IT수탁사 개인정보 보호실태 자율점검 지침

□ 추진 배경

□ 최근 발생한 개인정보 유출 등 침해사고의 대다수가 다른 사업자(위탁사)로부터 개인정보처리시스템을 개발·운영하는 등의 업무를 위탁받아 하는 수탁사(IT수탁사)들의 부주의나 과실에 의해 발생

□ 점검 대상

□ 위탁사로부터 개인정보처리시스템의 개발, 운영 및 유지보수하는 등의 업무를 위탁받아 처리하는 모든 IT수탁사(약 6,600여개소)

※ 귀 사가 위탁받지 않는 자체 고객관리, 직원관리 시스템은 제외

□ 점검 방법

□ 점검표 내 「점검결과」의‘양호(해당없음)’또는‘개선필요’란에‘◯’표시

※ 수탁받은 범위에 따라 해당되지 않는 항목에 대해서는 ‘양호(해당없음)’란에 ‘◯’표시

□ 점검 결과‘개선필요’한 사항은 위탁사와 협의하여 이행계획을 수립‧개선기한을 명기하되, 위탁사가 동의하지 않는 경우에는 개선필요 사항을 위탁사에 통지한 날짜를‘개선기한’란에 명기(통지내역은 자체 보관)

□ 협조사항

□ 모든 수탁사는 자체점검을 실시하되, 아래 수탁사는 점검표(붙임)를 작성하여 2015년 4월 20일 18시까지 제출하여 주시기 바랍니다.

① 제출대상 수탁사 : 전체 매출액이 30억 이상인 수탁사 또는 최근 3년간 50개사 이상 위탁받은 수탁사

※ 그 외 수탁사는 점검표를 활용하여 점검 후 점검표는 자체 보관

② 제출대상 시스템 : 위탁사가 가장 많은 대표 1개 시스템

③ 제출 방법 : 한국인터넷진흥원의 홈페이지(www.kisa.or.kr) 메인 화면하단에 위치한‘알림판/ IT수탁사 개인정보관리실태자율점검’배너에서 점검표를 다운받아 작성하여 이메일로 제출

(이메일 : privacycheck@kisa.or.kr, 연락처 : 02-405-4844번)

※ 점검표 작성관련 문의는 전화 02-2100-2908번을 이용

□ 점검과 관련 자료

□ 자율점검에 필요한 개인정보보호 법령 및 가이드라인 등 자료는 개인정보보호포털인 홈페이지(http://www.privacy.go.kr) 내의 자료마당/지침자료 란에 게시되어 있으니 참고하시기 바람

o 개인정보보호법

o 개인정보의 안전성 확보조치 기준(행정자치부 고시 제2014-7호, 2014.12)

o 개인정보의 안전성 확보조치 기준 해설서 개정판(2015.2.)

o 2014년 홈페이지 개인정보 노출방지 가이드라인(2014.12.)

o 주민등록번호 수집 금지 제도 가이드라인(2014.1.)

o 개인정보 암호화 조치 안내서(2012.10.)

o 시스템 개발·운영자 가이드라인(2015.3.)

붙임		IT수탁사 개인정보 보호실태 점검표(案) (제출용)

행정자치부와 미래창조과학부는 최근 발생한 개인정보 유출 등 침해사고와 관련하여 개인정보 보호실태 개선을 위해 다른 사업자(위탁사)로부터 개인정보처리시스템을 개발‧운영‧유지보수하는 업무를 위탁받아 처리하는 업체(IT수탁사)를 대상으로 오는 5월에 일제 현장점검을 대대적으로 실시합니다.  ※ 귀 사가 위탁받지 않는 자체 고객관리, 직원관리 시스템은 제외

현장점검에 앞서 실시되는 이 자율점검을 성실히 이행하고 점검표를 제출한 업체에 대해서는 현장점검 시 적발된 위반사항에 대해 현지 지도점검할 계획이나, 점검표를 제출하지 않는 업체에 대해서는 법에 따라 행정처분할 예정입니다.

□ 일반 현황

법 인 명				OOO 주식회사		사업자 등록번호			OOO-OO-OOOOO
사업장 주소
상시 종업원 수				OO명		매출액 ( 년말 기준)			백만원
구 분			성 명		부 서		직급	연락처
담당자			홍OO		(예)IT기획팀		부장	전화 : 02-×××-×××× email : OOO@OOO.co.kr
위탁받은 일 (중복 선택 가능)				(개발)①SI( ), ②홈페이지 제작( ), ③솔루션( ), ④기타( ) (유지보수‧운영)①SM( ), ②ASP( ), ③호스팅( ), ④기타( )
위탁업체 수 : 총 OOO 개소
주된 위탁업체	8대 분야	①공공, 비영리 협/단체( ), ②교육( ), ③보건복지( ), ④방송통신/IT분야( ), ⑤금융( ), ⑥산업·물류( ), ⑦중개·임대·생활( ), ⑧시설·문화( ), ⑨기타( )
	업종	( ) ※(업종) 학교, 학원, 병원, 약국, 은행, 보험사, 이미용업, 숙박업 등

□ 세부 점검표 (23개 항목) (예시)

