총액이 천억원미만일것 소유와경영의실질적인독립성이다음각목의어느하나에해당하지아니하는기업일것 가독점규제및공정거래에관한법률 제조제항에따른상호출자제한기업집단등 이하이호에서 상호출자제한기업집단등이라한다에속하는회사또는같은법제 조의에따라상호출자제한기업집단등의소속회사로편입통지된것으로보는회사나 자산총액이 천억원이상인법인외국법인을포함하되 비영리법인및제조의제항각호의어느하나에해당하는자는제외한다이주식등의 분의 이상을직접적 또는간접적으로소유한경우로서최다출자자인기업 이경우최다출자자는해당기업의주식등을소유한법인또는개인으로서단독으로또는다음의어느하나에해당하는자와합산하여해당기업의주식등을가장많이소유한자를말하며 주식등의 간접소유비율에관하여는 국제조세조정에관한법률시행령 제 조제 항을준용 한다 주식등을소유한자가법인인경우 그법인의임원 주식등을소유한자가 에해당하지아니하는개인인경우 그개인의친족다 관계기업에속하는기업의경우에는제조의에따라산정한평균매출액등이별표 의 기준에맞지아니하는기업 라 독점규제및공정거래에관한법률시행령 제 조의 제 항제 호에따라동일인이 지배하는기업집단의범위에서제외되어상호출자제한기업집단등에속하지아니하게 된회사로서같은영제 조의요건에해당하게된날부터 년이경과한회사 - 18 -
7. 소상공인 이란 소상공인보호및지원에관한법률 제 2 조에해당하는자를말한다. 소상공인이란다음의요건을모두갖춘자를말한다 상시근로자수가 명미만일것 업종별상시근로자수등이 소상공인보호및지원에관한법률 시행령으로 정하는기준에해당할것 소상공인보호및지원에관한법률 제 조 제 조 정의 이법에서 소상공인 이란 중소기업기본법 제 조제 항에따른소기업 중다음각호의요건을모두갖춘자를말한다 상시근로자수가 명미만일것 업종별상시근로자수등이대통령령으로정하는기준에해당할것 소상공인보호및지원에관한법률시행령 제 조 제 조 소상공인의범위등 소상공인보호및지원에관한법률 이하 법 이라한다 제 조제 호에서 대통령령으로정하는기준 이란다음각호의구분에따른주된사업에종사하는상시근로자수를말한다 광업 제조업 건설업및운수업 명미만 그밖의업종 명미만 8. 개인정보보호책임자 란개인정보처리자의개인정보처리에관한업무를총괄해서 책임지는자로서영제 32 조제 2 항에해당하는자를말한다. 개인정보처리자는개인정보의처리에관한업무를총괄해서책임질개인정보보호책임자를 지정요건에맞게지정하고 법률에따라업무를수행하도록보장하여야한다 개인정보보호책임자의지정및업무수행에관한사항은이기준제 조제 항해설에서보다자세하게확인할수있다 - 19 -
9. 개인정보취급자 란개인정보처리자의지휘 감독을받아개인정보를처리하는업무를 담당하는자로서임직원, 파견근로자, 시간제근로자등을말한다. 개인정보취급자란개인정보처리자의지휘 감독을받아개인정보를처리하는업무를 담당하는자로서직접개인정보에관한업무를담당하는자와그밖에업무상필요에의해개인정보에접근하여처리하는모든자를의미한다 개인정보취급자는개인정보처리업무를담당하고있는자라면정규직 비정규직 파견직 시간제등모든근로형태를불문한다 고용관계가없더라도실질적으로개인정보처리자의지휘감독을받아개인정보를처리하는자는개인정보취급자에포함된다 10. 개인정보처리시스템 이란데이터베이스시스템등개인정보를처리할수있도록 체계적으로구성한시스템을말한다. 개인정보처리시스템이란일반적으로데이터베이스 내의데이터에접근할수있도록 해주는응용시스템을의미하며 데이터베이스를구축하거나운영하는데필요한시스템을말한다 다만 개인정보처리시스템은개인정보처리자의개인정보처리방법 시스템구성및 운영환경등에따라달라질수있다 업무용컴퓨터의경우에도데이터베이스응용프로그램이설치 운영되어다수의개인정보 취급자가사용하거나서버의용도로사용하는경우에는개인정보처리시스템에해당될수있다 다만 데이터베이스응용프로그램이설치 운영되지않는 노트북과같은업무용 컴퓨터는개인정보처리시스템에서제외된다 - 20 -
11. 위험도분석 이란개인정보유출에영향을미칠수있는다양한위험요소를식별 평가하고해당위험요소를적절하게통제할수있는방안마련을위한종합적으로 분석하는행위를말한다. 위험도분석이란개인정보처리시다양한위험요소를사전에식별 평가하고해당 위험요소를적절하게통제할수있는방안마련을위하여종합적으로분석하는행위를의미한다 개인정보유출에영향을미칠수있는위험요소는내부자의고의 과실등관리적인 측면과개인정보처리시스템 관리용단말기등의악성코드감염으로인한해킹등기술적인측면그리고비인가자의전산실출입등물리적인측면으로나눌수있다 위험요소식별 평가및통제방안으로는개인정보처리시스템등자산식별 위협확인 위험확인 대책마련 사후관리등이해당될수있다 12. 비밀번호 란정보주체또는개인정보취급자등이개인정보처리시스템, 업무용컴퓨터또는정보통신망등에접속할때식별자와함께입력하여정당한접속권한을가진자라는것을식별할수있도록시스템에전달해야하는고유의문자열로서타인에게공개되지않는정보를말한다. 비밀번호란정보주체또는개인정보취급자등이개인정보처리시스템 업무용컴퓨터 또는정보통신망등에접속할때계정정보와함께입력하여정당한접속권한을가진자라는것을식별할수있도록시스템에전달해야하는고유의문자열로서타인에게공개되지않는정보를말한다 사용자인증및비밀번호의기능으로생체인식 보안카드 일회용비밀번호 가사용되기도한다 비밀번호는알수있는형태로관리되어서는아니된다 내부직원또는비인가자나 공격자등에의하여고의또는악의적으로개인정보처리시스템등에접속하여개인정보를 유출하는등불법행위가가능하기때문이다 - 21 -
13. 정보통신망 이란 전기통신기본법 제 2 조제 2 호에따른전기통신설비를이용하거나 전기통신설비와컴퓨터및컴퓨터의이용기술을활용하여정보를수집 가공 저장 검색 송신또는수신하는정보통신체계를말한다. 정보통신망은전기통신을하기위한기계 기구 선로기타전기통신에필요한설비를 이용하거나컴퓨터및컴퓨터의이용기술을활용하여정보를수집 가공 저장 검색 송신 또는수신하는정보통신체계를의미한다 14. 공개된무선망 이란불특정다수가무선접속장치 (AP) 를통하여인터넷을이용할 수있는망을말한다. 공개된무선망은커피전문점 도서관 공항 철도역 버스터미널 대학 병원 유통센터 호텔등에설치될수있으며개인정보처리자가고객이나방문객용으로매장 로비 대합실 회의실 휴게실 주차장등의장소에설치한무선접속장치도이에해당한다 무선접속장치 와이파이 블루투스관련표준을이용하여유선장치 예 유선 와무선장치예 무선 를연결시켜주는컴퓨터네트워크장치중의하나로서 두장치간데이터를중계할수있으며라우터 이더넷허브등에연결하여사용할수있다 공개된무선망 커피전문점 예시 개인정보처리자가직원의업무처리목적으로사무실 회의실등에무선접속장치 를설치하여운영하는경우 공개된무선망 에서제외된다 등의기술을사용하는이동통신망은 공개된무선망 에서제외된다 - 22 -
15. 모바일기기 란무선망을이용할수있는 PDA, 스마트폰, 태블릿 PC 등개인정보처리에 이용되는휴대용기기를말한다. 모바일기기는이동통신망 와이파이 등의무선망을이용하여개인정보처리에이용되는휴대용기기로서 스마트폰 태블릿 등이있다 모바일기기예시 스마트폰태블릿 개인정보처리에이용되는휴대용기기 의의미는개인정보처리자가업무를목적으로개인정보취급자로하여금개인정보처리에이용하도록하는휴대용기기를말한다 개인소유의휴대용기기라할지라도개인정보처리자의업무목적으로개인정보처리에이용되는경우모바일기기에포함된다 개인정보처리자의 업무목적 으로 개인정보를처리 에이용되지않는휴대용기기는모바일기기에서제외된다 16. 바이오정보 란지문, 얼굴, 홍채, 정맥, 음성, 필적등개인을식별할수있는신체적 또는행동적특징에관한정보로서그로부터가공되거나생성된정보를포함한다. 지문 얼굴 홍채 정맥 음성 필적등의바이오정보는각개인마다고유의특징을 갖고있어개인을식별하는정보로사용되며 이러한바이오정보는신체적특징과행동적특징을기반으로생성된정보로구분할수있다 신체적특징 지문 얼굴 홍채 정맥 음성 망막 손모양 손가락모양 열상등 행동적특징 필적 키보드타이핑 입술움직임 걸음걸이등 또한 바이오정보는사람의신체적또는행동적특징을입력장치를통해최초로수집되어 가공되지않은 원본정보 와그중특정알고리즘을통해특징만을추출하여생성된 특징정보 로구분하기도한다 - 23 -
17. 보조저장매체 란이동형하드디스크, USB 메모리, CD(Compact Disk), DVD(Digital Versatile Disk) 등자료를저장할수있는매체로서개인정보처리시스템또는개인용 컴퓨터등과용이하게연결 분리할수있는저장매체를말한다. 보조저장매체에는이동형하드디스크 메모리 등이해당된다 보조저장매체예시 이동형하드디스크 메모리 18. 내부망 이란물리적망분리, 접근통제시스템등에의해인터넷구간에서의접근이 통제또는차단되는구간을말한다. 내부망이란인터넷구간과물리적으로망이분리되어있거나 비인가된불법적인접근을 차단하는기능등을가진접근통제시스템에의하여인터넷구간에서의직접접근이불가능 하도록통제 차단되어있는구간을말한다 내부망구성도예시 내부망구성도예시 - 24 -
19. 접속기록 이란개인정보취급자등이개인정보처리시스템에접속한사실을알수있는계정, 접속일시, 접속자정보, 수행업무등을전자적으로기록한것을말한다. 이경우 접속 이란개인정보처리시스템과연결되어데이터송신또는수신이가능한상태를말한다. 접속기록은개인정보취급자등이개인정보처리시스템에접속및운영등에관한이력정 보를남기는기록으로서 접속에관한정보와서비스이용에관한정보등이개인정보처리 시스템의로그 파일또는로그관리시스템등에전자적으로기록한것을말한다 접속한사실을알수있는계정 접속일시 접속자정보 수행업무 는접속한사실을 확인하는데필요한정보를말한다 계정 개인정보처리시스템에서접속자를식별할수있도록부여된 등계정정보 접속일시 접속한시점또는업무를수행한시점년월일 시분초 접속자정보 접속한자의 모바일기기등단말기정보또는서버의 주소등접속주소 수행업무 개인정보취급자가개인정보처리시스템을이용하여개인정보를처리한 내용을알수있는정보 개인정보에대한수집 생성 연계 연동 기록 저장 보유 가공 편집 검색 출력 정정 복구 이용 제공 공개 파기 등이수행업무에해당될수있다 20. 관리용단말기 란개인정보처리시스템의관리, 운영, 개발, 보안등의목적으로개인정보 처리시스템에직접접속하는단말기를말한다. 개인정보처리시스템을관리 운영 개발 보안등의목적으로개인정보처리시스템에 직접접속할수있는업무용컴퓨터 노트북등이관리용단말기에해당될수있다 직접접속 이란물리적구조와상관없이단말기에서개인정보처리시스템에대하여 관리 운영 개발 보안등의목적으로활용할수있는명령어등을직접입력하여처리할 수있는상태를말한다 - 25 -
제 3 조 안전조치기준적용 제3조 ( 안전조치기준적용 ) 개인정보처리자가개인정보의안전성확보에필요한조치를하는경우에는 [ 별표 ] 개인정보처리자유형및개인정보보유량에따른안전조치기준을적용하여야한다. 이경우개인정보처리자가어느유형에해당하는지에대한입증책임은당해개인정보처리자가부담한다. 개인정보처리자는 별표 에따라개인정보처리자유형과개인정보보유량을동시에 적용하여개인정보처리자가해당하는유형의안전조치기준을적용하여야한다 별표 개인정보처리자유형및개인정보보유량에따른안전조치기준 유형적용대상안전조치기준 유형 완화 만명미만의정보주체에관한개인정보를 보유한소상공인 단체 개인 제 조 제 항부터제 항까지 제 조 제 항 제 항 제 항및제 항 제 조 제 항부터제 항까지 제 항 제 조 제 조 제 조 제 조 제 조 유형 표준 유형 강화 만명미만의정보주체에관한개인정보를 제조 제항제 호부터제호까지및 보유한중소기업 제호 제항부터제항까지 만명미만의정보주체에관한개인정보를 제조보유한대기업 중견기업 공공기관 제조 제항부터제항까지 제조 제항부터제항까지 제항만명이상의정보주체에관한개인정보를보유한소상공인 단체 제조 제조 제조 제조 제조개인 만명이상의정보주체에관한개인정보를 보유한대기업 중견기업 공공기관 제조부터제조까지 만명이상의정보주체에관한개인정보를 보유한중소기업 단체 - 26 -
