개인정보의 기술적·관리적 보호조치 기준
더 많은 작업
개인정보의 기술적·관리적 보호조치 기준
정보통신서비스 제공자등이 이용자의 개인정보를 처리할 때 지켜야 했던 기술적·관리적 보호조치의 최소 기준을 정한 옛 고시이다.
마지막 판은 '(개인정보보호위원회) 개인정보의 기술적·관리적 보호조치 기준'(개인정보보호위원회고시 제2021-3호, 2021. 9. 15.)이다. 2020년 「개인정보 보호법」 개정(법률 제16930호, 2020. 8. 5. 시행)으로 정보통신서비스 제공자의 개인정보 보호 규정이 개인정보 보호법의 특례 조항으로 옮겨지자, 개인정보보호위원회가 같은 법 시행령 제48조의2제3항의 위임에 따라 2020. 8. 11. 고시 제2020-5호로 제정하였다. 일반 개인정보처리자에게는 개인정보의 안전성 확보조치 기준이, 정보통신서비스 제공자등에게는 이 고시가 적용되는 이원 체계였다.
2023년 「개인정보 보호법」 개정으로 정보통신서비스 제공자 특례가 일반 규정으로 통합되고 시행령 제48조의2가 삭제되었다. 이에 따라 이 고시는 2023. 9. 22. 개인정보보호위원회고시 제2023-7호로 폐지되었고, 같은 날 개정된 개인정보의 안전성 확보조치 기준(고시 제2023-6호)으로 내용이 통합되었다. 개정 고시 부칙은 종전 이 고시의 적용대상이던 개인정보처리자에게 일부 개정규정을 2024. 9. 15.부터 적용하도록 유예하였다.
제2021-3호 기준이다. 조문 문서가 있는 조는 링크를 걸었다.
| 조 | 제목 | 주요 내용 |
|---|---|---|
| 제1조 | 목적 | 정보통신서비스 제공자등이 이용자의 개인정보를 처리할 때 필요한 기술적·관리적 보호조치의 최소 기준. 사업규모와 개인정보 보유 수를 고려해 스스로 기준을 수립·시행 |
| 제2조 | 정의 | 개인정보 보호책임자, 개인정보취급자, 내부관리계획, 개인정보처리시스템, 망분리, 비밀번호, 접속기록, 생체정보, 보안서버, 보조저장매체 등 |
| 제3조 | 내부관리계획의 수립·시행 | 개인정보보호 조직 구성·운영, 개인정보 보호책임자와 취급자 정기 교육, 제4조부터 제8조까지 이행 방안을 담은 내부 관리계획 수립·시행 |
| 제4조 | 접근통제 | 필요한 사람에게만 접근권한 부여, 인사이동 시 지체 없이 변경·말소, 권한 부여 내역 최소 5년 보관, 외부 접속 시 안전한 인증 수단, IP 제한과 유출 탐지 시스템, 일정 규모 이상 사업자의 망분리, 비밀번호 작성규칙, 최대 접속시간 제한 |
| 제5조 | 접속기록의 위·변조방지 | 접속기록 월 1회 이상 확인·감독, 최소 1년 이상 보존(기간통신사업자는 2년), 별도 물리적 저장 장치 보관과 정기 백업 |
| 제6조 | 개인정보의 암호화 | 비밀번호는 일방향 암호화, 주민등록번호·여권번호·운전면허번호·외국인등록번호·신용카드번호·계좌번호·생체인식정보는 안전한 알고리즘으로 암호화 저장, 전송 구간은 보안서버(SSL 인증서 등)로 암호화 |
| 제7조 | 악성프로그램 방지 | 백신 소프트웨어 등 설치·운영, 자동 업데이트 또는 일 1회 이상 업데이트, 경보나 보안 업데이트 공지 시 즉시 업데이트 |
| 제8조 | 물리적 접근 방지 | 전산실·자료보관실 출입통제 절차, 서류·보조저장매체 잠금장치 보관, 보조저장매체 반출·입 통제 |
| 제9조 | 출력·복사시 보호조치 | 출력(인쇄, 화면표시, 파일생성 등) 시 용도 특정과 출력 항목 최소화, 출력·복사물 관리와 기록 |
| 제10조 | 개인정보 표시 제한 보호조치 | 조회·출력 업무 중 개인정보를 마스킹하여 표시제한 조치를 할 수 있다 |
| 제11조 | 재검토 기한 | 3년마다 타당성 검토 |
제4조제6항은 전년도 말 기준 직전 3개월간 저장·관리되는 이용자 수가 일일평균 100만명 이상이거나, 정보통신서비스 부문 전년도 매출액이 100억원 이상인 정보통신서비스 제공자등에게 망분리를 요구하였다. 대상 단말은 개인정보처리시스템에서 개인정보를 다운로드·파기하거나 접근권한을 설정할 수 있는 개인정보취급자의 컴퓨터 등이다.
| 구분 | 개인정보의 기술적·관리적 보호조치 기준 | 개인정보의 안전성 확보조치 기준 |
|---|---|---|
| 적용대상 | 정보통신서비스 제공자등 | 모든 개인정보처리자 |
| 근거 | 법 제29조, 시행령 제48조의2제3항 | 법 제29조, 시행령 제16조제2항·제30조·제30조의2 |
| 현재 상태 | 2023. 9. 22. 폐지(고시 제2023-7호) | 현행. 2023. 9. 22. 개정(고시 제2023-6호)으로 통합 |
| 대응 조문 예 | 제5조 접속기록의 위·변조방지 | 제8조 접속기록의 보관 및 점검 |
현행 기준의 조문은 개인정보의 안전성 확보조치 기준 제4조(내부 관리계획), 개인정보의 안전성 확보조치 기준 제6조(접근통제), 개인정보의 안전성 확보조치 기준 제7조(암호화), 개인정보의 안전성 확보조치 기준 제8조(접속기록), 개인정보의 안전성 확보조치 기준 제12조(출력·복사시 안전조치) 등에서 확인한다.
- CPPG 공식 출제기준의 '개인정보의 보호조치' 과목은 아직 이 고시 이름을 쓰므로, 내부관리계획·접근통제·접속기록·암호화·악성프로그램·물리적 접근·출력복사·표시제한의 8개 축을 구분할 수 있어야 한다.
- 접근권한 내역 5년 보관, 접속기록 월 1회 점검·1년 보존(기간통신사업자 2년), 백신 일 1회 업데이트 같은 수치를 묻는다.
- 암호화 대상 정보(비밀번호는 일방향, 주민등록번호·계좌번호·생체인식정보 등은 양방향)를 구분할 수 있어야 한다.
- 2023. 9. 22. 폐지되고 개인정보의 안전성 확보조치 기준으로 통합된 사실과, 현행 기준에서 달라진 점을 함께 정리해 두어야 한다.