8

개인정보보호 실태점검 및 수준진단

(작성 기준일 2022. 3.)

근거

‣ 「개인정보 보호법」 제29조(안전조치의무)

‣ 「개인정보 보호법 시행령」 제30조(개인정보의 안전성 확보 조치)

‣ 「개인정보의 안전성 확보조치 기준」 제4조(내부 관리계획의 수립·시행)

‣ 「교육부 개인정보 보호지침」 제31조(개인정보의 안전성 확보 조치)

‣ 「교육부 개인정보 보호지침」 제35조(내부 관리계획의 수립·시행)

세부

추진내용

□ 준수사항

① 연1회 이상 내부 관리계획에 따른 접근권한 관리, 접속기록 보관 및 점검, 암호화 조치 등 기술적·관리적 및 물리적 안전조치의 이행 여부를 점검·관리

② 개인정보 내부 관리계획 이행실태 자체점검 결과 내부결재(개인정보 보호책임자)

※ 교육청 업무 추진 시(교육청 공문 시행)

벌칙규정

위반행위	벌칙
안전성 확보조치 의무 위반 (법 제29조 위반)	3천만원 이하 과태료 (법 제75조제2항제6호)

관련자료

1. 개인정보 내부 관리계획 이행실태 자체점검 결과 기안문 예시

2. 개인정보 내부 관리계획 이행실태 점검표

1
		개인정보 내부 관리계획 이행실태 자체점검 결과 기안문 예시

청렴합니다. 우리는 부산교육人입니다.
		○○○학교
수신	내부결재
(경유)
제목	개인정보 내부 관리계획 이행실태 자체점검 결과 보고

1. 근거

가. 개인정보 보호법 제29조(안전조치의무) 및 같은 법 시행령 제30조(개인정보의 안전성 확보조치)

나. 개인정보의 안전성 확보조치 기준 제4조(내부 관리계획의 수립·시행)

다. ○○학교-   (20 .  .  .)“개인정보 보호 내부 관리계획(안) 수립”

2. 개인정보의 안전한 관리를 위하여 개인정보 내부 관리계획 이행실태 자체점검 결과를 붙임과 같이 보고합니다.

붙임  개인정보 내부 관리계획 이행실태 점검표 1부. 끝.

★																											교장
협조자
시행			○○학교-0000										(	0000. 00. 00.			)		접수											(			)
우	00000					부산광역시 ○○○																		/	http://www.
전화		051-0000							/전송		051-000-0000					/		○○○@○○○										/	비공개(5)