❍ 위탁자 수가 가장 많은 (대표)시스템명 : 이동통신서비스 고객관리시스템

분야		점검 항목	점검결과		개선기한 (2015년 O월 OO일한)
			양호 (해당 없음)	개선 필요
1. 개인정보의 수집‧제공		1. 개인정보 수집에 따른 정보주체의 동의를 받을 때 필수항목(4개*) 고지 및 내용의 적정성 여부 * 필수항목 : ①수집의 목적, ②개인정보의 항목, ③개인정보 보유 및 이용 기간, ④동의 거부권 및 거부 시 불이익	○
		2. 제3자에게 개인정보 제공에 따른 정보주체의 동의를 받을 때 필수항목(5개*) 고지 및 내용의 적정성 여부 * 필수항목 : ①제공 받는 자, ②이용목적, ③개인정보의 항목, ④개인정보 보유 및 이용기간, ⑤동의 거부권 및 거부 시 불이익		○	2015.4.30일
		3. 고유식별정보, 민감정보, 마케팅용 필요정보 등을 수집시 구분하여 동의를 받고 있는지 여부 * 고유식별정보 : 여권번호, 운전면허번호, 외국인등록번호 * 민감정보 : 개인의 과거 및 현재의 병력(病歷), 신체적‧정신적 장애, 유전정보, 사상, 정치 등	○
2. 주민등록번호 처리 제한		4. 법에 근거하지 않고 주민등록번호를 수집 및 처리하고 있는지 여부
		5. 법령에 근거하여 인터넷 홈페이지를 통한 회원가입 시 주민등록번호 외 회원가입 방법(i-PIN, 핸드폰 등) 제공 여부
3. 개인정보의 파기		6. 보유기간 경과, 처리 목적(제공받은 경우 제공받은 목적) 달성 후 지체 없이 영구 삭제하고 있는지 여부
		7. 법령에 따라 보존할 경우 다른 개인정보와 분리하여 보관하는지 여부
4. 업무위탁 계약		8. 계약문서에 필수 반영사항(7개*)이 포함되었는지 여부 * 필수사항 : ①위탁업무 수행 목적외 처리금지, ②기술‧관리적 보호조치, ③목적‧범위, ④재위탁 제한, ⑤접근제한 등 안전조치, ⑥관리‧감독사항, ⑦손해배상 등 책임에 대한 사항
5. 개인정보 취급자 감독		9. 개인정보취급자에 대한 적절한 관리‧감독(접근통제, 보안각서 징구, 교육 등)을 실시하고 있는지 여부
6. 개인정보 처리방침의 수립‧공개		10. 개인정보처리방침의 공개 및 필수 항목(10개*) 포함 여부 * 필수항목 : ①개인정보의 처리 목적, ②처리 및 보유 기간, ③제3자 제공에 관한 사항(해당 시), ④업무위탁에 관한 사항(해당 시), ⑤정보주체 권리‧의무 및 행사 방법, ⑥개인정보의 항목, ⑦개인정보 파기, ⑧안전성 확보 조치, ⑨처리방침 변경에 관한 사항, ⑩개인정보보호책임자에 관한 사항
7. 안정성 확보 조치	접근 권한 관리 및 접근 통제	11. 시스템에 대한 접근권한 부여시 필요 최소한의 범위로 업무 담당자에 따라(1인 1계정) 차등 부여하는지 여부
		12. 접근권한의 부여‧변경‧말소 내역을 기록 및 관리하고, 최소 3년간 보관 하는지 여부
		13. 안전한 비밀번호 작성규칙을 수립 및 적용 하는지 여부 * 비밀번호 작성 규칙 - (최소 10자리 이상) 영어 대문자, 소문자, 숫자, 특수문자 중 2종류 조합 - (최소 8자리 이상) 영어 대문자, 소문자, 숫자, 특수문자 중 3종류 조합
		14. 불법적 접근(방화벽) 및 침해사고 방지(침입탐지)를 위한 시스템을 설치 및 운영하고 있는지 여부
		15. 개인정보취급자가 외부에서 정보통신망을 통한 접속 시 가상사설망(VPN), 전용선 등 안전한 접속수단을 제공하고 있는지 여부
		16. P2P, 웹하드 등 비인가 프로그램 및 공유 설정 등을 통해 열람권한이 없는 자에게 공개‧유출되지 않도록 접속 차단을 실시하고 있는지 여부
		17. 본인 확인을 위해 성명, 주민등록번호를 사용할 수 있는 경우에도 공인인증서, 휴대전화 등을 통해 추가적인 정보를 확인하는지 여부
	개인 정보 암호화	18. 고유식별정보, 비밀번호 등을 외부에 송‧수신 하거나, 내부에 저장하는 경우 SSL 등 암호화 조치 적용 여부
		19. 비밀번호의 내부 저장 시 일방향 암호화(해시함수) 알고리즘을 적용하고 있는지 여부
		20. 고유식별정보를 인터넷과 내부망의 중간지점(DMZ)에 저장하는 경우 암호화 조치를 적용하는지 여부
	접속 기록 보관	21. 취급자의 접속기록을 도난 및 분실되지 않도록 최소 6개월 이상 안전하게 보관 및 관리하는지 여부
		22. 취급자의 접속이력 기록시 필수항목(4개*)을 기록하고 있는지 여부 * 필수항목 : ①ID, ②날짜 및 시간, ③접속자 IP주소, ④수행 업무(열람, 수정, 삭제, 인쇄, 입력 등)
	보안 프로그램	23. 보안 프로그램(백신)을 자동 업데이트 또는 1일 1회 이상 업데이트 하여 최신의 상태로 유지하고 있는지 여부

