개인정보 안전성 확보조치 (2. 접근 권한 관리)

• 개인정보처리시스템에 대한 접근 권한 부여 시 개인정보취급자에게만 업무수행에 필요한 최소한의 범위로 차등 부여
• 개인정보취급자 또는 개인정보취급자의 업무가 변경되었을 경우, 지체 없이 개인정보처리시스템의 접근 권한을 변경 또는 말소 (*업무가 변경되었을 경우에도 해당 업무에 맞도록 적절한 권한 관리 필요)

*업무가 변경된 경우의 예는 조직 내 임직원의 전보, 퇴직, 휴직 등 인사이동, 조직 변경, 업무 조정 등

• 권한 부여, 변경 또는 말소 내역 기록 및 최소 3년간 보관 (안전성 확보조치와 기술적/관리적 보호조치에서 서로 상이하던 부분이 통일)
• 개인정보처리시스템에 접근할 수 있는 계정 발급 시, 정당한 사유가 없는 한 개인정보취급자 별로 계정 발급 (정당한 사유란 root 등 기술적으로 개별 발급이 불가능한 경우를 의미함)
• 다른 개인정보취급자와 계정 공유 금지
• 개인정보취급자 또는 정보주체의 인증수단을 안전하게 적용, 관리 (서비스 제공 환경에 따라 적합한 인증수단 적용이 필요하며 인증수단의 예: 비밀번호, 생체인증, 소셜 로그인, SMS 인증 등)
• 정당한 권한을 가진 개인정보취급자 또는 정보주체만이 개인정보처리시스템에 접근할 수 있도록 일정 횟수 이상 인증에 실패한 경우 개인정보처리시스템에 대한 접근을 제한하는 등 필요한 조치 적용