문서번호	정보통신보안담당관-12435
결재일자	2018.6.21.
공개여부	부분공개(5)
방침번호

			시 민
실무사무관		개인정보보호팀장	정보통신보안담당관
여인선		도찬구	06/21 김완집
협조	지출팀장		代목기료
	주무관		조수정

- 개인정보 침해 위험요인의 분석과 개선사항 도출을 위한 -

지방재정관리시스템 개인정보 영향평가 완료보고

2018. 6

정 보 기 획 관

(정보통신보안담당관)

- 개인정보 침해 위험요인의 분석과 개선사항 도출을 위한 -

지방재정관리시스템 개인정보 영향평가 완료보고

지방재정관리시스템(e-호조)에 대한 개인정보 침해사고 예방 등 개인정보 관리체계를 강화하고자 개인정보 영향평가를 수행하고 그 결과를 보고함

개인정보 영향평가(Privacy Impact Assessment) : 개인정보를 활용하는 새로운 정보시스템의 도입 및 기존 정보시스템의 중요한 내용변경시, 시스템의 구축·운영이 기업의 고객은 물론 국민의 프라이버시에 미칠 영향에 대해 미리 조사·분석·평가하는 체계적인 절차를 말함

□  관련근거

○ 개인정보 보호법 제33조(개인정보 영향평가)

○ 개인정보 보호법 시행령 제35조(개인정보 영향평가 대상)

○ 개인정보 영향평가에 관한 고시(행정안전부고시 제2017-9호, ‘17.9.25)

□ 사업개요

○ 사 업 명 : 지방재정관리시스템(e-호조) 개인정보 영향평가 용역

○ 사업기간 : ‘18. 5.24 ~ ’18. 6.22

○ 소요예산 : 9,310천원 (계약업체 : 소만사)

○ 대    상 : 지방재정관리시스템(e-호조) 개인정보파일

시스템명	파일명(5)	개인정보	보유기간	개인정보 항목	비 고
지방재정 관리시스템 (e-호조)	지출관리, 세입세출외 현금, 계약관리, 채권관리, 기금수입	337,765명	5년 (‘14.2.5.등록)	주민번호, 이름, 주소, 계좌번호, 핸드폰 등	5만명 이상 고유식별정보 포함

○ 평가항목 : 4영역 21분야 53항목

영 역	평가항목
대상기관 개인정보보호 관리체계(4)	① 개인정보보호 조직, ② 개인정보보호계획, ③ 개인정보 침해대응, ④ 정보주체 권리보장
대상시스템 개인정보보호 관리체계(3)	① 개인정보취급자관리, ② 개인정보파일관리, ③ 개인정보처리방침
개인정보 처리단계별 보호조치(5)	① 수집, ② 보유, ③ 이용·제공, ④ 위탁, ⑤ 파기
대상시스템의 기술적 보호조치(9)	① 접근권한 관리, ② 접근통제, ③ 개인정보의 암호화, ④ 접속기록의 보관 및 점검, ⑤ 악성프로그램 등 방지, ⑥ 물리적 접근방지, ⑦ 개인정보의 파기, ⑧ 기술적 보호조치, ⑨ 개인정보처리구역 보호

□ 개인정보 영향평가 결과 : 53항목 중 6항목 미흡(93.5%)

○ 평가항목별 이행 현황(전체)

평가영역	평가분야	항목 수	이행 (Y)	부분 이행 (P)	미이행 (N)	해당 없음 (N/A)	이행률 (%)
1. 대상기관 개인정보보호 관리체계	1.1 개인정보보호 조직	2	2	0	0	0	100%
	1.2 개인정보보호 계획	3	2	1	0	0	83%
	1.3 개인정보 침해대응	2	2	0	0	0	100%
	1.4 정보주체 권리보장	2	2	0	0	0	100%
	소 계	9	8	1	0	0	94%
2. 대상시스템의 개인정보보호 관리체계	2.1 개인정보취급자 관리	2	2	0	0	0	100%
	2.2 개인정보파일 관리	2	0	2	0	0	50%
	2.3 개인정보처리방침	2	1	1	0	0	75%
	소 계	6	3	3	0	0	75%
3. 개인정보 처리단계별 보호조치	3.1 수집	1	1	0	0	0	100%
	3.3 이용ㆍ제공	7	3	0	0	4	100%
	3.4 위탁	3	2	1	0	0	83%
	소 계	11	6	1	0	4	93%
4. 대상시스템의 기술적 보호조치	4.1 접근권한 관리	8	8	0	0	0	100%
	4.2 접근통제	6	3	0	0	3	100%
	4.3 개인정보의 암호화	2	2	0	0	0	100%
	4.4 접속기록의 보관 및 점검	3	2	1	0	0	83%
	4.5 악성프로그램 등 방지	2	2	0	0	0	100%
	4.6 물리적 접근방지	2	2	0	0	0	100%
	4.7 개인정보의 파기	1	1	0	0	0	100%
	4.9 개인정보처리구역보호	3	3	0	0	0	100%
	소 계	27	23	1	0	3	98%
합 계		53	40	6	0	7	93.5%