개인정보처리자유형및개인정보보유량에따른안전조치적용유형 개인정보처리자유형 공공기관 대기업 중견기업 중소기업 소상공인 개인 단체 개인정보보유량 만명미만 만명 만명미만 만명 만명미만 만명이상 구분 만명미만 만명 만명미만 만명 만명미만 만명이상 공공기관 대기업 유형 표준 유형 강화 중견기업 중소기업유형 표준 유형 강화 소상공인 개인 유형 완화 유형 표준 단체유형 완화 유형 표준 유형 강화 예시 만명의개인정보를보유한대기업은 유형 강화 에해당하는안전조치기준적용 예시 만명의개인정보를보유한중소기업은 유형 표준 에해당하는안전조치기준적용 예시 백명의개인정보를보유한소상공인은 유형 완화 에해당하는안전조치기준적용 개인정보처리자는개인정보보유량의변경 변동가능여부에대하여정기적으로확인하는등 개인정보처리자유형또는개인정보보유량이변동되는경우에도해당하는유형의안전조치기준을적용하여야한다 이경우개인정보처리자가어느유형에해당하는지에대하여입증할수있어야한다 - 27 -
제 4 조 내부관리계획의수립 시행 제4조 ( 내부관리계획의수립 시행 ) 1 개인정보처리자는개인정보의분실 도난 유출 위조 변조또는훼손되지아니하도록내부의사결정절차를통하여다음각호의사항을포함하는내부관리계획을수립 시행하여야한다. 1. 개인정보보호책임자의지정에관한사항 2. 개인정보보호책임자및개인정보취급자의역할및책임에관한사항 3. 개인정보취급자에대한교육에관한사항 4. 접근권한의관리에관한사항 5. 접근통제에관한사항 6. 개인정보의암호화조치에관한사항 7. 접속기록보관및점검에관한사항 8. 악성프로그램등방지에관한사항 9. 물리적안전조치에관한사항 10. 개인정보보호조직에관한구성및운영에관한사항 11. 개인정보유출사고대응계획수립 시행에관한사항 12. 위험도분석및대응방안마련에관한사항 13. 재해및재난대비개인정보처리시스템의물리적안전조치에관한사항 14. 개인정보처리업무를위탁하는경우수탁자에대한관리및감독에관한사항 15. 그밖에개인정보보호를위하여필요한사항 2 [ 별표 ] 의유형1 에해당하는개인정보처리자는제1항에따른내부관리계획을수립하지아니할수있고, [ 별표 ] 의유형2 에해당하는개인정보처리자는제1항제 12호부터제14 호까지를내부관리계획에포함하지아니할수있다. 3 개인정보처리자는제1항각호의사항에중요한변경이있는경우에는이를즉시반영하여내부관리계획을수정하여시행하고, 그수정이력을관리하여야한다. 4 개인정보보호책임자는연 1회이상으로내부관리계획의이행실태를점검 관리하여야한다. - 28 -
제 4 조 ( 내부관리계획의수립 시행 ) 1 개인정보처리자는개인정보의분실 도난 유출 위조 변조또는훼손되지아니하도록내부의사결정절차를통하여다음각호의사항을 포함하는내부관리계획을수립 시행하여야한다. 개인정보처리자는개인정보를처리함에있어서개인정보가분실 도난 유출 위조 변조또는훼손되지아니하도록안전성을확보에필요한기술적관리적및물리적안전조치에관한내부관리계획을수립하고시행하여야한다 개인정보보호책임자의지정에관한사항 개인정보보호책임자및개인정보취급자의역할및책임에관한사항 개인정보취급자에대한교육에관한사항 접근권한의관리에관한사항 접근통제에관한사항 개인정보의암호화조치에관한사항 접속기록보관및점검에관한사항 악성프로그램등방지에관한사항 물리적안전조치에관한사항 개인정보보호조직에관한구성및운영에관한사항 개인정보유출사고대응계획수립 시행에관한사항 위험도분석및대응방안마련에관한사항 재해및재난대비개인정보처리시스템의물리적안전조치에관한사항 개인정보처리업무를위탁하는경우수탁자에대한관리및감독에관한사항 그밖에개인정보보호를위하여필요한사항 내부관리계획은전사적인계획내에서개인정보가관리될수있도록최고경영층으로부터 내부결재등의승인을받아모든임직원및관련자에게알림으로써이를준수할수 있도록하여야한다 - 29 -
내부관리계획의문서제목은가급적 내부관리계획 이라는용어를사용하는것이바람직하나 개인정보처리자의내부방침에따라다른용어를사용할수있다 다른용어를사용하는경우에도이기준제 조에관한사항을이행하여야한다 개인정보내부관리계획목차예시 제 장총칙제 조 목적 제 조 용어정의 제 조 적용범위 제 장내부관리계획의수립및시행제 조 내부관리계획의수립및승인 제 조 내부관리계획의공표 제 장개인정보보호책임자의역할과책임제 조 개인정보보호책임자의지정 제 조 개인정보보호책임자의역할및책임 제 조 개인정보취급자의역할및책임 제 장개인정보보호교육제 조 개인정보보호책임자의교육 제 조 개인정보취급자의교육 제 장기술적안전조치제 조 접근권한의관리 제 조 접근통제 제 조 개인정보의암호화 제 조 접속기록의보관및점검 제 조 악성프로그램등방지 제 장관리적안전조치제 조 개인정보보호조직구성및운영 제 조 개인정보유출사고대응 제 조 위험도분석및대응 제 조 수탁자에대한관리및감독 제 장물리적안전조치제 조 물리적안전조치 제 조 재해및재난대비안전조치 제 장그밖에개인정보보호를위하여필요한사항 - 30 -
1. 개인정보보호책임자의지정에관한사항 개인정보보호책임자는개인정보처리에관한전반적인사항을결정하고이로인한제반결과에대하여책임을지는자이므로개인정보보호법 제도및기술등에대해이해와지식을보유한자로지정하여야한다 개인정보보호책임자는개인정보수집 이용 제공등처리에대하여실질적인권한을가지고있어야하며조직내에서어느정도독자적인의사결정을할수있는지위에있는자이어야한다 개인정보처리자가개인정보보호책임자를지정하거나변경하는경우에는개인정보처리방침에공개하여야한다 개인정보보호법 제 조제 항 제 조 개인정보보호책임자의지정 개인정보처리자는개인정보의처리에관한업무를총괄해서책임질개인정보보호책임자를지정하여야한다 개인정보보호법시행령 제 조제 항 제 조 개인정보보호책임자의업무및지정요건등 개인정보처리자는법제 조제 항에따라개인정보보호책임자를지정하려는경우에는다음각호의구분에따라지정한다 공공기관 다음각목의구분에따른기준에해당하는공무원등가 국회 법원 헌법재판소 중앙선거관리위원회의행정사무를처리하는기관및중앙행정기관 고위공무원단에속하는공무원 이하 고위공무원 이라한다 또는그에상당하는공무원 나 가목외에정무직공무원을장 으로하는국가기관 급이상공무원 고위공무원을 포함한다 또는그에상당하는공무원 다 가목및나목외에고위공무원 급공무원또는그에상당하는공무원이상의공무원을 장으로하는국가기관 급이상공무원또는그에상당하는공무원 라 가목부터다목까지의규정에따른국가기관외의국가기관 소속기관을포함한다 해당 기관의개인정보처리관련업무를담당하는부서의장 마 시 도및시 도교육청 급이상공무원또는그에상당하는공무원 바 시 군및자치구 급공무원또는그에상당하는공무원 사 제 조제 호에따른각급학교 해당학교의행정사무를총괄하는사람 아 가목부터사목까지의규정에따른기관외의공공기관 개인정보처리관련업무를담당하는 부서의장 다만 개인정보처리관련업무를담당하는부서의장이 명이상인경우에는해당공공기관의장이지명하는부서의장이된다 공공기관외의개인정보처리자 다음각목의어느하나에해당하는사람 가 사업주또는대표자나 임원 임원이없는경우에는개인정보처리관련업무를담당하는부서의장 - 31 -
2. 개인정보보호책임자및개인정보취급자의역할및책임에관한사항 개인정보보호책임자가형식적으로외부에보여주기위한장치가아닌개인정보처리자의 내부관리체계를강화하고자율규제를활성화하는등개인정보보호책임자에게실질적인 권한과의무를부여하여야한다 개인정보보호법 제조제항제조개인정보보호책임자의지정 개인정보보호책임자는다음각호의업무를수행한다 개인정보보호계획의수립및시행 개인정보처리실태및관행의정기적인조사및개선 개인정보처리와관련한불만의처리및피해구제 개인정보유출및오용 남용방지를위한내부통제시스템의구축 개인정보보호교육계획의수립및시행 개인정보파일의보호및관리 감독 그밖에개인정보의적절한처리를위하여대통령령으로정한업무 개인정보보호책임자는제항각호의업무를수행함에있어서필요한경우개인정보의처리현황 처리체계등에대하여수시로조사하거나관계당사자로부터보고를받을수있다 개인정보보호책임자는개인정보보호와관련하여이법및다른관계법령의위반사실을알게된경우에는즉시개선조치를하여야하며 필요하면소속기관또는단체의장에게개선조치를보고하여야한다 개인정보처리자는개인정보보호책임자가제 항각호의업무를수행함에있어서정당한이유 없이불이익을주거나받게하여서는아니된다 개인정보보호법시행령 제 조제 항 제조 개인정보보호책임자의업무및지정요건등 법제조제 항제 호에서 대통령령으로정한업무란다음각호와같다 법제조에따른개인정보처리방침의수립변경및시행 개인정보보호관련자료의관리 처리목적이달성되거나보유기간이지난개인정보의파기 - 32 -
3. 개인정보취급자에대한교육에관한사항 개인정보처리자는개인정보의적정한취급을보장하기위하여개인정보취급자에게 정기적으로필요한교육을실시하여야한다 교육에관한사항에는교육목적 교육대상 교육내용 프로그램등포함 교육일정 및방법등을포함하도록한다 내부관리계획등에규정하거나 년개인정보보호 교육계획 안 등과같은형태로수립할수있다 교육내용은개인정보취급자의지위 직책 담당업무의내용 업무숙련도등에따라 각기다르게할필요가있다 해당업무를수행하기위한분야별전문기술교육뿐만아니라개인정보보호관련법률및제도 내부관리계획등필히알고있어야하는사항을포함하여교육을실시하도록한다 개인정보보호교육내용예시 개인정보보호의중요성 내부관리계획의제개정에따른준수및이행 위험및대책이포함된조직보안정책 보안지침 지시사항 위험관리전략 개인정보처리시스템의안전한운영사용법 하드웨어 소프트웨어등 개인정보의안전성확보조치기준 개인정보보호업무의절차 책임 방법 개인정보처리절차별준수사항및금지사항 개인정보유 노출및침해신고등에따른사실확인및보고 피해구제절차등 교육방법에는사내교육 외부교육 위탁교육등여러종류가있을수있으며 조직의 여건및환경을고려하여집체교육 온라인교육등다양한방법을활용할수있다 행정자치부가운영하는개인정보보호종합포털 에서제공하는 온라인및현장교육프로그램 교육교재그리고전문강사등을활용할수있다 - 33 -
4. 접근권한의관리에관한사항 개인정보처리시스템등에접근권한이없는자의접근을방지하기위하여이기준제조 접근권한의관리에관한사항을포함하여야한다 개인정보취급자등에게업무수행에필요한최소한의범위로접근권한부여및접근권한의부여 변경또는말소에대한내역을기록및보관 개인정보취급자등에대한비밀번호작성규칙수립및적용등 5. 접근통제에관한사항 정보통신망을통하여개인정보처리시스템등에불법적인접근을차단하고침해사고를 예방방지하기위하여이기준제조접근통제에관한사항을포함하여야한다 정보통신망을통한불법적인접근및침해사고방지를위한침입차단 침입탐지기능을 포함한조치 개인정보취급자가정보통신망을통해외부에서개인정보처리시스템에접속하는경우안전한접속수단또는안전한인증수단의적용 개인정보유 노출방지를위한업무용컴퓨터등에대한안전조치 고유식별정보를처리하는인터넷홈페이지에대한취약점점검및개선조치등 6. 개인정보의암호화조치에관한사항 고유식별정보 비밀번호및바이오정보가개인정보처리시스템등에저장되거나정보통신망을통해전송되는경우 노출및위변조등을방지하기위하여이기준제조 개인정보의암호화 에관한사항을포함하여야한다 고유식별정보 비밀번호및바이오정보는안전한알고리즘으로암호화저장 고유식별정보 비밀번호및바이오정보는정보통신망을통해송신시암호화등 - 34 -
