탐라교육원 개인정보보호 내부관리 시행계획 2015. 10. 변화선도 탐 라 교 육 원 Tamna Education Training Institute
탐라교육원 개인정보보호 내부관리 시행계획 Ⅰ. 개인정보 보호책임자 등의 의무와 책임 1. 개인정보 보호책임자 등 지정 가. 탐라교육원의 개인정보의 업무를 총괄해서 책임질 개인정보 보호책임자는 총무부장 으로 지정한다. 나. 각 부서의 장은 개인정보 분야별책임자(이하 분야별책임자 라 함)로 해당 업무를 담 당한다. 2. 개인정보 보호책임자 등의 의무와 책임 가. 개인정보 보호책임자는 정보추체의 개인정보를 보호하고 개인정보와 관련된 정보주 체의 불만을 처리하기 위하여 아래의 업무를 수행한다. 1) 개인정보보호 계획의 수립 및 시행 2) 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선 3) 개인정보 처리와 관련한 불만의 처리 및 피해 구제 4) 개인정보 유출 및 오 남용 방지를 위한 내부통제시스템의 구축 5) 개인정보보호 교육 계획의 수립 및 시행 6) 개인정보파일의 보호 및 관리 감독 7) 개인정보 처리방침의 수립, 변경 및 시행 8) 개인정보 보호 관련 자료의 관리 9) 처리목적이 달성되거나 보유기간이 경과한 개인정보의 파기 나. 개인정보 보호책임자는 개인정보취급자를 최소한으로 제한하여 지정하고 수시로 관리, 감독하며, 직원에 대한 교육 및 보안서약 등을 통해 개인정보 침해사고를 사전에 예방한다. 다. 개인정보 보호책임자는 개인정보 보호와 관련하여 개인정보 보호법 및 다른 관계 법령의 위반 사실을 알게 된 경우 즉시 개선조치를 하고, 필요한 경우 기관장에게 개선조치를 보고한다. 라. 개인정보 보호책임자는 개인정보 관련 업무의 효율적인 운영을 위하여 개인정 보분야별 책임자, 개인정보 보호담당자를 지정한다. - 2 -
바. 개인정보 분야별 책임자는 해당 부서에서 아래의 업무를 수행한다. 1) 개인정보취급자 지정 및 관리 감독 2) 개인정보취급자 인사발령, 퇴직시 접근권한 변경 및 말소처리 3) 개인정보 제반보호 및 사고예방 조치 이행 4) 개인정보취급자에 대한 교육실시 및 현황 점검 5) 개인정보처리 업무위탁에 대한 관리 감독 6) 외부기관 및 개인정보보호 책임자의 개선권고 시 조치 의무 사. 개인정보 보호담당자는 아래의 업무를 수행한다. 1) 개인정보보호 책임자 업무 보좌 2) 개인정보보호 계획 및 방침운영 3) 개인정보 처리 실태관리 및 각종 자료취합 4) 개인정보 교육업무 5) 개인정보 침해대응 6) 개인정보보호법 관련 업무 7) 기타 개인정보보호를 위해 필요한 사항 처리 등 3. 개인정보취급자의 범위 및 의무와 책임 가. 개인정보취급자의 범위는 탐라교육원에서 정보주체의 개인정보 수집, 보관, 처 리, 이용, 제공, 관리 또는 파기 등의 업무를 수행하는 자 즉, 개인정보처리 PC (출력장치 포함)관리자, 업무상 필요에 의해 개인정보의 업무처리자, 웹사이트 게재 담당자, 개인정보처리시스템사용자 등을 말하고, 정규직 이외에 임시직, 계약직 직원을 포함한다. 나. 개인정보취급자는 정보주체의 개인정보보호와 관련하여 아래와 같은 역할 및 책임을 이행한다. 1) 개인정보 보호 활동 참여 2) 내부관리계획의 준수 및 이행 3) 개인정보의 기술적, 관리적 보호조치 기준 이행 4) 직원 또는 제3자에 의한 위법, 부당한 개인정보 침해행위에 대한 점검 등 5) 기타 정보주체의 개인정보 보호를 위해 필요한 사항의 이행 - 1 -
Ⅱ. 개인정보의 처리 단계별 기술적 관리적 안전조치 1. 개인정보취급자 접근권한 관리 및 인증 가. 개인정보보호 (분야별)책임자는 개인정보처리시스템에 대한 접근 권한을 서비 스 제공에 필요한 최소한의 인원에게만 부여한다. 나. 개인정보보호 (분야별)책임자는 개인정보처리시스템에 대한 접근 권한을 업무 수행에 필요한 최소한의 범위로 업무 담당자에게 따라 차등 부여한다. 다. 개인정보보호 (분야별)책임자는 전보 또는 퇴직 등 인사이동으로 개인정보취급 가 변경되었을 경우 지체 없이 개인정보처리시스템의 접근권한을 변경 또는 말 소한다. 라. 개인정보보호 (분야별)책임자는 개인정보취급자가 정보통신망을 통하여 외부에 서 개인정보처리시스템에 접속하여야 하는 경우 공인인증서 등 안전한 인증 수단을 적용한다. 