9

개인정보의 안전성 확보 조치

(작성 기준일 2023. 2.)

근거

‣ 「개인정보 보호법」 제29조(안전조치의무)

‣ 「개인정보 보호법 시행령」 제30조(개인정보의 안전성 확보 조치)

‣ 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회고시)

‣ 「교육부 개인정보 보호지침」 제31조(개인정보의 안전성 확보 조치)

‣ 「교육부 개인정보 보호지침」 제36조(개인정보취급자에 대한 감독)

세부

추진내용

□ 개인정보 안전성 확보 조치

항목

준수사항

접근권한의 관리

□ 업무수행에 필요한 최소한의 범위로 차등 부여

□ 접근권한 부여기록은 최소 3년간 보관

□ 비밀번호 작성규칙 수립 및 적용

접근통제

□ 방화벽 등 접근통제시스템 설치ㆍ운영

□ 개인정보 유출 시도 탐지 및 대응

□ 고유식별정보가 유출ㆍ변조ㆍ훼손되지 않도록 연 1회 이상 취약점 점검

□ 업무용 PC를 이용한 개인정보 처리 시, 접근통제시스템 설치 의무 면제

개인정보의 암호화

구분	대상			방법
정보통신망, 보조저장매체를 통한 송신 시	비밀번호, 생체인식정보, 고유식별정보			암호화 송신
개인정보처리시스템에 저장 시	비밀번호			일방향 암호화 저장
	생체인식정보			암호화 저장
	고유 식별 정보	주민등록번호		암호화 저장
		여권번호, 외국인등록번호, 운전면허번호	인터넷, DMZ 구간	암호화 저장
			내부망	영향평가, 위험도 분석 결과에 따른 암호화
업무용 컴퓨터, 모바일 기기에 저장 시	비밀번호, 생체인식정보, 고유식별정보			암호화 저장

접속기록의 보관

및 점검

□ 개인정보취급자가 개인정보처리시스템을 접속한 기록을 1년 이상 보관‧관리

- 접속기록: 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무

□ 접속기록 월1회 이상 정기적 점검

악성프로그램 등 방지

□ 백신 등 보안프로그램 설치 및 최신상태 유지(일 1회 이상 업데이트)

□ 발견된 악성프로그램 등에 대해 삭제 등 대응 조치

관리용 단말기의 안전조치

□ 임의 조작 못하도록 조치 및 본래 목적 외로 사용되지 못하도록 보안 조치

물리적 안전조치

□ 물리적 보관장소에 대한 출입통제

□ 서류 또는 보조저장매체 등의 안전한 보관

□ 보조저장매체의 반출‧입 통제(보조기억매체관리시스템 활용)

□ 개인정보처리시스템 접근 권한 관리

① 개인정보처리시스템에 대한 접근 권한을 업무 수행에 필요한 최소한의 범위로 업무 담당자에 따라 차등 부여

‣ 계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근 제한

‣ 유추가능한 ID/PW 일괄 부여 지양(특히 비밀번호는 사용자 계정, 개인 신상정보 및 부서명칭 등 사용 금지)

② 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었을 경우 지체없이 개인정보처리시스템의 접근 권한을 변경 또는 말소

‣ 개인정보처리자는 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관

‣ 접근 권한의 부여, 변경, 말소에 대한 내역을 전자적으로 기록하거나 수기로 작성(관리대장 등)

□ 개인정보처리시스템 접속기록의 보관 및 점검

① 개인정보처리시스템의 접속기록이란 개인정보취급자 등의 개인정보처리시스템에 접속한 사실과 접속하여 수행한 업무내역을 확인하는데 필요한 정보를 말함

② 개인정보취급자가 개인정보처리시스템에 접속한 기록은 1년 이상 보관·관리

‣ 단, 5만명 이상의 개인정보를 처리하거나 고유식별정보 또는 민감정보를 처리하는 경우 최소 2년 이상 보관·관리하여야 함

③ 개인정보처리시스템의 접속기록을 월 1회 이상 점검

‣ 특히, 접속기록 점검결과 개인정보를 다운로드 한 경우가 발견되었을 시 내부 관리계획으로 정하는 바에 따라 그 사유를 반드시 확인하여야 함

벌칙규정

위반행위	벌칙
안전성 확보 조치를 취하지 아니하여 개인정보를 도난·유출·변조 또는 훼손당하거나 분실한 자(법 제29조 위반)	2년 이하의 징역 또는 2천만원 이하의 벌금 (법 제73조제1호)
안전성 확보조치 의무 위반 (법 제29조 위반)	3천만원 이하 과태료 (법 제75조제2항제6호)