7. 접속기록보관및점검에관한사항 개인정보취급자가개인정보처리시스템에접속한정보등을확인할수있는중요한 사항으로이기준제 조 접속기록의보관및점검 에관한사항을포함하여야한다 개인정보취급자가개인정보처리시스템에접속한기록의보관 관리및점검등 8. 악성프로그램등방지에관한사항 업무용컴퓨터등에악성프로그램등의설치로인한개인정보의유출을예방하기위하여 이기준제조악성프로그램등방지에관한사항을포함하여야한다 백신소프트웨어등의보안프로그램설치운영 보안프로그램은최신상태로유지하고보안업데이트실시등 9. 물리적안전조치에관한사항 개인정보가보관되어있는물리적장소나서류매체등을안전하게관리하기위하여이기준제조물리적접근방지에관한사항을포함하여야한다 전산실등물리적보관장소를두고있는경우에는출입통제절차수립운영 서류 보조저장매체등은잠금장치가있는안전한장소에보관 보조저장매체의반출입통제를위한보안대책마련등 - 35 -
10. 개인정보보호조직에관한구성및운영에관한사항 개인정보처리자는개인정보처리과정전반에걸쳐개인정보를안전하게관리하고보호하기 위하여개인정보보호조직을구성하고운영하여야한다 개인정보보호조직은처리하는개인정보의종류 중요도및보유량 개인정보를처리하는 방법및환경등을고려하여개인정보처리자스스로구성및운영하도록한다 개인정보보호조직은인사명령 업무분장 내부관리계획등에명시하도록하며인력의 지정에관한사항 역할및책임그리고역량및요건등적정성에관한사항등을 포함할수있다 개인정보보호조직구성도예시 개인정보보호책임자 개인정보처리에관한업무를총괄해서책임지는자 개인정보보호담당 개인정보보호책임자의지휘감독하에개인정보보호책임자의 업무를지원하는자 개인정보취급부서 개인정보를처리하는부서 개인정보취급자 개인정보처리자의지휘 감독을받아개인정보를처리하는업무를 담당하는자 - 36 -
11. 개인정보유출사고대응계획수립 시행에관한사항 개인정보유출사고발생시신속한대응을통해피해발생을최소화하기위하여긴급조치 유출신고및통지 피해신고접수및피해구제등과같은사항을포함하는개인정보유출사고대응계획을수립 시행하여야한다 개인정보유출사고대응계획예시 개인정보유출의정의및사례 유형 개인정보유출사고예방을위한안전조치및상시모니터링수행 개인정보유출사고대응팀구성 운영및비상연락망 개인정보유출사고시단계별대응절차 사고인지및긴급조치 유출통지및신고 피해신고접수및피해구제 사고원인분석및 안전조치 재발방지대책수립 운영등 표준개인정보유출사고대응매뉴얼 은개인정보보호종합포털 에서다운로드할수있다 12. 위험도분석및대응방안마련에관한사항 개인정보유출에영향을미칠수있는다양한위험요소를사전에식별 평가하고해당위험요소를적절하게통제할수있는방안을마련하기위해종합적으로분석하는등위험도분석및대응방안에관한사항을마련하여야한다 개인정보위험도분석기준및해설서 에따른위험도분석을수행하고대응방안을마련하거나개인정보처리자가처리하는개인정보의종류및중요도 개인정보를처리하는방법및환경등에따라국제표준및전문기관권고사항등을적용하는등개인정보처리자스스로이행할수도있다 위험도분석및대응방안예시 자산식별 개인정보 개인정보처리시스템등보호대상을명확하게확인 위협확인 자산에손실또는해를끼칠수있는위협요소 취약점등 확인 위험확인 위협으로인하여자산에영향을끼칠수있는위험의내용과정도를확인 대책마련 위험에대한적절한통제방안마련 사후관리 위험대책을적용하고지속적으로개선 관리를위한안전조치사항 개인정보위험도분석기준및해설서 는개인정보보호종합포털 에서다운로드할수있다 - 37 -
13. 재해및재난대비개인정보처리시스템의물리적안전조치에관한사항 개인정보처리자는재해 재난발생시개인정보처리시스템보호를통하여개인정보의 손실 훼손등을방지하기위하여이기준제 조 재해 재난대비안전조치 에관한사항을포함하여야한다 개인정보처리시스템보호를위한대응절차마련및점검 개인정보처리시스템백업및복구를위한계획마련등 14. 개인정보처리업무를위탁하는경우수탁자에대한관리및감독에관한사항 개인정보처리자는개인정보처리업무위탁으로인하여정보주체의개인정보가분실 도난 유출 변조또는훼손되지아니하도록수탁자를교육하고 수탁자가개인정보를안전하게처리하는지를감독하여야한다 개인정보보호법 제 조 제 조 업무위탁에따른개인정보의처리제한 위탁자는업무위탁으로인하여정보주체 의개인정보가분실 도난 유출 위조 변조또는훼손되지아니하도록수탁자를교육하고 처 리현황점검등대통령령으로정하는바에따라수탁자가개인정보를안전하게처리하는지를감독하여야한다 개인정보처리자는수탁자에대하여정기적인교육을실시하는외에수탁자의개인정보처리 현황및실태 목적외이용 제공 재위탁여부 안전성확보조치여부등을정기적으로점검등관리 감독하여야한다 내부관리계획에는수탁자에대한교육및감독의시기와방법 절차 점검항목등을 포함해야하며 이외수탁자교육및감독에대한기록을남기고문제점이발견된경우그에따른개선조치를하여야한다 15. 그밖에개인정보보호를위하여필요한사항 개인정보처리자는처리하는개인정보의종류및중요도 보유량그리고개인정보를 처리하는방법및환경등을고려하여개인정보의분실 도난 유출 위조 변조또는훼손되지아니하도록안전조치를취하기위한사항을추가적으로포함하도록한다 예를들어 인증제도 인증마크의도입 소프트웨어보안취약점점검및모의해킹 내 외부관리실태점검및평가등에관한사항이이에해당될수있다 - 38 -
2 [ 별표 ] 의유형 1 에해당하는개인정보처리자는제 1 항에따른내부관리계획을수립 하지아니할수있고, [ 별표 ] 의유형 2 에해당하는개인정보처리자는제 1 항제 12 호부터 제 14 호까지를내부관리계획에포함하지아니할수있다. 항 개인정보처리자는개인정보의분실 도난 유출 위조 변조또는훼손되지아니하도 록내부의사결정절차를통하 여다음각호의사항을포함 하는내부관리계획을수립 시행하여야한다 안전조치기준에따른적용유형 제 조 내부관리계획의수립 시행 호 유형 완화 유형 표준 유형 강화 개인정보보호책임자의지정에관한사항 개인정보보호책임자및개인정보취급자의 역할및책임에관한사항 개인정보취급자에대한교육에관한사항 접근권한의관리에관한사항 접근통제에관한사항 개인정보의암호화조치에관한사항 접속기록보관및점검에관한사항 악성프로그램등방지에관한사항 물리적안전조치에관한사항 개인정보보호조직에관한구성및운영에 관한사항 개인정보유출사고대응계획수립 시행에 관한사항 위험도분석및대응방안마련에관한사항 재해및재난대비개인정보처리시스템의 물리적안전조치에관한사항 개인정보처리업무를위탁하는경우 수탁자에대한관리및감독에관한사항 그밖에개인정보보호를위하여필요한사항 별표 의유형 에해당하는개인정보처리자는제 항에따른내부관리계획을수립하지 아니할수있고 별표의유형에해당하는개인정보처리자는제항제호부터제호까지를내부관리계획에포함하지아니할수있다 개인정보처리자는제항각호의사항에중요한변경이있는경우에는 이를즉시반영하여내부관리계획을수정하여시행하고 그수정이력을관리하여야한다 개인정보보호책임자는연 회이상으로내부관리계획의이행실태를점검관리하여야한다 - 39 -
3 개인정보처리자는제 1 항각호의사항에중요한변경이있는경우에는이를즉시 반영하여내부관리계획을수정하여시행하고, 그수정이력을관리하여야한다. 개인정보처리자는개인정보처리방법 처리환경및안전조치사항등내부관리계획에 중요한변경이있는경우에는변경사항을즉시반영하여내부관리계획을수정 변경하여 시행하여야한다 내부관리계획의수정 변경시에도내부의사결정절차를통하여내부관리계획을 수정하여시행하여야한다 내부관리계획을수정 변경하는경우에는그내용 수정및시행시기등이력을 관리하여야한다 또한 내부관리계획의수정 변경사항을개인정보취급자등에게전파하여이를준수할 수있도록한다 4 개인정보보호책임자는연 1 회이상으로내부관리계획의이행실태를점검 관리 하여야한다. 개인정보보호책임자는내부관리계획의적정성과실효성을보장하기위하여연 회 이상내부관리계획의이행실태를점검 관리하여야한다 내부관리계획의이행실태점검 관리결과에따라적절한조치를취하여야하며 중대한영향을초래하거나해를끼칠수있는사안등에대해서는사업주 대표 임원 등에게보고후 의사결정절차를통하여적절한대책을마련하여야한다 - 40 -
제 5 조 접근권한의관리 제5조 ( 접근권한의관리 ) 1 개인정보처리자는개인정보처리시스템에대한접근권한을업무수행에필요한최소한의범위로업무담당자에따라차등부여하여야한다. 2 개인정보처리자는전보또는퇴직등인사이동이발생하여개인정보취급자가변경되었을경우지체없이개인정보처리시스템의접근권한을변경또는말소하여야한다. 3 개인정보처리자는제1항및제2항에의한권한부여, 변경또는말소에대한내역을기록하고, 그기록을최소 3년간보관하여야한다. 4 개인정보처리자는개인정보처리시스템에접속할수있는사용자계정을발급하는경우개인정보취급자별로사용자계정을발급하여야하며, 다른개인정보취급자와공유되지않도록하여야한다. 5 개인정보처리자는개인정보취급자또는정보주체가안전한비밀번호를설정하여이행할수있도록비밀번호작성규칙을수립하여적용하여야한다. 6 개인정보처리자는권한있는개인정보취급자만이개인정보처리시스템에접근할수있도록계정정보또는비밀번호를일정횟수이상잘못입력한경우개인정보처리시스템에대한접근을제한하는등필요한기술적조치를하여야한다. 7 [ 별표 ] 의유형1에해당하는개인정보처리자는제1항및제6항을아니할수있다. - 41 -
1 개인정보처리자는개인정보처리시스템에대한접근권한을업무수행에필요한최소한의 범위로업무담당자에따라차등부여하여야한다. 개인정보처리자는개인정보의분실 도난 유출 변조또는훼손을방지하기위하여 개인정보처리시스템에대한접근권한을업무수행목적에따라필요한최소한의범위로업무담당자에게차등부여하고접근통제를위한안전조치를취해야한다 특히 개인정보처리시스템의데이터베이스 에대한직접적인접근은데이터베이스운영 관리자에한정하는등의안전조치를적용할필요성이있다 2 개인정보처리자는전보또는퇴직등인사이동이발생하여개인정보취급자가변경 되었을경우지체없이개인정보처리시스템의접근권한을변경또는말소하여야한다. 조직내의임직원전보또는퇴직 휴직등인사이동이발생하여사용자계정의변경 말소 등이필요한경우에는사용자계정관리절차에따라통제하여인가되지않는자의접근을차단하여야한다 예를들어 직원의퇴직시해당직원의계정을지체없이변경 말소하는조치등을 내부관리계획등에반영하여이행하도록한다 또한 직원의퇴직시계정말소를효과적으로이행하기위해서는퇴직점검표에사용자계정의말소항목을반영하여 계정말소여부에대해확인을받을수도있다 3 개인정보처리자는제 1 항및제 2 항에의한권한부여, 변경또는말소에대한내역을 기록하고, 그기록을최소 3 년간보관하여야한다. 개인정보처리자는접근권한부여 변경 말소에대한내역을전자적으로기록하거나수기로작성한관리대장등에기록하고해당기록을최소 년간보관하여야한다 예를들어 신청자정보 신청일시 승인자및발급자정보 신청및발급사유등발급과정과이력등을확인할수있도록필요한정보를보관하여야한다 - 42 -
4 개인정보처리자는개인정보처리시스템에접속할수있는사용자계정을발급하는경우 개인정보취급자별로사용자계정을발급하여야하며, 다른개인정보취급자와공유되지 않도록하여야한다. 개인정보처리시스템에접속할수있는사용자계정은개인정보취급자별로발급하고다른개인정보취급자와공유되지않도록하여야한다 다수의개인정보취급자가동일한업무를수행한다하더라도하나의사용자계정을공유하지 않도록개인정보취급자별로아이디 를발급하여사용하고 각개인정보취급자별개인정보처리내역에대한책임추적성 을확보하여야한다 책임추적성이란개인정보취급에따른문제발생시사용자계정을기반으로책임소재를파악하는것을말한다 5 개인정보처리자는개인정보취급자또는정보주체가안전한비밀번호를설정하여 이행할수있도록비밀번호작성규칙을수립하여적용하여야한다. 개인정보처리자는개인정보취급자또는정보주체가안전한비밀번호를설정하여이행할수있도록비밀번호작성규칙을수립하고이를개인정보처리시스템 접근통제시스템 인터넷홈페이지등에적용하여야한다 비밀번호는정당한접속권한을가지지않는자가추측하거나접속을시도하기어렵도록문자 숫자등으로조합 구성하여야한다 비밀번호이외의추가적인인증에사용되는휴대폰인증 일회용비밀번호 등은비밀번호작성규칙을적용하지아니할수있다 특히 개인정보처리시스템의데이터베이스 에접속하는 관리자의비밀번호는복잡하게구성하고변경주기를짧게하는등강화된안전조치를적용할필요가있다 안전한비밀번호설정을위해한국인터넷진흥원 의암호이용활성화홈페이지 에서제공하는 패스워드선택및이용안내서 나비밀번호안전성검증소프트웨어등을활용할수있다 - 43 -
