Korea Communications Standard 제정일 : 2011 년 12 월 30 일 개인정보보호관리체계 (PIMS) Personal Information Management System(PIMS) 방송통신위원회국립전파연구원
제정일 : 2011 년 12 월 30 일 개인정보보호관리체계 (PIMS) Personal Information Management System(PIMS) 방송통신위원회국립전파연구원 본문서에대한저작권은방송통신위원회국립전파연구원에있으며, 방송통신위원회국립전파연구원와사전협의없이이문서의전체또는일부를상업적목적으로복제또는배포해서는안됩니다. Copyrightc Korea Communications Commission National Radio Research Agency 2011. All Rights Reserved.
서 문 1. 표준의목적 본표준은개인정보를수집, 취급하는조직에서개인정보보호와관련된업무혹은활동 을수행하거나이에대한책임을지고있는자들이효과적이고체계화된개인정보보호 관리체계 (PIMS) 를구축하여운영하는데필요한요구사항을정의한다. 2. 주요내용요약 본표준의주요내용은개인정보보호관리체계의정의, 관리체계구성요소및구축 방법에대하여기술하고있으며, 조직에서관리체계구축시구체적인실행방법을개 인정보관리과정, 보호대책, 생명주기 3 가지의큰틀로구분하고있다. 개인정보관리과정은개인정보보호정책수립및조직구성, 침해위험분석에따른보호대책적용계획, 위험관리과정을통한개인정보관리계획도출과계획내대책구현및운영, 이후검토와모니터링을포함하는사후관리를지속적으로수행하기위한방법으로이루어져이다. 개인정보보호대책은관리체계를구축하고운영하기위해요구되는기술적, 관리적, 물리적보호대책에대한세부적인내용으로개인정보정책수립, 조직의구성, 개인정보분류, 교육및훈련, 인적보안, 침해사고처리및대응절차, 내부검토및감사등에대한구체적인실행방법으로이루어져있다. 개인정보생명주기는개인정보취급생명주기 (Life Cycle) 와관련된법적요구사항 을개인정보수집에따른조치, 개인정보이용및제공에따른조치, 개인정보관리및 파기에따른조치로구분하여각각에대한구체적인실행방법으로이루어져있다. 3. 표준적용산업분야및산업에미치는영향 개인정보보호관리체계를활성화함으로써다양한서비스를제공하는기업과조직에서관리체계구축을통해전국민에게는개인정보유 노출및악용에대한불안감과불신을크게감소시켜줄수있으며, 국민은개인정보를안전하게관리하는기업을객관적으로식별할수있다. 그리고관리체계를구축한조직은기업스스로고객의개인정보를보호할수있는지속적인관리활동을추진할수있는역량을확보할수있다. 이를통해고객의신뢰를얻고사회적책임을다함으로서더나은비즈니스기회를가져다줄수있다는사회적분위기를조성시킬수있을것으로기대한다. i
4. 참조표준 ( 권고 ) 4.1. 국외표준 ( 권고 ) - ISO/IEC 27000, "Information technology - Security techniques - Information security management systems - Overview and vocabulary", 2007 - ISO/IEC 27001, "Information technology - Security techniques - Information security management systems - Requirements", 2005 - ISO/IEC 27002, "Information technology - Security techniques - Information security management systems - Code of practice for information security management", 2005 4.2. 국내표준 - TTA, TTAK.KO-12.0103, " 개인정보보호수준정의를위한공통항목 ", 2009.12. - TTA, TTAK.KO-12.0093, " 조직의정보보호정책수립가이드 ", 2008.12. - TTA, TTAS.KO-12.0036, " 정보보호관리체계수립지침 ", 2006.12. 5. 참조표준 ( 권고 ) 과의비교 5.1. 참조표준 ( 권고 ) 과의관련성 본표준은국내표준에서정보보호관리체계수립지침 (TTAS.KO-12.0036) 과해외표준 ISO/IEC 27001의내용을기반으로새롭게구성하였다. 정보보호관리체계수립지침과 ISO/IEC 27001 표준이정보보호전반에걸쳐일반적으로적용될수있는정보보호요구사항으로구성되어있다면본표준은일반적인요구사항뿐만아니라개인정보보호의법률적기준을추가하고개인정보생명주기전체 ( 수집, 이용, 보유, 제공, 파기등 ) 를관리체계에반영하여조직이개인정보보호활동을체계적이고효과적으로관리할수있는모델을제공하고있다. 5.2. 참조한표준 ( 권고 ) 과본표준의비교표 분야 TTAS.KO-12.0036 비고 1. 개인정보정책수립 1. 정책수립 개인정보 관리과정 요구사항 2. 관리체계범위설정 2. 범위설정 3. 위험관리 3. 위험관리 4. 구현 4. 구현 5. 사후관리 5. 사후관리 기존내용변경 ii
개인정보 보호대책 요구사항 1. 개인정보보호정책 1. 정보보호정책 2. 개인정보보호조직 2. 정보보호조직 3. 개인정보분류 4. 정보자산분류 기존내용변경 분야 TTAS.KO-12.0036 비고 개인정보보호대책요구사항생명주기준거요구사항 4. 교육및훈련 5. 정보보호교육및훈련 5. 인적보안 3. 외부자보안 6. 인적보안 6. 침해사고처리및대응절차 13. 보안사고관리 8. 시스템개발보안 7. 기술적보호조치 9. 암호통제 10. 접근통제 11. 운영관리 8. 물리적보호조치 7. 물리적보안 9. 내부검토및감사 14. 검토, 모니터링및준수 - 15. 업무연속성관리 1. 개인정보수집에따른조치 - 2. 개인정보이용및제공에따른조치 - 3. 개인정보관리및파기에따른조치 - 기존내용변경 신규추가 6. 지적재산권관련사항 본표준의 지적재산권취급확약서 제출현황은국립전파연구원웹사이트에서확인할수있다. 이표준을이용하는자는이용함에있어지적재산권이포함되어있을수있으므로, 확인후이용한다. 본표준과관련하여접수된확약서이외에도지적재산권이존재할수있다. 7. 적합인증관련사항 7.1. 적합인증대상여부 해당사항없음. 7.2. 시험표준제정여부 해당사항없음. iii
8. 표준의이력정보 8.1. 표준의이력 판수제정일내역 제 1 판 2011.12.30 제정 8.2. 주요개정사항 해당사항없음. iv
Preface 1. The purpose of standard This standard aims at providing necessary requirements needed to establish and operate effective and systematized personal information management system(pims) for person who are in charge of personal information(pi) protection or conduct activities related with personal information protection in organization which collects and deals with personal information 2. The summary of contents Major content of this standard is about definition, constitution and establishing method of Personal Information Management System(PIMS). This standard contains 3 major parts such as management process, protection measures and life cycle to explain detailed implementation method when establishing management system in organization. Management process contains establishing personal information protection policy and organizing PI protection organization, plan for applying protection measures based on the risk management analysis, extracting personal information management plan through risk management process and establishing and operating measures in the plan, method of conducting continuous maintenance including review and monitoring. PI protection measure contains detailed technological, managerial and physical protection measures required for establishing and operating PIMS. This consists of specific implementation method for establishing PI protection policy, organizing PI protection organization, PI classification, training and education, personnel protection, responding procedure and handling PI infringement accident, etc. PI life cycle explains detailed implementation method for complying with legal requirement dividing three parts such as actions for PI collection, actions for use and provision of PI and actions for managing and withdrawing PI. 3. The Applicable Fields of Industry and its Effect Invigorating PIMS can highly decrease anxiety and distrust of PI misuse and disclosure and people in public are able to objectively recognize organization v