점검표 세부 작성요령

1. 개인정보의 수집‧제공 시 동의받는 방법

□ 점검항목

분야	점검 항목	점검결과		개선기한 (2015년 O월 OO일한)
		양호 (해당 없음)	개선 필요
1. 개인정보의 수집‧제공	1. 개인정보 수집에 따른 정보주체의 동의를 받을 때 필수항목(4개*) 고지 및 내용의 적정성 여부 * 필수항목 : ①수집의 목적, ②개인정보의 항목, ③개인정보 보유 및 이용 기간, ④동의 거부권 및 거부 시 불이익
	2. 제3자에게 개인정보 제공에 따른 정보주체의 동의를 받을 때 필수항목(5개*) 고지 및 내용의 적정성 여부 * 필수항목 : ①제공 받는 자, ②이용목적, ③개인정보의 항목, ④개인정보 보유 및 이용기간, ⑤동의 거부권 및 거부 시 불이익
	3. 고유식별정보, 민감정보, 마케팅용 필요정보 등을 수집시 구분하여 동의를 받고 있는지 여부 * 고유식별정보 : 여권번호, 운전면허번호, 외국인등록번호 * 민감정보 : 개인의 과거 및 현재의 병력(病歷), 신체적‧정신적 장애, 유전정보, 사상, 정치 등

□ 점검 방법 및 평가 기준

1. 개인정보 수집에 따른 정보주체의 동의를 받을 때 필수항목(4개*) 고지 및 내용의 적정성 여부

□ 온라인 회원 가입, 게시판, 기타 서식 등을 통해 개인정보를 수집하는 홈페이지 또는 프로그램을 개발 하는 경우, 필수 항목(4개)을 고지하고 동의 받는지, 고지 내용은 적정한지를 확인

- (목적) 개인정보의 수집․이용 목적이 적정한지 여부

- (항목) 필수항목과 선택항목을 구분해서 기술 했는지 여부

- (이용기간) 개인정보 보유 및 이용기간 설정이 수집 목적 달성을 위해 적합하게 설정되었는지 여부

- (거부권 및 불이익) 동의 거부 권리 및 거부시 불이익 사항 기술 내용의 적성성 여부

※ 수집 목적에 따른 필수항목과 선택항목을 명확히 하고 목적 달성을 위해 불필요한 수집항목과 보유기간 등은 수집․이용 목적에 맞게 조정

< 동의 획득 시 4가지 필수 고지사항 >

① 개인정보의 수집·이용 목적

② 수집하려는 개인정보의 항목

③ 개인정보의 보유 및 이용 기간

④ 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우 그 불이익의 내용

☞ 개인정보처리방침 전체를 고지하면서 ④가 포함되지 않은 상태로 고지하는 사례 다수 있음

☞ 홈페이지 회원가입은 대부분 동의를 받고 있으나, 게시판은 동의 받지 않는 사례 다수 있음

※ 홈페이지 개발 시 회원가입 없이 각종 게시판*을 통해 개인정보를 수집하는 경우에도 개인정보 수집․이용에 관한 필수사항 고지 및 명시적 ‘동의’ 표시(체크) 제공 필요

* 예시 : 칭찬합시다, 건의사항, 자유게시판, 민원게시판, 상담게시판 등

※ 동의 받을 때에는 “동의” 및 “미동의”를 정보주체가 선택할 수 있도록 모두 표시

2. 제3자에게 개인정보 제공에 따른 정보주체의 동의를 받을 때 필수항목(5개*) 고지 및 내용의 적정성 여부

□ 온라인 회원 가입 등을 통해 수집한 개인정보를 제3자에게 제공하는 동의를 구하는 홈페이지 또는 프로그램을 구현하는 경우,

□ 개인정보 제공에 관한 필수항목(5개)을 고지하고 일반적인 개인정보 동의와 구분하여 별도의 명시적 ‘동의’ 표시(체크)를 받고 있는지 확인

- (제공받는 자) 개인정보를 제공받는 자가 모두 포함되었는지 여부

- (제공 목적) 제공받는 자의 개인정보 이용목적이 적정한지 여부

- (제공 항목) 제공하는 개인정보 항목을 모두 기술했는지 여부

- (제공 기간) 제공받는 자의 보유 및 이용기간 설정이 개인정보 수집 및 제공 목적에 맞게 설정되었는지 여부

- (거부권 및 불이익) 동의 거부 권리 및 거부시 불이익 사항 기술 내용의 적성성 여부

< 동의 여부 획득 시 5가지 필수 고지사항 >

① 개인정보를 제공받는 자

② 개인정보를 제공받는 자의 개인정보 이용 목적

③ 제공하는 개인정보의 항목

④ 개인정보를 제공받는 자의 개인정보 보유 및 이용 기간

⑤ 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우 그 불이익의 내용

☞ 홈페이지에서 제공 동의 획득 시 ⑤번에 대한 고지 없이 동의 받는 사례 있음

※ 법령 상 규정 또는 의무 이행을 위해 제공하는 경우 동의 획득하지 않고 제공할 수 있음. 다만, 법령에서 정한 목적 및 범위 내에서만 처리해야하며, 제공하는 사항에 대해 개인정보처리방침을 통해 공개해야 함

