[09 년상반기순회교육자료 ] 2009 년공공기관개인정보보호수준진단계획 2009. 4.
목차 1 추진배경 2 2009 년진단계획 3 추진일정 2
1. 추진배경 개인정보보호관리수준에대한객관적인평가를통해 미비점보완및개선유도로개인정보보호수준향상도모 그간제도적기반은마련되었으나, 개인정보의수집 이용 제공등 Life-Cycle 에의한종합적인진단체계는미흡 진단결과공개로경각심고취및자율적인개선환경조성 민간분야는한국정보보호진흥원 (KISA) 에서매년기업과개인의 개인정보보호지수를측정및발표 3
[ 참고 ] 2008 년진단결과 총평 : 중앙부처전체평균이 83.75점으로보통인 우 수준분야별진단결과 -( 정책기반 ) : 개인정보유출방지시스템과교육분야는우수, 개인정보조직 인력, 개인정보자료의접근통제및암호화조치분야는미흡 -( 개인정보처리 ) : 개인정보수집안내와 CCTV 관리분야는우수, 개인정보이용 제공 파기의기록관리분야는미흡 -( 침해대응 ) : 개인정보노출방지를위한웹모니터링분야는우수, 침해사고보고체계및구제절차등의분야는미흡 4
2. 2009 년진단계획 진단지표및배점 진단지표 개인정보보호법령, 지침등관련규정상의무준수사항 3 개분야, 18 개진단지표, 75 개진단항목 08 년진단항목중유사내용통 폐합및조정 (85 개 75 개 ) 세부내용 : [ 붙임 ] 배점 관계기관의견수렴후 진단위원회 에서진단지표 ( 항목 ) 별 배점 (100 점기준 ) 확정 08 년은관계기관및법학 기술교수의견을단순평균함에따라 진단지표간큰배점차이발생등객관성부족 5
2. 2009 년진단계획 진단방법및시기 1 차자율진단 : 5~7 월 2 차현장진단 : 9~10 월 진단대상기관이온라인시스템을통해자율진단및미흡사항개선조치진단반이대상기관현장실사를통해증빙자료확인및검증실시 진단대상기관 1차자율진단 752개기관중앙 40, 지자체 246, 공사 / 공단 400, 광역교육청 16, 대학교 50 2차현장진단 98개기관중앙 40, 지자체 48( 광역16, 기초 32), 공사 / 공단 5, 대학교 5 행정기관외진단대상기관은소관부처, 기능등을고려선정 6
2. 2009 년진단계획 현장진단점수산정방법 1 진단지표 ( 항목 ) 별배점 ( 총 100점 ) 에따른절대평가및총점산정현장진단시증빙자료등을참조하여진단지표별우열등급부여 ( 예 ) 진단지표가 5점인경우 A(5점 X 100%), B(5점 X 80%), C(5점 X 60%) 진단대상명확화및확대 웹시스템 ( 08년) 웹시스템, 개인정보처리시스템, PC 등 ( 09년) 2 진단대상기관의개인정보침해 ( 노출 ) 사고시감점조치 7
2. 2009 년진단계획 진단결과활용 중앙부처, 광역시도는진단결과를대외발표 우수기관은기관 담당자표창실시등인센티브부여 09 년정보화수준평가시개인정보보호점수로반영 8
3. 추진일정 09. 4 월 : 진단프로그램개선및진단설명회개최 진단계획배포및의견수렴 09. 5~7 월 : 기관별자율진단실시및개선조치 09. 8 월 : 자율진단결과분석 09. 9~10 월 : 현장진단실시 09. 11~12 월 : 기관별진단점수산정, 분석및발표 9
< 첨부 > 2009 년진단지표 ( 항목 ) 정책기반 진단지표 (18) 진단항목 (75) (1) 개인정보보호업무를총괄 담당하는부서지정 운영여부 1. 개인정보보호조직및인력 2. 개인정보보호예산 3. 개인정보보호교육 4. 개인정보보호방침 (2) 개인정보보호업무를효율적으로추진하기위한협의체 ( 위원회 ) 구성 운영여부 (3) 개인정보관리책임관 (CPO) 지정여부 (4) 개인정보보호담당자지정여부 (5) 분야별책임관및개인정보취급자등지정여부 (1) 개인정보보호관련당해년도예산계획수립여부 (2) 정보화예산대비개인정보보호예산의 3% 이상책정여부 (3) 개인정보보호관련중장기예산계획수립여부 (1) 개인정보보호교육계획수립여부 (2) 행정안전부가주관하는개인정보보호교육 컨퍼런스참석여부 (3) 개인정보보호업무관계자대상의전문교육실시여부 (4) 전직원대상의개인정보보호교육실시여부 (1) 개인정보보호조직의구성 운영에관한사항반영여부 (2) 개인정보의수집 저장 이용 제공 파기에관한사항반영여부 (3) 개인정보파일관리에관한사항반영여부 (4) 개인정보취급업무의위탁관리에관한사항반영여부 (5) 개인정보침해신고, 대응및권익구제에관한사항반영여부 (6) 개인정보보호방침개선을위한자체점검등실시여부 10