2
		개인정보 내부 관리계획 이행실태 점검표

개인정보 내부 관리계획 이행실태 점검표

학교명: ○○○○○

점검지표	점검항목		점검 결과
1. 개인정보 내부관리 계획 수립 여부	1-1. 개인정보 내부 관리계획 수립 여부		문서 번호
	근거	「개인정보 보호법」 제29조, 같은 법 시행령 제30조, 교육부 개인정보 보호지침 제35조
	내용	❍ 내부 관리계획의 수립·시행 하여야 하며, 반드시 개인정보 보호책임자(교장)의 결재를 받아야 함 ❍ 내부 관리계획 수립 후 내부게시판, 공람, 교육 등을 통하여 전직원에게 전파하여야 함 ❍ 내부 관리계획은 중장기 계획으로 매년 수립할 필요는 없음
2. 개인정보 보호책임자 지정 및 역할 수행	2-1. 개인정보 보호책임자 지정 여부		○/X
	근거	「개인정보 보호법」 제31조, 같은 법 시행령 제32조, 교육부 개인정보 보호지침 제21조
	내용	내부 관리계획 및 개인정보 처리방침에 개인정보 보호책임자(교장)의 지정 여부
	2-2. 개인정보 보호책임자 역할 수행 여부		○/X
	근거	「개인정보 보호법」 제31조, 같은 법 시행령 제32조, 교육부 개인정보 보호지침 제22조
	내용	내부 관리계획에 지정된 역할을 적절하게 수행하고 있는지 여부
3. 개인정보 교육 실시	3-1. 개인정보 보호 교육계획 수립 여부		○/X
	근거	「개인정보 보호법」 제31조, 교육부 개인정보 보호지침 제32조
	내용	❍ 교육목적 및 대상, 교육내용, 교육일정 및 방법을 포함한 교육계획 수립 여부
	3-2. 개인정보 보호담당자 교육 실적		횟수 /교육명
	근거	교육부 개인정보 보호지침 제32조
	내용	❍ 연 1회 이상의 감독기관(시교육청 및 교육지원청)의 교육 이수 ❍ 교육부 및 행정안전부 워크숍, 컨퍼런스, 교육 및 사이버교육 등
	3-3. 개인정보 취급자 교육 실시		일시/ 대상 및 참석인원
	근거	「개인정보 보호법」 제28조, 교육부 개인정보 보호지침 제32조
	내용	❍ 개인정보취급자(전 직원, 신규자, 전입자)을 대상으로 개인정보 보호 교육 실시 ❍ 교육 실시 결과보고는 문서화하여 보관(교육 실시 사항 및 교육내용, 참석자 명단 포함)
4. 접근권한 관리	4-1. 개인정보처리시스템 권한 부여 및 관리 적정 여부		○/X
	근거	「개인정보 보호법」 제29조, 같은 법 시행령 제30조, 개인정보의 안전성 확보조치 기준(개인정보보호위원회고시) 제5조
	내용	❍ 대상: 교육정보시스템(나이스, K-에듀파인, 업무관리) 및 홈페이지 관리자페이지 등 ❍ 개인정보처리시스템에 접근 권한을 최소한의 범위로 부여했는지 여부 점검 ❍ 전보, 퇴직 등 인사이동 시 권한 변경 및 말소 여부 ❍ 사용자(개인정보취급자)별 접속 계정 발급 및 공유금지의 이행 여부
5. 접근통제	5-1. 업무용PC, 모바일 기기 등에 접근통제 여부		○/X
	근거	「개인정보 보호법」 제29조, 같은 법 시행령 제30조, 개인정보의 안전성 확보조치 기준(개인정보보호위원회고시) 제6조
	내용	❍ 업무용PC 대상으로 내PC지키미를 통하여 공유설정 등을 점검 ❍ 일정시간 이상 업무처리 하지 않을 경우 자동으로 시스템 접속 차단[업무용PC 화면보호기 비밀번호 설정(10분 이상)] 여부
	5-2. 홈페이지 관리자페이지 등에 대한 접근통제 여부		○/X
	근거	「개인정보 보호법」 제29조, 같은 법 시행령 제30조, 개인정보의 안전성 확보조치 기준(개인정보보호위원회고시) 제6조
	내용	❍ 홈페이지 관리자페이지에 대한 접근을 IP주소 등으로 제한 ❍ 홈페이지 로그인(관리자페이지 로그인 포함) 후 일정시간 이상 업무를 처리하지 않을 경우 자동 접속차단(로그아웃 등) 등의 조치 ※ 학교 홈페이지의 경우는 웹호스팅 서비스에서 자동 접속차단 조치 완료
6. 암호화	6-1. 업무용PC에 고유식별정보(주민등록번호 등) 저장 시 암호화 실시 여부		○/X
	근거	「개인정보 보호법」 제29조 및 제24조의2, 같은 법 시행령 제30조, 개인정보의 안전성 확보조치 기준(개인정보보호위원회고시) 제7조
	내용	❍ 개인정보가 있는 문서파일 중 불필요한 파일은 즉시 삭제, 필요한 파일은 암호화 하여 저장(주민등록번호가 포함된 문서파일은 반드시 암호화) ❍ 방법: 암호화 프로그램(Privacy-i), 한글 또는 MS오피스 문서암호기능 등을 활용
	6-2. 홈페이지 등 개인정보처리시스템에 대한 암호화 조치 여부		○/X
	근거	「개인정보 보호법」 제29조, 같은 법 시행령 제30조, 개인정보의 안전성 확보조치 기준(개인정보보호위원회고시) 제7조
	내용	❍ 고유식별정보, 비밀번호, 바이오정보를 송수신하는 구간에 SSL적용 확인 ❍ 비밀번호를 저장하는 경우 일방향 암호화 되어 저장되어 있는지 확인 ※ 학교 홈페이지의 경우는 웹호스팅 서비스에서 비밀번호 일방향 암호화 조치 완료