☞ 법령 상 정한 목적 및 범위를 초과하여 이용․제공 하는 경우 처벌 받을 수 있음

3. 고유식별정보, 민감정보, 마케팅용 필요정보 등을 수집시 구분하여 동의를 받고 있는지 여부

□ 고유식별정보, 민감정보를 수집하는 경우 일반적인 개인정보 동의와 구분하여 각각 별도의 동의를 받고 있는지 확인

- (고유식별정보) ① 여권번호 ② 운전면허번호  ③ 외국인등록번호

- (민감정보) 사상, 정치, 건강 등 개인사생활 침해 우려 정보

< 민감정보의 구분 >

① 사상·신념에 관한 정보    ② 노동조합·정당의 가입·탈퇴에 관한 정보

③ 정치적 견해에 관한 정보  ④ 건강, 성생활에 관한 정보

⑤ 유전자 검사 결과로 얻어진 유전정보  ⑥ 범죄경력자료에 해당하는 정보

☞ 고유식별정보, 민감정보를 수집하면서 구분하여 동의받지 않고 일반동의만 받는 사례 다수 있음

□ 재화나 서비스를 홍보하거나 판매를 권유하기 위한 동의 획득 시 일반적인 개인정보 동의와 구분하여 별도 동의를 받고 있는지 확인

☞ 개인정보 수집 목적에 ‘신재품 소개 및 안내’ 등 홍보 및 마케팅 관련 목적을 기술 하고도, 홍보 및 마케팅 동의를 별도로 구분하여 받지 않고, 일반동의만 받는 사례 있음

- 홍보 및 마케팅 목적 개인정보 수집에 동의하지 않더라도 회원가입 등 필수 서비스가 제공될 수 있도록 되어있는지 확인

☞ 홈페이지에서 선택정보에 대한 동의 체크를 하지 않으면 다음으로 넘어가지 않은 사례 있음

※ 선택항목을 입력하지 않더라도 회원가입 등 필수 기능이 제공될 수 있도록 수정 필요

< 일반적인 개인정보 수집 동의와 구분하여 별도 동의가 필요한 경우 >

① 제3자 제공에 대한 동의(제17조 제1항 제1호)

② 국외 제3자 제공에 대한 동의(제17조 제3항)

③ 목적 외 이용․제공에 대한 동의(제18조 제2항 제1호)

④ 마케팅 목적 처리에 대한 동의(제22조 제3항)

⑤ 법정대리인의 동의(제22조 제5항)

⑥ 민감정보에 대한 처리 동의(제23조 제1항 제1호)

⑦ 고유식별정보에 대한 처리 동의(제24조 제1항 제1호)

2. 주민등록번호의 처리

□ 점검항목

분야	점검 항목	점검결과		개선기한 (2015년 O월 OO일한)
		양호 (해당 없음)	개선 필요
2. 주민등록번호 처리	4. 법에 근거하지 않고 주민등록번호를 수집 및 처리하고 있는지 여부
	5. 인터넷 홈페이지를 통한 회원가입 시 주민등록번호 외 회원가입 방법(i-PIN, 핸드폰 등) 제공 여부

□ 점검 방법 및 평가 기준

4. 법에 근거하지 않고 주민등록번호를 수집 및 처리하고 있는지 여부

□ 법령에서 구체적으로 주민등록번호의 처리를 요구하거나, 허용한 경우에만 주민등록번호를 처리하고 있는지 여부 확인

※ 법령에 따라 주민등록번호를 처리하는 경우 세부점검 항목에 ‘해당 없음’ 표시

※ 법령에 근거 없이 보유하고 있는 주민등록번호는 ’16.8.6일까지 파기 필요

5. 인터넷 홈페이지를 통한 회원가입 시 주민등록번호 외 회원가입 방법(i-PIN, 핸드폰 등) 제공 여부

□ 인터넷 홈페이지를 운영하는 자로 전년도말 기준 직전 3개월간 인터넷 홈페이지 이용자 수가 하루 평균 1만명 이상인 경우

- 인터넷 홈페이지를 통하여 회원으로 가입할 경우 주민등록번호를 사용하지 아니하고도 회원으로 가입할 수 있는 방법*을 제공하고 있는지 확인

* 예 : I-PIN, 공인인증서, 휴대전화 인증 등

3. 개인정보의 파기

□ 점검항목(표)

분야	점검 항목	점검결과		개선기한 (2015년 O월 OO일한)
		양호 (해당 없음)	개선 필요
3. 개인정보의 파기	6. 보유기간 경과, 처리 목적(제공받은 경우 제공받은 목적) 달성 후 지체 없이 영구 삭제하고 있는지 여부
	7. 법령에 따라 보존할 경우 다른 개인정보와 분리하여 보관하는지 여부

□ 점검 방법 및 평가 기준

6. 보유기간 경과, 처리 목적(제공받은 경우 제공받은 목적) 달성 후 지체 없이 영구 삭제하고 있는지 여부

□ 온라인 회원 가입 등을 통해 수집하여 보유하고 있는 개인정보(파일)의 당초 수집목적이 달성되었거나, 보유기간이 경과된 경우에는 지체 없이(보유기간 종료일로부터 5일 이내) 파기하고 있는지 여부 확인