비밀번호작성규칙예시 비밀번호는문자 숫자의조합 구성에따라최소 자리또는 자리이상의길이로설정 기술발달에따라비밀번호의최소길이는늘어날수있다 최소 자리이상 영문자 개 숫자 개 특수문자 등 개 중 종류이상으로조합 구성한경우 최소 자리이상 영문자 숫자 특수문자중 종류이상으로구성한경우 비밀번호는추측하거나유추하기어렵도록설정 일련번호 등 전화번호 잘알려진단어 등 키보드상에서나란히있는문자열 등 등을사용하지않도록한다 비밀번호를최소 개월마다변경하도록변경기간을적용하는등장기간사용하지않는다 변경시동일한 예시 와 비밀번호를교대로사용하지않도록한다 6 개인정보처리자는권한있는개인정보취급자만이개인정보처리시스템에접근할수 있도록계정정보또는비밀번호를일정횟수이상잘못입력한경우개인정보처리시스템에 대한접근을제한하는등필요한기술적조치를하여야한다. 개인정보처리자는개인정보처리시스템에권한없는자의비정상적인접근을방지하기위하여계정정보또는비밀번호를일정횟수이상잘못입력한경우에는개인정보처리시스템에접근을제한하는등기술적조치를하여야한다 계정정보또는비밀번호를일정횟수예 회 이상잘못입력한경우사용자계정잠금등의조치를취하거나계정정보 비밀번호입력과동시에추가적인인증수단 공인인증서 등을적용하여정당한접근권한자임을확인하는등의조치를취하는것을말한다 개인정보취급자에게개인정보처리시스템에대한접근을재부여하는경우에도반드시개인정보취급자여부를확인후계정잠금해제등의조치가필요하다 일반적인비밀번호공격방법은사전공격과무작위대입공격이있다 사전공격 자주사용되는단어를비밀번호에대입하는공격방법 무작위대입공격 가능한한모든값을비밀번호에대입해보는공격방법 - 44 -
7 [ 별표 ] 의유형 1 에해당하는개인정보처리자는제 1 항및제 6 항을아니할수있다. 안전조치기준에따른적용유형 제 조 접근권한의관리 유형 완화 유형 표준 유형 강화 개인정보처리자는개인정보처리시스템에대한접근권한을업무수행에 필요한최소한의범위로업무담당자에따라차등부여하여야한다 개인정보처리자는전보또는퇴직등인사이동이발생하여개인정보 취급자가변경되었을경우지체없이개인정보처리시스템의접근권한을 변경또는말소하여야한다 개인정보처리자는제 항및제 항에의한권한부여 변경또는말소에 대한내역을기록하고 그기록을최소 년간보관하여야한다 개인정보처리자는개인정보처리시스템에접속할수있는사용자계정을 발급하는경우개인정보취급자별로사용자계정을발급하여야하며 다른개인정보취급자와공유되지않도록하여야한다 개인정보처리자는개인정보취급자또는정보주체가안전한비밀번호를 설정하여이행할수있도록비밀번호작성규칙을수립하여적용하여야 한다 개인정보처리자는권한있는개인정보취급자만이개인정보처리시스템에접근할수있도록계정정보또는비밀번호를일정횟수이상잘못입력한경우개인정보처리시스템에대한접근을제한하는등필요한기술적조치를하여야한다 별표 의유형 에해당하는개인정보처리자는제 항및제 항을아니할수있다 - 45 -
제 6 조 접근통제 제6조 ( 접근통제 ) 1 개인정보처리자는정보통신망을통한불법적인접근및침해사고방지를위해다음각호의기능을포함한조치를하여야한다. 1. 개인정보처리시스템에대한접속권한을 IP(Internet Protocol) 주소등으로제한하여인가받지않은접근을제한 2. 개인정보처리시스템에접속한 IP(Internet Protocol) 주소등을분석하여불법적인개인정보유출시도탐지및대응 2 개인정보처리자는개인정보취급자가정보통신망을통해외부에서개인정보처리시스템에접속하려는경우가상사설망 (VPN : Virtual Private Network) 또는전용선등안전한접속수단을적용하거나안전한인증수단을적용하여야한다. 3 개인정보처리자는취급중인개인정보가인터넷홈페이지, P2P, 공유설정, 공개된무선망이용등을통하여열람권한이없는자에게공개되거나유출되지않도록개인정보처리시스템, 업무용컴퓨터, 모바일기기및관리용단말기등에접근통제등에관한조치를하여야한다. 4 고유식별정보를처리하는개인정보처리자는인터넷홈페이지를통해고유식별정보가유출 변조 훼손되지않도록연 1회이상취약점을점검하고필요한보완조치를하여야한다. 5 개인정보처리자는개인정보처리시스템에대한불법적인접근및침해사고방지를위하여개인정보취급자가일정시간이상업무처리를하지않는경우에는자동으로시스템접속이차단되도록하여야한다. 6 개인정보처리자가별도의개인정보처리시스템을이용하지아니하고업무용컴퓨터또는모바일기기를이용하여개인정보를처리하는경우에는제1항을적용하지아니할수있으며, 이경우업무용컴퓨터또는모바일기기의운영체제 (OS : Operating System) 나보안프로그램등에서제공하는접근통제기능을이용할수있다. 7 개인정보처리자는업무용모바일기기의분실 도난등으로개인정보가유출되지않도록해당모바일기기에비밀번호설정등의보호조치를하여야한다. 8 [ 별표 ] 의유형1에해당하는개인정보처리자는제2항, 제4항부터제5항까지의조치를아니할수있다. - 46 -
1 개인정보처리자는정보통신망을통한불법적인접근및침해사고방지를위해다음각호의기능을포함한조치를하여야한다. 1. 개인정보처리시스템에대한접속권한을 IP(Internet Protocol) 주소등으로제한하여인가받지않은접근을제한 2. 개인정보처리시스템에접속한 IP(Internet Protocol) 주소등을분석하여불법적인개인정보유출시도탐지및대응 개인정보처리자는개인정보처리시스템에서정보통신망을통한불법적인접근및침해사고를 방지하기위해아래의기능을포함한안전조치를하여야한다 개인정보처리시스템에대한접속권한을 주소 포트 주소등으로제한하여인가받지않은접근을제한하도록한다 침입차단기능 개인정보처리시스템에접속한 주소 포트 주소등을분석하여불법적인개인정보유출시도를탐지 침입탐지기능 하고 접근제한 차단등적절한대응조치를하여야한다 불법적인접근및침해사고방지를위해서는침입차단및침입탐지기능을갖는장비 설치와더불어침입차단및침입탐지정책설정 개인정보처리시스템에접속한이상 행위대응 로그훼손방지등적절한운영 관리가필요하다 침입차단및침입탐지기능을갖춘장비의설치방법예시 침입차단시스템 침입탐지시스템 침입방지시스템등설치운영 웹방화벽 보안운영체제 등도입 스위치등의네트워크장비에서제공하는 접근제어목록 등기능을 이용하여 주소등을제한함으로써침입차단기능을구현 공개용소프트웨어를사용하거나 운영체제 에서제공하는기능을활용하여해당기능을 포함한시스템을설치 운영 다만 공개용소프트웨어를사용하는경우에는적절한보안이이루어지는지를사전에 점검하고정기적인업데이트여부등확인후적용필요 이외에도 인터넷데이터센터 클라우드서비스 보안업체등에서제공하는보안서비스등도활용가능 - 47 -
2 개인정보처리자는개인정보취급자가정보통신망을통해외부에서개인정보처리 시스템에접속하려는경우가상사설망 (VPN : Virtual Private Network) 또는전용선등 안전한접속수단을적용하거나안전한인증수단을적용하여야한다. 인터넷구간등외부로부터개인정보처리시스템에대한접속은원칙적으로차단하여야 하나 개인정보처리자의업무특성또는필요에의해개인정보취급자가노트북 업무용 컴퓨터 모바일기기등으로외부에서정보통신망을통해개인정보처리시스템에접속이필요한경우에는안전한접속수단을적용하거나안전한인증수단을적용하여야한다 접속수단예시 가상사설망 또는전용선등 가상사설망 개인정보취급자가사업장내의개인정보처리시스템에대해원격으로접속할때 이나 기반의암호프로토콜을사용한터널링 기술을통해안전한암호통신을할수있도록해주는보안시스템을의미 전용선 물리적으로독립된회선으로서두지점간에독점적으로사용하는회선으로개인정보 처리자와개인정보취급자 또는본점과지점간직통으로연결하는회선등을의미 가상사설망및전용선구성예시 은인터넷프로토콜 통신보안을위해패킷에암호화 기술이적용된프로토콜집합 은웹브라우저 클라이언트 와웹서버 서버 간에데이터를 안전하게주고받기위해암호화기술이적용된보안프로토콜 등의기술이사용된가상사설망을안전하게사용하기위해서는 잘알려진취약점예시 의 취약점들을조치하고사용할필요가있다 - 48 -
인증수단예시 인증서 보안토큰 일회용비밀번호 등 인증서 전자상거래등에서상대방과의신원확인 거래사실증명 문서의위변조여부검증등을위해사용하는전자서명으로서해당전자서명을 생성한자의신원을확인하는수단 보안토큰 암호연산장치등으로내부에저장된정보가외부로복사 재생성되지않도록공인인증서등을안전하게보호할수있는수단으로스마트카드 토큰등이해당 일회용비밀번호 무작위로생성되는난수를일회용비밀번호로 한번생성하고 그인증값이한번만사용가능하도록하는방식 인증수단만을적용하는경우에는통신보안을위한암호화기술의추가적용이필요할 수있으므로 보안성강화를위하여안전한접속수단을권고한다 3 개인정보처리자는취급중인개인정보가인터넷홈페이지, P2P, 공유설정, 공개된무선망이용등을통하여열람권한이없는자에게공개되거나유출되지않도록개인정보처리시스템, 업무용컴퓨터, 모바일기기및관리용단말기등에접근통제등에관한조치를하여야한다. 개인정보처리자는취급중인개인정보가인터넷홈페이지등을통해열람권한이없는자에게공개되거나유출되지않도록접근통제등에관한안전조치를하여야한다 인터넷홈페이지중서비스제공에사용되지않거나관리되지않는사이트또는 에대한삭제또는차단조치를한다 인터넷홈페이지의설계개발오류또는개인정보취급자의업무상부주의등으로인터넷서비스검색엔진구글링등을통해관리자페이지와취급중인개인정보가 노출되지않도록필요한조치를한다 - 49 -
개인정보처리자는개인정보처리시스템 업무용컴퓨터 모바일기기및관리용단말기등에 공유설정은기본적으로사용하지않는것이원칙이나 업무상반드시필요한 경우에는권한설정등의조치를통해권한이있는자만접근할수있도록설정하여개인정보가열람권한이없는자에게공개되거나유출되지않도록접근통제등에관한안전조치를하여야한다 업무상꼭필요한경우라도드라이브전체또는불필요한폴더가공유되지않도록 조치하고 공유폴더에개인정보파일이포함되지않도록정기적으로점검이필요하다 이외에도상용웹메일 웹하드 메신저 서비스등을통하여고의혹은부주의로인한개인정보유노출방지조치등이해당될수있다 웹하드등의사용을제한하는경우에도단순히사용금지조치를취하는것이아니라 시스템상에서해당포트를차단하는등근본적인안전조치를취하는것이필요하다 개인정보처리자는공개된무선망을이용하여개인정보를처리하는경우취급중인개인정보가신뢰되지않은무선접속장치 무선전송구간및무선접속장치의취약점등에의해열람권한이없는자에게공개되거나유출되지않도록접근통제등에관한안전조치를 하여야하며 다음과같은방식들을활용할수있다 비밀번호등송신시 등의보안기술이적용된전용프로그램을사용하거나 암호화하여송신한다 예시 모바일기기 노트북에서개인정보처리시스템에개인정보전송시 전송암호화기능이탑재된별도의앱이나프로그램을설치하고이를이용하여전송 고유식별정보등이포함된파일송신시파일을암호화하여저장후송신한다 예시 모바일기기 노트북에서개인정보처리시스템에고유식별정보가포함된파일송신시 암호화저장한후송신 개인정보유출방지조치가적용된공개된무선망을이용한다 예시 모바일기기 노트북에서설치자를신뢰할수있고관리자비밀번호등을포함한 알려진보안취약점이조치된무선접속장치에안전한비밀번호를적용한 보안프로토콜을사용하는공개된무선망사용 - 50 -