managing PI safely from others. And organizations establishing PIMS are able to obtain capabilities to propel continuous management activities spontaneously to protect customer's PI. we expect social environment which earning customer's trust and implementing social responsibilities can bring better business opportunities. 4. The Reference Standards(Recommendations) 4.1. International standards(recommendations) - ISO/IEC 27000, "Information technology - Security techniques - Information security management systems - Overview and vocabulary", 2007 - ISO/IEC 27001, "Information technology - Security techniques - Information security management systems - Requirements", 2005 - ISO/IEC 27002, "Information technology - Security techniques - Information security management systems - Code of practice for information security management", 2005 4.2. Domestic standards - TTA, TTAK.KO-12.0103, "Factors for determining the protection level of Personally Identifiable Information", 2009.12. - TTA, TTAK.KO-12.0093, "A guide to establishing information security policies of Organization", 2008.12. - TTA, TTAS.KO-12.0036, "The Guideline for Establishment of Information Security Management System", 2006.12. 5. The Relationship to Reference Standards(Recommendations) 5.1. Relations with reference standard(recommendation) This standard accept part of "ISO/IEC 27001" and "The Guideline for Establishment of Information Security Management System(TTAS.KO-12.0036)" in terms of content and function. While TTAS.KO-12.0036 and ISO/IEC 27001 is composed of requirements for general information security across information protection in general, this standard includes legal standard for PI protection and life cycle(collection, use, retention, vi
provision, destruction, etc) within the management system as well as general requirements, which enables to provide model for organization to manage PI protection activities systematically and effectively. 5.2. Comparison of reference standard with the standard Control Area Manageme nt Process PI protection measures TTAS.KO-12.0036 Remarks 1. Establishing PI policy 1.Establishing policy 2. Establishing scope of management system 2. Establishing scope 3. Risk Management 3. Risk Management 4. Implementation 4. Implementation 5. Maintenance 5. Maintenance 1. PI policy 1. IS policy 2. PI protection organization 3. PI Classification 4. Training and education 5. Personnel security 6. Managing incidents 7. Technological protection measures 8. Physical protection measures 9. Inner review and audit 2. IS protection organization 4. Information asset classification 5. training and education for Information protection 3. Outsider security 6. Personnel security 13. Managing security accident 8. system development security 9. Code control 10. Access control 11. Operation management 7. Physical security 14. Review, monitoring and compliance Modification of existing content Modification of existing content 1. Measures for collection of PI - PI lifecycle 2. Measures for use and provision of PI protection - 3. Measures for management and destruction of PI - New content vii
6. The Statement of Intellectual Property Rights IPRs related to the present document may have been declared to RRA. The information pertaining to these IPRs, if any, is available on the RRA Website. No guarantee can be given as to the existence of other IPRs not referenced on the RRA Website. And, please make sure to check before applying the standard. 7. The Statement of Conformance Testing and Certification 7.1. The Object of Conformance Testing and Certification None. 7.2. The Standard of Conformance Testing and Certification None. 8. The History of Standard 8.1. The Change History Edition Issued date Outline The 1st edition 2011.12.30 Established 8.2. The Revisions None. viii
목 차 1. 개요 1 1.1 목적 1 1.2 적용범위 1 1.3 적용대상 1 2. 표준의구성및범위 1 3. 용어정의 2 3.1. 개인정보보호관리체계용어 2 3.2. 기술적용어 4 4. 개인정보관리체계 5 4.1 개념 5 4.2 구성요소 5 5. 개인정보관리과정 6 5.1 개인정보보호정책수립 6 5.2 개인정보범위설정 7 5.3 위험관리 7 5.4 구현 8 5.5 사후관리 8 6. 개인정보보호대책 9 6.1 개인정보보호정책 9 6.2 개인정보보호조직 10 6.3 개인정보분류 11 6.4 교육및훈련 12 6.5 인적보안 12 6.6 침해사고처리및대응절차 14 6.7 기술적보호조치 15 6.8 물리적보호조치 20 ix
6.9 내부검토및감사 21 7. 개인정보생명주기 23 7.1 개인정보수집에따른조치 23 7.2 개인정보이용및제공에따른조치 24 7.3 개인정보관리및파기에따른조치 26 부속서 A. 개인정보보호관리체계인증심사기준 28 x
