				★ ◎									본부장직무대행 방침 제186호
문서번호	정보시스템부-2197			부 원			부원			정보시스템부장			경영지원처장			경영지원본부장직무대행
보존기간	10년																06/27
				강구병			김병건			곽정호			박완수			박완수
결재일자	2019.06.27
공개여부	공개			협조
일상감사	대상아님
보조제목을 입력하는곳 입니다
2019년 개인정보 내부관리계획 이행실태 점검 결과
		서울주택도시공사
(경영지원본부 정보시스템부)

사전 검토항목

■ 해당사항이 있는 부분에 ‘√’ 표시하시기 바랍니다. (※ 비고 : 필요시 의견 입력 가능)

구 분	사전 검토사항 점검 사항	검토 완료	해당 없음	비고
사 회 적 가 치	▶ 사회적 가치에 관한 사항을 검토하였습니까? 예) 일자리 확대, 주민참여, 윤리경영, 노사상생, 지역사회 공헌활동, 사회적 약자배려, 청렴 등
고 객 만 족 도	▶ 고객만족도 향상을 검토하였습니까? 예) 고객 및 주민참여, 주거만족도, 하자관리 등
사전협의	▶ 이해당사자와 충분한 협의를 하였습니까? 예) 공사내 관련부서, 중앙부처, 시 자치구, 민간단체 등
전 문 가 자 문	▶ 관련 전문가 의견을 반영하였습니까? 예) 변호사 등 전문가 자문, 자문위원회, 타당성 검토 등
업무개선	▶ 업무개선 사항이 있는지 검토하였습니까? 예) 법령개정, 제도개선 등
홍 보	▶ 사업 홍보 방안을 검토하였습니까? 예) 보도자료, 설명회 등
안 전	▶ 안전 위험요인과 안전대책을 검토하였습니까? 예) 시설물 점검, 재난·안전관리 등
통 합 경영공시	▶ 지방공기업법에 의한 경영정보 통합경영공시 항목에 해당하는지를 검토하였습니까? 예) 지방공기업법 제46조 제3항 및 시행령 제44조의 2
결재문서 공 개	▶ 공개여부를 “비공개”로 설정했다면 법적근거를 명확히 검토하였습니까? 예) 정보공개법 제9조 제1항 제1호~제8호
바 른 우 리 말	▶ 불필요한 외국어․외래어 표현 대신 바른 우리말을 사용하였습니까? 예) 스페이스, 플랜, 앵커시설, 거버넌스, 인큐베이팅, 매칭 등

개인정보 내부관리계획 이행실태 점검 결과

개인정보보호 수준 점검 및 문제점 도출을 위하여 실시한 2019년

개인정보 내부관리계획 이행실태 점검 결과를 보고함

Ⅰ

점검 근거 및 현황

❍ 관련 근거

∙ 행정안전부고시 개인정보 안전성 확보조치 기준 제4조 제4항

∙ 정보시스템부-1446(2017.05.10.)“개인정보 내부관리계획 이행실태

점검 계획(안)”

∙ 정보시스템부-2062(2019.06.19.)“개인정보 내부관리계획 이행실태 점검 요청”

❍ 대     상 : 전 부서 및 센터

❍ 점검 절차 및 방법

① 내부관리계획 이행실태 체크리스트(정보시스템부, 전 부서 및 센터)를

통한 자체점검 실시

② 점검 실시 후 미흡사항 도출 시 부서 자체 개선 또는 필요 시 정보시

스템부와의 협업을 통한 개선 실시

③ 개인정보 내부관리계획 이행실태 현장점검 실시

∥

점검 결과

❍ 정보시스템부 체크리스트(20개 분야 39개 항목)

