8		개인정보의 안전성 확보 조치

	관련근거
‣ 개인정보 보호법 제29조(안전조치의무) ‣ 개인정보 보호법 시행령 제30조(개인정보의 안전성 확보 조치) ‣ 개인정보의 안전성 확보조치 기준(개인정보보호위원회고시 제2023-6호)

	업무시기
‣ 상시, 매월(사이버보안진단의 날 점검)

	주요내용
❑ 고유식별정보 암호화 조치 및 홈페이지 개인정보 점검(사이버보안진단의 날) - (전직원) 매월 사이버보안진단의 날 고유식별정보 검사 및 암호화(Ahnlab EPP시스템 활용) ☞ 법적 근거 있는 경우만 암호화하여 보관 가능, 근거 없을 경우 즉시 삭제,부득이 일시적으로 처리할 경우 처리 후 즉시 삭제 조치 - (개인정보보호담당자) Ahnlab EPP시스템 관리자로 접속하여 검사실행, 암호화, 보유파일 등 점검 - 홈페이지(학교 자체 운영 웹사이트 포함) 게시자료 점검 ☞ 비공개 업무자료 및 개인정보 노출 여부 점검, 공개기한 지났거나 불필요한 게시글 정비 ※ 고유식별정보, 비밀번호, 생체인식정보를 정보통신망을 통하여 전달할 경우 암호화 처리 ❑ 접근 권한의 관리 - 나이스, K-에듀파인, 홈페이지 등 개인정보처리시스템에 대한 접근 권한은 업무 수행에 필요한 최소한의 범위로 차등 부여 - 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었을 경우 지체 없이 개인정보처리시스템 접근 권한을 변경 또는 말소 - 접근권한의 부여, 변경, 말소에 대한 내역은 최소 3년간 기록·보관 (개인정보처리시스템에서 기록·보관 구현이 안 될 경우, 수기대장에 기록하여 결재 후 보관 가능) - 사용자 계정은 개인정보취급자별로 발급, 다른 개인정보취급자와 공유되지 않도록 조치 - 홈페이지 관리자페이지는 외부 인터넷에 공개 및 접속되지 않도록 조치 - 비밀번호는 ‘서울특별시교육청 정보보안 기본지침 제74조(비밀번호 관리)’작성규칙을 준수하며, 정기적으로 변경하여 사용 ❑ 접근 통제 - 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 다음의 기능을 포함한 조치 • 개인정보처리시스템에 대한 접속권한을 IP·MAC주소 등으로 제한하여 인가받지 않은 접근 제한 • 개인정보처리시스템에 접속한 IP·MAC주소 등을 분석하여 불법적 개인정보 유출시도 탐지 및 대응 - 외부에서 개인정보처리시스템 접속 시 가상사설망(VPN) 또는 전용선 등 안전한 접속 수단 및 인증수단 적용 - 개인정보취급자가 일정시간 이상 업무를 처리하지 않는 경우 자동으로 시스템 접속 차단 조치 - 업무용 모바일 기기의 분실, 도난 등으로 개인정보가 유출되지 않도록 해당 모바일 기기에 비밀번호 설정 등의 조치 ❑ 자체 운영하는 개인정보처리시스템 접속기록의 보관 및 점검 - 개인정보취급자가 개인정보처리시스템에 접속한 기록을 보관(1년 이상) ※ 접속기록(5): 계정, 접속일시, 접속지정보, 처리한정보주체정보, 수행업무 ※ 보관기간: 1년이상 보관·관리, 다만, 5만 명 이상의 정보주체에 관한 개인정보를 처리하거나, 고유식별정보 또는 민감정보를 처리하는 경우 2년 이상 보관·관리 - 개인정보처리시스템의 접속기록 점검: 월 1회 이상 - 개인정보처리시스템의 접속기록 점검결과 분석 및 후속조치 이행 - 개인정보를 다운로드 한 것이 발견되었을 경우 내부관리계획으로 정하는 바에 따라 그 사유를 반드시 확인 ❑ 악성프로그램 등 방지 - 악성 프로그램 등을 방지·치료할 수 있는 백신 소프트웨어 등의 보안 프로그램을 설치·운영 • 보안 프로그램의 자동업데이트 기능 사용 또는 일 1회 이상 업데이트를 실시하여 최신의 상태 유지 • 악성 프로그램 관련 경보가 발령된 경우 또는 사용 중인 응용프로그램이나 운영체제 소프트웨어의 제작업체에서 보안업데이트 공지가 있는 경우 즉시 업데이트 실시 • 발견된 악성프로그램 등에 대해 삭제 등 대응 조치 ❑ 관리용 단말기의 안전조치 - 개인정보 유출 등 개인정보 침해사고 방지를 위하여 관리용 단말기에 대해 다음의 안전조치 이행 • 인가 받지 않은 사람이 관리용 단말기에 접근하여 임의로 조작하지 못하도록 조치 • 본래 목적 외로 사용되지 않도록 조치 • 악성프로그램 감염 방지 등을 위한 보안조치 적용 ❑ 물리적 접근 방지 - 개인정보를 대량 보관하는 전산실 및 자료보관실 등 물리적 보관 장소를 별도로 가지고 있을 경우, 출입통제 운영 및 출입기록 보관 - 개인정보가 포함된 서류, 보조저장매체 등을 잠금장치가 있는 안전한 장소에 보관 - 개인정보가 포함된 보조저장매체의 반□출입 통제를 위한 보안대책 마련