4 고유식별정보를처리하는개인정보처리자는인터넷홈페이지를통해고유식별정보가 유출 변조 훼손되지않도록연 1 회이상취약점을점검하고필요한보완조치를하여야한다. 인터넷홈페이지를통해고유식별정보 주민등록번호 운전면허번호 외국인등록번호 여권번호 를처리하는개인정보처리자는고유식별정보가유출 변조 훼손되지않도록 해당인터넷홈페이지에대해연 회이상취약점을점검하여야하며 그결과에따른개선조치를하여야한다 웹취약점점검항목예시 취약점 취약점 및 취약점 취약점 취약점 및 변조등 잘알려진웹취약점점검항목은행정자치부 국가사이버안전센터 한국인터넷진흥원 오픈소스웹보안프로젝트 등에서발표하는항목참조 웹취약점점검과함께정기적으로웹쉘등을점검하고조치하는경우취급중인개인정보가인터넷홈페이지를통해열람권한이없는자에게공개되거나유출되는위험성을더욱줄일수있다 인터넷홈페이지의취약점점검시에는기록을남겨책임추적성확보및향후개선조치등에활용할수있도록할필요가있다 인터넷홈페이지의취약점점검은개인정보처리자의자체인력 보안업체등을활용할수있으며 취약점점검은상용도구 공개용도구 자체제작도구등을사용할수있다 취약점점검및조치에활용할수있는기술문서는아래와같이다양한자료가있다 공개소프트웨어를활용한소프트웨어개발보안진단가이드 행정자치부 소프트웨어보안약점진단가이드 안전행정부 소프트웨어개발보안가이드 안전행정부 시큐어코딩가이드 행정안전부 정보보호실무가이드 행정안전부 홈페이지취약점진단 제거가이드 등 기술과서비스발전에따라시스템등에대한신규취약점은계속적으로발생하고 있으며 정기적인취약점점검및개선조치를통하여개인정보유출을예방하는등적극적인보호활동을권장한다 - 51 -
5 개인정보처리자는개인정보처리시스템에대한불법적인접근및침해사고방지를 위하여개인정보취급자가일정시간이상업무처리를하지않는경우에는자동으로 시스템접속이차단되도록하여야한다. 개인정보처리시스템에접속하는업무용컴퓨터등에서해당개인정보처리시스템에대한 접속의차단을의미하며 업무용컴퓨터의화면보호기등은접속차단에해당하지않는다 개인정보취급자가일정시간이상업무처리를하지않아개인정보처리시스템에접속이 차단된이후 다시접속하고자할때에도최초의로그인과동일한방법으로접속하여야한다 6 개인정보처리자가별도의개인정보처리시스템을이용하지아니하고업무용컴퓨터또는모바일기기를이용하여개인정보를처리하는경우에는제1항을적용하지아니할수있으며, 이경우업무용컴퓨터또는모바일기기의운영체제 (OS : Operating System) 나보안프로그램등에서제공하는접근통제기능을이용할수있다. 노트북등의업무용컴퓨터의운영체제 에서제공하는접근통제기능설정 방법은아래와같으며 별도의보안프로그램을사용하여접근통제기능을설정하고 이용할수있다 업무용컴퓨터 윈도우의경우 방화벽설정방법 업무용컴퓨터 제어판 방화벽 방화벽설정또는해제 업무용컴퓨터운영체제에서제공하는개인용방화벽설정시외부 로부터시도되는 불법적인접근등을차단한다 스마트폰 태블릿 등모바일기기에서도운영체제 나별도의보안프로그램에서 제공하는접근통제기능을이용할수있다 모바일기기에서는네트워크및소프트웨어통제 인입포트차단등의접근통제 기능을제공하는운영체제를사용할수있으며 접근통제기능을제공하는방화벽등 어플리케이션 을설치 운영을할수있다 - 52 -
7 개인정보처리자는업무용모바일기기의분실 도난등으로개인정보가유출되지 않도록해당모바일기기에비밀번호설정등의보호조치를하여야한다. 업무용모바일기기는성능및처리속도가향상되어대량의개인정보처리에활용되고 있으나 이동성 휴대성등으로인하여기기가분실 도난되는경우에는해당기기를 통하여개인정보처리시스템에접속하지못하도록조치하거나기기에저장된개인정보가유출되지않도록비밀번호설정등의안전조치를하여야한다 비밀번호 패턴 지문 홍채등을사용하여화면잠금설정 화면잠금설정예시 비밀번호 패턴입력 디바이스암호화기능을사용하여애플리케이션 데이터등암호화 카드에저장된개인정보보호를위한 카드잠금설정 모바일기기제조사및이동통신사가제공하는기능을이용한원격잠금 원격데이터삭제 중요한개인정보를처리하는모바일기기는 등모바일단말관리프로그램을설치하여원격잠금 원격데이터삭제 접속통제등 은무선망을이용해원격으로스마트폰등의모바일기기를제어하는솔루션으로서 분실된모바일기기의위치추적 잠금설정 정보삭제 특정사이트접속제한등의기능제공 모바일기기의도난또는분실시원격잠금 데이터삭제등을위해제조사별로지원하는 킬스위치 서비스 나이동통신사의 잠금앱서비스 를이용할수있다 - 53 -
8 [ 별표 ] 의유형 1 에해당하는개인정보처리자는제 2 항, 제 4 항부터제 5 항까지의조치를 아니할수있다. 안전조치기준에따른적용유형 항 제 조 접근통제 호 유형 완화 유형 표준 유형 강화 개인정보처리자는정보통 신망을통한불법적인접근및 침해사고방지를위해다음 각호의기능을포함한조치를하여야한다 개인정보처리시스템에대한접속권한 을 주소등으로제 한하여인가받지않은접근을제한 개인정보처리시스템에접속한 주소등을분석하여불법적인개인 정보유출시도탐지및대응 개인정보처리자는개인정보취급자가정보통신망을통해외부에서개인정보처리시스템에접속하려는경우가상사설망 또는전용선등안전한접속수단을적용하거나안전한인증수단을적용하여야한다 개인정보처리자는취급중인개인정보가인터넷홈페이지 공유 설정 공개된무선망이용등을통하여열람권한이없는자에게공개되거나 유출되지않도록개인정보처리시스템 업무용컴퓨터 모바일기기및관리용단말기등에접근통제등에관한조치를하여야한다 고유식별정보를처리하는개인정보처리자는인터넷홈페이지를통해 고유식별정보가유출 변조 훼손되지않도록연 회이상취약점을점검하고필요한보완조치를하여야한다 개인정보처리자는개인정보처리시스템에대한불법적인접근및침해 사고방지를위하여개인정보취급자가일정시간이상업무처리를하지않는경우에는자동으로시스템접속이차단되도록하여야한다 개인정보처리자가별도의개인정보처리시스템을이용하지아니하고 업무용컴퓨터또는모바일기기를이용하여개인정보를처리하는경우 에는제 항을적용하지아니할수있으며 이경우업무용컴퓨터또는 모바일기기의운영체제 나보안프로그램등에서제공하는접근통제기능을이용할수있다 개인정보처리자는업무용모바일기기의분실 도난등으로개인정보가 유출되지않도록해당모바일기기에비밀번호설정등의보호조치를하여야한다 별표 의유형 에해당하는개인정보처리자는제 항 제 항부터제 항까지의조치를아니할수있다 - 54 -
제 7 조 개인정보의암호화 제7조 ( 개인정보의암호화 ) 1 개인정보처리자는고유식별정보, 비밀번호, 바이오정보를정보통신망을통하여송신하거나보조저장매체등을통하여전달하는경우에는이를암호화하여야한다. 2 개인정보처리자는비밀번호및바이오정보는암호화하여저장하여야한다. 다만, 비밀번호를저장하는경우에는복호화되지아니하도록일방향암호화하여저장하여야한다. 3 개인정보처리자는인터넷구간및인터넷구간과내부망의중간지점 (DMZ : Demilitarized Zone) 에고유식별정보를저장하는경우에는이를암호화하여야한다. 4 개인정보처리자가내부망에고유식별정보를저장하는경우에는다음각호의기준에따라암호화의적용여부및적용범위를정하여시행할수있다. 1. 법제33조에따른개인정보영향평가의대상이되는공공기관의경우에는해당개인정보영향평가의결과 2. 암호화미적용시위험도분석에따른결과 5 개인정보처리자는제1항, 제2항, 제3항, 또는제4항에따라개인정보를암호화하는경우안전한암호알고리즘으로암호화하여저장하여야한다. 6 개인정보처리자는암호화된개인정보를안전하게보관하기위하여안전한암호키생성, 이용, 보관, 배포및파기등에관한절차를수립 시행하여야한다. 7 개인정보처리자는업무용컴퓨터또는모바일기기에고유식별정보를저장하여관리하는경우상용암호화소프트웨어또는안전한암호화알고리즘을사용하여암호화한후저장하여야한다. 8 [ 별표 ] 의유형1 및유형2에해당하는개인정보처리자는제6항을아니할수있다. - 55 -
1 개인정보처리자는고유식별정보, 비밀번호, 바이오정보를정보통신망을통하여송신 하거나보조저장매체등을통하여전달하는경우에는이를암호화하여야한다. 개인정보처리자는고유식별정보 비밀번호 바이오정보를정보통신망을통하여송신 하거나보조저장매체등을통하여전달하는경우에는이를암호화하여야한다 고유식별정보는개인을고유하게구별하기위하여부여된식별정보를말하며주민등록번호 여권번호 운전면허번호 외국인등록번호를말한다 비밀번호란정보주체또는개인정보취급자등이개인정보처리시스템 업무용컴퓨터 또는정보통신망등에접속할때식별자와함께입력하여정당한접속권한을가진자라는것을식별할수있도록시스템에전달해야하는고유의문자열로서타인에게공개되지않는정보를말한다 바이오정보란지문 얼굴 홍채 정맥 음성 필적등개인을식별할수있는신체적 또는행동적특징에관한정보로서그로부터가공되거나생성된정보를포함한다 정보통신망이란 전기통신기본법 제 조제 호에따른전기통신설비를이용하거나 전기통신설비와컴퓨터및컴퓨터의이용기술을활용하여정보를수집 가공 저장 검색 송신또는수신하는정보통신체계를말한다 개인정보처리자는자신이제공하는인터넷홈페이지에서이용자가입력하는고유식별정보 비밀번호 바이오정보를암호화하여송신하거나전달하여야한다 정보통신망을통하여비밀번호를송신하는경우에는 등의통신암호프로토콜이 탑재된기술을활용하여야한다 은웹브라우저와웹서버간에데이터를안전하게주고받기 위해암호화기술이적용된보안프로토콜이다 - 56 -
적용예시 일반웹주소 SSL 적용웹주소 개인정보암호화전송기술사용시안전한전송을위해잘알려진취약점 예시 사용시 취약점 들을조치하고사용할필요가있다 보조저장매체를통해고유식별정보 비밀번호 바이오정보를전달하는경우에도암호화 하여야하며 이를위해다음과같은방법등이사용될수있다 암호화기능을제공하는보안 등의보조저장매체에저장하여전달 해당개인정보를암호화저장한후보조저장매체에저장하여전달 고유식별정보 비밀번호 바이오정보를제외한개인정보 성명 연락처등 는암호화 조치가필수는아니나 개인정보의위 변조및유 노출등을고려하여가급적암호화 조치를권장한다 2 개인정보처리자는비밀번호및바이오정보는암호화하여저장하여야한다. 다만, 비밀번호를저장하는경우에는복호화되지아니하도록일방향암호화하여저장하여야한다. 개인정보처리자는비밀번호 바이오정보를 또는파일등으로저장하는경우에는노출또는위변조되지않도록암호화하여저장하여야한다 비밀번호의경우에는복호화되지않도록일방향해쉬함수 암호화하여야한다 일방향암호화는저장된값으로원본값을유추하거나복호화할수없도록한암호화방법으로서 인증검사시에는사용자가입력한비밀번호를일방향함수에적용하여얻은결과값과시스템에저장된값을비교하여인증된사용자임을확인한다 바이오정보를식별및인증등의업무에활용하기위하여수집 이용하는경우에는 암호화조치를하여야하며복호화가가능한양방향암호화저장을할수있다 - 57 -
3 개인정보처리자는인터넷구간및인터넷구간과내부망의중간지점 (DMZ : Demilitarized Zone) 에고유식별정보를저장하는경우에는이를암호화하여야한다. 인터넷구간은개인정보처리시스템과인터넷이직접연결되어있는구간을의미하고 구간은인터넷과내부망사이에위치한중간지점또는인터넷구간사이에위치한중간지점으로서인터넷구간에서직접접근이가능한영역을말한다 침입차단시스템 등으로접근제한등을수행하는경우에도해당 또한 내부망은접근통제시스템등에의해 차단되어외부에서직접접근이불가능한영역을말한다 구간예시 인터넷구간이나 구간은외부에서직접접근이가능하므로외부자의침입을받을가능성이있다 이에따라 구간에주민등록번호 외국인등록번호 운전면허번호 여권번호등의고유식별정보를저장하는경우암호화하여저장해야한다 제항에 따른비밀번호및바이오정보를저장하는경우에도암호화하여저장해야한다 - 58 -