☞ 수집 목적이 달성되고, 보유기간이 경과한 개인정보를 파기하지 않고 보관 중인 사례 있음

□ 개인정보(파일)를 파기할 때는 복원이 불가능한 방법으로 영구 삭제하고 있는지 여부 확인

- 기록물, 인쇄물, 서면 등의 경우 파쇄 또는 소각 여부 확인

- 디스크, USB 등의 전자적 파일 형태인 경우 전용 소거 장비를 이용하여 삭제하거나, 데이터가 복원되지 않도록 초기화 또는 덮어쓰기 수행

※ 업무 수행 상 보존 필요성은 없으나, 임시적으로 생성된 파일이나 출력 자료를 사용 후 즉시 파기하는지 여부 확인

7. 법령에 따라 보존할 경우 다른 개인정보와 분리하여 보관하는지 여부

□ 다른 법령에 따라 보존하여야 하는 경우에는 해당 개인정보 또는 개인정보파일을 다른 개인정보와 분리하여 보관하는지 여부 확인

- 접근권한은 소송 담당자 등 필수 요원으로 접근권한을 엄격히 제한 필요

☞ 법령에 따라 분리 보관한다는 의미는 소송, 민원 등 특정한 상황이 아니면 접근할 필요가 없다는 것이며, 법령에 따라 보존하여야 하는 경우로는 전자상거래 거래기록 등이 있음

☞ 파기 시 삭제하지 않고 단순히 테이블 필드에 플래그 형태로 남기는 경우는 파기하지 않은 것으로 인정되어 처벌 받을 수 있음

4. 업무위탁 계약 등

□ 점검항목

분야	점검 항목	점검결과		개선기한 (2015년 O월 OO일한)
		양호 (해당 없음)	개선 필요
4. 업무위탁 계약	8. 계약문서에 필수 반영사항(7개*)이 포함되었는지 여부 * 필수사항 : ①위탁업무 수행 목적외 처리금지, ②기술‧관리적 보호조치, ③목적‧범위, ④재위탁 제한, ⑤접근제한 등 안전조치, ⑥관리‧감독사항, ⑦손해배상 등 책임에 대한 사항

□ 점검 방법 및 평가 기준

8. 계약문서에 필수 반영사항(7개*)이 포함되었는지 여부

□ 개인정보 처리에 관한 업무를 위‧수탁하는 경우에는 필수사항(7)을 포함한 문서(계약서)로 계약을 체결하는지 확인

☞ 문서에 의하지 않고 개인정보 처리 업무를 수탁 받아 개인정보를 처리하는 경우에는, 개인정보 불법 취득에 해당하는 것으로 인정되어 처벌 받을 수 있음

- 보안 약정서, 협약서 등의 계약 부속서류라 하더라도 필수사항(7)이 모두 포함되어 있는 경우에는 의무 준수한 것으로 간주

< 위탁계약 시 문서에 포함되어야 하는 필수사항 >

① 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항

② 개인정보의 기술적·관리적 보호조치에 관한 사항

③ 위탁업무의 목적 및 범위

④ 재위탁 제한에 관한 사항

⑤ 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항

⑥ 위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항

⑦ 수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항

☞  계약서에 비밀 누설 금지 등의 사항만 포함하고, 필수사항(7개)을 누락한 사례 다수 있음

5. 개인정보 취급자에 대한 감독

□ 점검항목

분야	점검 항목	점검결과		개선기한 (2015년 O월 OO일한)
		양호 (해당 없음)	개선 필요
5. 개인정보 취급자 감독	9. 개인정보취급자에 대한 적절한 관리‧감독(접근통제, 보안각서 징구, 교육 등)을 실시하고 있는지 여부

□ 점검 방법 및 평가 기준

9. 개인정보취급자에 대한 적절한 관리‧감독(접근통제, 보안각서 징구, 교육 등)을 실시하고 있는지 여부

□ 수탁사에서 개인정보를 취급하는 개인정보취급자에 대한 보안서약서 징구, 접근 통제 등 적절한 관리․감독을 실시하는지 여부 확인

□ 개인정보의 적정한 취급을 보장하기 위하여 개인정보취급자에게 정기적으로 필요한 교육을 실시하고 있는지 확인

☞  임시직, 계약직 등에 대한 교육을 실시하지 않은 사례 있음

6. 개인정보 처리방침의 수립‧공개

□ 점검항목

분야	점검 항목	점검결과		개선기한 (2015년 O월 OO일한)
		양호 (해당 없음)	개선 필요
6. 개인정보 처리방침의 수립‧공개	10. 개인정보처리방침의 공개 및 필수 항목(10개*) 포함 여부 * 필수항목 : ①개인정보의 처리 목적, ②처리 및 보유 기간, ③제3자 제공에 관한 사항(해당 시), ④업무위탁에 관한 사항(해당 시), ⑤정보주체 권리‧의무 및 행사 방법, ⑥개인정보의 항목, ⑦개인정보 파기, ⑧안전성 확보 조치, ⑨처리방침 변경에 관한 사항, ⑩개인정보보호책임자에 관한 사항

□ 점검 방법 및 평가 기준

10. 개인정보처리방침의 공개 및 필수 항목(10개*) 포함 여부

□ 위탁사의 홈페이지를 구축해 주는 경우 10개 필수항목을 모두 포함한 개인정보처리방침을 작성해서 공개하고 있는지 확인

※ 홈페이지에 공개 시 홈페이지의 첫 번째 화면에 다른 메뉴와 구분될 수 있는 방법(폰트, 색깔)을 적용해서 공개해야 함

< 개인정보처리 방침 필수항목 >

① 개인정보의 처리 목적               ② 개인정보의 처리 및 보유 기간

③ 개인정보의 제3자 제공에 관한 사항  ④ 개인정보 처리의 위탁에 관한 사항

⑤ 정보주체의 권리·의무 및 행사방법에 관한 사항

⑥ 처리하는 개인정보의 항목           ⑦ 개인정보의 파기에 관한 사항

⑧ 안전성 확보 조치에 관한 사항       ⑨ 처리방침 변경에 관한 사항

⑩ 개인정보 보호책임자에 관한 사항

☞ 개인정보처리방침에 개인정보보호 책임자(성명, 연락처)를 공개하지 않는 사례 있음

7-1. 안전조치 의무 (접근권한 관리 및 접근 통제)