Contents 1. Introduction 1 1.1 Objective 1 1.2 Scope 1 1.3 Object of application 1 2. Constitution and Scope 1 3. Terms and Definitions 2 3.1. Terms for Management system 2 3.2. Terms for technology 4 4. Personal Information Management System 5 4.1 Concept 5 4.2 Constitution 5 5. Personal Information Management Process 6 5.1 Personal Information Management Policy 6 5.2 Scope setting 7 5.3 Risk Management 7 5.4 Implementation 8 5.5 Maintenance 8 6. Personal Information Measures 9 6.1 Policy 9 6.2 PI protection organization 10 6.3 Classification of PI 11 6.4 Education and Training 12 6.5 Personnel Security 12 6.6 Procedure of incident process and respond 14 6.7 Technological Protection measures 15 6.8 Physical Protection measures 20 6.9 Internal reviews and audits 21 xi
7. Life cycle of Personal Information 23 7.1 Measures for collection of PI 23 7.2 Measures for use and provision of PI 24 7.3 Measures for management and destruction of PI 26 Annex A. Review list of Personal Information Management System 28 xii
개인정보보호관리체계 (PIMS) (Personal Information Management System(PIMS)) 1. 개요 1.1. 목적 본표준은개인정보를수집, 취급하는조직에서개인정보보호와관련된업무혹은활동 을수행하거나이에대한책임을지고있는자들이효과적이고체계화된개인정보보호 관리체계 (PIMS) 를구축하여운영하는데필요한요구사항을정의한다. 1.2. 적용범위 이표준은조직의규모와특수성을고려하여적절하게적용될수있으며, 각조직은위험평가를통해도출된보안요구사항에따라조직의특성에맞는보호대책을선택 적용할수있다. 이표준에서제시하는절차와방법이모든조직에적용가능한것은아니나, 개인정보보호관리체계 (PIMS) 를수립ㆍ이행하고자하는조직에게표준모델을제시하고있으며이를따르도록권고한다. 1.3. 적용대상 이표준은최고경영자가조직의개인정보보호에대한포괄적인이해와필요사항을충족시키는방법을얻는데유용하게사용될수있다. 또한개인정보보호책임자는이표준에따라개인정보관리의기본틀을마련할수있으며개인정보보호관리체계의수립ㆍ이행과위험평가를통한각종보호대책의채택, 운영, 평가와관련된중요한착안사항과점검항목을얻을수있다. 2. 표준의구성및범위 본표준은개인정보를보유하고처리하는조직에서개인정보보호관리체계를구축하 고지속적개선이이루어질수있도록운영할수있는방법과절차를명시하고있으며 크게세개의장으로구성되어있다. 첫번째로개인정보보호관리체계를구축하여지속적으로운영할수있는체계를만드는관리과정으로개인정보보호정책수립, 개인정보보호관리체계범위설정, 위험관리, 구현, 사후관리의 5 단계과정을통한구축및운영의틀을마련하는부분을기술하고있다. 1
두번째로보호대책에서는위험분석을통해조직이가지고있는개인정보자산에대하여수용할수없는수준의위험이식별된경우, 그리고통제를구현하여이위험을적절한수준으로감소시키기로결정한부분에대해해당위험을통제가능한수준으로관리할수있도록관리적, 기술적, 물리적방법으로구분하여구체적으로기술하고있다. 세번째로생명주기를통해개인정보의수명주기전체 ( 수집, 이용, 보유, 제공, 파기등 ) 라이프사이클 (Lifecycle) 상에서개인정보와관련된법률요구사항을위한대책을수립하고관리할수있는체계를마련하여이에대한적용방법들을적절하게선택, 관리할수있도록기술하고있다. 특히, 본표준의이해를위해서는개인정보와관련하여기술적, 법률적용어의이해가 필수적으로요구되는만큼용어정의부분을세부적으로정리하고있다. 3. 용어정의 3.1. 개인정보보호관리체계용어 o 개인정보 개인정보 란생존하는개인에관한정보로서성명 주민등록번호등에의하여특정한개인을알아볼수있는부호 문자 음성 음향및영상등의정보 ( 해당정보만으로는특정개인을알아볼수없어도다른정보와쉽게결합하여알아볼수있는경우에는그정보를포함한다 ) 를말한다. o 정보주체 ' 정보주체 ' 라함은개인정보에의하여식별되는자로서당해정보의주체가되는자를 말한다. o 개인정보보호정책 ' 개인정보보호정책 ' 이라함은조직내개인정보보호를위한전사적인전략및방향을기술한문서로, 개인정보보호관리업무의목적, 보호대상, 책임, 적용원칙, 수행업무, 개인정보처리단계별기술적 / 관리적 / 물리적개인정보보호대책, 개인정보침해사고처리및대응정책, 개인정보보호조직및책임, 교육및훈련, 모니터링및내부감사등개인정보보호를위한일련의관리활동및책임을포함하며동정책은국가나관련산업에서정하는법규제를만족하여야한다. 2
o 개인정보보호조직 ' 개인정보보호조직 ' 이라함은조직내개인정보보호활동이체계적이고효과적으로진행될수있도록책임지는개인정보보호책임자및관리자를지정하고, 기존부서의관리자, 취급자등에개인정보보호를위한책임을할당하는것으로, 조직내개인정보보호를책임지는구성원지정및책임을부여함으로써, 개인정보보호활동의체계적이고조직적인관리를가능케한다. o 개인정보관리책임자 (CPO, Chief Privacy Officer) ' 개인정보관리책임자 ' 라함은회사의고객정보보호에대한책임을지며, 모든개인정보보호활동을총괄적으로관장하며, 개인정보보호를위한연간계획을수립하고각부서가계획대로이행할수있도록관리하고, 개인정보취급자및관련자들의업무수행시고객개인정보보호방법론결정및관리하는등고객개인정보보호준수에대한지원및관리감독하고고객개인정보보호점검을위한검사항목과절차에대해승인하여, 개인정보와관련있는해당조직의개인정보보호활동이효과적으로이루어질수있도록독려하는등일련의활동을책임지는임원급담당자를말한다. o 개인정보취급자 개인정보취급자 라함은정보통신서비스제공자의사업장내에서이용자의개인정보를수집, 보관, 처리, 이용, 제공, 관리또는파기등의업무를하는자를말한다. 업무를하는자가서비스제공을위해개인정보처리시스템에접속하여이용자의개인정보를조회할수있는권한만을갖고있다고하더라도개인정보취급자에포함한다. o 개인정보처리시스템 개인정보처리시스템 이라함은개인정보를처리할수있도록체계적으로구성한데이터베이스시스템을말한다. 개인정보를보관 처리하기위한데이터베이스시스템이며일반적으로체계적인데이터처리를위해 DBMS(Database Management System) 를사용하고있으나, 이용자의개인정보보관 처리를위해파일처리시스템등으로구성한경우개인정보처리시스템에해당된다. o 개인정보취급방침 개인정보취급방침 이라함은개인정보를수집 취급하는기업에서해당개인정보를 어떤목적으로어떻게얼마나사용할것인지등에대한설명정보를담은것을말한다. 동취급방침에는개인정보의수집및이용목적, 수집하는개인정보의항목및수집방법, 3
개인정보를제3자에게제공하는경우제공받는자의성명 ( 법인의경우법인의명칭 ), 제공받는자의이용목적및제공하는개인정보항목, 개인정보의보유및이용기간, 개인정보의파기절차및방법 ( 개인정보를보존하려는경우에는그보존근거및보존하는개인정보항목을포함 ), 개인정보취급위탁을하는업무의내용및수탁자 ( 해당되는경우에한 ), 이용자및법정대리인의권리와그행사방법, 인터넷접속정보파일등개인정보자동수집장치의설치 운영및그거부에관한사항, 개인정보관리책임자의성명또는개인정보보호업무및관련고충사항을처리하는부서의명칭과그전화번호등연락처내용이포함되어야한다. o 위탁및제공 위탁 이라함은자신의업무와직 간접적으로관련된업무의일부를타인 ( 제3자 ) 으로하여금그책임과권한으로행하도록하는것이위탁이며, 자신의업무와직 간접적으로관련없는사항은업무위탁으로볼수없다. 즉, 개인정보의제3자 제공 은 제공받는측의사업목적 을위하여개인정보가제공되는경우로볼수있으며, 반면위탁은 제공하는측의사무처리 를위한경우로구분한다. o 개인정보보호관리체계 (PIMS, Personal Information Management System) 개인정보보호관리체계 라함은조직이수집 이용 보유 제공 파기하는모든개인정보에대해안전성과신뢰성을제공함은물론이용자의자기정보결정권을보장하기위한체계적인활동을말한다. 이는단편적이고일회적인조치가아니라, 체계적이고지속적으로개인정보를보호할수있는조치로이루어진일련의시스템으로, 정보통신망이용촉진및정보보호등에관한법률 등개인정보보호관련법령뿐아니라각종지침 안내서및기업내부규정등을포함하는다양한보호조치로이루어진다. 3.2. 기술적용어 o 데이터베이스관리시스템 (DBMS, Database Management System) DBMS((Database Management System) 라함은개인정보등의데이터를조합하여데이터베이스를구성하고이를사용하기위해구성된소프트웨어시스템을말한다. 사용자나응용프로그램이데이터베이스를쉽게이용할수있도록도와주며그기능은크게구성기능, 조작기능, 제어기능으로나눌수있다. o 보안서버 보안서버 라함은정보통신망을통해송 수신하는정보를암호화하여전송하도록구 현된웹서버를말한다. 인터넷상에서사용자 PC 와웹서버사이에송 수신되는개인정보 4