4 개인정보처리자가내부망에고유식별정보를저장하는경우에는다음각호의기준에따라암호화의적용여부및적용범위를정하여시행할수있다. 1. 법제33조에따른개인정보영향평가의대상이되는공공기관의경우에는해당개인정보영향평가의결과 2. 암호화미적용시위험도분석에따른결과 부칙 < 제 2016-35 호, 2016. 9. 1.> 제 2 조 ( 적용례 ) 영제 21 조의 2 제 2 항에따른주민등록번호의암호화적용시기이후에는 고유식별정보중주민등록번호는제 7 조제 4 항을적용하지아니한다. 내부망에주민등록번호를저장하는경우 법제 조의 동법시행령제 조의 에따라 개인정보영향평가 나암호화미적용시 위험도분석 의결과에관계없이암호화 하여야한다 이경우에는아래의기간이전까지암호화적용을완료하여야한다 만명미만의정보주체에관한주민등록번호를보관하는개인정보처리자 년 월 일 만명이상의정보주체에관한주민등록번호를보관하는개인정보처리자 년 월 일 개인정보보호법제조의 제항제조의 주민등록번호처리의제한 개인정보처리자는제조제항에도불구하고주민등록번호가분실도난유출 위조변조또는훼손되지아니하도록암호화조치를통하여안전 하게보관하여야한다 이경우암호화적용대상및대상별적용시기등에관하여필요한사항은개인정보의처리규모와유출시영향등을고려하여대통령령으로정한다 개인정보보호법시행령 제 조의 제 조의 주민등록번호암호화적용대상등 법제 조의 제 항에따라암호화조치를 하여야하는암호화적용대상은주민등록번호를전자적인방법으로보관하는개인정보처 리자로한다 제 항의개인정보처리자에대한암호화적용시기는다음각호와같다 만명미만의정보주체에관한주민등록번호를보관하는개인정보처리자 년 월 일 만명이상의정보주체에관한주민등록번호를보관하는개인정보처리자 년 월 일 행정자치부장관은기술적 경제적타당성등을고려하여제 항에따른암호화조치의세부적인사항을정하여고시할수있다 - 59 -
내부망에주민등록번호를제외한고유식별정보를저장하는경우에는다음에따라암호화의적용여부및적용범위를정하여시행할수있다 개인정보보호법 제 조및시행령제 조에따라영향평가의대상이되는개인정보파일을운용하는공공기관은해당 개인정보영향평가의결과 개인정보보호법 제 조제 항 제 조 개인정보영향평가 공공기관의장은대통령령으로정하는기준에해당하는개인정 보파일의운용으로인하여정보주체의개인정보침해가우려되는경우에는그위험요인의 분석과개선사항도출을위한평가 이하 영향평가 라한다 를하고그결과를행정자치부 장관에게제출하여야한다 이경우공공기관의장은영향평가를행정자치부장관이지정하는 기관 이하 평가기관 이라한다 중에서의뢰하여야한다 개인정보보호법시행령 제 조 제 조 개인정보영향평가의대상 법제 조제 항에서 대통령령으로정하는기준에해당하는 개인정보파일 이란개인정보를전자적으로처리할수있는개인정보파일로서다음각호의어느하나에해당하는개인정보파일을말한다 구축 운용또는변경하려는개인정보파일로서 만명이상의정보주체에관한법제조에따른민감정보 이하 민감정보 라한다 또는고유식별정보의처리가수반되는개인정보파일 구축운용하고있는개인정보파일을해당공공기관내부또는외부에서구축운용하고있는 다른개인정보파일과연계하려는경우로서연계결과 만명이상의정보주체에관한개인정보가포함되는개인정보파일 구축운용또는변경하려는개인정보파일로서 만명이상의정보주체에관한개인정보파일 법제조제항에따른개인정보영향평가이하 영향평가라한다를받은후에개인정보 검색체계등개인정보파일의운용체계를변경하려는경우그개인정보파일 이경우영향평가대상은변경된부분으로한정한다 공공기관이외의개인정보처리자는암호화미적용시 위험도분석 에따른결과 개인정보영향평가수행안내서 및 개인정보위험도분석기준및해설서 는개인정보보호 종합포털 에서다운로드할수있다 - 60 -
5 개인정보처리자는제 1 항, 제 2 항, 제 3 항, 또는제 4 항에따라개인정보를암호화하는경우 안전한암호알고리즘으로암호화하여저장하여야한다. 고유식별정보 비밀번호 바이오정보를암호화하는경우에는국내및미국 일본 유럽 등의국외암호연구관련기관에서사용권고하는안전한암호알고리즘으로암호화하여 저장하여야한다 국내 외암호연구관련기관의권고암호알고리즘예시 분류미국 일본 유럽 국내 대칭키 암호 알고리즘 공개키 암호 알고리즘 메시지암 복호화 사용 권고하는 키길이확인필요 일방향 암호 알고리즘 국내 외암호연구관련기관에서대표적으로다루어지는권고암호알고리즘만표시 월기준 권고암호알고리즘은달라질수있으므로 암호화적용시국내 외암호관련연구기관에서제시하는 최신정보확인필요 안전한암호알고리즘 암호화방식등은 개인정보의암호화조치안내서 를참조하고 해당자료는개인정보보호종합포털 에서다운로드할수있다 국내외암호연구관련기관은한국인터넷진흥원 의암호이용활성화홈페이지 의 암호표준화및유관기관 에서도확인가능하다 국가정보원검증대상암호알고리즘목록은국가정보원홈페이지에서확인할수있다 - 61 -
6 개인정보처리자는암호화된개인정보를안전하게보관하기위하여안전한암호키 생성, 이용, 보관, 배포및파기등에관한절차를수립 시행하여야한다. 암호키는암호화된데이터를복호화할수있는정보이므로암호키의안전한사용과관리는매우중요하며 라이프사이클단계별암호키관리절차를수립 시행하여야한다 암호키관리예시 준비단계 암호키가사용되기이전의단계 암호키생성 암호키생성에필요한난수는안전한난수발생기 를이용하여생성 비대칭키알고리즘키생성방식 디지털서명을위한키쌍생성 키설정을위한키쌍생성 대칭키알고리즘방식 미리공유된키 패스워드 다수의암호키를이용한키생성등 암호키분배 대칭키알고리즘키분배방식 수동적키분배 자동화된키전송등 비대칭키알고리즘의키분배방식 기타키자료생성및분배방식 영역파라미터 초기값 공유된비밀 시드 다른공개및비밀정보 중간값 난수 패스워드등 운영단계 암호키가암호알고리즘및연산에사용되는단계 암호키의유효기간동안사용되는키자료들은필요에따라장비모듈에보관되거나별도의저장매체에보관등으로저장해야함 암호키는하드웨어손상또는소프트웨어오류등의사유로손상될가능성이있으므로가용성보장을위해서는키백업및키복구등이가능해야함 암호키가노출되거나노출의위협이있는경우그리고암호키유효기간의만료가가까워지는경우에는암호키를다른암호키로안전하게변경해야함 정지단계 암호키가더이상사용되지않지만 암호키에대한접근은가능한단계 암호키보관및복구 암호키는수정이불가한상태이거나새로운보관키를이용하여주기적으로암호화 운영데이터와분리되어보관하며 암호정보의사본들은물리적으로분리된곳에보관 암호키는응용프로그램의소스프로그램내에평문으로저장금지 암호화되는중요한정보에대한보관키는백업되어야하며 사본은다른곳에보관등 모든개인키나대칭키의복사본이더이상필요하지않다면즉시파기하여야함 암호키손상시유효기간내에키자료를제거하고 보안도메인에속해있는실체의권한을삭제하여말소된실체의키자료의사용을방지해야함 폐기단계 암호키가더이상사용될수없는단계 폐기또는사고상태 일반적으로폐기단계의키자료에대한모든기록은삭제 다만 일부기관에서는감사를목적으로특정키속성유지가필요할수도있음 폐기상태의암호키와사고상태의암호키들의특성에대한기록유지등 개인정보보호종합포털 에서제공하는 개인정보의암호화조치안내서 그리고암호이용활성화 에서제공하는 암호키관리안내서 등을참고할수있다 - 62 -
7 개인정보처리자는업무용컴퓨터또는모바일기기에고유식별정보를저장하여 관리하는경우상용암호화소프트웨어또는안전한암호화알고리즘을사용하여 암호화한후저장하여야한다. 개인정보처리자는업무용컴퓨터또는모바일기기에고유식별정보를저장하여관리하거나 개인정보처리시스템으로부터개인정보취급자의업무용컴퓨터 모바일기기에내려받아저장하는경우에는안전한암호화알고리즘이탑재된암호화소프트웨어등을이용하여 해당파일을암호화하여불법적인유 노출및접근등으로부터보호하여야한다 오피스에서파일암호화설정방법 한컴오피스 파일 다른이름으로저장하기 문서암호설정에서암호설정가능 오피스 파일 다른이름으로저장하기 도구 일반옵션에서암호설정가능 암호화적용기준요약표 구분 암호화기준 정보통신망 보조저장매체를통한송신시 비밀번호 바이오정보 고유식별정보 암호화송신 비밀번호 일방향 해쉬함수 암호화저장 바이오정보 암호화저장 주민등록번호 암호화저장 암호화저장시기는제 조제 항참고 인터넷구간 인터넷 개인정보처리시스템에저장시 고유식별정보 여권번호 외국인등록번호 운전면허 번호 구간과내부망의중간지점 내부망에저장 암호화저장 암호화저장또는다음항목에따라암호화 적용여부 적용범위를정하여시행 개인정보영향평가대상이되는 공공기관의경우 그개인정보 영향평가의결과 암호화미적용시위험도분석에 따른결과 업무용컴퓨터 모바일기기에저장시 비밀번호 바이오정보 고유식별정보 암호화저장 비밀번호는일방향암호화저장 - 63 -
8 [ 별표 ] 의유형 1 및유형 2 에해당하는개인정보처리자는제 6 항을아니할수있다. 안전조치기준에따른적용유형 항 제 조 개인정보의암호화 호 유형 완화 유형 표준 유형 강화 개인정보처리자는고유식별정보 비밀번호 바이오정보를정보통신망을 통하여송신하거나보조저장매체등을통하여전달하는경우에는이를암호화하여야한다 개인정보처리자는비밀번호및바이오정보는암호화하여저장하여야 한다 다만 비밀번호를저장하는경우에는복호화되지아니하도록일방향암호화하여저장하여야한다 개인정보처리자는인터넷구간및인터넷구간과내부망의중간지점 에고유식별정보를저장하는경우에는이를암호화하여야한다 개인정보처리자가내부망에 고유식별정보를저장하는경우 에는다음각호의기준에따라 암호화의적용여부및적용범위를정하여시행할수있다 법제 조에따른개인정보영향평가의 대상이되는공공기관의경우에는해당개인정보영향평가의결과 암호화미적용시위험도분석에따른결과 부칙제 조 적용례 영제 조의 제 항에따른주민등록번호의암호화적용시기이후에는고유식별정보중주민등록번호는제 조제 항을적용하지아니한다 개인정보처리자는제 항 제 항 제 항 또는제 항에따라개인정보를암호화하는경우안전한암호알고리즘으로암호화하여저장하여야한다 개인정보처리자는암호화된개인정보를안전하게보관하기위하여안 전한암호키생성 이용 보관 배포및파기등에관한절차를수립 시행하여야한다 개인정보처리자는업무용컴퓨터또는모바일기기에고유식별정보를 저장하여관리하는경우상용암호화소프트웨어또는안전한암호화알고리즘을사용하여암호화한후저장하여야한다 별표 의유형 및유형 에해당하는개인정보처리자는제 항을아니할수있다 - 64 -
제 8 조 접속기록의보관및점검 제8조 ( 접속기록의보관및점검 ) 1 개인정보처리자는개인정보취급자가개인정보처리시스템에접속한기록을 6개월이상보관 관리하여야한다. 2 개인정보처리자는개인정보의분실 도난 유출 위조 변조또는훼손등에대응하기위하여개인정보처리시스템의접속기록등을반기별로 1회이상점검하여야한다. 3 개인정보처리자는개인정보취급자의접속기록이위 변조및도난, 분실되지않도록해당접속기록을안전하게보관하여야한다. 1 개인정보처리자는개인정보취급자가개인정보처리시스템에접속한기록을 6 개월 이상보관 관리하여야한다. 개인정보처리자는개인정보취급자가개인정보처리시스템에접속에관한아래의이력정보를최소 개월이상보관 관리하여야한다 계정 개인정보처리시스템에서접속자를식별할수있도록부여된 등계정정보 접속일시 접속한시간또는업무를수행한시간 년 월 일 시 분 초 접속자정보 접속한자의 모바일기기등단말기정보또는서버의 주소등접속주소 수행업무 개인정보취급자가개인정보처리시스템을이용하여개인정보를처리한 내용을알수있는정보 개인정보에대한수집 생성 연계 연동 기록 저장 보유 가공 편집 검색 출력 정정 복구 이용 제공 공개 파기 등이수행업무에해당될수있다 접속기록항목예시 - 65 -
개인정보처리시스템에접속한기록이아닌경우에는 개월보관 관리가필수는아니다 예 개인정보처리시스템으로볼수없는업무용 만으로개인정보처리시 이업무용 에접속한기록은 개월보관 관리가필수는아님 비인가자의개인정보처리시스템에대한접속시도기록및정보주체에대한접속기록까지 보관 관리하고정기적으로확인 감독등을통하여개인정보처리시스템에대한불법적인 접근및비정상행위등에대한안전조치를강화할수있다 2 개인정보처리자는개인정보의분실 도난 유출 위조 변조또는훼손등에대응하기 위하여개인정보처리시스템의접속기록등을반기별로 1 회이상점검하여야한다. 개인정보처리자는개인정보처리시스템의접속기록을반기별 회이상정기적으로점검 하여야하며 이를통해비인가된개인정보처리 대량의개인정보의조회 정정 다운로드 삭제등의비정상행위를탐지하고적절한대응조치를할필요가있다 3 개인정보처리자는개인정보취급자의접속기록이위 변조및도난, 분실되지않도록 해당접속기록을안전하게보관하여야한다. 개인정보처리자는아래와같은방법등으로서개인정보취급자의접속기록안전하게 보관 관리하여야한다 상시적으로접속기록백업을수행하여개인정보처리시스템이외의별도의보조저장매체나별도의저장장치에보관 접속기록에대한위변조를방지하기위해서는 등과같은덮어쓰기방지매체를사용 접속기록을수정가능한매체하드디스크 자기테이프등에백업하는경우에는무결성보장을위해위변조여부를확인할수있는정보를별도의장비에보관관리 접속기록을 에보관하고 위변조여부를확인할수있는정보 값 전자서명값등는별도의 또는관리대장에보관하는방법등으로관리할수있다 - 66 -