□ 점검항목

분야		점검 항목	점검결과		개선기한 (2015년 O월 OO일한)
			양호 (해당 없음)	개선 필요
7. 안정성 확보 조치	접근 권한 관리 및 접근 통제	11. 시스템에 대한 접근권한 부여시 필요 최소한의 범위로 업무 담당자에 따라(1인 1계정) 차등 부여하는지 여부
		12. 접근권한의 부여‧변경‧말소 내역을 기록 및 관리하고, 최소 3년간 보관 하는지 여부
		13. 안전한 비밀번호 작성규칙을 수립 및 적용 하는지 여부 * 비밀번호 작성 규칙 - (최소 10자리 이상) 영어 대문자, 소문자, 숫자, 특수문자 중 2종류 포함 - (최소 8자리 이상) 영어 대문자, 소문자, 숫자, 특수문자 중 3종류 포함
		14. 불법적 접근(방화벽) 및 침해사고 방지(침입탐지)를 위한 시스템을 설치 및 운영하고 있는지 여부

분야		점검 항목	점검결과		개선기한 (2015년 O월 OO일한)
			양호 (해당 없음)	개선 필요
		15. 개인정보취급자가 외부에서 정보통신망을 통한 접속 시 가상사설망(VPN), 전용선 등 안전한 접속수단을 제공하고 있는지 여부
		16. P2P, 웹하드 등 비인가 프로그램 및 공유 설정 등을 통해 열람권한이 없는 자에게 공개‧유출되지 않도록 접속 차단을 실시하고 있는지 여부
		17. 본인 확인을 위해 성명, 주민등록번호를 사용할 수 있는 경우에도 공인인증서, 휴대전화 등을 통해 추가적인 정보를 확인하는지 여부

□ 점검 방법 및 평가 기준

11. 시스템에 대한 접근권한 부여시 필요 최소한의 범위로 업무 담당자에 따라(1인 1계정) 차등 부여하는지 여부

□ 개인정보처리시스템에 대한 접근권한을 업무 수행에 필요한 최소한의 범위로 업무 담당자별로 차등 부여하고 있는지 확인

- 업무 성격에 따라 팀별, 개인별 접근 권한 차등 부여 확인

☞ 개발 초기 시 부여된 관리자 권한, 디폴트 권한 등으로 일괄 부여된 사례 있음

□ 개인정보취급자의 전보 또는 퇴직 등 인사이동 발생 시 개인정보처리시스템의 접근권한을 즉시 변경 또는 말소하는지 확인

☞ 퇴직자의 계정을 삭제하지 않고 남겨 놓은 사례 있음

□ 개인정보처리시스템에 접속 할 수 있는 사용자 계정을 발급하는 경우, 취급자 별로 한 개의 사용자 계정을 발급하는지 확인

- 사용자 계정(ID)을 다수의 사용자가 공유하는지 여부 확인

☞ 업무 편의상 하나의 계정(ID)을 다수의 사용자가 공유하지 않도록 적용 및 운영 필요

12. 접근권한의 부여‧변경‧말소 내역을 기록 및 관리하고, 최소 3년간 보관 하는지 여부

□ 개인정보취급자의 접근권한 부여 및 전보 또는 퇴직에 따른 변경, 말소에 대한 기록을 최소 3년간 보관하고 있는지 확인

☞ 권한 변경 이력을 보관하지 않거나, 3년 미만으로 보관하는 사례 있음

※ 변경 이력을 시스템에 자동으로 남기지 않는 경우 수기로 작성, 관리 여부 확인

13. 안전한 비밀번호 작성규칙을 수립 및 적용 하는지 여부

□ 개인정보취급자 또는 정부주체가 안전한 비밀번호를 설정하여 이행할 수 있도록 비밀번호 작성규칙을 수립‧적용하는지 확인

※ 내부관리계획의 안전성확보 조치 사항으로 포함하여 작성 할 수 도 있으며, 별도 비밀번호 작성규칙을 작성하여 운영할 수 있음

☞ 비밀번호 작성규칙을 마련하고 있는데도 불구하고, 시스템에 반영하지 않은 사례 있음

< 안전한 비밀번호 작성 규칙>

o 최소 길이

- 최소 10자리 이상 : 영어 대문자, 소문자, 숫자, 특수문자 중 2종류 조합

- 최소 8자리 이상 : 영어 대문자, 소문자, 숫자, 특수문자 중 3종류 조합

o 추측하기 어려운 비밀번호

- 일련번호, 전화번호 등 쉬운 문자열이 포함되지 않도록 함

- 잘 알려진 단어, 키보드 상에서 나란히 있는 문자열이 포함되지 않도록 함

o 주기적 변경 : 비밀번호에 유효기간 설정하고 최소 6개월마다 변경

o 동일 비밀번호 사용 제한 : 2개의 비밀번호를 교대로 사용하지 않음

14. 불법적 접근(방화벽) 및 침해사고 방지(침입탐지)를 위한 시스템을 설치 및 운영하고 있는지 여부

□ 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 접근통제시스템*을 설치 운영하는지 확인

* ‧ 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하여 인가 받지 않은 접근을 제한하는 시스템(방화벽 등)