∙ 세부 점검 내용(자료)은 붙임1“내부관리계획 이행실태 점검표

(정보시스템부)”참조

분 야 (내부관리계획 조항)	점검 항목	점검 결과 (○,△,×)
제4조 (내부 관리계획의 수립‧시행)	1. 필수사항을 포함하는 내부관리계획 수립‧시행 여부	○
	2. 중요한 변경 사항이 있는 경우 즉시 반영 및 수정이력 관리 여부	○
제5조 (내부 관리계획의 공표)	3. 내부관리계획의 공표 및 언제든 열람할 수 있는 방법으로 비치 여부	○
제6조 (개인정보보호 조직구성)	4. 개인정보보호 보호책임자를 포함하는 개인정보보호 조직구성 여부	○
제7조 (역할 및 업무)	5. 개인정보보호 각 담당자별 업무 구분 여부	○
제8조 (개인정보보호 책임자의 공개)	6. 개인정보보호 책임자의 정보공개 여부	○
제9조 (개인정보보호 교육계획의 수립)	7. 연간 개인정보보호 교육계획 수립 여부	○
제10조 (개인정보보호 교육계획의 이행)	8. 전 임직원을 대상으로 매년 정기적으로 2회 이상 개인정보보호 교육 실시 여부	○
제11조 (접근권한의 관리)	9. 전보‧퇴직 등 인사이동으로 취급자가 변경될 경우 접근권한 변경 또는 말소 여부	○
	10. 접근권한의 부여‧변경‧말소 내역의 기록관리 및 최소 3년간 보관 여부	○
	11. 안전한 비밀번호 작성규칙의 수립‧적용 여부	○
	12. 비밀번호 일정 횟수 이상 잘못 입력한 경우 접근 제한 등 기술적 조치 여부	○
	13. 비밀번호 반기별 1회 이상 변경 조치 여부	○
제12조 (접근통제)	14. 개인정보처리시스템에 불법적 접근 및 침해사고 방지를 위한 시스템 설치‧운영 여부	○
	15. 외부에서 정보통신망을 통한 접속 시 가상사설망, 전용선 등 안전한 접속수단 제공 여부	○
	16. P2P, 웹하드 등 비인가 프로그램, 공유 설정 등에 대한 접속 차단 실시 여부	○
	17. 인터넷 홈페이지의 개인정보 노출 방지를 위한 연1회 이상 취약점 점검 및 필요한 보완조치 여부	○
	18. 개인정보처리시스템에서 일정시간 업무처리를 하지 않는 경우 시스템 접속 차단조치 여부	○
제13조 (개인정보의 암호화)	19. 비밀번호의 내부 저장 시 일방향 암호화 조치 여부	○
	20. 고유식별정보의 인터넷과 내부망의 중간지점(DMZ) 저장 시 암호화 조치 여부	○
	21. 안전한 암호키 생성,이용,보관 등의 관한 절차 수립‧시행 여부	○
제14조 (접속기록의 보관 및 점검)	22. 취급자의 접속기록을 최소 6개월 이상 보관‧관리 여부	○
	23. 개인정보처리시스템의 접속기록을 반기별로 1회 이상 점검 여부	○
	24. 접속기록이 위‧변조 및 도난, 분실되지 않도록 접속기록의 안전하게 보관 여부	○
제15조 (악성프로그램 등 방지)	25. 보안 프로그램의 설치‧운영 여부	○
	26. 보안 프로그램의 자동 업데이트 또는 일 1회 이상 업데이트 실시 여부	○
	27. 발견된 악성프로그램 등에 대해 삭제 등 대응조치 여부	○
제16조 (관리용 단말기의 안전조치)	28. 관리용 단말기 안전조치 여부	○
	29. 인가된 인원만 관리용 단말기 접근조치 여부	○
	30. 본래 목적 외로 사용되지 않도록 조치 여부	○
	31. 악성프로그램 감염방지 등 보안조치 적용	○
제17조 (물리적 안전조치)	32. 전산실 등 물리적 보관 장소에 대한 물리적 접근방지를 위한 보호조치 여부	○
제18조 (개인정보 유출사고 대응 계획)	33. 개인정보 유출사고 대응계획 마련 여부	○
제19조 (재해재난 대비 안전조치)	34. 재해 및 재난발생 시 대응절차 마련 여부	○
	35. 재해 및 재난발생 시 개인정보처리시스템 백업 및 복구 계획 마련 여부	○
제22조 (실태점검 주기 및 절차)	36. 내부관리 계획 이행실태 점검 연1회 이상 실시 여부	○
제23조 (점검 결과 반영)	37. 내부관리 계획 이행실태 점검 후 문제점 발견 시 시정·개선 조치 여부	○
제24조 (개인정보 영향평가)	38. 개인정보 취급 업무의 신규 기획, 개발 또는 변경될 경우 개인정보 영향평가 수행여부 파악 및 수행	○
제25조 (개인정보 흐름분석)	39. 개인정보 관련 업무 및 서비스를 분석하여 목록 으로 관리 및 개인정보 흐름파악 여부	○