제 9 조 악성프로그램등방지 제9조 ( 악성프로그램등방지 ) 개인정보처리자는악성프로그램등을방지 치료할수있는백신소프트웨어등의보안프로그램을설치 운영하여야하며, 다음각호의사항을준수하여야한다. 1. 보안프로그램의자동업데이트기능을사용하거나, 일 1회이상업데이트를실시하여최신의상태로유지 2. 악성프로그램관련경보가발령된경우또는사용중인응용프로그램이나운영체제소프트웨어의제작업체에서보안업데이트공지가있는경우즉시이에따른업데이트를실시 3. 발견된악성프로그램등에대해삭제등대응조치 1. 보안프로그램의자동업데이트기능을사용하거나, 일 1 회이상업데이트를실시하여 최신의상태로유지 개인정보처리자는악성프로그램등을통해개인정보가위 변조 유출되지않도록이를방지하고치료할수있는백신소프트웨어등보안프로그램을설치 운영하여야한다 백신소프트웨어등의보안프로그램은실시간감시등을위해항상실행된상태를유지해야한다 백신소프트웨어등보안프로그램은자동업데이트기능을사용하거나 일 회이상업데이트를실시하여최신의상태로유지해야한다 실시간으로신종 변종악성프로그램이유포됨에따라백신상태를최신의업데이트상태로적용하여유지해야한다 특히대량의개인정보를처리하거나민감한정보등중요도가높은개인정보를처리하는 경우에는키보드 화면 메모리해킹등신종악성프로그램에대해대응할수있도록보안프로그램을운영할필요가있으며 항상최신의상태로유지하여야한다 백신소프트웨어설정예시 자동, 예약업데이트 실시간, 예약검사 - 67 -
2. 악성프로그램관련경보가발령된경우또는사용중인응용프로그램이나운영체제 소프트웨어의제작업체에서보안업데이트공지가있는경우즉시이에따른업데이트를 실시 운영체제 응용프로그램의보안취약점을악용하는악성프로그램경보가발령되었거나 응용프로그램 운영체제제작업체에서보안업데이트공지가있는경우에는감염을예방하고감염된경우피해를최소화하기위해즉시업데이트를실시하여야한다 운영체제나응용프로그램보안업데이트시현재운영중인응용프로그램의업무연속성이이루어질수있도록보안업데이트를적용하는것이필요하며 가능한자동으로보안업데이트가설정되도록할필요가있다 한컴오피스 오피스등개인정보처리에자주이용되는응용프로그램은자동업데이트설정시 보안업데이트공지에따른즉시업데이트가용이하다 개인정보처리시스템등에대한보안업데이트적용사항 적용일자등설치 변경 제거 사항을기록하는등형상관리를통해관리체계를강화할수있다 3. 발견된악성프로그램등에대해삭제등대응조치 개인정보처리자는백신소프트웨어등의보안프로그램을설치 운영하여발견된바이러스 웜 트로이목마 스파이웨어등의악성프로그램등에대해삭제 치료등의대응조치를 하여야한다 발견된악성프로그램에대해백신소프트웨어에서의삭제 치료등의기능을지원하지않는 경우에는개인정보처리시스템 업무용컴퓨터등을분리하는등악성프로그램의확산방지를 위한적절한안전조치를취하여야한다 불법또는비인가된보안프로그램을사용시신규취약점등을삭제하기위한업데이트 지원을받지못하거나 악성코드침투경로로이용되어개인정보유출이가능함에따라 가능한정품 만을사용하도록한다 - 68 -
제 10 조 관리용단말기의안전조치 제10조 ( 관리용단말기의안전조치 ) 개인정보처리자는개인정보유출등개인정보침해사고방지를위하여관리용단말기에대해다음각호의안전조치를하여야한다. 1. 인가받지않은사람이관리용단말기에접근하여임의로조작하지못하도록조치 2. 본래목적외로사용되지않도록조치 3. 악성프로그램감염방지등을위한보안조치적용 1. 인가받지않은사람이관리용단말기에접근하여임의로조작하지못하도록조치 개인정보처리자는관리용단말기에대해개인정보처리시스템의관리 운영 개발 보안 등의목적으로업무처리를하는특정직원등에한하여접근을허용하는등업무관련자이외의인가받지않는사람이관리용단말기에접근하여임의로조작하지못하도록접근통제등의안전조치를하여야한다 2. 본래목적외로사용되지않도록조치 개인정보처리자는관리용단말기를개인정보처리시스템의관리 운영 개발 보안등의 목적으로사용하여야하며 관리용단말기를통한개인정보의공유등다른목적으로 사용하지않아야한다 - 69 -
3. 악성프로그램감염방지등을위한보안조치적용 개인정보처리자는악성프로그램감염방지를위한보안프로그램의최신상태유지 보안업데이트실시 발견된악성프로그램의삭제등대응조치등을적용하여야한다 관리용단말기의안전조치시고려사항 관리용단말기의종류에따른특성 중요도 관리용단말기가개인정보처리시스템에접속하는빈도및수행업무 관리용단말기를통한개인정보의유출가능성및개인정보처리시스템에악성코드전파등직간접적으로영향을끼칠수있는요소등 관리용단말기의안전조치예시 관리용단말기현황관리주소 용도 담당자 설치위치등 중요관리용단말기를지정하여외부반출 인터넷접속 그룹웨어접속의금지 관리용단말기에주요정보보관및공유금지 비인가자접근을방지하기위한부팅암호 로그인암호 화면보호기암호설정 보조기억매체및휴대용전산장비등에대한접근통제 정당한사용자인가의여부를확인할수있는기록을유지 악성코드감염방지를위한보안프로그램의최신상태유지 보안업데이트적용 악성프로그램 삭제등대응조치 보안상태및사용현황에대한정기점검등 - 70 -
제 11 조 물리적안전조치 제11 조 ( 물리적안전조치 ) 1 개인정보처리자는전산실, 자료보관실등개인정보를보관하고있는물리적보관장소를별도로두고있는경우에는이에대한출입통제절차를수립 운영하여야한다. 2 개인정보처리자는개인정보가포함된서류, 보조저장매체등을잠금장치가있는안전한장소에보관하여야한다. 3 개인정보처리자는개인정보가포함된보조저장매체의반출 입통제를위한보안대책을마련하여야한다. 다만, 별도의개인정보처리시스템을운영하지아니하고업무용컴퓨터또는모바일기기를이용하여개인정보를처리하는경우에는이를적용하지아니할수있다. 1 개인정보처리자는전산실, 자료보관실등개인정보를보관하고있는물리적보관 장소를별도로두고있는경우에는이에대한출입통제절차를수립 운영하여야한다. 개인정보처리자는전산실 자료보관실등개인정보를보관하고있는물리적보관장소를 별도로두고있는경우에는비인가자의출입등으로인한개인정보의유출등의방지를 위한출입통제절차를수립 운영하여야한다 출입을통제하는방법으로는물리적접근방지를위한장치를설치 운영하고이에 대한출입내역을전자적인매체또는수기문서대장에기록하는방법등이있다 물리적접근방지를위한장치 예시 비밀번호기반출입통제장치 스마트카드 기반출입통제장치 지문등바이오정보기반출입통제장치등 전산실은다량의정보시스템을운영하기위한별도의물리적인공간으로전기시설 발전기등 공조시설 항온항습기등 소방시설 소화설비등 등을갖춘시설을의미한다 자료보관실은가입신청서등의문서나 하드디스크등이보관된물리적저장장소를의미한다 수기문서대장기록방법 예시 출입자 출입일시 출입목적 소속등 - 71 -
2 개인정보처리자는개인정보가포함된서류, 보조저장매체등을잠금장치가있는 안전한장소에보관하여야한다. 개인정보처리자는개인정보가포함된서류 보조저장매체 이동형하드디스크 메모리 등 등은금고 잠금장치가있는캐비넷등안전한장소에보관하여야한다 3 개인정보처리자는개인정보가포함된보조저장매체의반출 입통제를위한보안대책을마련하여야한다. 다만, 별도의개인정보처리시스템을운영하지아니하고업무용컴퓨터또는모바일기기를이용하여개인정보를처리하는경우에는이를적용하지아니할수있다. 개인정보처리시스템을운영하는개인정보처리자는 메모리 이동형하드디스크 등의보조저장매체를통해개인정보가유출되지않도록개인정보가저장 전송되는 보조저장매체의반출 입통제를위한보안대책을마련하여야한다 별도의개인정보처리시스템을운영하지아니하고업무용컴퓨터또는모바일기기를이용하여개인정보를처리하는경우에는보조저장매체반출 입통제를위한보안대책 마련이필수는아니나 관련대책마련을권장한다 보조저장매체의반출입통제를위한보안대책마련시고려사항 보조저장매체보유현황파악및반출입관리계획 개인정보취급자및수탁자등에의한개인정보유출가능성 보조저장매체의안전한사용방법및비인가된사용에대한대응 를 에연결시바이러스점검디폴트로설정등기술적안전조치방안등 - 72 -
제 12 조 재해 재난대비안전조치 제12조 ( 재해 재난대비안전조치 ) 1 개인정보처리자는화재, 홍수, 단전등의재해 재난발생시개인정보처리시스템보호를위한위기대응매뉴얼등대응절차를마련하고정기적으로점검하여야한다. 2 개인정보처리자는재해 재난발생시개인정보처리시스템백업및복구를위한계획을마련하여야한다. 3 [ 별표 ] 의유형1 및유형2에해당하는개인정보처리자는제1항부터제2항까지조치를이행하지아니할수있다. 1 개인정보처리자는화재, 홍수, 단전등의재해 재난발생시개인정보처리시스템 보호를위한위기대응매뉴얼등대응절차를마련하고정기적으로점검하여야한다. 재난이란국민의생명 신체 재산과국가에피해를주거나줄수있는것을말하며 재해란재난으로인하여발생하는피해를말한다 재난및안전관리기본법 제 조 제 조 정의 재난 이란국민의생명 신체 재산과국가에피해를주거나줄수있는것으로서다음각목의것을말한다 가 자연재난 태풍 홍수 호우 강풍 풍랑 해일 대설 낙뢰 가뭄 지진 황사 조류 대발생 조수 화산활동 소행성 유성체등자연우주물체의추락 충돌 그밖에이에준하는자연현상으로인하여발생하는재해 나 사회재난 화재 붕괴 폭발 교통사고 항공사고및해상사고를포함한다 화생방사고 환경오염사고등으로인하여발생하는대통령령으로정하는규모이상의피해와에너지 통신 교통 금융 의료 수도등국가기반체계의마비 감염병의예방및관리에관한법률 에 따른감염병또는 가축전염병예방법 에따른가축전염병의확산등으로인한피해 자연재해대책법 제 조 제 조 정의 재해 란 재난및안전관리기본법 이하 기본법 이라한다 제 조제 호에따른재난으로인하여발생하는피해를말한다 - 73 -
개인정보처리자는재해 재난발생시개인정보의손실및훼손등을방지하고개인정보 유출사고등을예방하기위하여개인정보처리시스템보호를위한위기대응매뉴얼 등대응절차를문서화하여마련하고이에따라대처하여야한다 또한 개인정보처리자는대응절차의적정성과실효성을보장하기위하여정기적으로 점검하여야한다 대응절차를정기적으로점검하여대응절차에변경이있는경우에는변경사항을반영하는등적절한조치를취하여야하며 중대한영향을초래하거나해를끼칠수있는사안 등에대해서는사업주 대표 임원등에게보고후 의사결정절차를통하여적절한 대책을마련하여야한다 2 개인정보처리자는재해 재난발생시개인정보처리시스템백업및복구를위한계획을 마련하여야한다. 개인정보처리자는재해 재난발생시혼란을완화시키고신속한의사결정을위한 개인정보처리시스템백업및복구를위한계획을마련하여야한다 백업및복구를위한계획에는개인정보처리시스템등백업및복구대상 방법및 절차등을포함하도록한다 개인정보처리시스템백업및복구계획은위기대응매뉴얼등에포함할수있다 개인정보처리시스템위기대응메뉴얼및백업복구계획예시 개인정보처리시스템구성요소개인정보보유량 종류중요도 시스템연계장비설비등 재해재난등에따른파급효과개인정보유출 손실 훼손등 및초기대응방안 개인정보처리시스템백업및복구우선순위 목표시점시간 개인정보처리시스템백업및복구방안복구센터마련 백업계약체결 비상가동등 업무분장 책임및역할 실제발생가능한사고에대한정기적점검 사후처리및지속관리등 - 74 -
3 [ 별표 ] 의유형 1 및유형 2 에해당하는개인정보처리자는제 1 항부터제 2 항까지조치를 이행하지아니할수있다. 안전조치기준에따른적용유형 제 조 재해 재난대비안전조치 유형 완화 유형 표준 유형 강화 개인정보처리자는화재 홍수 단전등의재해 재난발생시개인정보 처리시스템보호를위한위기대응매뉴얼등대응절차를마련하고정기 적으로점검하여야한다 개인정보처리자는재해 재난발생시개인정보처리시스템백업및복구를위한계획을마련하여야한다 별표 의유형 및유형 에해당하는개인정보처리자는제 항부터제 항까지조치를이행하지아니할수있다 - 75 -