관련자료

1. 개인정보처리시스템 접근권한 관리대장 예시

2. 개인정보처리시스템 접속기록 점검대장 예시

3. 개인정보취급자 보안서약서 예시

1
		개인정보처리시스템 접근권한 관리대장 예시

개인정보처리시스템 접근권한 관리대장

□ 개인정보처리시스템명: ○○학교 홈페이지

연번	부서명	성명	ID	접근권한	권한부여사유	등록일	처리자	권한 변경 내역
								변경일	변경내역	사유
1	OOO부	홍길동	abc123	열람, 입력, 수정, 삭제	2020.1.1.자 인사발령	2020.1.2.	○○○	2021.1.1.	‘삭제’ 권한 삭제	업무분장 변동
2	OOO부	이순신	zxy987	열람, 입력, 수정, 다운로드	2020.1.1.자 인사발령	2020.1.2	○○○	2021.1.1.	접근권한 및 사용자계정 말소	인사발령
3	OOO부	정약용	zxy987	열람, 입력, 수정, 삭제, 다운로드	2021.1.1.자인사발령	2021.1.2.	○○○

2
		개인정보처리시스템 접속기록 점검대장 예시

개인정보처리시스템 접속기록 점검대장

□ 개인정보처리시스템명: ○○학교 홈페이지

연번	점검일	점검 결과				결 재
		비정상적 행위 유무	개인정보 다운로드 시 사유확인 필요 사항			담당자	담당	분야별 책임자
			다량의 다운로드	반복적 다운로드	업무시간 외 다운로드
예시	20○○.○.○	유 /	유 /	유 /	유 /	○○○	○○○	○○○
			(사유) 홈페이지에 다운로드 기능 자체가 없음
예시	20○○.○.○	유 /	유 /	유 /	유 /	○○○	○○○	○○○
			(사유) 홈페이지에 다운로드 기능 자체가 없음
		유 / 무	유 / 무	유 / 무	유 / 무
			(사유)
		유 / 무	유 / 무	유 / 무	유 / 무
			(사유)
		유 / 무	유 / 무	유 / 무	유 / 무
			(사유)
		유 / 무	유 / 무	유 / 무	유 / 무
			(사유)
		유 / 무	유 / 무	유 / 무	유 / 무
			(사유)

※ 접속기록 점검은 월 1회 이상 수행

◇ 접속기록 내 비정상 행위 예시

․ 계정: 접근권한이 부여되지 않은 계정으로 접속한 행위 등

․ 접속일시: 출근시간 전, 퇴근시간 후, 새벽시간, 휴무일 등 업무시간 외에 접속한 행위 등

․ 접속지 정보: 인가되지 않은 단말기 또는 지역(IP)에서 접속한 행위 등

․ 정보주체 정보: 특정 정보주체에 대하여 과도하게 조회, 다운로드 등의 행위 등

․ 수행업무: 대량의 개인정보에 대한 조회, 정정, 다운로드, 삭제 등의 행위 등

․ 그 밖에 짧은 시간에 하나의 계정으로 여러 지역(IP)에서 접속한 행위 등

◇ 개인정보 다운로드 시 사유확인이 필요한 기준

․ (다량의 다운로드) 일평균 개인정보 처리 건수 보다 5배 이상의 정보주체에 대한 개인정보를 다운로드 한 경우 사유 확인

․ (반복적 다운로드) 개인정보취급자가 1시간 내 다운로드한 횟수가 20건 이상일 경우 단시간에 수차례에 걸쳐 개인정보를 다운로드 한 행위에 대한 사유 확인

․ (업무시간 외 다운로드) 새벽시간, 휴무일 등 업무시간 외 개인정보를 다운로드 한 경우 사유 확인

3
		개인정보취급자 보안서약서 예시

개인정보취급자 보안서약서

본인은 개인정보 처리와 관련한 업무를 수행함에 있어 다음 사항을 준수할 것을 엄숙히 서약합니다.

1. 본인은 개인정보의 처리 목적을 명확하게 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하겠습니다.

2. 본인은 개인정보의 처리 목적에 필요한 범위에서 적합하게 개인정보를 처리 하며, 그 목적 외의 용도로 활용하지 않겠습니다.

3. 본인은 개인정보의 처리 목적에 필요한 범위에서 개인정보의 정확성, 완전성 및 최신성이 보장되도록 하겠습니다.

4. 본인은 개인정보의 처리 방법 및 종류 등에 따라 정보주체의 권리가 침해받을 가능성과 그 위험 정도를 고려하여 개인정보를 안전하게 관리하겠습니다.

5. 본인은 개인정보 처리방침 등 개인정보의 처리에 관한 사항을 공개하며, 열람청구권 등 정보주체의 권리를 보장하겠습니다.

6. 본인은 정보주체의 사생활 침해를 최소화하는 방법으로 개인정보를 처리하겠습니다.

7. 본인은 개인정보보호법 및 관계 법령에서 규정하고 있는 책임과 의무를 준수하고 실천함으로써 정보주체의 신뢰를 얻기 위하여 노력하겠습니다.

8. 본인은 관련 법령을 위반하여 발생되는 문제에 대하여 민․형사상 책임 및 손해배상 책임이 있음을 인지하고 개인정보 침해사고 예방을 위하여 노력하겠습니다.

년     월     일

서  약  자        부   서   명:

직 급(직 위):

성        명:                        (서명)