	벌칙 과태료
‣ 안전성 확보조치 의무 위반(법 제29조 위반): 3천만원 이하 과태료[법 제75조제2항제5호]

	참고
‣ 개인정보처리시스템 권한 관리대장(예시) ‣ 개인정보처리시스템 접속기록 자체점검 결과 보고(기안문) ‣ 개인정보처리시스템 접속기록 점검표(예시)

예시		개인정보처리시스템 권한 관리대장

※ 시스템 별로 관리대장 작성：N개의 시스템, N개의 관리대장

“○○○시스템” 접근권한 관리대장

* 종류：시스템DB, 관리자 페이지, 어플리케이션, 게시판 관리자 등등

연번	이름	ID	권한			담당자 (서명)	개인정보보호 (분야별)책임자 (서명)
			종류*	부여일시	말소일시
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15

예시		○○○시스템 개인정보 접속기록 자체점검 결과 보고(자체구축시스템)

다양성이 꽃피는 공존의 혁신미래교육
		○○○학교
수신자	내부결재
(경유)
제목	(OO월) ○○○시스템 개인정보 접속기록 자체점검 결과 보고

1. 관련

가. 개인정보 보호법 제29조(안전조치의무), 동법시행령 제30조(개인정보의 안전성확보조치)

나. (개인정보보호위원회)개인정보의 안전성 확보조치 기준(제8조 접속기록의 보관 및 점검)

2. ○○월 ○○○시스템 개인정보 접속기록 자체점검 결과를 붙임과 같이 보고합니다.

가. 시스템명: ○○○시스템

나. 점검기간: 202○.1.1. ~ 202○. 1.31.(월점검)

다. 특이사항: (해당시)

라. 후속조치: 점검결과에 따른 후속조치 작성 또는 “이상없음”

붙임  ○○○시스템 접속기록 점검표(○월) 1부.  끝.

★									교장
협조자
시행	○○학교-0000	(	0000. 00. 00.	)	접수		(		)
우	00000	서울특별시 ○○○○○○	/	http://www.
전화	02-000-0000	/전송	02-000-0000	/	○○○@○○○	/	비공개(7)

예시		개인정보처리시스템 접속기록 점검표

“○○○시스템” 접속기록 점검표

점검일자：

결재	담당자	확인자

부서명		대상기간
점검항목		점검 결과 (O,X)	특이사항 (계정, 파일명 등)		조치 결과
1. 개인정보를 업무목적 외 생성 및 과다 생성 여부
2. 개인정보를 업무목적 외 조회 및 과다 조회 여부
3. 개인정보를 업무목적 외 과다 수정 여부
4. 개인정보를 업무목적 외 삭제 및 과다 삭제 여부
5. 개인정보를 업무목적 외 출력 및 과다 출력 여부
6. 개인정보를 업무목적 외 다운로드 및 과다 다운로드 여부
7. 평일 업무시간 이외의 시간에 개인정보를 과다 처리 여부
8. 심야시간대에 개인정보를 과다 처리 여부
9. 공휴일, 휴일 등에 개인정보 처리 여부
10. 동 시간대 동일 ID, 다른 IP 대역으로 접속 여부
11. 취급자의 인가된 업무범위 외 과도한 접속 시도 여부
12. 주민등록번호 검색 등이 가능한 조회 화면을 이용하여 업무목적 외 처리 및 과다 처리 여부

※ 점검항목은 시스템 처리업무에 맞게 가감하여 사용 가능