를암호화하여전송하는서버를의미하며사용자와웹서버간의신뢰를형성하고, 사용 자 PC 의웹브라우저와웹서버간에전송되는데이터의암 복호화를통하여보안채널을 형성하도록구현된서버를말한다. o 정보통신망 정보통신망 이라함은 전기통신사업법 제 2 조제 2 호에따른전기통신설비를이용하 거나전기통신설비와컴퓨터및컴퓨터의이용기술을활용하여정보를수집ㆍ가공ㆍ저장 ㆍ검색ㆍ송신또는수신하는정보통신체제를말한다. o 암호화 (Encryption) 암호화 라함은의미를알수없는형식 ( 암호문 ) 으로정보를변환하는것을말한다. 암호문의형태로정보를기억장치에저장하거나통신회선을통해전송함으로써정보를보호할수있다. 암호화는암호키 ( 특정의비트열 ) 를사용하여정보를암호문으로변환하는것을말한다. o 복호화 (Decryption) 복호화 라함은암호화과정의역과정으로, 암호화알고리듬에의하여암호문을평문 으로바꾸는과정을말한다. 암호키로암호화된정보를복호화키를사용하여원래의 정보로복원하는것을말한다. 4. 개인정보보호관리체계 4.1. 개념 개인정보보호관리체계는이용자의개인정보를안전하게보호할수있도록기술적 관리적 물리적 조직적인다양한보호대책들을구현하고단편적인보호대책이아닌, 체계적이고지속적인개인정보보호활동을위한관리체계를구축하도록함으로서개인정보침해가능성을최소화할수있도록관리, 운영하는종합적인체계를말한다. 4.2. 구성요소 개인정보보호관리체계는개인정보보호활동을체계적 지속적으로수행할수있도록총 3개분야로구성된다. 개인정보보호활동을체계적 지속적으로수행하기위해필요한관리과정과구체적인관리적, 기술적, 물리적보호조치를위한보호대책부분, 개인정보의라이프사이클에따라법률에서요구하고있는사항을적용하기위한생명주기로구분하고있다. 5
그림 4.1 개인정보보호관리체계 5. 개인정보관리과정 5.1. 개인정보보호정책수립 5.1.1. 개인정보보호정책수립 가. 개인정보보호정책수립 조직내개인정보침해가능성의관리및책임을기술한개인정보보호관련정책 을수립하여야하며, 동정책은국가나관련산업에서정하는법규제를만족하여 야한다. 나. 조직및책임설정 개인정보보호활동에대한경영층의명확한지원및방향제시를보증할수있는 개인정보보호및위험관리조직을구성하고적절한인원과예산을배정해야한 다. 또한개인정보유출및침해위험관리활동을수행하고검증하는인력들에대한 책임, 권한및상호연관관계를정의하고문서화하여야한다. 6
다. 내부관리계획의수립 개인정보보호정책에따른개인정보보호조직구성및운영등이포함된내부관 리계획을수립하여이행하여야한다. 내부관리계획수립시에는다음각호의사항이포함되어야한다. 1) 개인정보관리책임자의자격요건및지정에관한사항 2) 개인정보관리책임자와개인정보취급자의역할및책임에관한사항 3) 개인정보내부관리계획의수립및승인에관한사항 4) 개인정보의기술적 관리적보호조치이행여부의내부점검에관한사항 5) 그밖에개인정보보호를위해필요한사항 5.2. 개인정보범위설정 5.2.1. 범위설정 가. 개인정보식별 조직의개인정보및개인정보관리자산을분류및식별하고개인정보자산의형 태, 소유자, 관리자, 특성등을포함하여목록을만들어야한다. 나. 개인정보보호관리체계범위설정 조직의특성, 위치, 기술, 자산등내ㆍ외적환경에중대한영향을미치는요소를 고려하여개인정보보호관리체계의범위를설정하여야한다. 5.3. 위험관리 5.3.1. 위험관리 가. 위험관리계획수립 조직의목표및정책, 법적요구사항등을고려하여조직, 역할, 책임, 주요과정을포함한위험관리계획을수립하고, 조직에적합한위험관리방법을선택하여야한다. 이위험관리방법은조직과개인정보보호환경변화에대응할수있도록지속적으로검토하여야한다. 7
나. 위험평가 위험관리계획에따라위험평가를수행하고개인정보침해를방지할수있는목표 위험수준이설정되어관리되어야한다. 다. 위험관리를위한보호대책및이행계획수립 조직의위험관리를위한보호대책과목적에부합하도록위험을수용가능한수준으로감소시켜야한다. 이를위해, 위험평가에의거한위험처리, 위험수용, 위험회피, 위험전가등의전략을설정하고, 이에적합한보호대책을선정하여야한다. 선정된대책을구현하기위한구체적인일정계획을수립하고최고경영진의승인을받아야한다. 5.4. 구현 5.4.1. 구현 개인정보보호대책의이행계획에따라보호대책을구현하고, 구현후검토계획에따 라일정시간이흐른후구현성과를검토및보고하여야한다. 5.5. 사후관리 5.5.1. 사후관리 가. 모니터링및개선 개인정보보호관리체계는지속적으로모니터링하여관련문제점을검출하고해결 할수있도록하며, 결과를기록하여분석한후이를평가하여지속적인개선활동 을수행하여야한다. 나. 개인정보보호관리체계의재검토 조직의목표, 기술등내 외부의변화와내부감사결과, 보안사고등을고려하여, 개인정보보호관리체계의효율성, 범위의적절성, 잔류위험의수준, 절차등의문 서를공식적이고정기적으로재검토하여야한다. 8
6. 개인정보보호대책 6.1. 개인정보보호정책 6.1.1. 정책의승인및공표 가. 정책의승인 문서화된개인정보보호정책은개인정보취급부서장들의내부검토를거친후에 최고경영자의승인을받아야한다. 나. 정책의공표 개인정보보호정책은이용자, 임직원및관련자에게이해하기쉬운형태로전달되 고배포되어야한다. 6.1.2. 정책의체계 가. 지침, 절차및표준수립 개인정보보호정책을구체적으로시행하기위한지침, 절차및표준을수립하여야한다. 나. 정책간의일관성 개인정보보호정책을구체적으로시행하기위한지침, 절차및표준은서로일관성 이유지되어야한다. 6.1.3. 정책의유지관리 가. 정책의주기적검토 정기적으로개인정보보호정책의타당성을검토하여야하며, 중대한개인정보사고발 생, 새로운위협또는취약성의발생, 기업환경에중대한변화등이발생했을경 우에는관련된사항의타당성을추가로검토하여반영하여야한다. 나. 정책문서관리 개인정보보호정책과정책시행을위한관련문서들은문서의발행전승인, 주기적 또는필요시문서의검토ㆍ갱신및재승인, 문서의변경과현재개정상태의식별, 9
문서배포, 폐기된문서의사용제한및표시등의통제를정의한절차를수립하고 운영하여야한다. 6.2. 개인정보보호조직 6.2.1. 조직의체계 가. 개인정보보호조직체계구성 개인정보보호업무를체계적으로이행하기위한내부조직체계가구축되어있어야 한다. 나. 개인정보관리책임자 (CPO) 지정 이용자의개인정보를보호하고개인정보와관련한이용자의고충을처리하기위하 여개인정보관리책임자를지정하여야한다. 다. 개인정보취급부서별책임자및담당자지정 개인정보보호업무를체계적으로이행하기위해내부조직체계에서개인정보를 직접취급하는부서별책임자와담당자를지정하여운영하여야한다. 6.2.2. 책임및보고체계 가. 역할및책임 개인정보관리책임자및개인정보를취급하는다양한부서의책임자, 담당자에대한 역할과책임및권한이정의되어야한다. 나. 보고및의사소통체계 개인정보관리책임자및개인정보를취급하는다양한부서의책임자, 담당자가상호 의사소통할수있는보고라인, 방법및절차가정의되어있어야한다. 10
6.3. 개인정보분류 6.3.1. 개인정보자산의조사및책임할당 가. 개인정보자산조사 조직의개인정보및개인정보관리자산을조사하고개인정보및개인정보관리자 산별로조직에서의가치, 업무영향, 법적준수사항등을고려하여중요도를결정 하여야한다. 나. 개인정보및개인정보관리자산별책임할당 조사된개인정보및개인정보관리자산에대하여소유자, 관리자, 사용자를확인 하고, 적절한통제유지를위해책임소재를명확히하여야한다. 6.3.2. 개인정보자산의분류및취급 가. 개인정보흐름분석 다. 식별된개인정보자산별개인정보수집에서파기까지의취급흐름을파악하여야한 나. 개인정보및개인정보자산보안등급과취급 식별및분류된개인정보자산에대해보안등급을부여하고, 보안등급표시를부 착, 관리하여야한다. 또한보안등급의부여에따라취급절차를정의하여이행하여야 한다. 11
6.4. 교육및훈련 6.4.1. 교육및훈련 가. 교육및훈련대상 교육및훈련의대상에는조직의임직원, 개인정보취급자뿐만아니라수탁자및 관련외부자를포함하여야한다. 나. 교육및훈련내용 교육내용은개인정보보호관련법률및제도, 관리적기술적조치및이를수행하기 위한방법, 사내규정등개인정보취급자가필수적으로알아야하는사항을포함 하여야한다. 6.4.2. 시행및평가 가. 교육및훈련시행 교육및훈련은정기적으로연 2 회실시하여야하며, 개인정보보호정책이나절차 및역할의변경이있는경우에는수시로실시하고이에대한기록을남겨야한다. 나. 교육및훈련평가 교육및훈련종료후검토를통하여차기교육에반영하여야한다. 6.5. 인적보안 개인정보취급자는최소한으로제한하고개인정보취급자명단관리및책임명시, 처 벌규정을마련하여야한다. 6.5.1. 개인정보취급자관리 가. 개인정보취급자감독 업무상개인정보를취급해야하는개인정보취급자는최소한으로제한하고취급자 명단관리및통제방안을마련하여야한다. 12
나. 인사규정 인사규정등에는임직원및개인정보취급자가지켜야할책임및관련법규상의 책임을명시하여야한다. 또한직원이책임을이행하지않는경우를대비한적절한 처벌규정을포함하여야한다. 6.5.2. 개인정보보호서약 개인정보취급자와임시직원및제3자에게정보에대한접근권한을부여할경우에도그들로부터개인정보보호서약서에서명을받아야한다. 직원의고용계약에변경이있을경우, 특히직원이퇴사하거나계약기간이만료될때에는개인정보보호서약서를환기시켜야한다. 13
6.6. 침해사고처리및대응절차 6.6.1. 대응계획및체계 가. 침해사고대응계획수립 개인정보의노출, 유출, 변경, 삭제에대응하기위한긴급연락체계, 개인정보보호 사고발생시보고및대응절차, 사고대응조직의구성, 교육계획등을포함한개 인정보사고대응계획을수립ㆍ시행하여야한다. 나. 침해사고대응체계구축 개인정보사고의대응이신속하게이루어질수있도록중앙집중적인대응체계를 구축하고, 대응체계에는내부직원뿐아니라외부기관및전문가들과의협조체계를 반영하여야한다. 6.6.2. 대응및복구 가. 침해사고대응교육및훈련 개인정보사고대응계획, 절차및방법에대한정기적인교육과사고처리후재발 방지를위하여필요한교육ㆍ훈련을실시하여야한다. 나. 침해사고보고 사고의징후또는개인정보사고발생을인지한때에는보고체계에따라가능한신속히보고하여야한다. 시스템이나네트워크의보안취약점과소프트웨어기능장애또한신속히보고하여야한다. 보고자에대해서는적절한보상이주어져야하며보고로인해불이익이발생하지않도록해야한다. 다. 침해사고처리및복구 개인정보사고대응시처리, 복구절차에따라처리와복구를신속히수행하여야한다. 6.6.3. 사후관리 가. 침해사고분석및정보공유 개인정보사고가처리되고종결된후이에대한분석이수행되어야하며, 그결과가 14