마. 개인정보보호 (분야별)책임자는 제2항 및 제3항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관한다. 바. 개인정보보호 (분야별)책임자는 개인정보처리시스템에 접속할 수 있는 사용자 계정을 발급하는 경우, 개인정보취급자 별로 한 개의 사용자 계정을 발급하고, 다른 개인정보취급자와 사용자 계정을 공유하지 않도록 한다. 사. 개인정보 보호책임자는 개인정보취급자 또는 정보주체가 안전한 비밀전호를 설정하여 사용 할 수 있도록 다음 각 호의 비밀번호 작성규칙을 수립한다. 1) 최소 9자리 이상 : 영대문자(A-Z, 26개), 영소문자(a-z, 26개),숫자(0~9,10개) 및 특수문자(32개) 중 3종류 이상으로 구성 아. 개인정보보호 (분야별)책임자는 개인정보처리시스템 구축 시 비밀번호 작성규 칙을 적용하여 시스템을 구축하고, 개인정보취급자 또는 정보주체는 비밀번호 작성 규칙을 준수하여야 한다. 2. 접근통제 가. 개인정보 보호책임자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 다음 각 호의 기능을 포함한 시스템을 설치 및 운영한다. - 2 -
1) 개인정보처리시스템에 대한 접속 권한을 IP 주소 등으로 제한하여 인가받지 않은 접근을 제한 2) 개인정보처리시스템에 접속한 IP 주소 등을 재분석하여 불법적인 개인정보 유출 시도를 탐지 나. 개인정보 보호(분야별) 책임자는 관리하고 있는 개인정보가 인터넷 홈페이 지, P2P, 공유설정 등을 통해 열람권한이 없는 자에게 공개되지 않도록 개인정보처리시스템 및 개인정보 취급자의 컴퓨터에 해당 기능을 포함한 보안시스템 등을 도입하여 보안 조치를 취하도록 한다. 다. 개인정보 취급자는 개인정보 노출을 방지하기 위하여 업무용 컴퓨터에 P2P, 웹 하드, 업무에 불필요한 프로그램 등을 설치하거나 사용해서는 안 된다. 라. 개인정보 취급자는 업무용 컴퓨터에 공유폴더를 원칙적으로 사용하면 안되나 반드시 사용해야 할 경우 드라이브 전체 또는 불필요한 폴더가 공유되지 않도 록 조치하고, 사용이 끝난 즉시 공유폴더를 해제하도록 한다. 또한 사용자 공 유폴더에 개인정보 파일이 포함되지 않도록 정기적으로 점검한다. 3. 개인정보의 암호화 가. 고유식별정보, 비밀번호 및 바이오정보는 암호화 대상 개인정보로서 개인정보 보호 분야별책임자는 다음 각 호에 해당하는 경우 해당 개인정보를 안전한 암호화 알고리즘으로 암호화하여 저장 또는 전송한다. 1) 고유식별정보, 비밀번호 및 바이오정보를 정보통신망을 통하여 송 수신하거나 보조저장매체 등을 통하여 전달하는 경우 2) 비밀번호 및 바이오정보를 저장하는 경우(단, 비밀번호를 저장하는 경우에는 복호화되지 아니하도록 일방향 암호화로 저장) 3) 인터넷 구간 및 인터넷 구간과 내부망의 중간 지점(DMZ : DeMilitarized Zone)에 고유식별정보를 저장하는 경우 나. 개인정보보호 분야별책임자는 업무용 컴퓨터에 고유식별정보를 저장하여 관리하는 경우 상용암호화 소프트웨어 또는 안전한 암호화 알고리즘을 사용하여 암호화한 후 저장한다. 4. 접속기록의 위변조 방지 가. 개인정보보호 분야별책임자는 개인정보의 안전한 관리를 위하여 개인정보취급 자가 개인정보처리시스템에 접속하여 수행한 업무 내역에 대한 접속기록(ID, 날짜 - 3 -
및 시간, 접속자 IP주소, 수행업무 등)을 저장한다. 나. 개인정보보호 분야별책임자는 개인정보취급자의 접속기록이 위 변조 및 도난, 분실 되지 않도록 개인정보처리시스템 이외의 별도의 보조저장매체에 정기적으로 백업하 여 보관하며, 보관기간은 최소 6개월 이상으로 한다. 5. 보안프로그램의 설치 및 운영 가. 개인정보 보호책임자는 악성 프로그램 등을 통해 개인정보가 위 변조, 유출되지 않도록 이를 방지하고 치료할 수 있는 백신 소프트웨어 등 보안 프로그램을 설 치 운영한다. 나. 개인정보 취급자는 백신 소프트웨어 등의 보안 프로그램이 항상 최신 버전을 유지할 수 있도록 자동 업데이트 기능을 사용하고, 악성 프로그램 및 바이러스 등을 즉시 치료할 수 있도록 실시간 감시 기능 등을 사용한다. 다. 