‧ 개인정보처리시스템에 접속한 IP주소 등을 분석하여 불법적인 개인정보 유출 시도를 탐지하는 시스템(IDS 또는 IPS 등)

☞ 웹호스팅 시 방화벽 등 보안시스템 이용에 추가 비용이 들어 설치하지 않은 사례 있음

※ 개인정보처리자가 업무용 컴퓨터 또는 모바일 기기를 이용하여 개인정보를 처리하는 경우, 접근통제시스템을 적용하지 아니할 수 있음. 단, 이 경우 업무용 컴퓨터 또는 모바일 기기의 운영체제(OS)나 보안프로그램 등에서 제공하는 접근통제 기능을 이용할 수 있음

15. 개인정보취급자가 외부에서 정보통신망을 통한 접속 시 가상사설망(VPN), 전용선 등 안전한 접속수단을 제공하고 있는지 여부

□ 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하는 경우, 안전한 접속수단(가상사설망(VPN), 전용선 등)을 통해서만 접속하도록 하고 있는지 확인

☞ 홈페이지 관리자페이지 접속 시 단순 ID/패스워드로만 접속 가능한 사례 있음

16. P2P, 웹하드 등 비인가 프로그램 및 공유 설정 등을 통해 열람권한이 없는 자에게 공개‧유출되지 않도록 접속 차단을 실시하고 있는지 여부

□ P2P, 공유설정 등을 통하여 개인정보 열람권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스템 및 업무용 PC, 모바일 기기 등에 조치를 취하고 있는지 확인

□ 「홈페이지 개인정보 노출방지 가이드라인」에서 제시하고 있는 관리적, 기술적 노출방지 대책을 적용하고 있는지 확인

* 개인정보보호포털(http://www.privacy.go.kr)의 〔자료실-지침자료〕에서 확인 가능

☞ 웹서버 설정이 미흡하여 게시판 등에 올린 개인정보가 구글 등에 노출되는 사례 있음

※ 홈페이지 개발 및 운영 단계에서 웹 취약점 점검, 미관리 사이트 및 URL 차단 및 삭제, 관리자 페이지 노출 차단 등의 조치 시행 필요

☞ 업무용 모바일 기기의 분실에 따라 개인정보 유출되는 사례 있음

※ 모바일 기기(스마트폰, 스마트패드, 태블릿PC 등)의 분실·도난 등으로 개인정보가 유출되지 않도록 해당 모바일 기기에 보호조치(비밀번호, 패턴, PIN 등 설정) 필요

17. 본인 확인을 위해 성명, 주민등록번호를 사용할 수 있는 경우에도 공인인증서, 휴대전화 등을 통해 추가적인 정보를 확인하는지 여부

□ 인터넷 홈페이지에서 법령에 근거하여 정보주체의 본인확인을 위해 성명, 주민등록번호를 사용하는 경우에도 정보주체의 추가적인 정보*를 확인하여야 함

* 추가적인 정보에는 I-PIN, 공인인증서, 휴대전화, 주민등록증 발급일자, 전자우편(e-mail) 주소 등이 있음

☞ 성명, 주민등록번호 만을 이용해서 본인확인하는 경우 공격의 대상이 되는 사례가 있음

7-2. 안전조치 의무 (개인정보 암호화)

□ 점검항목

분야		점검 항목	점검결과		개선기한 (2015년 O월 OO일한)
			양호 (해당 없음)	개선 필요
7. 안정성 확보 조치	개인 정보 암호화	18. 고유식별정보, 비밀번호 등을 외부에 송‧수신 하거나, 내부에 저장하는 경우 SSL 등 암호화 조치 적용 여부
		19. 비밀번호의 내부 저장 시 일방향 암호화(해시함수) 알고리즘을 적용하고 있는지 여부
		20. 고유식별정보를 인터넷과 내부망의 중간지점(DMZ)에 저장하는 경우 암호화 조치를 적용하는지 여부