보고되어야한다. 또한사고에대한정보와발견된취약성들이관련조직과인력에 공유되어야한다. 나. 침해사고재발방지 개인정보사고로부터얻은정보를활용하여, 유사사고가반복되지않도록재발방 지대책을수립하여야한다. 이를위해필요한경우정책, 절차, 조직등의보안체 계에대한변경도이루어져야한다. 6.7. 기술적보호조치 6.7.1. 접근통제 가. 접근통제정책수립 개인정보및처리시스템의접근통제, 암호통제, 운영통제, 시스템개발보안, 출력 및복사시의통제, 개인정보표시제한등에대한정책을수립하고문서화하여야한다. 나. 개인정보취급자등록 개인정보및개인정보처리시스템에대한접근을통제하기위한공식적인사용자 등록및해지절차를마련하여야한다. 다. 개인정보취급자권한관리 개인정보처리시스템에대한접근권한을서비스제공을위하여필요한최소한의 인원에게만부여하고그내역을기록관리하여야한다. 라. 사용자패스워드관리 사용자패스워드의관리절차를수립하고이행하여야한다. 마. 사용자의접근권한검토 개인정보나개인정보처리시스템에대한접근을관리하기위해서정기적으로접근 권한에대하여서점검을하여야한다. 15
바. 개인정보취급자의책임 시스템및패스워드관리책임은사용자자신에게있음을주지시키고관리지침을 제공하여야한다. 사. 네트워크접근 비인가된접근을막기위해네트워크의내ㆍ외부연결통제, 사용자터미널과컴퓨 터서비스간에물리적및논리적경로의통제, 사용자인증, 고장진단포트에대 한접근통제등을포함한네트워크접근정책을수립하고이행하여야한다. 아. 운영체제접근 안전한로그온절차, 식별및인증관리, 필요시터미널자동확인등을포함하여 시스템의운영체제접근을통제하여야한다. 자. 응용프로그램접근 사용자접근이허가되지않은응용프로그램의기능들에대한정보제공을제한하여야 한다. 또한민감한정보를처리하는응용프로그램의출력물은허가된위치에서만 전달하여야한다. 민감한응용시스템은반드시일반적인환경과분리하여야한다. 차. 데이터베이스접근 데이터베이스의뷰, 레코드또는필드레벨에서의데이터에대한접근통제, 데이터 사전및데이터베이스유틸리티에대한접근통제, 민감정보의암호화등을통해 데이터베이스내의정보를보호하여야한다. 6.7.2. 암호통제 가. 암호정책 개인정보의암호화를위한문서화된정책을수립하여야한다. 나. 암호사용 암호정책에따라암호대상개인정보의암호화를시행하여야한다. 16
다. 암호키관리 암호키에대한관리지침, 절차및방법을마련하고필요시복구방안을마련하 여야한다. 6.7.3. 운영통제 가. 정보자산의변경관리 정보시스템관련자산들을조사하고, 모든변경사항들을반영할수있는공식적인 관리책임및절차를수립하여야한다. 나. 직무분리 부주의에의한또는고의적인시스템오용의위험을감소시키기위해직무를분리 하고, 직무분리가어려운특수한경우별도의관리감독대책을수립하여야한다. 다. 개발과운영환경의분리 원칙적으로개발, 테스트, 운영환경을분리하여야한다. 또한응용프로그램을개발 환경으로부터운영환경으로이전하는절차를정의하고문서화하여야한다. 라. 네트워크운영대책 네트워크운영보안유지를위해직무분리, 접근권한통제, 원격접속설비관리, 네트워크분리등을위한책임및절차등을포함한대책을수립하여야한다. 마. 인터넷접속관리 개인정보취급자의 PC 및개인정보처리시스템을보호하기위하여인터넷과의접 속에대한통제정책을수립하고, 침입차단시스템및침입탐지시스템등을설 치하여보호하여야한다. 바. 원격운영관리 네트워크를통해시스템을운영하는경우원칙적으로시스템관리는내부의특정터 미널에서만할수있도록제한하고, 외부에서네트워크를통하여시스템을관리할경 우에는사용자인증, 암호및접근통제기능을설정하여야한다. 17
사. 매체취급및보관 허가되지않은유출이나오용으로부터개인정보를보호하기위해, 매체의취급및 보관에대한절차를수립하고운영하여야한다. 아. 매체의폐기 매체폐기를부주의하게이행하여외부자에게개인정보가누출되지않도록폐기지 침을수립하고운영하여야한다. 자. 악성소프트웨어통제 바이러스등의악성소프트웨어로부터개인정보처리시스템및개인정보취급자의 PC 를보호하기위해악성소프트웨어들을예방하고탐지, 대응하는대책을수립하 여야한다. 차. 이동컴퓨팅 휴대용정보통신기기의사용시에사업정보를보호하기위한보안정책을수립하고, 내부네트워크로의연결및공공장소에서의사용에대한정책을수립하여야한다. 카. 원격작업 재택근무와같은원격작업수행시이에대한물리적, 논리적보호를위한정책과 절차를마련하여야한다. 타. 공개서버보안관리 웹서버등을통해이용자의개인정보를처리하는공개서버의경우이를통해개인 정보노출이발생하지않도록기술적, 물리적보안대책을수립하고운영하여야한 다. 6.7.4. 시스템개발보안 가. 분석및설계보안관리 개인정보처리시스템을새로개발또는구매하거나기존시스템개선시개인정보 영향평가를수행하여야하며평가결과에따른보안요건을포함하여개발하여야한 다. 18
나. 구현및시험 개인정보처리시스템에대한보안요구사항을만족하는대책을구현하고보안요 구사항에대한시험을수행하여야한다. 다. 운영환경이행보안 운영프로그램의수정은적절한권한을지닌사람만이시행하여야하고, 운영시스 템은실행코드만보유하여야한다. 실행코드는성공적인시험과사용자인수후실 행하여야한다. 라. 테스트데이터의보안 운영데이터를시험용으로사용하고자할경우민감한개인정보를변경또는삭제하고개인정보관리책임자의승인후에시행하여야한다. 또한시험환경에대하여운영환경에준하는보안을시행하고시험완료후운영데이터는테스트시스템에서삭제하여야한다. 마. 소스프로그램의접근보안 소스프로그램은실제운영환경에보관하지않는것을원칙으로하며, 소스프로 그램관리자는각운영시스템별로지정하여야한다. 또한소스프로그램접근에 대한통제절차를수립하고이행하여야한다. 바. 변경관리절차 개인정보처리시스템의변경에따른개인정보노출, 손상, 파괴를최소화하기위 하여공식적인변경관리절차를수립하고이행하여야한다. 사. 운영체제변경시의검토 운영체제변경이필요한경우개인정보처리시스템의운영이나보안에미치는영 향을분석, 검토하여야한다. 19
아. 소프트웨어패키지변경 개인정보처리를위한소프트웨어패키지는개인정보보호정책및법적요건을만 족하여야하며패키지변경시에는공급자의동의를얻으며, 수정이가능한지확인 하여야한다. 모든변경사항은시험하고문서화하여야한다. 6.7.5. 출력, 복사통제 가. 출력, 복사시용도특정 개인정보처리시스템에서개인정보의출력시용도를특정하여야하며, 용도에따라 출력항목을최소화하여야한다. 나. 출력, 복사시기록및승인 개인정보를테이프, 디스크, 출력물, 이동식저장장치등에복사할경우필요한사 항을기록하고사전승인을받아야한다. 6.7.6. 개인정보표시제한 가. 개인정보마스킹 개인정보업무처리를목적으로개인정보조회, 출력등의업무를수행하는과정에 서개인정보를마스킹을통해표시제한을수행하여야한다. 6.8. 물리적보호조치 6.8.1. 물리적보안대책 가. 물리적보호구역 개인정보의취급, 처리및저장시설및장비를권한없는자의물리적접근및각 종물리적, 환경적재난으로부터보호하기위하여보호구역을정의하고이에따른보 안대책을수립ㆍ이행하여야한다. 나. 물리적접근통제 개인정보를취급, 처리하는보호구역에대한출입통제기록을남기고, 주기적으로 타당성을검토해야한다. 수립된보안절차에따라필요한조치를수행하고주기적 20
으로검토하여야한다. 6.8.2. 장비보호 가. 케이블보호 개인정보를송ㆍ수신하거나정보서비스를지원하는전력및통신케이블은방해되 거나손상을입지않도록보호하여야한다. 나. 장비의안전한폐기및재사용 개인정보를담고있는장비의폐기및재사용시에는이를물리적으로파기하거나 폐기하기전에저장매체에기록된내용이완전히삭제되어복구가불가능한지확 인하여야한다. 6.8.3. 사무실보호 개인정보취급자에대하여책상위에개인정보문서나저장매체를남겨놓지않도록 하고, 통상근무시간동안이나그외의시간에비인가된자에의한정보접근, 손상을방 지하기위하여컴퓨터화면에정보처리에관한사항을남겨놓지않도록하여야한다. 6.9. 내부검토및감사 6.9.1. 법적요구사항준수검토 조직의개인정보에대해적용되는모든법, 규제, 계약상의요구사항을정의하고 문서화하여야하며, 이들요구사항을개인정보보호관리체계에포함시켜문서화 한다. 6.9.2. 개인정보보호정책및대책준수검토 가. 정책의준수검토 개인정보및개인정보처리시스템을다루는부서장은개인정보보호정책, 절차가 준수되고있는지검토하여야한다. 21
나. 기술적점검 개인정보처리시스템이절차에따라운영관리되고있는지정기적으로점검하고 발견된문제점에대해필요한조치를취하여야한다. 6.9.3. 모니터링 가. 개인정보처리활동모니터링 인가되지않은개인정보처리활동을탐지하기위해모니터링절차를수립하고시 행하여야한다. 모니터링결과는정기적으로점검하여야하고위험의정도에따라 점검주기를결정하여야한다. 나. 개인정보열람기록검토및오남용방지 개인정보취급자의오남용을방지하기위하여개인정보열람에대한기록을남기고 주기적으로검토하여야한다. 다. 개인정보처리기록검토및위 변조방지 개인정보처리시스템에대한접근을기록하고정기적으로검토하여야하며, 위 변 조를막기위한조치를취해야한다. 라. 시각동기화 이행점검기록의명확성을보장하기위하여시스템시각을정확히설정하여야한 다. 6.9.4. 보안감사 가. 보안감사계획및이행 보안감사대상, 범위, 주기, 방법, 절차, 감사자, 감사도구를포함한보안감사계 획을수립하고시행하여야한다. 나. 감사결과및사후관리 감사의결과에따라감사보고서를작성하고적정한책임자에게보고하며, 감사지 적내용이이행되도록사후관리하여야한다. 22
7. 개인정보생명주기 7.1. 개인정보수집에따른조치 7.1.1. 최소한의정보수집 가. 서비스제공을위해필요한최소한의정보수집 서비스제공을위해필요한최소한의정보만을수집하고, 추가적정보의수집을원할경우, 정보주체가선택제공할수있도록필수와선택사항으로구분하여야한다. 이때선택사항의정보를제공하지않는다는이유로서비스제공을거부하지않아야한다. 나. 중요정보수집제한 개인의권리 이익이나사생활을뚜렷하게침해할우려가있는민감한개인정보를수 집하여서는안된다. 수집이필요한경우, 이용자의동의를받아야한다. 다. 간접수집시조치 시스템에의한수집또는개인정보처리를통해생성한간접수집한개인정보에대 한적절한보호를취해야한다. 7.1.2. 개인정보수집시고지및동의획득 가. 정보주체의동의 개인정보는정보주체의동의를얻은후에수집하여야한다. 나. 법적대리인동의획득 14 세미만아동의개인정보를수집하는경우법정대리인의동의를받아야한다. 다. 동의기록보관 이용자에게서동의를받은기록은보관하여야한다. 23
