개인정보관리사 핸드북

2. 개인정보의 관리적 보호조치 기준 본문

4. 개인정보의 보호조치

2. 개인정보의 관리적 보호조치 기준

id 2017. 11. 18. 08:58

1. 내부관리계획의 수립ㆍ시행


1.1 내부관리계획 일반사항

- 내부관리계획은 개인정보처리자가 개인정보보호를 위한 사항을 전사적인 차원에서 명시적으로 구체화하는 것이다.

- 내부관리계획은 가능한 정기적으로 개정되어야 한다.

- 내부관리계획은 가능한 최고경영진의 승인을 거쳐 전사에 공표되어야 한다.

- 내부관리계획은 연 1회 이상 개인정보보호책임자에 의해 이행 실태 점검이 이루어져야 한다.

- 기업 입장에서 내부관리 계획은 민사소송 들에 대하여 방어기제로 활용될수 있다.

- 1만명 미만의 정보주체에 관한 개인정보를 보유한 소상공인, 단체, 개인은 내부관리계획을 수립하지 않을 수 있다.


1.2 내부관리계획의 포함 내용

1. 개인정보 보호책임자의 지정에 관한 사항

2. 개인정보 보호책임자 및 개인정보취급자의 역할 및 책임에 관한 사항

3. 개인정보취급자에 대한 교육에 관한 사항

4. 접근 권한의 관리에 관한 사항

5. 개인정보의 암호화 조치에 관한 사항

6. 개인정보의 암호화 조치에 관한 사항

7. 접속기록 보관 및 점검에 관한 사항

8. 악성프로그램 등 방지에 관한 사항

9. 물리적 안전조치에 관한 사항

10. 개인정보 보호조지겡 관한 구성 및 운영에 관한 사항

11. 개인정보 유출사고 대응 계획 수립·시행에 관한 사항

12. 위험도 분석 및 대응방안 마련에 관한 사항

13. 재해 및 재난 대비 개인정보처리시스템의 물리적 안전조치에 관한 사항

14. 개인정보 처리업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항

15. 그 밖에 개인정보 보호를 위해 필요한 사항

- 보유 개인정보 100만명 미만의 중소기업, 또는 10만명 미만의 대기업, 중견기업, 공기업은 12~14 생략 가능


1.3 각 항목별 해설

1.3.1 개인정보 보호책임자의 지정에 관한 사항

- 정보통신망법에선 ①임원 또는 ②개인정보 고충처리 담당부서장을 CPO로 지정하도록 정하고 있다.

- 단, 종업원수가 5명미만인 경우 CPO를 별도로 정하지 않고 대표자가 CPO가 될수 있다.

- 단, 인터넷 정보통신서비스가 주업무인 경우 종업원수가 5명 미만이면서 직전 3개월간 일일 평균 이용자 수가 1천명 이하여야 한다.

- 개인정보보호법에선 ①대표자 또는 ②임원 또는 ③개인정보 고충처리 담당부서장을 CPO로 지정하도록 하고 있다.

- 공공기관인 경우 규모에 따라 3~4급 이상의 공무원, 학교인 경우 행정사무 총괄자 등 CPO의 자격을 정하고 있다.

- 단, 동창회, 동호회 등 친목 도모를 위한 단체는 CPO를 별도로 정하지 않고 대표자가 CPO가 될수 있다.


1.3.2 개인정보보호책임자 및 개인정보취급자의 역할 및 책임에 관한 사항

- 개인정보보호책임자는 개인정보 처리에 관한 업무를 총괄해서 책임진다.

- 개인정보보호책임자는 전사적으로 개인정보 관리실태를 평가하고 통제할수 있어야 한다.
- 법에서 정한 개인정보책임자의 역할은 아래 법률조항 참조

- 개인정보취급자는 고용관계 및 근무의 방식과 무관하게 개인정보를 직접 처리하는 모든 직원이다.

- 임직원 뿐만 아니라 계약직, 파견직, 시간제 근로자 등 예외 없음

- 개인정보취급자는 일방적으로 지시를 받기만 하는 수동적인 역할이 아니라 또 하나의 자발적인 개인정보보호 주체이다.

- 개인정보취급자의 역할과 책임은 아래와 같다.

(1) 개인정보보호 활동 참여

(2) 내부관리계획의 준수 및 이해

(3) 개인정보의 기술적·관리적 보호조치 기준 이행

(4) 개인정보 침해행위 점검


1.3.3 개인정보취급자에 대한 교육

- 조직의 환경, 지식수준, 업무특성에 따라 다양한 방식으로 진행 가능하다. 집체교육, 온라인 교육, 외부 교육 참여 등 

- 교육 내용 또한 기술적 보안조치 내용, 관리적 컴플라이언스 내용 등 대상자에 따라 다양하게 구성 가능하다.

- 정보통신망법 적용 사업자는 규모, 개인정보보유수 등을 고려하여 계획계획을 수립하여 고육하여야 한다.


