개인정보의 안전성 확보조치 기준

IT위키
본 문서는 법을 요약합니다. 정확한 정보가 필요하시면 필히 전체 조문을 참조하시기 바립니다.

개요[편집 | 원본 편집]

구분 내용
법적 근거
  • 개인정보보호법 제23조(민감정보의 처리 제한), 제24조(고유식별정보의 처리 제한), 제29조(안전조치의무)
  • 같은 법 시행령 제21조(고유식별정보의 안전성 확보 조치), 제30조(개인정보의 안전성 확보 조치)
과징금 부과 및 벌칙
  • 2년 이하의 징역 또는 2천만원 이하의 벌금(법 제73조제1호)
  • 3천만원 이하의 과태료(법 제75조제2항제6호)
적용 대상
  • 개인정보처리자
  • 개인정보처리자로부터 개인정보를 제공받은 자
  • 개인정보처리자로부터 개인정보 처리를 위탁받은 자(이하 ‘수탁자’, 준용)
성격 반드시 준수해야 하는 최소한의 기준
주요 내용
  • 내부 관리계획의 수립 시행
  • 접근 권한의 관리
  • 접근통제
  • 개인정보의 암호화
  • 접속기록의 보관 및 점검
  • 악성프로그램 등 방지
  • 관리용 단말기의 안전조치
  • 물리적 안전조치
  • 재해 재난 대비 안전조치
  • 개인정보의 파기

목적[편집 | 원본 편집]

이 기준은 「개인정보 보호법」 에 따라 개인정보처리자가 개인정보를 처리함에 있어서 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 아니하도록 안전성 확보에 필요한 기술적·관리적 및 물리적 안전조치에 관한 최소한의 기준을 정하는 것을 목적으로 한다.

관리적 조치[편집 | 원본 편집]

제4조(내부관리계획의 수립 및 시행)[편집 | 원본 편집]

  • 내부 관리계획의 수립, 시행, 변경관리
  • 내부 관리계획의 이행실태 점검

제5조(접근 권한의 관리)[편집 | 원본 편집]

  • 필요 최소한의 권한 차등 부여, 변경 사항 즉시 반경
  • 권한 변경 이력 보관
  • 1인 1계정 발급 및 공용 방지 대책
  • 비밀번호 작성 규칙, 비밀번호 연속 오류 시 잠금

기술적 조치[편집 | 원본 편집]

제6조(접근 통제)[편집 | 원본 편집]

  • IP별 접근통제 및 침입 탐지(방화벽, 관제 운영)
  • 시스템에 외부 접속 시 VPN, 전용선, 2차 인증 적용
  • 개인정보 유출 방지(DLP 솔루션 운영)
  • 인터넷 홈페이지에서 고유식별정보 취급 시 취약점 점검
  • 유휴 접속 차단
  • 모바일 기기 보안 대책

제7조(개인정보의 암호화)[편집 | 원본 편집]

  • 고유식별정보, 비밀번호, 바이오정보. 전송 시, DMZ 구간 저장, 단말기 저장 시 암호화 필수
  • 비밀번호는 일방향 암호화
  • 안전한 알고리즘 사용 의무
  • 암호화 키 관리

제8조(접속기록의 보관 및 점검)[편집 | 원본 편집]

  • 접속 기록 1년 이상 저장, 월 1회 점검
    • 다만, 5만명 이상의 정보주체에 관하여 개인정보를 처리하거나, 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템의 경우에는 2년 이상 보관
  • 접속 기록에 대한 안전성 보장

제9조(악성프로그램 등 방지)[편집 | 원본 편집]

  • 백신 등 운영. 자동 업데이트 또는 일 1회 이상 업데이트 실시
  • OS 업데이트
  • 악성코드 대응 조치

제10조(관리용 단말기의 안전조치)[편집 | 원본 편집]

  • 관리용 단말기 지정 (일반적으로 서버 접근용 단말기)
  • 사용자 지정, 사용 목적 제한, 보안조치 등 강화된 보안 적용

물리적 조치[편집 | 원본 편집]

제11조(물리적 안전조치)[편집 | 원본 편집]

전산실, 문서보관실 등 개인정보가 저장되어 있는 물리적 공간 보안 보조 저장매체 통제

제12조(재해·재난 대비 안전조치)[편집 | 원본 편집]

  • 재해 재난 대비 안전조치 및 복구계획 수립

제13조(개인정보의 파기)[편집 | 원본 편집]

  • 복구할 수 없는 방법으로 완전 파괴(소각, 파쇄 등)
  • 일부만 파기 시
    • 문서 : 마스킹, 천공 등
    • 전자적 데이터 : 파기 후 별도의 관리감독 수행