개인정보 안전성 확보조치(법 제29조) 체크리스트

《 개인정보 관리 현황 》

정보주체 수		000,000건 (000,000명)
개인정보파일 수		00개
개인정보처리시스템 수		00식
고유식별정보 보유 현황		□주민등록번호 □여권번호 □외국인등록번호 □운전면허
		전체 정보주체 수 000건 (000명)
비 고

□ 개인정보처리시스템 현황

개인정보 처리시스템명	개인정보 파일명(DB명)	정보주체 수 (명)	처리하는 개인정보 항목 ※ 필수/선택 구분	민감정보 및 고유식별정보 처리 여부	비고
TM시스템	TM 고객정보	5,000,999건 (100,999명)	(필수) 고객명,연락처 등 (선택) 주소, 건강	‧민감정보(건강)
대표홈페이지시스템	홈페이지 회원정보	건수 확인불가 (100,999명)	(필수) 이름, 성명, 아이디, 비밀번호 CI (선택) 자택주소	‧처리하지 않음
예약관리시스템	비회원 구매내역	1.000,999건 (10,999명)	(필수) 이름, 성명, 카드번호, 주소, 이메일주소, 연락처	‧고유식별정보(주민등록번호)
예약정보	예약정보	건수 확인불가 5,999,999명	(필수) 영문이름, 한글이름, 연락처, 여권번호, 주민번호 (선택) 건강	‧고유식별정보(여권정보,주민등록번호)

개인정보처리시스템 자율 점검

∘ 개인정보처리시스템에 불법적인 접근 및 침해사고 방지 등을 위해 접근 제한 및 접근 통제를 위한 접근통제를 위한 시스템을 구축·운영하거나, 개인정보가 유출·변조·훼손되지 않도록 연 1회 이상 취약점을 점검하고 필요한 보호조치를 하여야 한다.(법 제29조, 시행령 제30조, 개인정보의 안전성 확보조치 기준 제6조)

∘ 개인정보를 정보통신망을 통하여 송신 또는 보조저장매체를 통해 전달하는 경우에는 암호화 등을 하여야 하고, DB 또는 파일 등으로 저장하는 경우에는 안전한 암호화 알고리즘을 사용하여 암호화한 후 저장·관리하여야 한다.(법 제29조, 시행령 제30조, 개인정보의 안전성 확보조치 기준 제7조)

개인정보처리시스템 자율 점검표

점검 항목

세부 점검 내용

양호

개선
필요

해당

없음

개선 기한

(개선필요
해당 시)

1

내부 관리계획 수립‧시행 여부 [필수 15개 항목]

2

내부 관리계획의 이행 실태를 연 1회 이상으로 점검·관리하는지 여부

3

접근권한 관리 정책서 보유 여부[필수사항 반영 여부]

① 접근권한 정의 및 업무분장, 책임 및 역할

② 권한 부여 기준(업무담당자별(1인 1계정) 차등 부여, 말소 기준 등)

③ 권한 부여·변경·말소 절차 및 방법

4

접근권한의 부여‧변경‧말소 내역을 기록 및 관리하고, 최소 3년간 보관하는지 여부

5

안전한 비밀번호 작성규칙을 수립 및 적용하는지 여부

6

계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력한 경우 개인정보처리시스템에 대한 접근을 제한하는 등의 기술적 조치 여부

7

개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하거나 접속한 IP주소 등을 분석하여 개인정보 유출 시도 탐지 및 대응 여부

※ 관리자페이지 외부 노출 여부

8

외부에서 개인정보처리시스템에 접속하려는 경우, 안전한 접속수단* 또는 안전한 인증수단을 적용하는지 여부

*  VPN 또는 전용선

9

고유식별정보를 처리하는 경우 인터넷 홈페이지를 통해 고유식별정보가 유출·변조·훼손되지 않도록 연 1회 이상 취약점 점검 여부

10

개인정보취급자가 일정시간 이상 업무처리를 하지 않는 경우에는 자동으로 시스템 접속이 차단되도록 하는지 여부

11

고유식별정보, 비밀번호, 생체인식정보를 정보통신망을 통하여 송신하거나, 보조저장매체 등을 통하여 전달하거나, 저장하는 경우 안전한 암호 알고리즘으로 암호화하는지 여부

12

비밀번호 저장 시 일방향 암호화(해쉬함수) 적용 여부

13

고유식별정보를 인터넷과 내부망의 중간지점(DMZ) 및 내부망에 저장하는 경우 암호화 조치 적용 여부

14

안전한 키 생성, 이용, 보관, 배포 및 파기 등에 관한 절차의 수립·시행 여부

※ 10만명 이상의 개인정보를 보유한 공공기관(강화유형)만 해당

15

개인정보취급자의 접속기록을 최소 1년 이상 보관·관리하고, 위ㆍ변조 및 도난, 분실되지 않도록 안전하게 보관 하는지 여부

※ 5만명 이상 또는 고유식별정보나 민감정보의 경우, 2년 이상 보관

16

개인정보취급자의 접속기록에 필수 항목(5개)을 포함하여 기록·관리하고 있는지 여부

※ 계정/접속일시/접속지 정보/수행업무/처리한 정보주체의 정보

17

월 1회 이상 접속기록 점검 여부(다운로드가 있을 경우 사유 확인 여부)

18

보안 프로그램(백신)을 자동 업데이트 또는 1일 1회 이상 업데이트하여 최신 상태로 유지하고, 악성 프로그램 등에 대해 즉시 대응 조치하고 있는지 여부

19

관리용 단말기에 대한 안전조치 여부

20

물리적 보관 장소의 안전조치 여부

21

개인정보 침해사고 대응 절차서[필수 4가지 사항 반영 여부] 수립 및 전파 여부

① 개인정보 침해 유형별 정의(유출, 노출 등)

② 업무 절차(침해사고 인지, 경위 조사, 확산 방지 등)

③ 업무 분장(개인정보 보호책임자, 개인정보 보호담당자, 개인정보취급자 등)

④ 신고 및 피해구제 방법(유출 신고, 통지 등)

22

재해·재난 발생 시 개인정보처리시스템 보호를 위한 위기대응 매뉴얼 등 대응절차 마련·점검 및 전파 여부

※ 10만명 이상의 개인정보를 보유한 공공기관(강화유형)만 해당

① 개인정보처리시스템 구성 요소(개인정보 보유량, 종류·중요도, 시스템 연계 장비·설비 등)

② 재해·재난 등에 따른 파급효과(개인정보 유출, 손실, 훼손 등) 및 초기대응 방안

③ 개인정보처리시스템 백업 및 복구 우선순위, 목표시점·시간

④ 개인정보처리시스템 백업 및 복구 방안(복구센터 마련, 백업계약 체결, 비상가동 등)

⑤ 업무분장, 책임 및 역할

⑥ 실제 발생 가능한 사고에 대한 정기적 점검, 사후처리 및 지속관리 등

23

재해·재난 발생 시 개인정보처리시스템 백업 및 복구를 위한 계획 마련 여부

※ 10만명 이상의 개인정보를 보유한 공공기관(강화유형)만 해당

24

개인정보 파기 시 복구가 불가능한 방법*으로 파기하고 있는지 여부

* 완전파괴(소각·파쇄 등), 전용 소자장비, 데이터 초기화 등

□ 개인정보처리시스템명 (서비스명) ※ 개인정보처리시스템(서비스)별 점검 필요