○ 미흡분야(개선과제) 상세내용 : 6항목 4과제

- 대상기관 개인정보보호 관리체계(1) : 내부관리계획 수립·시행

평가 영역	평가 분야	평가항목	평가 결과	법적 준거성	침해요인
대상 기관 개인 정보 보호 관리 체계	개인 정보 보호 계획	1.2.1 개인정보의 안전한 처리를 위한 내부관리계획을 수립ㆍ시행하고 있습니까?	부분 이행	O	‘16년 9월 개인정보 보호법 개정에 따른 내부관리계획 신규 포함 사항 일부가 반영되어 있지 않아 기관의 개인정보보호 정책체계 및 정보주체의 권익보장이 침해될 위험이 있음

- 대상시스템 개인정보보호 관리체계(3) : 개인정보파일 관리

평가 영역	평가 분야	평가항목	평가 결과	법적 준거성	침해요인
대상 시스템 개인 정보 보호 관리 체계	개인 정보 파일 관리	2.2.1 대상시스템에서 개인정보 파일을 신규로 보유하거나 변경하는 경우, 개인정보파일대장을 작성하거나 변경하도록 계획하고 있습니까?	부분 이행	O	지방재정관리시스템은 보유 중인 개인정보파일을 개인정보보호종합지원시스템(intra.privacy.go.kr)을 통해 등록하고 있으나, 제3자 제공에 대한 내용 등 일부 내용이 누락되어 있어 이에 대한 변경 등록이 필요함
		2.2.2 대상시스템에서 개인정보파일을 신규로 보유하거나 기존파일을 변경하는 경우, 행정안전부장관에게 등록하도록 계획하고 있습니까?	부분 이행	O
대상 시스템 개인 정보 보호 관리 체계	개인 정보 처리 방침	2.3.2 개인정보 처리방침은 법령 등에서 규정된 내용을 모두 반영하도록 계획하고 있습니까?	부분 이행	O	지방재정관리시스템의 개인정보 처리 위탁 및 제3자 제공에 관한 사항에 대한 공개가 누락되어 있어 이에 대한 기재가 필요함

- 개인정보 처리단계별 보호조치(1) : 개인정보 위수탁시 공개 또는 통지

평가 영역	평가 분야	평가항목	평가 결과	법적 준거성	침해요인
개인 정보 처리 단계별 보호 조치	위탁	3.4.1 개인정보 처리에 관한 업무 위탁시 위탁하는 업무의 내용, 수탁자 등의 사항을 정보주체에게 공개 또는 통지하도록 계획하고 있습니까?	부분 이행	O	지방재정관리시스템의 개인정보 처리 위탁에 관한 사항이 누락되어 있어 이에 대한 기재가 필요함 이는 개인정보처리 단계별 보호조치가 미흡하여 개인정보 유출 및 오·남용이 발생할 우려가 있음

- 대상시스템 기술적 보호조치(1) : 접속기록 보관 및 정기점검

평가 영역	평가 분야	평가항목	평가 결과	법적 준거성	침해요인
대상 시스템의 기술적 보호 조치	접속 기록 점검	4.4.2 개인정보의 유출ㆍ변조ㆍ훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록을 정기적으로 점검하도록 계획하고 있습니까?	부분 이행	O	지방재정관리시스템에 개인정보취급자의 접속기록에 대한 점검을 하지 않고 있음 개인정보 접속기록을 정기적으로 모니터링 하지 않는 경우 권한의 오남용 또는 목적 외 정보 열람에 대한 안전한 조치가 이루어지지 않아 개인정보 오ㆍ남용의 위험이 있음

개선 과제명	조치부서	상세내용
서울시 개인정보보호 내부관리계획 일부개정 (추가)	정보통신보안 담당관	개인정보보호법 개정사항 반영 개인정보보호 내부관리계획 개정(물리적 안전조치, 위험도분석 및 대응, 수탁자 관리감독 등)
지방재정관리시스템 보유 개인정보파일 변경 등록	재무과	행정안전부 개인정보종합지원시스템에 지방재정관리시스템 개인정보파일의 제3자 제공 사항 등에 대한 변경등록 수행
개인정보처리방침 일부개정(추가)	정보통신보안 담당관	지방재정관리시스템 개인정보처리 위탁 사항 및 제3자 제공 사항에 대한 내용을 추가 기재하여 개인정보 처리방침 개정
지방재정관리시스템 접속기록 점검 계획 수립 및 시행	정보통신보안 담당관/재무과	개인정보처리시스템의 접속기록 정기점검 계획을 수립하고 시행함 부정사용 모니터링시스템으로 6개월 단위로 점검 및 결과보고

□ 개선이행 조치계획(기간 : ‘18.7 ~ ’18.12)

□ 향후일정

○ 개인정보 영향평가 결과 보고서, 행정안전부 제출 : ‘18.6

○ 미흡분야 개선 이행조치                         : ‘18.7 ~ ’18.12

○ 개선이행 결과, 행정안전부 제출                 : ‘18.12

붙임 1. 지방재정관리시스템(e-호조) 영향평가 결과보고서 요약본(PT).

2. 내부관리계획 개정(안) 1부. 끝.