□ 점검 방법 및 평가 기준

18. 고유식별정보, 비밀번호 등을 외부에 송‧수신 하거나, 내부에 저장하는 경우 SSL 등 암호화 조치 적용 여부

□ 암호화 대상 개인정보*를 정보통신망을 통하여 송․수신하거나 보조저장매체 등을 통해 전달하는 경우에는 이를 암호화하는지 확인

* 암호화 대상 개인정보 : 고유식별정보(주민등록번호, 여권번호, 운전면허번호, 외국인등록번호), 비밀번호 및 바이오 정보임

- 특히, 홈페이지 실명확인 및 회원가입 시 전송하는 비밀번호, 고유식별정보를 송․수신하는 경우 암호화하여 전송하는지 확인

☞ WireShark 등 프로그램을 통해 전송되는 패킷의 암호화 여부 검사 시 암호화하지 않고 전송하는 사례가 다수 있음

※ SSL 보안서버 구축을 하였으나, 홈페이지의 소스코드를 수정을 하지 않아 데이터 전송 시 암호화되지 않는 경우가 있어 실제 확인 필요

- (붙임)「네트워크 전송 구간 암호화 여부 검사 방법(WireShark 사용법)」참고

□ 또한, PC에 저장 또는 USB 등 매체를 통해 전달하거나 이메일 등의 첨부 파일로 전송하는 경우에도 암호화 전송하고 있는지 확인

☞ 고유식별정보가 포함된 첨부파일을 이메일로 전송하는 경우, 첨부파일을 암호화하지 않고 전송한 사례 있음

< 암호화 하지 않고 정보통신망을 통해 송․수신하는 경우 비밀번호 노출 사례 >

19. 비밀번호 내부 저장 시 일방향 암호화(해쉬함수) 알고리즘을 적용하고 있는지 여부

□ 홈페이지를 포함한 개인정보처리시스템 사용자의 비밀번호는 복호화 되지 않도록 일방향 암호화(해쉬함수 사용)하여 저장하는지 확인

- 일방향 암호화 적용 여부, 안전한 일방향 암호화 알고리즘 사용 여부 등을 확인

☞ 안전하지 않은 일방향 암호화 알고리즘(MD5, SHA-1, 자체 함수제작 등) 및 대칭키 암호화 방식(SEED, ARIA, AES 등) 등으로 암호화한 사례 있음

※ “개인정보 암호화 조치 안내서” 참조(http://www.privacy.go.kr에서 다운로드 가능)

20. 고유식별정보를 인터넷과 내부망의 중간지점(DMZ)에 저장하는 경우 암호화 조치를 적용하는지 여부

□ 고유식별정보를 인터넷 구간 및 인터넷 구간과 내부망의 중간지점(DMZ)에 저장하는 경우 암호화하여 저장하는지 확인

7-3. 안전조치 의무 (접속기록 보관)

□ 점검항목

분야		점검 항목	점검결과		개선기한 (2015년 O월 OO일한)
			양호 (해당 없음)	개선 필요
7. 안정성확보 조치	접속 기록 보관	21. 취급자의 접속기록을 도난 및 분실되지 않도록 최소 6개월 이상 안전하게 보관 및 관리하는지 여부
		22. 취급자의 접속이력 기록시 필수항목(4개*)을 기록하고 있는지 여부 * 필수항목 : ①ID, ②날짜 및 시간, ③접속자 IP주소, ④수행 업무(열람, 수정, 삭제, 인쇄, 입력 등)

□ 점검 방법 및 평가 기준

21. 취급자의 접속기록을 도난 및 분실되지 않도록 최소 6개월 이상 안전하게 보관 및 관리하는지 여부

□ 개인정보취급자가 개인정보처리시스템에 접속한 기록을 최소  6개월 이상 보관 및 관리하고 있는지 확인

☞ 홈페이지 관리자 페이지에 대한 접속 기록을 남기지 않은 사례 있음

□ 정기적으로 접속기록에 대한 백업을 수행하여 개인정보처리시스템 이외의 별도 보조저장매체에 보관하고 있는지 확인

- 접속기록에 대한 위․변조를 방지하기 위해 CD-ROM, DVD 등과 같은 덮어쓰기가 불가능한 매체를 사용하는 것이 바람직함

- 접속기록을 수정 가능한 매체(HDD 또는 자기테이프 등)에 백업하는 경우에는 무결성 보장을 위해 위․변조 여부를 확인할 수 있는 정보를 별도의 장비에 보관․관리할 수 있음

22. 취급자의 접속이력 기록시 필수항목(4개*)을 기록하고 있는지 여부

□ 개인정보취급자가 개인정보처리시스템에 접속 시 기록하는 접속로그에 접속이력 필수항목(4)을 모두 남기는지 확인

< 접속기록에 포함되어야 할 필수 항목 >

필수 기록 항목	설 명
① ID	개인정보취급자 식별 정보
② 날짜 및 시간	접속 일시
③ 접속자 IP 주소	접속지 정보
④ 수행 업무	열람, 수정, 삭제, 입력, 인쇄 등

※ 개인정보취급자 1명(Root, Admin 등)이 개인정보처리시스템을 관리하는 경우에는, 전자적 로그를 남기지 않고, 접속 기록을 수기로 작성하여 상급자의 승인을 받아도 가능

7-5. 안전조치 의무 (보안 프로그램)

□ 점검항목

분야		점검 항목	점검결과		개선기한 (2015년 O월 OO일한)
			양호 (해당 없음)	개선 필요
7. 안정성 확보 조치	보안 프로그램	23. 보안 프로그램(백신)을 자동 업데이트 또는 1일 1회 이상 업데이트 하여 최신의 상태로 유지하고 있는지 여부

□ 점검 방법 및 평가 기준

23. 보안 프로그램(백신)을 자동 업데이트 또는 1일 1회 이상 업데이트 하여 최신의 상태로 유지하고 있는지 여부

□ 악성 프로그램 등을 방지․치료할 수 있는 백신 소프트웨어 등의 보안 프로그램을 설치․운영하고 있는지 확인

□ 보안 프로그램의 자동 업데이트 기능을 사용하거나, 또는 1일 1회 이상 업데이트를 실시하여 최신의 상태로 유지하고 있는지 확인

- 악성 프로그램관련 경보가 발령된 경우 즉시 업데이트 가능 여부

- 사용 중인 응용 프로그램이나 운영체제 소프트웨어의 제작업체에서 보안 업데이트 공지가 있는 경우 즉시 업데이트 가능 여부

☞ 백신프로그램 업데이트 및 OS 최신 패치 업데이트를 미실시하는 사례 있음

붙임		네트워크 전송 구간 암호화 여부 검사 방법(WireShark 사용법)

※ WireShark 프로그램은 프리웨어로 인터넷에 검색하여 설치 할 수 있음