7. 접속기록 보관 및 점검	7-1. 홈페이지 등 개인정보처리시스템에 접속한 기록의 보관·관리 여부		○/X
	근거	「개인정보 보호법」 제29조, 같은 법 시행령 제30조, 개인정보의 안전성 확보조치 기준(개인정보보호위원회고시) 제8조
	내용	❍ 개인정보취급자가 개인정보처리시스템에 접속하여 처리한 업무내역을 알 수 있도록 접속기록을 1년이상 기록·보관 - 접속기록: 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등을 전자적으로 기록 한 것 ※ 학교 홈페이지의 경우는 웹호스팅 서비스에서 접속기록 저장 조치 완료
	7-2. 홈페이지 등 개인정보처리시스템의 접속기록 점검		○/X
	근거	「개인정보 보호법」 제29조, 같은 법 시행령 제30조, 개인정보의 안전성 확보조치 기준(개인정보보호위원회고시) 제8조
	내용	❍ 비인가된 개인정보의 처리, 대량의 개인정보의 조회·정정·다운로드‧삭제 등의 비정상 행위 여부를 월 1회 이상 점검 ❍ ‘개인정보처리시스템 접속기록 점검대장’ 활용 ※ 학교 홈페이지의 접속기록 메뉴: 관리자페이지>시스템관리>이력관리> 회원정보 이력
8. 악성 프로그램 방지	8-1. 업무용PC에 백신 소프트웨어 등의 보안프로그램 설치·운영 여부		○/X
	근거	「개인정보 보호법」 제29조, 같은 법 시행령 제30조, 개인정보의 안전성 확보조치 기준(개인정보보호위원회고시) 제9조
	내용	❍ 업무용PC에 백신 소프트웨어가 설치되어 있고 자동 업데이트 또는 일 1회 이상 업데이트 될 수 있도록 설정되어 있는지 확인 ※ 설정확인: V3 → 환경설정 → 기타설정 → 사용환경 → 업데이트 설정 탭
9. 물리적 안전조치	9-1. 개인정보 보관 장소의 물리적 통제 절차 수립 여부		○/X
	근거	「개인정보 보호법」 제29조, 같은 법 시행령 제30조, 개인정보의 안전성 확보조치 기준(개인정보보호위원회고시) 제11조
	내용	❍ 전산실, 평가실 등에 대한 통제(제한)구역설정, 출입명부관리, 잠금장치 설정 등 ❍ 개인정보 포함 서류, 휴대용 저장매체는 잠금장치가 있는 안전한 장소에 보관
10. 개인정보 파기	10-1. 처리목적 달성, 보유기간 경과 된 개인정보 파기 여부		○/X
	근거	「개인정보 보호법」 제21조, 같은 법 시행령 제16조, 교육부 개인정보 보호지침 제10조, 개인정보의 안전성 확보조치 기준(개인정보보호위원회고시) 제13조
	내용	❍ 처리목적 달성, 보유기간이 경과 된 개인정보에 대한 파기 ❍ 개인정보 파기에 관한 사항은 기록‧관리하여야 함 ※ 개인정보 파기 관리대장, 내부결재 등을 통해 개인정보 보호책임자에게 보고
	10-2. 회원제 홈페이지의 회원정보 정비 및 재동의 수행 여부		○/X
	근거	교육부 개인정보 보호지침 제61조
	내용	❍ 보유기간이 경과된 회원정보 정비(파기) 및 재동의(2년 주기) 수행 ❍ 회원정보 파기 및 재동의에 관한 사항은 개인정보 파일 관리대장, 내부결재 등을 통해 개인정보 보호책임자에게 보고
11. 수탁자 관리‧감독	11-1. 개인정보 처리업무 위탁 시 법 의무사항의 문서화 여부		○/X
	근거	「개인정보 보호법」 제26조, 같은 법 시행령 제28조, 교육부 개인정보 보호지침 제19조
	내용	❍ 개인정보 처리업무 위탁은 반드시 법 의무사항이 명시된 문서에 의하여야 함 ❍ 위탁하는 업무의 내용과 수탁자 정보를 공개(개인정보 처리방침에 공개)
	11-2. 수탁자 교육 및 관리·감독을 수행 여부		○/X
	근거	「개인정보 보호법」 제26조, 같은 법 시행령 제28조, 교육부 개인정보 보호지침 제19조
	내용	❍ 수탁자를 대상으로 연1회 이상 개인정보 보호 교육 실시 ❍ 수탁자의 개인정보 처리 현황 및 실태, 개인정보의 안전성 확보조치 여부 등을 연1회 이상 실태 점검 실시
12. 개인정보 유·노출 예방 활동	12-1. 개인정보 침해(유출) 사고 대응 절차서 수립 및 전파 여부		○/X
	근거	「개인정보 보호법」 제34조, 같은 법 시행령 제28조
	내용	❍ 내부 관리계획에 개인정보 침해(유출) 대응 절차 포함 ❍ 개인정보 침해(유출) 대응 절차 전파
	12-2. 불필요한 게시글 일제정비 결과		○/X
	근거	엑셀 특정버전(97-2003) 작성 시 육안으로 확인되지 않는 데이터가 파일 내부에 저장 가능한 외부링크 연결 취약점으로 인한 개인정보 유‧노출 사고 가능성 예방 ※ 최근 3년 이전 게시글에 탑재된 액셀파일에서 발견되는 경우가 많음.
	내용	운영 중 게시판의 자율적 판단에 의한 오래된 게시글, 불필요한 게시글 등 게시글 일제 정비