❍ 전 부서 및 센터 체크리스트(5개 분야 9개 항목)

분 야 (내부관리계획 조항)	세부 점검 항목	점검 결과 (○,△,×)
제11조 (접근권한의 관리)	1. 업무시스템에 대한 접근권한을 필요 최소한의 범위로 업무 담당자에 따라 차등 부여 여부	○
	2. 취급자별 계정(기타사용자) 발급 및 계정 비공유 준수여부	○
제13조 (개인정보의 암호화)	3. 고유식별정보, 비밀번호, 바이오정보를 외부 송‧수신 하거나 보조저장매체 저장 시 암호화 조치 여부 ※ 각 부서원 개인 점검 실시	○
	4. 고유식별정보 내부망 또는 업무용 컴퓨터에 저장 시 암호화 조치 적용 여부 ※ 각 부서원 개인 점검 실시	○
제17조 (물리적 안전조치)	5. 개인정보가 포함된 서류, 보조저장매체 등을 잠금장치가 있는 안전한 장소 보관 여부	△ (주택정비사업부, 성동주거복지 센터 개선 예정)
	6. 개인정보의 물리적 접근방지를 위한 별도의 보호시설 에 출입 시 출입자에 대한 출입사실 및 열람내용에 관한 관리대장 작성 여부	○
제20조 (개인정보의 파기)	7. 개인정보 파기 시 복구 또는 재생되지 않도록 조치 여부	○
제21조 (개인정보의 위탁처리)	8. 개인정보의 처리를 위탁하는 경우 업무위탁 계약서에 필수항목(7개) 포함 여부	○
	9. 수탁자에 대한 교육 실시 및 관리‧감독 여부	○

❍ 점검 총평 : 내부관리계획 이행실태 점검결과 전 항목에서 대체로

양호하였으나 개인정보 서류 등 보관 시 잠금장치가 있는 안전한

장소에 미보관하는 미흡점이 도출되어 해당부서 자체개선 요청

Ⅲ

추후 계획

❍ 행정안전부「개인정보의 안전성 확보조치 기준(고시)」개정에 따라

공사 개인정보 내부관리계획 개정 및 개인정보 내부관리계획 이행

실태 점검 계획”변경

❍ 개인정보의 안전성 확보조치 기준 주요 개정사항

① 접속기록의 기록항목 구체화

· 접속기록에 기록하여야 하는 항목을 육하원칙에 따라 보다 구체적으로

명시하여 규정

② 접속기록 보관기간을 최소 1년 이상 보관하도록 차등적 연장

· 6개월 이상 → 모든 개인정보처리시스템은 1년 이상, 다만, 5만명 이상

개인정보를 처리하거나 고유식별정보나 민감정보를 처리하는 시스템은 2년 이상

· 모든 개인정보처리시스템에 대하여 2022년부터 생성되는 접속기록은 3년 이상,

2025년부터 생성되는 접속기록은 5년 이상으로 보존기간을 연장

③ 접속기록 점검에 관한 사항 개선

· 내부 관리계획 이행실태 점검에 접속기록에 관한 사항 포함

· 접속기록 점검 주기 단축 : 반기별 1회 이상 → 월 1회 이상

· 개인정보를 다운로드한 경우 그 사유를 반드시 확인(신설)

❍ 개인정보 내부관리계획 이행실태 현장점검 실시

∙ 현장점검반 구성 : 정보시스템부 개인정보보호 업무 담당인력

∙ 점검 일정 : 2019년 하반기 중 실시

∙ 점검 대상 : 미흡 부서 및 개인영상정보를 포함한 개인정보

이용·보관 주요 부서

∙ 점검 내용: 방문하여 자체 점검결과 적정성 및 미흡사항 개선 확인,

개인정보보호 준수현황 확인 및 수준 향상을 위한 가이드

붙임  내부관리계획 이행실태 점검표(정보시스템부).  끝.