7.1.3. 개인정보취급방침마련및게시 개인정보취급방침을정하여이용자가언제든지쉽게확인할수있도록적절한 방법에따라공개하여야한다. 7.2. 개인정보이용및제공에따른조치 7.2.1. 동의범위내개인정보사용 개인정보는이용자에게고지하고동의받은범위를넘어이용하지않아야하고, 만약 그러할경우, 정보주체로부터추가적으로동의를받아야한다. 7.2.2. 이용자권리보호 가. 이용자의불만처리 개인정보와관련한이용자의의견및불만을접수 처리하기위하여상담창구를운 영하여야한다. 나. 열람정정요구권보장및처리 이용자가자신의개인정보에대한열람또는이용및제공내역을요청할경우이 에대해지체없이조치하여야한다. 다. 동의철회 이용자가자신의개인정보에대한동의철회를요청할경우이에대해지체없이 조치하여야한다. 라. 이용자요청의처리 이용자의요청을지체없이처리하고기록을남겨야한다. 24
7.2.3. 외부위탁시개인정보보호 가. 이용자고지및동의 제 3 자에게이용자의개인정보를처리할수있도록업무를위탁하는경우에는관련 사항을이용자에게알리고동의를얻어야한다. 나. 위탁자책임 위탁자는수탁자가안전하게개인정보를취급하도록관리감독하여야하며, 수탁자 가법규정을위반한경우손해배상책임을져야한다. 다. 외부위탁관리감독 조직의개인정보업무를외부위탁하는경우에는개인정보보호에관한요구사항 및관리감독에관한사항을계약서및서비스수준협약서상에명시하여야한다. 라. 외부위탁계약관련사항 외부위탁업체가계약서및서비스수준협약에명시된사항을충분히이행하는지 상시관리감독하고주기적으로점검또는감사하여야한다. 7.2.4. 제 3 자제공시개인정보보호 가. 제 3 자제공시동의 이용자의개인정보를제 3 자에게제공하려는경우모든사항에대하여이용자에게 알리고동의를얻어야한다. 나. 제공받은개인정보의관리 개인정보를타기관으로부터제공받은경우제공받은목적외의용도로이를이용 하거나제 3 자에게제공하지않아야한다. 다. 제 3 자보안관리 조직이제 3 자에게개인정보또는개인정보에대한접근을제공하는경우에는조직 의개인정보보호정책준수및법적요건을만족하기위한방안을마련하여야한다. 25
라. 제 3 자제공시계약관련사항 조직의개인정보에대한제 3 자의접근또는제공을절차에따라통제하여야한다. 7.2.5. 양도, 양수, 합병등개인정보이전시개인정보보호 가. 개인정보를이전하는경우보호조치 영업의양도, 합병등으로개인정보를이전하는경우적절한조치를취하여야한다. 나. 개인정보를이전받는경우보호조치 영업의양도, 합병등으로개인정보를이전받은경우적절한조치를취하여야한다. 7.2.6. 해외이전시개인정보보호 개인정보를해외로이전하는경우적절한보호조치를취해야한다. 7.3. 개인정보관리및파기에따른조치 7.3.1. 개인정보의저장및관리 가. 개인정보의저장및관리 조직은개인정보파기내부규정을마련하고이에따라개인정보의수집목적이달 성된경우개인정보를안전한방법으로지체없이파기하여야한다. 나. 파기규정 개인정보의보유및파기관련내부규정이마련되어야한다. 다. 파기시점 개인정보가기입된서류등의원본과사본은서비스이용계약해지등개인정보의 수집목적이달성된경우이를지체없이파기해야한다. 26
라. 파기방법 개인정보는안전한방법으로파기하여야한다. 마. 목적달성후보유 개인정보의수집목적이달성된경우개인정보의전부또는일부를보유한다면보유 근거, 보유목적, 보유기간및보유항목에대해서정보주체에게고지하고최소 한의항목으로제한하는등의보유에대한관리대책이마련되어야한다. 27
부속서 A 개인정보보호관리체계인증심사기준 ( 방송통신위원회의결 ( 제 2010-66-273 호 )) 영역도메인 통제목적 통제사항 통제내용 조직내개인정보침해가능성의관리및 책임을기술한개인정보보호관련정책을 1.1.1 개인정보보호정책수립수립하여야하며, 동정책은국가나관련 산업에서정하는법규제를만족하여야한다. 1. 개인정보보호관련정책 개인정보보호활동에대한경영층의명확한 개인 및내부관리계획수립 지원및방향제시를보증할수있는조직을 정보정책 1.1 을통해명확한지원및방향제시를보증하여야 1.1.2 조직및책임설정 구성하여야한다. 또한개인정보보호관리활동을수행하고검증하는인력들에대한 수립 한다. 역할및책임, 상호연관관계등을정의하고 문서화하여야한다. 개인정보보호정책에따른개인정보보호 1.1.3 내부관리계획의수립 조직구성및운영등이포함된내부관리 계획을수립하여이행하여야한다. 신청기관의개인정보및개인정보관리 개인정보관리과정요구사항 2. 관리 체계 범위 설정 2.1 개인정보보호관리체계의범위를설정하고, 개인정보및개인정보관리자산을분류및식별하고관리하여야한다. 자산을분류및식별하고개인정보자산의 2.1.1 개인정보식별형태, 소유자, 관리자, 특성등을포함하여목록을만들어야한다. 신청사업자의특성, 위치, 기술, 자산등개인정보보호관리체계내ㆍ외적환경에중대한영향을미치는 2.1.2 범위설정요소를고려하여개인정보보호관리체계의범위를설정하여야한다. 신청사업자의목표및정책, 법적요구사항등을고려하여조직, 역할, 책임, 주요과정을포함한위험관리계획을수립 3.1.1 위험관리계획수립하고, 신청기관에적합한위험관리방법 을선택하여야한다. 이위험관리방법은 조직과개인정보보호환경변화에대응할수 3. 위험 관리 3.1 신청사업자는개인정보취급서비스에적합한위험관리계획을수립하고, 위험관리계획에따라보호대책을수립하여야한다. 3.1.2 위험평가 있도록지속적으로검토하여야한다. 위험관리계획에따라위험평가를수행하고개인정보침해를방지할수있는목표위험수준이설정되어관리되어야한다. 신청기관의위험관리를위한보호대책과목적에부합하도록위험을수용가능한수준으로감소시켜야한다. 이를위해, 3.1.3 위험평가에의거한위험처리, 위험수용, 위험관리를위한보호위험회피, 위험전가등의전략을설정하고, 대책및이행계획수립이에적합한보호대책을선정하여야한다. 선정된대책을구현하기위한구체적인일 정계획을수립하고최고경영진의승인을받 아야한다. 개인정보보호대책의이 개인정보보호대책의이행계획에따라 4. 구현 4.1 행계획에따라보호대책을구현하고, 대책의효 4.1.1 보호대책의효과적구대책을구현하여야한다. 구현후검토현계획에따라일정시간이흐른후구현 과성에대하여주기적인 성과를검토및보고하여야한다. 28
영역도메인 통제목적 통제사항 통제내용 검토를 수행하여야 한 다. 개인정보보호관리체계는지속적으로모니터 링하여관련문제점을검출하고, 해결할 개인정보보호관리 체계 5. 사후 5.1 에대한지속적인개선활동이문서화되고, 정기적 관리 으로 재검토하여야 한 다. 5.1.1 모니터링및개선수있도록하며, 결과를기록하여분석한후, 이를평가하여지속적인개선활동을수행한다. 신청기관의목표, 기술등내 외부의변화와내부감사결과, 보안사고등을고려하여, 개인정보보호관리체계 5.1.2 개인정보보호관리체계의효율성, 범위의의재검토적절성, 잔류위험의수준, 절차등의문서를공식적이고정기적으로재검토하여야한다. 1.1 개인정보보호정책은최고경영자의승인을득하고접근용이한형태로공표되어야한다. 1.1.1 정책의승인 1.1.2 정책의공표 문서화된개인정보보호정책은최고경영자의승인을받아야한다. 개인정보보호정책은이용자, 임직원및관련자에게이해하기쉬운형태로전달하여야한다. 개인정보보호대책요구사항 1. 개인정보보호정책 2. 개인정보보호조직 1.2 1.3 2.1 2.2 개인정보보호정책은개인정보보호관리체계를체계적으로수행할수있도록구성되어야한다. 개인정보보호정책의주기적인타당성을검토하고, 최신본으로유지및관리하여야한다. 개인정보보호조직체계를구성하여개인정보관리책임자및개인정보취급부서별책임자, 담당자를지정하여야한다. 개인정보관련책임자, 담당자에대한역할및책임을정의하고, 상호의사소통할수있는보고체계를수립하여야한다. 개인정보보호정책을구체적으로시행하기 1.2.1 지침, 절차및표준수립위한지침, 절차및표준을수립하여야한다. 1.2.2 정책간의일관성 1.3.1 정책의주기적검토 1.3.2 정책문서관리 2.1.1 개인정보보호정책을구체적으로시행하기 위한지침, 절차및표준은체계적으로 구성되어있으며, 관련정책간의일관성이 유지되어야한다. 정기적으로개인정보보호정책의타당성을 검토하여야하며, 중대한개인정보사고 발생, 새로운위협또는취약성의발생, 기업환경의중대한변화등이발생했을 경우에는관련된사항의타당성을추가로 검토하여반영하여야한다. 개인정보보호정책과정책시행을위한관련 문서의목록을마련하고, 주기적으로검토 하여최신본으로유지하여야한다. 개인정보보호조직체계개인정보보호업무를체계적으로이행하기 구성 2.1.2 개인정보관리책임자 (CPO) 지정 2.1.3 위한내부조직체계가구축되어있어야한다. 이용자의개인정보를보호하고개인정보와 관련한이용자의고충을처리하기위하여 개인정보관리책임자를지정하여야한다. 개인정보취급부서의개인정보보호관련 개인정보취급부서별의무및법규정준수여부를감독하고 책임자및담당자지정관리할책임자및담당자가지정되어 2.2.1 역할및책임 2.2.2 보고및의사소통체계 있어야한다. 개인정보관리책임자및개인정보를취급 하는다양한부서의책임자, 담당자에대한 역할및책임이정의되어야한다. 개인정보관리책임자및개인정보를취급 하는다양한부서의책임자, 담당자가상호 의사소통할수있는보고라인, 방법및 29
영역도메인통제목적통제사항통제내용 절차가정의되어있어야한다. 신청사업자의개인정보및개인정보관리 자산을조사하고개인정보및개인정보 3. 개인정보분류 3.1 3.2 개인정보취급자산을식별하고, 자산별중요도를결정하여책임소재를명확히하여야한다. 신청기관의현황에맞는 개인정보의분류방식을선택하여개인정보흐름도를작성하고, 주기적인검토를통해최신본으로유지하여야한다. 3.1.1 개인정보조사관리자산별로신청기관에서의가치, 업무영향, 법적준수사항등을고려하여중요도를결정하여야한다. 조사된개인정보및개인정보관리자산에개인정보및개인정보대하여소유자, 관리자, 사용자를확인하고, 3.1.2 관리자산별책임할당적절한통제유지를위해책임소재를명확히하여야한다. 분류및식별된개인정보의수집, 이용및제공, 저장및관리, 파기등취급상의 3.2.2 개인정보흐름분석 개인정보흐름을파악하여야한다. 또한, 개인정보흐름도는주기적으로검토되어 취급상의변화를반영하여재작성하여야 한다. 분류및식별된개인정보및개인정보관리 자산에대하여보안등급을부여하고, 보안 3.2.3 개인정보및개인정보등급표시를부착하여관리하여야한다. 자산보안등급과취급또한보안등급의부여에따라취급절차를 정의하여이행하여야한다. 4. 교육및훈련 4.1 4.2 개인정보보호교육ㆍ훈련계획을수립하고, 관련자모두에게개인정보취급자가필수적으로알아야하는사항을교육하여야한다. 교육및훈련은정기적으로실시하여야하며, 교육및훈련종료후검토를통하여차기교육에반영하여야한다. 4.1.1 교육및훈련대상 4.1.2 교육및훈련내용 4.2.1 교육및훈련시행 4.2.2 교육및훈련평가 교육및훈련대상에는신청기관의임직원, 개인정보취급자, 관련자모두를포함하여야한다. 교육내용은개인정보보호관련법률및제도, 관리적기술적조치및이를수행하기위한방법, 사내규정등개인정보취급자가필수적으로알아야하는사항을포함하여야한다. 교육및훈련은정기적으로실시하여야하며, 개인정보보호정책의절차및역할변경이있는경우에는정기적인교육에내용을포함하고이에대한기록을유지한다. 교육및훈련종료후검토를통하여차기교육에반영하여야한다. 업무상개인정보를취급해야하는개인정보 5. 인적 보안 5.1 개인정보취급자는최소한으로제한하고개인정보취급자명단관리및책임명시, 처벌규정을마련하여야한다. 5.1.1 개인정보취급자감독 5.1.2 인사규정 취급자는최소한으로제한하고개인정보취급자명단관리및통제방안을마련하여야한다. 인사규정등에임직원및개인정보취급자에대한회사내규상책임및관련법규상의책임을명시하여야한다. 또한책임을이행하지않는경우를대비한적절한 30
