문서번호	소방행정과-3283
결재일자	2023. 4. 7.
공개여부	부분공개(6)
방침번호

				시 민
반장	행정팀장	소방행정과장		소방서장
정선호	성귀연	김연경		04/07
				박용호
협 조

2023년 개인정보보호·정보보안 추진 계획

2023. 4.

성 북 소 방 서

(소방행정과)

☞ 해당사항이 있는 부분에 ‘ ■ ’ 표시하시기 바랍니다. (※ 비고 : 필요시 검토내용 기재)
구 분	사전 검토항목 점검 사항	검토완료	해당없음	비 고
일반사항
정책일반	◆ 제반 법규와 실태, 실제 현장의 의견 등을 검토하였습니까? (법령, 규칙, 통계·빅데이터, 시민의견 등)	■	□
	◆ 정책(사업) 집행의 직·간접적 영향 및 효과성을 분석하였습니까?(갈등, 약자, 일자리, 안전, 탄소 감축 등) ※ 약자 : 하단 세부 검토항목 점검	■	□
	◆ 정책·계획·전시물·홍보물 등이 역사적 사실에 부합하는지 검토하였습니까?	■	□
	◆ 불필요한 외국어·외래어 표현 대신 바른 우리말을 사용하였습니까?	■	□
	◆ 정책·계획 등의 지속가능성을 검토하였습니까?(경제·사회·환경 등)	■	□
약자와의 동행
목적	◆ 경제적으로 취약한 약자를 지원하기 위한 사업인가?	□	■
	◆ 주거, 생계, 의료, 교육, 기타 분야 중 어느 것에 해당하는가?	□	■	주거/생계/의료/교육/기타
	◆ 단순지원 사업과 사다리지원 사업 중 어느 것에 해당하는가? (단순 : 어려움 즉시 개선 / 사다리 : 계층 상향 또는 안정 유도)	□	■	단순지원/ 사다리지원
	◆ 경제적으로 취약한 약자가 아니라 하더라도, 다양한 분야의 사회적 약자를 배려할 수 있는 수단을 포함하였는가?	□	■
계획수립	◆ 사업 대상자가 쉽고 편리하게 서비스를 활용할 수 있도록 사업을 구성하였는가?	□	■
집행·홍보	◆ 집행과정에서 발생할 수 있는 역효과를 최소화하기 위한 대안을 고려하였는가?(‘약자’ 낙인효과, 역차별 등)	■	□
	◆ 사업 대상자에게 적절한 홍보 수단을 채택하였는가?	□	■
평가·환류	◆ 사업효과를 측정할 수 있는 지표(산출, 과정, 성과 등)는 마련하였는가? 아닐 경우, 성과를 평가할 수 있는 대체·보완 수단이 존재하는가?	□	■

2023년 개인정보보호·정보보안 추진 계획

행정과장 : 김연경☎77-350 행정팀장 : 성귀연☎310 담당 : 정선호☎314

국내·외 다양한 사이버 위협 증가와 개인정보 유·노출 사고 예방에 체계적이고 효율적으로 대응하기 위한 개인정보보호·정보보안 추진 계획임

1		관련 근거

ㅇ개인정보보호법 제3조, 제29조 및 전자정부법 제56조

ㅇ 서울특별시 개인정보 보호에 관한 조례 및 정보통신보안업무 처리규칙

ㅇ 서울시 정보통신 보안업무처리규칙 제10조, 제12조

ㅇ 국가 정보보안 기본지침 제10조

ㅇ (소방청)“소방현장 활동 개인영상정보 관리 가이드라인”(2022.3.)

ㅇ 매월 첫 번째 수요일『개인정보 보호의 날』지정(2018.5.)

ㅇ 매월 세 번째 수요일 『사이버 보안 진단의 날』지정(2008.10.)

