확보조치9 개인정보 안전성 확보조치 (9. 출력 복사 시 안전조치) 개인정보처리시스템에서 개인정보의 출력시(인쇄, 화면표시, 파일생성 등) 용도를 특정 용도에 따라 출력 항목을 최소화 개인정보가 포함된 종이 인쇄물, 개인정보가 복사된 외부 저장매체 등 개인정보의 출력ㆍ복사물을 안전하게 관리하기 위해 필요한 안전조치 기술적 관리적 보호조치에만 존재하던 조항이 모든 개인정보처리자에게 적용 2023. 11. 29. 개인정보 안전성 확보조치 (8. 재해 재난 대비 안전조치) 화재, 홍수, 단전 등의 재해ㆍ재난 발생 시 개인정보처리시스템 보호를 위해 다음 조치 적용 위기대응 매뉴얼 등 대응절차를 마련하고 정기적으로 점검 개인정보처리시스템 백업 및 복구를 위한 계획을 마련 안전성 확보조치에만 존재하던 조항을 모든 개인정보처리자에게 적용하도록 개정 대상 10만명 이상의 정보주체에 관하여 개인정보를 처리하는 대기업ㆍ중견기업ㆍ공공기관 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 중소기업ㆍ단체 2023. 11. 29. 개인정보 안전성 확보조치 (7. 물리적 안전조치) 전산실, 자료보관실 등 개인정보를 보관하고 있는 물리적 보관 장소를 별도로 두고 있는 경우에는 이에 대한 출입통제 절차를 수립ㆍ운영 개인정보가 포함된 서류, 보조저장매체 등을 잠금장치가 있는 안전한 장소에 보관 개인정보가 포함된 보조저장매체의 반출ㆍ입 통제를 위한 보안대책 마련 별도의 개인정보처리시스템을 운영하지 아니하고 업무용 컴퓨터 또는 모바일 기기를 이용하여 개인정보를 처리하는 경우, 예외 가능 기존 안전성 확보조치와 기술적 관리적 보호조치와 유사 2023. 11. 29. 개인정보 안전성 확보조치 (5. 접속기록의 보관 및 점검) 개인정보취급자의 개인정보처리시스템에 대한 접속기록을 1년 이상 보관ㆍ관리 다음의 경우에는 2년 이상 보관ㆍ관리 (안전성 확보조치와 기술적 관리적 보호조치에 존재하던 예외 조항 통합) 5만명 이상의 정보주체에 관한 개인정보를 처리하는 개인정보처리시스템에 해당하는 경우 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템에 해당하는 경우 개인정보처리자로서 「전기통신사업법」제6조제1항에 따라 등록을 하거나 같은 항 단서에 따라 신고한 기간통신사업자에 해당하는 경우 개인정보의 오ㆍ남용, 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검 개인정보 다운로드가 확인된 경우, 내부 관리계획 등으로 정하는 바에 따라 사유 확인 접속기록이 위ㆍ변조 및 도난,.. 2023. 11. 29. 개인정보 안전성 확보조치 (3. 접근통제) 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 다음의 안전조치를 적용 개인정보처리시스템에 대한 접속 권한을 인터넷 프로토콜(IP) 주소 등으로 제한하여 인가받지 않은 접근을 제 한 개인정보처리시스템에 접속한 인터넷 프로토콜(IP) 주소 등을 분석하여 개인정보 유출 시도 탐지 및 대응 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 인증서, 보안토큰, 일회용 비밀번호 등 안전한 인증수단 적용 (다만, 이용자가 아닌 정보주체의 개인정보를 처리하는 개인정보처리시스템의 경우 가상사설망 등 안전한 접속수단 또는 안전한 인증수단 적용 가능) -> (기술 중립적으로 다양한 조치가 가능하도록 개선) 기술적 관리적 보호조치 기준의 비밀번호 작성 규칙 관련 조항은 삭제되었으나 안전.. 2023. 11. 29. 개인정보 안전성 확보조치 (2. 