영역도메인통제목적통제사항통제내용 처벌규정을포함하여야한다. 5.2 개인정보취급자에게이용자의개인정보에대한보안서약서를징구하여야한다. 임시직원이나제3자에게개인정보에대한접근권한을부여할경우에도그들로부터개인정보보호서약서에서명을받아야하며, 직원의고용계약에변경이있을경우, 특히퇴사또는계약기간만료시개인정보보호서약서를환기시켜야한다. 5.2.1 개인정보보호서약 개인정보취급자에게이용자의개인정보에대한보안서약서를징구하여야한다. 임시직원이나제3자에게개인정보에대한접근권한을부여할경우에도그들로부터개인정보보호서약서에서명을받아야하며, 직원의고용계약에변경이있을경우, 특히퇴사또는계약기간만료시개인정보보호서약서를환기시켜야한다. 개인정보의노출, 변경, 삭제에대응하기 위한긴급연락체계, 개인정보보호사고 6.1 신청사업자는실효성있는개인정보사고대응계획을수립ㆍ시행하여야한다. 6.1.1 6.1.2 침해사고대응계획수발생시보고및대응절차, 사고대응립조직의구성, 교육계획등을포함한개인정보사고대응계획을수립ㆍ시행하여야한다. 개인정보사고의대응이신속하게이루어질수있도록중앙집중적인대응체계를침해사고대응체계구축하고, 대응체계에는내부직원뿐아니구축라외부기관및전문가들과의협조체계를반영하여야한다. 개인정보사고대응계획, 절차및방법에 6. 침해사고처리및대응절차 6.2 개인정보사고대응계획, 절차및방법에대하여정기적으로교육을실시하여야하며개인정보사고대응시보고체계, 처리및복구절차에따라신속히수행하여야한다. 침해사고대응교육대하여정기적으로교육을실시하여야하며 6.2.1 및훈련사고처리후재발방지를위하여필요한교육ㆍ훈련을실시하여야한다. 사고의징후또는개인정보사고발생을인지한때에는보고체계에따라가능한한신속히보고하여야한다. 시스템이나네트 워크의보안취약점과소프트웨어기능장애 6.2.2 침해사고보고또한신속히보고하여야한다. 보고자에대해서는적절한보상이주어져야하며보고로인해불이익이발생하지않도록해야한다. 6.2.3 개인정보사고대응시처리, 복구절차에침해사고처리및복따라처리와복구를신속히수행하여야구한다. 개인정보사고가처리되고종결된후이에 6.3 개인정보사고종결후이에대한분석결과가보고및공유되고, 재발방지대책을수립하여보안체계에반영하어야한다. 대한분석이수행되어야하며, 그결과가침해사고분석및정 6.3.1 보고되어야한다. 또한사고에대한정보와보공유발견된취약성들이관련조직과인력에공유되어야한다. 개인정보사고로부터얻은정보를활용하여, 6.3.2 침해사고재발방지유사사고가반복되지않도록재발방지대책을수립하여야한다. 이를위해필요한 31
영역도메인 통제목적 통제사항 통제내용경우정책, 절차, 조직등의보안체계에대한변경도이루어져야한다. 개인정보보호요구사항에기초하여통합 7.1.1 접근통제정책수립 적인접근통제를위한개인정보취급자에대한접근통제정책을수립하고문서화 하여야한다. 7.1.2 개인정보취급자등록 개인정보및개인정보처리시스템에대한접근을통제하기위한공식적인개인정보취급자등록및해지절차를마련하여야한다. 7.1.3 개인정보처리시스템에대한접근권한개인정보취급자권한이서비스제공을위하여필요한최소한관리의인원에게만부여하고그내역을기록관리하여야한다. 7.1.4 이용자패스워드관리 이용자패스워드의관리절차를수립하고이행하여야한다. 개인정보및개인정보처리시스템에대 7. 기술적보호조치 7.1 접근통제정책을수립하고, 개인정보취급자의접근통제및모니터링을이행하여야한다. 7.1.5 7.1.6 개인정보취급자의접근한접근을관리하기위해서정기적으로권한검토접근권한에대하여서점검을하여야한다. 개인정보처리시스템및패스워드관리개인정보취급자의책책임은개인정보취급자자신에게있음을임주지시키고관리지침을제공하여야한다. 비인가된접근을막기위해네트워크의내ㆍ외부연결통제, 사용자터미널과컴퓨터 서비스간에물리적및논리적경로의통제, 7.1.7 네트워크접근사용자인증, 고장진단포트에대한접근통제등을포함한네트워크접근정책을수립하고이행하여야한다. 7.1.8 운영체제접근 7.1.9 응용프로그램접근 7.1.10 데이터베이스접근 안전한로그온절차, 식별및인증관리, 필요시터미널자동확인등을포함하여시스템의운영체제접근을통제하여야한다. 개인정보취급자접근이허가되지않은응용프로그램의기능들에대한정보제공을제한하여야한다. 또한중요정보를처리하는개인정보응용프로그램의출력물은허가된위치에서만출력되어야한다. 데이터테이블레벨에서데이터에대한접근통제, 데이터사전및데이터베이스유틸리티에대한접근통제, 중요정보의암호화등을통해데이터베이스내의정보를보호하여야한다. 7.2 개인정보암호화정책및암호키관리방안을수립하고, 이에따라개인정보암호화를시행하여야한다. 7.2.1 암호정책 개인정보의암호화를위한문서화된정책을수립하여야한다. 7.2.2 암호사용 암호정책에따라암호대상개인정보의암호화를시행하여야한다. 7.2.3 키관리 암호키에대한관리지침, 절차및방법을 32
영역도메인통제목적통제사항통제내용 7.3.1 마련하고필요시복구방안을마련하여야한다. 개인정보처리시스템관련자산들을조정보관련자산의변경사하고, 모든변경사항들을반영할수있관리는공식적인관리책임및절차를수립하여야한다. 7.3.2 직무분리 부주의에의한또는고의적인시스템오용의위험을감소시키기위해직무를분리하고, 직무분리가어려운특수한경우별도의관리감독대책을수립하여야한다. 원칙적으로개발, 테스트, 운영환경을분리하여야한다. 또한개인정보응용 7.3.3 개발과운영환경의분리프로그램을개발환경으로부터운영환경으로이전하는절차를정의하고문서화하여야한다. 네트워크운영보안유지를위해직무분리, 7.3.4 네트워크운영대책 접근권한통제, 원격접속설비관리, 네트워크분리등을위한책임및절차등을포함한대책을수립하여야한다. 개인정보취급자의 PC 및개인정보처 7.3 개인정보처리시스템관련자산변경관리절차를수립하고, 네트워크운영보안유지를위해직무분리, 접근권한통제, 원격접속설비관리, 네트워크분리등을위한책임및절차등을포함한대책을수립하여야한다. 7.3.5 인터넷접속관리 7.3.6 원격운영관리 리시스템을보호하기위하여인터넷과의접속에대한통제정책을수립하고, 침입차단시스템및침입탐지시스템등을설치하여보호한다. 네트워크를통해시스템을운영하는경우원칙적으로시스템관리는내부의특정터미널에서만할수있도록제한하고, 외부에서네트워크를통하여시스템을관리할경우에는사용자인증, 암호및접근통제기능을설정하여야한다. 허가되지않은유출이나오용으로부터 7.3.7 매체취급및보관 개인정보를보호하기위해, 매체의취급및보관에대한절차를수립하고운영하여야한다. 매체폐기를부주의하게이행하여외부자 7.3.8 매체의폐기 에게개인정보가누출되지않도록폐기 지침을수립하고운영하여야한다. 7.3.9 악성프로그램통제 바이러스등의악성프로그램으로부터개인정보처리시스템및개인정보취급자의 PC를보호하기위해악성프로그램을예방하고탐지, 대응하는대책을수립하여야한다. 휴대용정보통신기기의사용시에개인정보를보호하기위한보안정책을수립 7.3.10 이동컴퓨팅 하고, 내부네트워크으로의연결및공공 장소에서의사용에대한정책을수립하여야 한다. 7.3.11 원격작업 재택근무와같은원격작업수행시이에 33
영역도메인통제목적통제사항통제내용 대한물리적, 논리적보호를위한정책과 절차를마련하여야한다. 7.3.12 공개서버보안관리 7.4.1 분석및설계보안관리 7.4.2 구현및시험 7.4.3 운영환경이행보안 웹서버등을통해이용자들의개인정보를처리할경우이를통해개인정보노출이발생하지않도록공개서버에대한기술적, 물리적보안대책을수립하고운영하여야한다. 개인정보처리시스템을새로개발또는구매하거나기존시스템개선시개인정보영향평가를수행하여야하며평가결과에따른보안요건을포함하여개발하여야한다. 개인정보처리시스템에대한보안요구사항을만족하는대책을구현하고보안요구사항에대한시험을수행하여야한다. 개인정보운영프로그램의수정은적절한권한을지닌사람만이시행하여야하고, 개인정보운영시스템은실행코드만보유하여야한다. 실행코드는성공적인시험과사용자인수후에실행하여야한다. 7.4 7.5 개인정보처리시스템개발시개인정보영향평가를수행하여야하며, 보안요구사항에따라구현및테스트등에대한공식적인변경관리절차를수립하고이행하여야한다. 개인정보처리시스템에서개인정보의출력시용도를특정하여야하며, 개인정보를복사할경 운영데이터를시험용으로사용하고자할경우중요개인정보를변경또는삭제하고개인정보관리책임자의승인후에시행 7.4.4 테스트데이터의보안하여야한다. 또한테스트환경에대하여운영환경에준하는보안을시행하고테스트완료후운영데이터는테스트시스템에서삭제하여야한다. 소스프로그램은실제운영환경에보관하지않는것을원칙으로하며, 소스프로소스프로그램의접근 7.4.5 그램관리자는각운영시스템별로지정보안하여야한다. 또한소스프로그램접근에대한통제절차를수립하고이행하여야한다. 개인정보처리시스템의변경에따른개 인정보노출, 손상, 파괴를최소화하기위하 7.4.6. 변경관리절차여공식적인변경관리절차를수립하고이행하여야한다. 운영체제변경이필요한경우개인정보처 7.4.7 운영체제변경시의검토리시스템의운영이나보안에미치는영향을분석, 검토하여야한다. 개인정보처리를위한소프트웨어패키지는개인정보보호정책및법적요건을만 족하여야하며패키지변경시에는공급자 7.4.8 소프트웨어패키지변경의동의를얻으며, 수정이가능한지확인하여야한다. 모든변경사항은시험하고문서화하여야한다. 개인정보처리시스템에서개인정보의출 7.5.1 출력, 복사시용도특정력시용도를특정하여야하며, 용도에따라출력항목을최소화하여야한다. 7.5.2 출력, 복사시기록및개인정보를테이프, 디스크, 출력물, 이동식 34