2		추진 배경

□ 최근현황

ㅇ 인터넷 이용 증가, 업무 전자화 확대로 정보교환이 정보화 기기 및 통신망을 이용함에 따라 각종 보안 사고 위험성 내재

ㅇ 우리 소방서에서 보유하고 있는 개인정보의 적법하고 안전한 처리·관리를 통한 행정업무의 적정한 수행과 정보주체의 권리 보호

ㅇ (동향) 2023년 가장 큰 위협은 랜섬웨어임

- 사이버 범죄의 전문화로 서비스형 랜섬웨어 등장

- 정부 SNS 계정 탈취, 데이터센터 화재 이용하는 피싱 등 악성메일 배포

ㅇ (동향) 재택근무로 인한 보안 취약 지점 활용 공격(클라우드 관련 사고 등)

3		2023년 주요 추진

□ 추진 방향

ㅇ 실시간 관제에 따른 사이버 위협 및 공격에 대응

ㅇ 2023년 개인정보보호·정보보안 추진 계획 수립 및 시행

ㅇ 정보시스템의 취약점 진단 및 정보 보호시스템 안정적 운영 추진

□ 관리 조직의 역할

구 분	임무 및 역할	담당
개인정보 보호 책임자	해당 부서 개인정보 취급자에 대한 개인정보 보호 지도 교육 및 감독	소방 행정과장
	개인정보처리시스템 권한범위 및 제반 보호장치에 관한 확인 및 감독
	개인정보 이용 및 제공, 처리 현황 파악
	입출력 데이터 및 전산 장비 등의 안전성 확보 책임
개인정보 보호 담당자	개인정보보호 자체 계획에 의거 부서별 정보보호 업무 수행	안전계획
	분야별 개인정보보호 책임자가 위임한 개인정보보호와 관련된 업무
	개인정보 처리 실태 관리 및 각종 자료 취합보고
	개인정보처리 관련 시스템 연계 등과 관련된 부서 업무
개인영상정보 관리 책임자	해당 부서 개인영상정보 보호 계획의 수립 및 시행	소방 행정과장
	해당 부서 개인영상정보 처리 실태의 정기적인 조사 및 개선
	개인영상정보 처리와 관련한 불만의 처리 및 피해 구제
	개인영상정보 유출 또는 오남용 방지를 위한 내부통제 체계 구축
	개인영상정보 보호 교육 계획 수립 및 시행
	개인영상정보 파일의 보호 및 파기에 대한 관리·감독
	그 밖에 개인영상정보의 적절한 처리를 위한 업무
개인정보 취급자	업무수행시 처리되는 개인정보를 보호 관리	안전계획
	개인정보의 수집-보유- 이용 및 제공-파기까지 전체 단계별 보호 관리
	웹사이트에 게재되는 개인정보에 대한 보호 관리
	개인영상정보에 대한 보호 관리
정보보안 책임자	정보보안 계획의 수립·시행	소방 행정과장
	정보통신실, 정보통신망 및 정보 자료의 보안 관리
	정보보안 관리실태 점검
	침해사고 대응
	정보보안 교육 및 정보 협력
	사이버보안진단의 날 시행
정보보안 담당자	정보보안책임자가 위임한 정보보안과 관련된 업무	안전계획
	정보보안 관련 업무 전반

4		정보보호 역량강화 세부계획

□ 개인정보보호·정보보안 교육 시행

ㅇ 정보통신망 침해 사고로 인한 사이버 테러 피해 사고 예방과 보안 의식 함양을 위해 전 직원 대상 정보 보안 교육

ㅇ 직원 대상 사이버 온라인 교육

ㅇ 정보 보안 관련 전문기관의 교육, 기술 세미나 등에 참석

ㅇ 개인정보보호·정보보안 교육

- 대    상 : 전 직원, 개인정보보호·정보보안 업무 책임자 및 담당자

- 내    용 : 최근 정보보호 주요이슈 및 보안사고 사례 전파

- 시행시기

구 분	시 기	비 고
전 직원	본청 보안 교육시 (1회 참여)	정보보안담당관실 교육 시행
	개인정보보호 교육시 (1회 참여)	년 1회 자체 교육 실시
담당자 책임자	수시 (16시간 이상)	정보보안 관련 전문기관의 교육, CPO, 기술 세미나 참석
외주 인력	계약 / 종료 직후, 수시	용역업체 대상 보안 관리 교육