1.3.4 개인정보 안전성 확보에 필요한 조치에 관한 사항

- 관리적·물리적·기술적 보호조치에 대한 내용이 포함되어 있어야 한다.

- 침해사고, 자연재해 등 비상시에 대한 대응체계를 구축하여야 한다.


1.3.5 개인정보 처리업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항

- 개인정보보호법 26조 및 동법 시행령 28조에 따른 관리 감독 내용이 포함되어야 한다.

- 개인정보 업무 위탁 시 법에서 정한 내용을 포함한 문서에 의해야 한다.

- 개인정보 업무 위탁 시 개인정보 안전성 확보 조치에 관한 관리 감독 계획이 있어야 한다.


1.3.6 그 밖에 개인정보 보호를 위하여 필요한 사항

- 법에서 필수적으로 정한 사항들 외에 개인정보 내부 관리를 위한 내용은 모두 포함 시킬 수 있다.

- 보안서약서 작성, 개인정보처리방침 수립 방안 등



2. 접근권한 관리

- 많은 사고가 잘못된(과다한) 권한 부여에서 기인한 경우가 많다.

- 접근 권한은 역할, 직급 등에 의해 차등 부여되어야 하고, 필요한 시기에만 부여되어야 한다.


2.1 접근 권한의 부여

- 입사 즉시, 개인정보를 주로 처리하는 부서에 배치받은 즉시 권한을 부여 하는 것은 옳지 않다.

- 권한은 부서, 팀별로 관리되기 보다 처리자의 역할에 기반하여 1:1로 관리되어야 한다.

- 권한 부여는 명시적인 문서를 통해 담당 팀장 또는 책임자의 결재를 받고 부여하는 것이 바람직하다.

- 접근 권한은 최소한의 범위로 부여 되어야 한다.


2.2 접근 권한의 변경

- 인사이동이 발생하여 더 이상 개인정보취급이 필요 없어지는 경우, 또는 상이한 개인정보를 취급하게 된 경우 그 즉시 권한을 파기 또는 변경 하여야 한다.

- 개인정보처리시스템의 권한관리는 인사시스템과 연동 되는 것이 바람직하다.

- 인사이동 발생시 모든 권한이 말소되며, 다시 필요한 권한에 대해 신청 하도록 하는 것 또한 바람직하다.


2.3 권한 변경 내역의 기록 및 보관

- 개인정보취급자의 권한 부여·변경·말소 기록은 최소 3년간 보관되어야 한다.

- 정보통신망법을 적용받은 정보통신서비스제공자는 최소 5년을 보관하여야 한다.


2.4 접근 계정 관리

- 계정은 책임 추적성을 보장하기 위해 1인 1계정을 부여 하여야 한다.

- 관리적·기술적 계정공용 방지 대책을 마련하여야 한다.

- SSO, IP주소 구분, SMS인증 등을 통하여 아이디/비밀번호만으로 타인의 권한을 쉽게 사용할 수 없는 환경을 구성하여야 한다.

- 일정 기준 이상의 정보통신서비스제공자[각주:1]는 IP주소 구분, IP접근기록 분석[각주:2] 등이 의무이다.


2.5 비밀번호 관리

- 비밀번호 강도 : 길이, 복잡성, 예측불가성에 의해 결정된다.

- (개보법) 개인정보취급자 또는 정보주체가 안전한 비밀번호를 설정할 수 있도록 작성규칙을 수립하여 운영하여야 한다.

- (망법) 비밀번호는 영문, 숫자, 특수문자 중 2가지를 조합한 경우 10자리 이상이어야 한다.

- (망법) 비밀번호는 영문, 숫자, 특수문자 중 3가지를 조합한 경우 8자리 이상이어야 한다.

- (망법) 비밀번호 사용에 유효기간을 정하여 반기별 1회 이상 변경토록 하여야 한다.

- (개보법) 비밀번호 연속 오류 시 접근을 제한하는 기능 등 필요한 조치를 하여야 한다.

- 위와 같이 개인정보보호법과 정보통신망법에 비밀번호에 관한 규제가 나누어져 있다. 기본적인 내용이므로 개보법만 적용 받는 사업자라도 둘다 적용 하는 것이 바람직하다.

  1. 전년도 말 기준 직전 3개월 간 그 개인정보가 저장·관리되고 있는 이용자 수가 일일평균 100만명 이상이거나 정보통신서비스 부문 전년도 매출액이 100억원 이상인 정보통신서비스 제공자 [본문으로]
  2. 1. 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한 2.개인정보처리시스템에 접속한 IP주소 등을 재분석하여 불법적인 개인정보 유출 시도를 탐지 [본문으로]
저작자표시 비영리 변경금지

'4. 개인정보의 보호조치' 카테고리의 다른 글

3. 개인정보의 기술적 보호조치 기준  (0) 2017.11.26
1. 개요 및 용어정의  (0) 2017.11.18
'4. 개인정보의 보호조치' Related Articles more