영역도메인 통제목적 통제사항 통제내용 우필요한사항을기록 하고사전승인을받아야저장장치등에복사할경우필요한사항을승인한다. 기록하고사전승인을받아야한다. 7.6 개인정보업무처리를목적으로개인정보조회, 출력등의업무를수행하는과정에서개인정보를마스킹을통해표시제한을수행하여야한다. 7.6.1 개인정보마스킹 개인정보업무처리를목적으로개인정보조회, 출력등의업무를수행하는과정에서개인정보를마스킹을통해표시제한을수행하여야한다. 개인정보의취급, 처리및저장시설및 8.1 개인정보를취급하는공간에대해출입통제등물리적보호조치를취하고접근가능한인원은허가받은인력에한해최소화하여야한다. 8.1.1 물리적보호구역 8.1.2 물리적접근통제 장비를권한없는자의물리적접근및각종물리적, 환경적재난으로부터보호하기위하여보호구역을정의하고이에따른보안대책을수립ㆍ이행하여야한다. 개인정보를취급, 처리하는보호구역에대한출입통제기록을남기고, 주기적으로타당성을검토해야한다. 8. 물리적보호조치 8.2 전력및통신케이블등의장비을보호하고, 개인정보를담고있는장비의폐기및재사용시에는기록된완전히삭제되어복구가불가능한지확인하여야한다. 개인정보를송ㆍ수신하거나정보서비스를 8.2.1 케이블보호지원하는전력및통신케이블은방해되거나손상을입지않도록보호하여야한다. 개인정보를담고있는장비의폐기및재사용시에는이를물리적으로파기하거나장비의안전한폐기및 8.2.2 폐기하기전에저장매체에기록된내용이재사용완전히삭제되어복구가불가능한지확인하여야한다. 개인정보취급자에대하 여책상위에개인정보 8.3 문서나저장매체를남겨놓지않도록하고, 통상근무시간동안이나그외의시간에비인가된자에의한정보접근, 손상을방지하기위하여컴퓨터화면에정보처리에관한사항을남겨놓지않도록하여야한다. 8.3.1 사무실보호 개인정보취급자에대하여책상위에개인정보문서나저장매체를남겨놓지않도록하고, 통상근무시간동안이나그외의시간에비인가된자에의한정보접근, 손상을방지하기위하여컴퓨터화면에정보처리에관한사항을남겨놓지않도록하여야한다. 9. 내부검토및감사 9.1 9.2 개인정보에대해적용되는모든법, 규제, 계약상의요구사항을문서화하고, 이에대한내용을개인정보보호관리체계에포함시켜준수여부를검토해야한다. 개인정보보호정책및대책준수여부를검토하고, 정기적인점검실시를통해문제점을교정하여야 9.1.1 법적요구사항명시 9.2.1 정책의준수검토 9.2.2 기술적점검 기관의개인정보에대해적용되는모든법, 규제, 계약상의요구사항을정의하고문서화하여야하며, 이들요구사항을개인정보보호관리체계에포함시켜문서화한다. 개인정보관련법규에서요구하는사항의준수여부를검토해야한다. 개인정보관련법규에서요구하는사항의준수여부를검토해야한다. 개인정보처리시스템이절차에따라운영관리되고있는지정기적으로점검을 35
영역도메인 통제목적 통제사항 통제내용 한다. 실시한다. 이에따라문제점들을발견한후필요한조치를취한다. 인가되지않은개인정보처리활동을탐 지하기위해모니터링절차를수립하고 9.3.1 개인정보 처리 활동 9.3 모니터링절차를수립하고, 개인정보열람기록및처리기록을주기적으로검토하여야한다. 9.3.2 9.3.3 개인정보처리활동시행하여야한다. 모니터링모니터링결과는정기적으로점검하여야하고위험의정도에따라점검주기를결정하여야한다. 개인정보취급자의오남용을방지하기개인정보열람기록검토위하여개인정보열람에대한기록을및오남용방지남기고주기적으로검토하여야한다. 개인정보처리시스템에대한접근을기록개인정보처리기록검토하고정기적으로검토하여야하며, 위변조를및위변조방지막기위한조치를취해야한다 9.3.4 시각동기화 이행점검기록의명확성을보장하고법적인 자료나징계자료로서효력을갖기위해서는 시스템시각을정확히설정하여야한다. 9.4 보안감사계획을수립하고, 감사결과보고후지적사항이조치되도록사후관리하여야한다. 보안감사대상, 범위, 주기, 방법, 절차, 9.4.1 보안감사계획및이행감사자, 감사도구를포함한보안감사계획을 수립하고시행하여야한다. 감사의결과에따라감사보고서를작성하고 적정한책임자에게보고하며, 감사지적 9.4.2 감사결과및사후관리내용이이행되도록사후관리하여야한 다. 서비스제공을위해필요한최소한의 정보만을수집하고, 수집시주민등록번호 대체수단을제공하여야하며, 추가적 생명주기준거요구사항 1. 개인정보수집에따른조치 1.1 최소한의정보만을수집하고, 추가정보, 민감정보, 간접수집한개인정보등에대하여이용자동의및적절한보호를취해야한다. 1.1.1 서비스제공을위해정보의수집을원할경우, 정보주체가선택 필요한최소한의정보제공할수있도록필수와선택사항으로 수집 1.1.2 중요정보수집제한 1.1.3 간접수집시조치 구분하여기재할수있도록하여야하며, 선택사항의정보를제공하지않는다는 이유로서비스제공을거부하여서는아니 된다. 개인의권리 이익이나사생활을뚜렷하게 침해할우려가있는중요한개인정보를 수집하지않아야하며, 필요한경우이용자의 동의를받아야한다. 시스템에의한수집또는개인정보처리를 통해생성한간접수집한개인정보에 대하여적절한보호를취해야한다. 1.2 개인정보는정보주체또는법정대리인의동의를얻은후에수집하여야하고, 이에대한기록을보관하여야한다. 1.2.1 정보주체의동의 1.2.2 개인정보는정보주체의동의를얻은후에 수집하여야한다. 만14세미만의아동의개인정보를수집법정대리인동의획득할경우법정대리인에게필요한사항을및고지고지하여야한다. 1.2.3 동의기록보관 이용자에게서동의를받은기록은보관 하여야한다. 1.3 개인정보취급방침을마련하여이용자가언제든 1.3.1 개인정보취급방침개인정보취급방침을마련하여이용자가언제든지쉽게확인할수있도록적절한 36
영역도메인통제목적통제사항통제내용 2.1 2.2 지쉽게확인할수있도록적절한방법에따라공개하여야한다. 개인정보는이용자에게고지하고동의받은범위를벗어나이용하지않아야하고, 만약동의범위를벗어나이용할경우, 정보주체로부터추가적으로동의를받아야한다. 신청사업자는이용자의불만처리를위한상담창구를운영하고, 이용자의요청을지체없이처리하고기록을남겨야한다. 방법에따라공개하여야한다. 개인정보는이용자에게고지하고동의받은범위를벗어나이용하지않아야하고, 만약 2.1.1 목적내개인정보이용동의범위를벗어나이용할경우, 정보주체로부터추가적으로동의를받아야한다. 개인정보와관련한이용자의의견및 2.2.1 이용자의불만처리불만을접수 처리하기위하여상담창구를운영하여야한다. 이용자가자신의개인정보에대한열람열람정정요구권보장 2.2.2 또는이용및제공내역을요청할경우및처리이에대해지체없이조치하여야한다. 이용자가개인정보수집ㆍ이용ㆍ제공등의 2.2.3 동의철회 동의철회를요청할경우지체없이조치 하여야한다. 2.2.4 이용자요청의처리 이용자의요청을지체없이처리하고기록을남겨야한다 2. 개인정보이용및제공에따른조치 2.3 신청사업자는제3자에게개인정보처리위탁시이용자동의를득하고, 계약서및서비스수준협약에수탁사책임을명시하여수탁사를관리감독하여야한다. 2.3.1 이용자고지및동의 2.3.2 위탁자책임 2.3.3 외부위탁관리감독 제3자에게이용자의개인정보를처리할수있도록업무를위탁하는경우에는관련사항을이용자에게알리고동의를얻어야한다. 개인정보의위탁시위탁사는수탁사가안전하게개인정보를취급하도록관리감독하여야하며, 수탁자가법규정을위반한경우처리절차가있어야한다. 외부위탁업체가계약서및서비스수준협약에명시된사항을충분히이행하는지상시관리감독하고주기적으로점검또는감사하여야한다. 2.4 제3자제공시동의를득하고, 제3자에게제공한개인정보에대한보안관리방안을마련하여야한다. 신청기관의개인정보업무를외부위탁하는경우에는개인정보보호에관한요구사항 2.3.4 위부위탁계약관련사항및관리감독에관한사항을계약서및서비스수준협약서상에명시하여야한다. 이용자의개인정보를제3자에게제공하는 2.4.1 제3자제공시동의경우모든사항에대하여이용자에게알리고동의를얻어야한다. 개인정보를타기관으로부터제공받은경우 제공받은개인정보의제공받은목적외의용도로이용하지 2.4.2 관리않아야하며, 제3자에게제공하지않아야한다. 제3자에게개인정보에대한접근을제공 2.4.3 제3자보안관리하는경우절차에따라통제하여야한다. 제3자제공시계약제3자에게개인정보또는개인정보에대한 2.4.4 관련사항접근을제공하는경우, 제3자가제공하는 37
영역도메인 통제목적 통제사항 통제내용기관의개인정보보호정책준수및법적요건을만족하기위한방안을마련하여야한다. 2.5 양도, 양수, 합병등개인정보이전시적절한조치를취하여야한다. 2.5.1 2.5.2 개인정보를이전하는영업의양도, 합병등으로개인정보를이전경우보호조치하는경우적절한조치를취하여야한다. 개인정보를이전받는영업의양도, 합병등으로개인정보를이전경우보호조치받은경우적절한조치를취하여야한다. 2.6 개인정보를해외로이전하는경우적절한보호조치를취해야한다. 2.6.1 해외이전시보호조개인정보를해외로이전하는경우적절한치보호조치를취해야한다. 수집된개인정보는안전하게저장및관리 3.1.1 개인정보의저장및관리하여야하며정확성을유지하여야한다. 3. 개인정보관리및파기에따른조치 3.1 신청사업자는개인정보파기내부규정을마련하고이에따라개인정보의수집목적이달성된경우개인정보를안전한방법으로지체없이파기하여야한다. 3.1.2 파기규정 3.1.3 파기시점 3.1.4 파기방법 3.1.5 목적달성후보유 개인정보의보유기간및파기관련내부규정이마련되어야한다. 개인정보가저장된매체, 문서등은서비스이용계약해지등개인정보의수집목적이달성된경우이를지체없이파기해야한다. 개인정보는안전한방법으로파기하여야한다. 개인정보의수집목적달성후에도개인정보를관련법령등에의해일부또는전부를보유한다면정보주체에게보유근거, 목적, 보유기간및항목에대해고지하거나약관에명시하고최소한의항목으로제한하여야한다. 38
개인정보보호관리체계 (PIMS) (Personal Information Management System(PIMS)) 발행인 : 방송통신위원회위원장발행처 : 방송통신위원회국립전파연구원 140-848, 서울용산구원효로41길 29 발행일 : 2011.12 국립전파연구원고시제2011-28호