ㅇ 실무 위주(개인 PC 보안요령 등)의 교육자료 공유

ㅇ 외부 위탁 전문교육 실시(정보보호담당)

ㅇ 개인정보 보호 담당자 역량 강화를 위한 교육(4월)

- 대    상 : 개인정보 보호 담당자

- 내    용 : 개인정보 보호 방안 및 관련 도구 사용법

- 개인정보 관련 문건 취급시 유의사항

○ 개인정보 익명처리 절차

① 해당 자료를 종이문서로 출력

-> 익명처리(수정테이프 등 활용) -> 스캔 -> PDF 변환 -> 최종 확인 후 제출

② 해당 자료를 한글, 엑셀 등 프로그램 상에서 익명처리

-> 종이문서로 출력 -> 스캔 -> PDF 변환 -> 최종 확인 후 제출

(한글, 엑셀 등 프로그램상에서 바로 익명처리 후 PDF 자료로 변환시 개인정보가 그대로 유출되는 사례 발생)

□ 개인정보보호의 날 운영

ㅇ 최근 홈페이지를 통한 개인정보 노출이 언론 등을 통해 사회적 이슈화

ㅇ 그간의 공공기관 개인정보 노출 진단결과, 개인정보에 대한 관리자 및 취급자의 인식 부족이 가장 큰 원인으로 분석됨

ㅇ 시행일 : 매월 첫째주 수요일(연중)

ㅇ 매월 첫째 주 수요일을 개인정보보호의 날 지정 운영

- PC스캔 자동 검사 일괄 시행

ㅇ ‘개인정보 보호의 날’ 정오에 본부 및 산하기관의 모든 업무용 PC에서 PC 스캔  자동검사 실행

ㅇ 당일 PC 미사용 휴가 중인 직원의 PC는 업무 복귀 시 자동검사 실행

ㅇ 개인정보가 검출된 파일은 5일 이내 처리(암호화,격리,삭제) 의무화

ㅇ 개인정보처리시스템의 접근통제(등록, 삭제, 이력관리) 방안 수립

ㅇ 개인정보취급자 주의사항

- 개인정보관련 파일의 공유 차단 및 관리 철저

- 개인정보관련 출력물에 대한 사무실내 방치 금지 및 사용 후 파기 철저

□ ｢사이버 보안 진단의 날｣ 운영 및 관리 강화

ㅇ 시행일: 매월 셋째주 수요일(연중)