제 13 조 개인정보의파기 제13조 ( 개인정보의파기 ) 1 개인정보처리자는개인정보를파기할경우다음각호중어느하나의조치를하여야한다. 1. 완전파괴 ( 소각 파쇄등 ) 2. 전용소자장비를이용하여삭제 3. 데이터가복원되지않도록초기화또는덮어쓰기수행 2 개인정보처리자가개인정보의일부만을파기하는경우, 제1항의방법으로파기하는것이어려울때에는다음각호의조치를하여야한다. 1. 전자적파일형태인경우 : 개인정보를삭제한후복구및재생되지않도록관리및감독 2. 제1호외의기록물, 인쇄물, 서면, 그밖의기록매체인경우 : 해당부분을마스킹, 천공등으로삭제 1 개인정보처리자는개인정보를파기할경우다음각호중어느하나의조치를하여야한다. 1. 완전파괴 ( 소각 파쇄등 ) 2. 전용소자장비를이용하여삭제 3. 데이터가복원되지않도록초기화또는덮어쓰기수행 개인정보처리자는보유기간의경과 개인정보의처리목적달성등개인정보가불필요하 게되었을때에는지체없이그개인정보를파기하여야한다 개인정보를파기할때에는 복구또는재생되지않도록조치하여야한다 개인정보처리자는개인정보를파기할때에는복구또는재생되지않도록다음중어느하나의조치를하여야한다 완전파괴소각파쇄등 예시 개인정보가저장된회원가입신청서등의종이문서 하드디스크나자기테이프를파쇄기로파기하거나용해 또는소각장 소각로에서태워서파기등 - 76 -
전용소자장비를이용하여삭제 예시 디가우저 를이용해하드디스크나자기테이프에저장된개인정보삭제등 데이터가복원되지않도록초기화또는덮어쓰기수행 예시 개인정보가저장된하드디스크에대해완전포맷 회이상권고 데이터영역에무작위값 등으로덮어쓰기 회이상권고 해당드라이브를안전한알고리즘및키길이로암호화저장후삭제하고암호화에사용된키완전폐기및무작위값덮어쓰기등 개인정보파기시파기를전문으로수행하는업체를활용할수있다 개인정보파기의시행및파기결과의확인은개인정보보호책임자의책임하에수행되어야하며 파기에관한사항을기록 관리하여야한다 2 개인정보처리자가개인정보의일부만을파기하는경우, 제1항의방법으로파기하는것이어려울때에는다음각호의조치를하여야한다. 1. 전자적파일형태인경우 : 개인정보를삭제한후복구및재생되지않도록관리및감독 2. 제1호외의기록물, 인쇄물, 서면, 그밖의기록매체인경우 : 해당부분을마스킹, 천공등으로삭제 개인정보의일부만파기하는경우는저장중인개인정보중보유기간이경과한일부개인정보를파기하는경우를말하며 다음과같은경우등이있다 운영중인개인정보가포함된여러파일중 특정파일을파기하는경우 개인정보가저장된백업용디스크나테이프에서보유기간이만료된특정파일이나특정정보주체의개인정보만파기하는경우 운영중인데이터베이스에서탈퇴한특정회원의개인정보를파기하는경우 회원가입신청서종이문서에기록된정보중 특정필드의정보를파기하는경우등 개인정보처리자가개인정보의일부만파기하는경우복구또는재생되지아니하도록 개인정보가저장된매체형태에따라다음중어느하나의조치를하여야한다 - 77 -
전자적파일형태인경우 개인정보를삭제한후복구및재생되지않도록관리및감독 개인정보를삭제하는방법예시 운영체제 응용프로그램 상용도구등에서제공하는 삭제기능을사용하여삭제 백업시파기대상정보주체의개인정보를제외한백업등 운영체제 응용프로그램 상용도구등에서제공하는삭제기능을사용하는경우에도 가능한복구불가능한방법을사용해야복구및재생의위험을줄일수있다 복구및재생되지않도록관리및감독하는방법예시 복구관련기록 활동에대해 모니터링하거나주기적점검을통해비인가된복구에대해조치 제 호외의기록물 인쇄물 서면 그밖의기록매체인경우 해당부분을마스킹 천공등으로삭제 예시 회원가입신청서에기재된주민등록번호삭제시 해당신청서에서주민등록번호가제거되도록절삭 천공또는펜등으로마스킹 - 78 -
부칙 제 호 제조이기준은고시한날부터시행한다 제조영상정보처리기기에대한안전성확보조치의적용제외 영상정보처리기기에대한안전성확보조치에대해서는 표준개인정보보호지침 중에서영상정보처리기기설치 운영기준이정하는바에따른다 제조전산센터 클라우드컴퓨팅센터등의운영환경에서의안전조치 개인정보처리자가전산센터 클라우드컴퓨팅센터 등에계약을통해하드웨어 소프트웨어등을임차또는임대하여개인정보를처리하는 경우에는계약서또는서비스수준협약서 에이기준에 준하는수준의안전조치내용이포함되어있으면이기준을이행한것으로본다 이기준은고시한날부터시행한다. 부칙 제 호 부칙 제 호 제조시행일 이고시는 년 월 일부터시행한다 제조적용례 영제조의제항에따른주민등록번호의암호화적용시기이후에는고유식별정보중주민등록번호는제조제항을적용하지아니한다 - 79 -
별표 개인정보처리자유형및개인정보보유량에따른안전조치기준 유형적용대상안전조치기준 제 5 조 : 제 2 항부터제 5 항까지 제 6 조 : 제 1 항, 제 3 항, 제 6 항및제 7 항 제 7 조 : 제 1 항부터제 5 항까지, 제 7 항 유형 1 ( 완화 ) 1만명미만의정보주체에관한개인정보를 제8조보유한소상공인, 단체, 개인 제9조 제 10 조 제 11 조 제 13 조 제 4 조 : 제 1 항제 1 호부터제 11 호까지및 유형 2 ( 표준 ) 100 만명미만의정보주체에관한개인정보를제15 호, 제3항부터제4항까지보유한중소기업 제5조 제6조 : 제1항부터제7항까지 10만명미만의정보주체에관한개인정보를 제7조 : 제1항부터제5항까지, 제7항보유한대기업, 중견기업, 공공기관 제8조 제9조 1만명이상의정보주체에관한개인정보를 제10조보유한소상공인, 단체, 개인 제11조 제13조 10 만명이상의정보주체에관한개인정보를 유형 3 ( 강화 ) 보유한대기업, 중견기업, 공공기관 제4조부터제13조까지 100 만명이상의정보주체에관한개인정보를보유한중소기업, 단체 - 80 -
붙임 FAQ 문 1. 개인정보의안전성확보에필요한기술적 관리적및물리적안전조치에관한 최소한의기준이란무엇을의미하는지? 이기준은개인정보처리자가개인정보를처리함에있어서개인정보가분실 도난 유출 위조변조또는훼손되지아니하도록안전성확보에필요한기술적관리적및물리적 안전조치에관한최소한의기준입니다 개인정보처리자는처리하는개인정보의종류및중요도 개인정보를처리하는방법및 환경등을고려하여개인정보가분실 도난 유출 위조 변조또는훼손되지아니하도록 충분한안전조치를취하도록노력하여야합니다 문 2. 개인정보처리시스템의범위는어디까지를말하는지? 개인정보처리시스템이란일반적으로데이터베이스 내의데이터에접근할수있도록 해주는응용시스템을의미하며 데이터베이스를구축하거나운영하는데필요한시스템을 말합니다 다만 개인정보처리시스템은개인정보처리자의개인정보처리방법 시스템 구성및운영환경등에따라달라질수있습니다 업무용컴퓨터의경우에도데이터베이스응용프로그램이설치 운영되어다수의 개인정보취급자가사용하거나서버의용도로사용하는경우에는개인정보처리시스템에 해당될수있습니다 다만 데이터베이스응용프로그램이설치 운영되지않는 노트북과같은업무용컴퓨터는개인정보처리시스템에서제외됩니다 문 3. 관리용단말기의범위는어디까지를말하는지? 개인정보처리시스템을관리 운영 개발 보안등의목적으로개인정보처리시스템에직접 접속할수있는업무용컴퓨터 노트북등이관리용단말기에해당될수있습니다 여기에서 직접접속 이란물리적구조와상관없이단말기에서개인정보처리시스템에 대하여관리 운영 개발 보안등의목적으로활용할수있는명령어등을직접입력 하여처리할수있는상태를말합니다 - 81 -
문 4. 개인용스마트폰에서회사 e-mail 서버로부터자료를주고받아개인정보처리 업무를수행하는경우에, 모바일기기에포함되는지? 모바일기기에포함됩니다 개인용스마트폰이나태블릿에회사의업무용앱을설치하여업무목적의개인정보를처리하는경우나 개인용스마트폰이나태블릿에설치된메일읽기 프로그램을사용하여회사메일서버에접속하여업무목적의개인정보를처리하는경우에는모바일기기에해당됩니다 다만 개인용스마트폰이회사 서버로부터자료를주고받더라도개인정보가포함되지않거나 회사업무목적아닌경우는모바일기기에서제외됩니다 문 5. 전용선의범위는어디까지인지? 물리적으로독립된회선으로서두지점간에독점적으로사용하는회선으로개인정보처리자와 개인정보취급자 또는본점과지점간직통으로연결하는회선등을의미합니다 문 6. 개인정보처리자로부터업무를위탁받아처리하는수탁자도이기준을준수하여야 합니까? 그렇습니다 수탁자는개인정보처리자로부터개인정보의수집 생성 기록 저장 보유 가공 편집 검색 출력 정정 복구 이용 제공 공개 파기 그밖에이와유사한행위등의업무를위탁받아처리하는자를말합니다법제조 수탁자도개인정보의안전성확보조치에관한개인정보보호법제조제항 제조가준용되어적용됩니다법제조제항 따라서수탁자는이기준에따라개인정보의안전성확보에필요한조치를이행하여야합니다 - 82 -
문 7. 안전조치기준적용은어떻게되나요? 이기준 별표 에따라개인정보처리자유형과개인정보보유량을동시에적용하여 개인정보처리자가해당하는유형에안전조치기준을적용하여야합니다 안전조치기준적용분류 개인정보처리자유형 공공기관 대기업 중견기업 중소기업 소상공인 개인 단체 개인정보보유량 만명미만 만명 만명미만 만명 만명미만 만명이상 구분 만명미만 만명 만명미만 만명 만명미만 만명이상 공공기관 대기업 중견기업 유형 표준 유형 강화 중소기업유형 표준 유형 강화 소상공인 개인 유형 완화 유형 표준 단체유형 완화 유형 표준 유형 강화 문 8. 중소기업입니다. 안전조치기준이어떻게적용되나요? 중소기업 이란 중소기업기본법 제 조및동법시행령제 조에해당하는기업을 의미합니다 만명미만의정보주체에관한개인정보를보유한중소기업은유형표준에해당하며 만명이상의정보주체에관한개인정보를보유한중소기업은유형강화에해당합니다 회사가해당하는유형에따른조치를이행하여야합니다 이경우어느유형에해당하는지에대한입증책임의무가부담됩니다 중소기업여부그리고개인정보보유량에대하여증명할수있는자료를서면으로제출하실수있어야합니다 - 83 -
문 9. 개인정보보유량이변동되는경우안전조치기준이어떻게적용되나요? 개인정보보유량이변동되는시점 에개인정보처리자가해당하는유형의안전조치가되어있어야합니다 개인정보처리자는개인정보보유량의변경 변동가능여부에대하여정기적으로확인 하는등개인정보처리자유형또는개인정보보유량이변동되는경우에도해당하는 유형의안전조치기준을적용하여야합니다 이경우개인정보처리자가어느유형에해당하는지에대하여입증할수있어야합니다 문 10. 내부관리계획수립시, 문서제목을반드시 내부관리계획 으로하여야하나요? 내부관리계획의문서제목은가급적 내부관리계획 이라는용어를사용하는것이바람직하나 개인정보처리자의내부방침에따라다른용어를사용할수도있습니다 다른용어를사용하는경우에도이기준제 조 내부관리계획의수립 시행 에관한사항을이행하여야합니다 문 11. 부동산중개업을운영하는소상공인입니다. 현재 500 명의고객관리를위해업 무용컴퓨터를운영하고있습니다. 개인정보의안전성확보조치기준 에따라 어떠한조치를수행해야하는지? 안전조치기준유형 완화 에해당하는소상공인이업무용컴퓨터로고객정보를관리 하는경우업무용컴퓨터에비밀번호를설정하고업무용컴퓨터에서제공되는침입 차단기능을설정하고악성프로그램을차단하도록백신소프트웨어를설치하는등이기준에따른안전조치를하여야합니다 문 12. 공공기관에서암호화를수행하는경우, 이기준에서규정하는사항과다른기관에서 규정하는지침등이있는경우에는어느규정을준수해야하는지? 이기준의제 조 개인정보의암호화 에서규정하는사항을이행하면 개인정보보호법 상암호화의무는준수한것으로볼수있습니다 다만 해당분야에관련된다른암호화지침등이있는경우에는해당규정도준수하여야할것입니다 - 84 -