< 첨부 > 2009 년진단지표 ( 항목 ) 기술기반 진단지표 (18) 진단항목 (75) (1) 키보드해킹방지솔루션설치여부 ( 웹서버기준 ) 5. 개인정보보호시스템 (2) 백신프로그램설치여부 (3) 침입차단시스템설치여부 (4) 침입탐지시스템설치여부 (5) 웹방화벽또는서버보안설치여부 (1) 담당자별차등접근권한지정및비밀번호정기적인의무갱신여부 6. 개인정보처리시스템의접근통제 (2) 관리자접근시 PKI 방식에의한접근통제여부 (3) 개인정보처리구역 ( 전산실 ) 출입통제를위한물리적보안장치 (IC카드, 바이오인식시스템, 화상관리시스템등 ) 설치여부 (4) 개인정보처리구역 ( 전산실 ) 출입통제관련출입대장기록 관리여부 (1) 개인정보 DB 중요필드의암호화여부 7. 개인정보저장 전송시암호화 (2) PC 개인정보파일의암호화솔루션 (DRM 등 ) 도입여부 (3) 보조기억매체 (USB, CD, DVD, 테이프등 ) 에개인정보저장시암호화여부 (4) 사용자 PC 부터홈페이지 ( 웹서버 ) 구간간암호화여부 (SSL, 구간암호화제품적용또는암호화구현 ) 11
< 첨부 > 2009 년진단지표 ( 항목 ) 수집및보유 진단지표 (18) 진단항목 (75) 8. 개인정보수집 9. 개인정보파일대장 10. CCTV 11. 개인정보저장및출력매체 (1) 개인정보수집시법적근거또는정보주체의동의여부 (2) 개인정보수집시정보주체에게문서또는홈페이지를통해안내여부 (3) 개인정보수집안내에법적근거, 수집목적, 이용범위, 보유기간, 정보주체의권리등포함여부 (1) 개인정보파일대장작성 관리여부 (2) 개인정보파일대장내용에보유목적 보유기관명 제공기관명 열람예정시기 열람제한정보및사유등포함여부 (3) 개인정보파일대장열람장소지정여부 (4) 개인정보파일대장열람장소고시여부 (5) 개인정보파일보유 변경시사전협의실시여부 (1) CCTV 설치 운영규정 ( 계획 ) 수립여부 (2) CCTV 설치시사전에전문가또는이해관계자로부터의견수렴여부 (3) CCTV 설치사실에대한안내판설치 ( 홈페이지게재 ) 및안내판에설치목적 장소, 촬영범위 시간, 관리책임자 연락처등의반영여부 (4) CCTV 사용시임의조작및음성녹음금지여부 (5) 개인화상정보의이용 제공시처리정보이용 제공대장기록 관리여부 (1) 개인정보출력물에대한워터마킹 (water marking) 실시여부 (2) 개인정보가수록된이동식저장매체의반 출입시반 출입대장작성및관리여부 (3) 개인 PC 에서 P2P, 웹하드등비인가프로그램의접속차단여부 12
< 첨부 > 2009 년진단지표 ( 항목 ) 이용및제공 진단지표 (18) 진단항목 (75) 12. 개인정보처리시스템의접근ㆍ이용 (1) 개인정보처리시스템의접근에관한로그파일의생성 관리여부 (2) 로그파일의정기적인분석및결과보고여부 (1) 처리정보이용및제공시처리정보이용 제공대장기록 관리여부 13. 처리정보이용및제공 (2) 처리정보이용요청또는제공할경우문서를통한처리여부 (3) 처리정보를타기관 ( 부서 ) 에제공시타기관 ( 부서 ) 의안전성확보조치확인여부 (4) 처리정보이용시안정성확보조치여부 파기 진단지표 (18) 진단항목 (75) (1) 개인정보파일파기사유발생시지체없이파기여부 14. 개인정보파기절차 15. 저장매체등파기 (2) 홈페이지회원탈퇴시회원가입으로수집된개인정보파기여부 (3) 개인정보파기사실의홈페이지, 관보등고지여부 (4) 개인정보파기사항의파기대장기록 관리여부 (1) 개인정보가수록된저장매체의파기계획수립여부 (2) 개인정보가수록된저장매체파기시재생불가능한방법에의한파기여부 (3) 폐 휴지업자출력물폐기와관련하여관련계약서에안정성확보조치명시및그이행사항점검여부 (4) 저장매체등의파기결과상급자보고여부 13
< 첨부 > 2009 년진단지표 ( 항목 ) 개인정보침해대응 진단지표 (18) 진단항목 (75) (1) 첨부파일게재시상급자등의확인여부 16. 웹사이트개인정보노출방지대책 (2) 부주의로인한개인정보게재방지를위한관련경고문구 ( 팝업창등 ) 안내여부 (3) 웹사이트개인정보노출사전차단필터링솔루션 ( 웹방화벽사전차단기능포함 ) 설치여부 (4) 웹사이트개인정보노출자체모니터링실시여부 (5) 웹사이트노출방지가이드라인에의한취약점점검여부 (6) 공공 I-PIN 등웹사이트주민등록번호대체수단도입여부 (1) 개인정보의유출 침해사고에관한대응절차수립여부 17. 개인정보침해사고대응 (2) 당해연도개인정보유출 침해사고의미발생여부 (3) 개인정보침해사고발생시해당상급기관또는침해신고센터에보고여부 (4) 개인정보침해사고발생관련징계, 고발등사후조치및개선조치여부 (1) 개인정보열람 정정 삭제청구권및불복청구절차안내여부 18. 개인정보침해구제 (2) 개인정보침해신고절차안내여부 (3) 개인정보침해신고용창구운영여부 (4) 개인정보침해신고발생시처리기간준수여부 14
감사합니다