개인정보 취급자는 악성 프로그램관련 경보가 발령되거나 사용 중인 응용 프로그램 또는 운영체제의 보안 업데이트가 공지된 경우 즉시 이에 따른 보안 업데이트 를 실시한다. 6. 물리적 접근제한 가. 개인정보 보호책임자는 개인정보처리시스템 및 각종 정보시스템을 안정적으로 운영 관리하기 위하여 전산 서버실을 운영한다. 나. 개인정보 보호책임자는 운영 중인 전산 서버실에 비인가자의 접근으로 인한 개인정보의 절도, 파괴 등의 물리적 위협으로부터 정보자산을 보호하기 위하여 다음과 같은 출입통제 절차를 수립한다. 1) 물리적 접근통제 장치의 설치 운영 2) 전산서버실 출입내역을 기록하기 위한 통제구역출입자명부 비치 및 작성 다. 개인정보보호 분야별책임자는 개인정보가 포함된 서류, 보조저장매체 등을 보 관하려고 할 때에는 금고 또는 잠금장치가 있는 캐비닛 등에 안전하게 보관 하여야 한다. - 4 -
Ⅲ. 개인정보보호 교육계획 1. 개인정보보호 교육 가. 교육목적 개인정보보호 인식제고 정보주체의 권익 증진 및 개인정보 보호법 준수 나. 교육대상 및 교육방법 1) 교육대상 : 전 직원 2) 교육일자 : 매년 상 하반기 각 1회 이상(총 2회 이상 실시) 3) 교육방법 - 직장교육 - 전 직원 회의 등을 통한 개인정보보호 관련 취약분야 교육(수시) - 사이버교육, 홍보용 CD 등 다양한 방법을 활용하며, 필요한 경우 전문기관 이나 전문요원에 위탁하여 교육을 실시한다. 다. 개인정보 보호책임자는 개인정보보호 교육을 실시한 이후에 교육의 성과와 개선 필요성을 검토하여 차년도 교육계획에 반영하여야 한다 Ⅳ. 개인정보 침해대응 및 피해구제 1. 개인정보취급자는 개인정보 침해 사고가 발생하였거나 발생할 가능성이 있는 경우에는 침해된 개인 정보의 항목, 침해된 시점과 그 경위 등을 지체 없이 분야별 책임자 및 개인정보 보호책임자에게 보고하여야 한다. 2. 개인정보 보호책임자는 개인정보가 침해되었다고 판단할만한 상당한 근거가 있고, 이 를 방치할 경우 회복하기 어려운 침해가 발생될 우려가 있다고 인정되면 소관법률 에 따라 분야별 책임자 또는 개인정보취급자에 대하여 다음 각 호에 해당하는 조치 를 명할 수 있다. 가. 개인정보 침해행위의 중지 나. 개인정보 처리의 일시적인 정지 다. 그 밖에 개인정보의 보호 및 침해방지를 위하여 필요한 조치 3. 개인정보주체는 개인정보침해로 인한 피해를 구제 받기 위하여 개인정보 분쟁조정 - 5 -
위원회, 한국인터넷진흥원 개인정보 침해신고센터 등에 분쟁해결이나 상담 등을 신 청할 수 있다. - 개인정보 침해신고센터 : (국번없이) 118 - 개인정보 분쟁조정위원회 : (국번없이) 118 - 대검찰청 사이버범죄수사단 : 02-3480-3573(www.spo.go.kr) - 경찰청 사이버안전국 : 1566-0112(www.netan.go.kr) 또한, 개인정보의 열람, 정정 삭제, 처리정지 등에 대한 정보주체자의 요구에 대하여 공 공기관의 장이 행한 처분 또는 부작위로 인하여 권리 또는 이익을 침해 받은 자는 행정 심판법이 정하는 바에 따라 행정심판을 청구할 수 있다. 중앙행정심판위원회 홈페이지(www.simpan.go.kr) 참조 부칙 이 내부관리계획은 2015. 11. 2.부터 시행한다. - 6 -
[별지] 비밀번호 작성 원칙 비밀번호는 침입자, 비인가자가 추측하기 어려운 문자와 숫자를 포 함하도록 하거나, 전에 사용된 비밀번호를 다시 사용하지 않는 등 의 다음과 같은 설정 원칙을 적용한다. 1. 비밀번호 최소길이: 비밀번호는 구성하는 문자의 종류에 따라 최소 10 자리 또는 9자리 이상의 길이로 구성 - 영대문자(A~Z, 26개), 영소문자(a~z, 26개), 숫자(0~9, 10개) 및 특수 문자(32개) 중 2종류 이상으로 구성 2. 추측하기 어려운 비밀번호 생성 가. 생성한 비밀번호에 123456789 등과 같은 일련번호, 전화번호 등과 같은 쉬운 문자열이 포함되지 않도록 한다. 나. love, happy 등과 같은 잘 알려진 단어 또는 키보드 상에서 나 란히 있는 문자열도 포함되지 않도록 한다. 3. 비밀번호의 주기적인 변경: 비밀번호에 유효기간을 설정하고 적어도 3 개월마다 변경함으로써 동일한 비밀번호를 장기간 사용하지 않는다. 4. 동일한 비밀번호 사용 제한: 2개의 비밀번호를 교대로 사용하지 않는다. - 7 -