접근 권한 관리) 개인정보처리시스템에 대한 접근 권한 부여 시 개인정보취급자에게만 업무수행에 필요한 최소한의 범위로 차등 부여 개인정보취급자 또는 개인정보취급자의 업무가 변경되었을 경우, 지체 없이 개인정보처리시스템의 접근 권한을 변경 또는 말소 (*업무가 변경되었을 경우에도 해당 업무에 맞도록 적절한 권한 관리 필요) *업무가 변경된 경우의 예는 조직 내 임직원의 전보, 퇴직, 휴직 등 인사이동, 조직 변경, 업무 조정 등 권한 부여, 변경 또는 말소 내역 기록 및 최소 3년간 보관 (안전성 확보조치와 기술적/관리적 보호조치에서 서로 상이하던 부분이 통일) 개인정보처리시스템에 접근할 수 있는 계정 발급 시, 정당한 사유가 없는 한 개인정보취급자 별로 계정 발급 (정당한 사유란 root 등 기술적으로 개별 발급이 불가능한.. 2023. 11. 29. 개인정보 안전성 확보조치 (1. 내부 관리계획과 교육) 개인정보보호법 시행 2023.09.15 반영 I. 개인정보 안전성 확보조치(내부 관리계획)의 개요 가. 개요 -개인정보처리자는 개인정보의 안전성 확보를 위해 기술적, 관리적, 물리적 안전조치 세부추진방안을 포함한 내부 관리계획을 수립/시행하여야 함 -1만명 미만의 정보주체에 관하여 개인정보를 처리하는 소상공인/개인/단체 등은 생략 가능 II. 내부 관리계획의 포함 내용 개인정보 보호 조직의 구성 및 운영에 관한 사항 개인정보 보호책임자의 자격요건 및 지정에 관한 사항 (CPO와 정보통신망법 제45조의3 CISO는 동일인 지정 또는 별도 지정 가능) 개인정보 보호책임자와 개인정보취급자의 역할 및 책임에 관한 사항 개인정보취급자에 대한 관리ㆍ감독 및 교육에 관한 사항 접근 권한의 관리에 관한 사항 접근 통제.. 2023. 11. 29. 개인정보 안전성 확보조치 규정 개정 1. 개인정보보호법 안전성 확보조치 개정의 개요 -개인정보보호법 제29조 안전조치의무의 개정에 따른 안전성 확보조치의 현황 정리 -2023년 9월 22일 일부개정 사항에 대한 정리 2. 확보조치 개정의 배경 : -안전조치 기준이 모든 개인정보처리자에게 동일하게 적용되도록 일원화 -클라우드 확산, 인증수단 다양화 등 기술변화 반영 -개인정보의 안전조치를 위한 다양한 기술 도입 가능하도록 기술 종속적인 규정을 중립적으로 개정 -일반규정과 특례규정 간 유사/상이한 조항의 통합 *이용자 : 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제4호에 따른 정보통신서비스 제 공자가 제공하는 정보통신서비스를 이용하는 자를 의미함 **정보주체 : 처리되는 정보에 의해 알아볼 수 있는 사람 (그 정보의 주체.. 2023. 11. 29. 개인정보의 안전성 확보조치 기준 개정안 요약 (23년 09월) 1. 개인정보 안전성 확보조치 기준 일부개정 사항의 취지 -개인정보 보호법 시행령의 정보통신서비스 특례규정(영 제48조의2)이 일반규정(영 제30조)으로 통합됨에 따라 「개인정보의 안전성 확보조치 기준」과 「개인정보의 기술적·관리적 보호조치 기준」을 통합 -「개인정보 보호법 시행령」의 제48조의2(개인정보의 안전성 확보 조치에 관한 특례)가 삭제됨에 따라 제48조의2 제3항에 따른 「(개인정보보호위원회) 개인정보의 기술적ᆞ관리적 보호조치 기준」 고시를 폐지 -개인정보 보호법 시행령에 공공시스템운영기관 등에 대한 특례 규정(영 제30조의2)이 신설 됨에 따라 고시 위임사항인 공공시스템 지정 기준 및 공공시스템운영기관의 안전조치 기준을 신설하여 공공시스템운영기관의 개인정보보호를 강화 2. 개정사항 (2단 비교) 2023. 8. 8. 이전 1 다음