전 기관의 PC, 네트워크, 정보시스템 등 정보자산에 대한 보안상 취약점의 자체 점검 강화 및 보완을 통해 사이버 안전지대를 구축하고자 함

- 점 검 자 : 전직원 PC 사용자

- 점검방법 : 내PC지키미 프로그램 실행 후 사이버 보안 10대 점검 사               항 점검 및 안전조치

- 취약 PC 대상(90점 이하) 인터넷 차단

□ 외부 용역사업 보안 관리 강화

ㅇ 일반사항

- 수행과정에서 취득한 자료와 정보에 관하여 외부에 유출해서는 안되   며, 종료시 담당공무원의 입회하에 완전 폐기 또는 반납

- 문서, 인원, 장비 등에 대하여 보안관리 계획을 사업제안서에 기재,

노출시 지방계약법 시행령 제76조에 따라 사업자를 부정당업체로 등록

ㅇ 참여 인원에 대한 보안관리

- 참여 인원 중 용역책임자를 보안책임관으로 지정, 승인을 받음

- 참여인원은 보안서약서를 작성 후,제출, 비밀유지의무 준수 교육 실시

- 정보시스템 접근이 필요한 경우 발주기관 사전승인 후 담당공무원의 입회하에 실시

ㅇ 내부 자료에 대한 보안관리

- 발주기관에서 제공하는 내부 자료에 대해서는 책임자가 직접 서명후 인수인계

- 사업수행을 위해 제공된 내부 자료는 복사 및 외부 반출 금지

ㅇ 장비에 대한 보안관리

- 보조매체 기록장치는 발주기관의 협의하여 제한된 PC에서만 사용

- 종료시 계약자의 PC 및 보조기억장치는 완전삭제 후 반출

ㅇ 내·외부망 접근에 대한 보안관리

- 발주기관 내부망에 대한 접속은 발주기관 승인후 사용

- 사용하는 PC는 인터넷 연결 원칙적 금지, 필요한 경우 담당자 승인후 사용

ㅇ 산출물에 대한 보안관리

- 산출물은 발주기관의 파일서버 또는 PC에 저장

- 사업 종료 후 최종산출물에 대해 “대외비”임을 표기하여 발주기관에 제출

□ 개인영상정보 관리·이용 실태 자체점검

ㅇ 개인영상정보 처리 일반 사항 점검

- 개인영상정보 관리 책임자 지정 여부

- 개인영상정보 관리 대장 작성

- 목적외 이용·제공시 안전성 확보 조치 이행

- 파기 여부 기록 관리 여부

- 접근 통제 및 권한의 제한 조치 여부

- 개인정보보호 업무 수행 조직(일반, CCTV, 파이어캠, 구급차캠) 구성 최적화

- 정보보안 개인정보보호 지침, 가이드 정비

ㅇ 향후 계획

- 위반 사례 전파 및 관련 가이드 정비 -> 교육·홍보를 통한 재발 방지

- 소방관서의 개인정보보호 담당자 의견 수렴을 통한 개선 방안 마련

□ 각 부서 PC 관련 보안 활동 강화

ㅇ 정보보안담당자

- 각 사용자에 대한 정보보안 업무 지도·감독, 사용자에 대한 IP 점검 및 정비

- 정보시스템 관리대장 및 전산장비 반출입 관리대장에 기록관리(별지 제1호 서식)

- PC 반납 및 폐기시 PC 하드디스크 완전삭제

ㅇ 개인용 PC 보안관리

- 업무와 무관한 웹사이트 접속 금지(토렌트 커뮤니티, 바이두 등 중국포털, 블로그 등)

- 공공기관, 지인 등을 사칭하는 의심스러운 메일 절대 열람 금지 및 삭제 조치

- 패스워드는 설정규칙에 따라 적용하고 정기적으로 변경 사용

- IP 주소 임의 변경금지, 화면보호기 강제 적용, 응용소프트웨어 업데이트 실시

ㅇ 컴퓨터바이러스 감염 방지

- 백신 프로그램을 반드시 설치 및 업데이트

- 바이러스 감염시 즉시 컴퓨터를 네트워크에서 분리 후 치료조치

ㅇ 보조기억매체(USB메모리) 보안관리

- 관리대장 등재 및 관리책임자 지정 관리, 사용현황 점검(별지 제2호 서식)

ㅇ 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선

ㅇ 개인정보 처리와 관련한 불만의 처리 및 피해 구제

ㅇ 개인정보파일 전수 조사 및 정비

ㅇ 개인정보 보호 관련 자료의 관리

ㅇ 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기현황 파악

ㅇ 소관 처리부서의 개인정보취급자에 대한 관리·감독

ㅇ 소관 개인정보파일 암호화를 통한 안전성 확보조치

ㅇ 소관 개인정보파일에 대한 정보주체의 열람, 정정, 삭제 청구 시 처리

ㅇ PC에 저장되어진 개인정보현황 일제 조사하여 삭제 또는 암호화조치

ㅇ 홈페이지 개인정보 노출 상시점검 강화(홈페이지 운영부서)

ㅇ 개인정보 처리시스템 안전조치 강화(시스템 운영부서)

- 개인정보 DB암호화 조치

- 웹서버의 보안서버 구축현황을 일제 점검하여 전송시 암호화 권고

ㅇ 보유기간 경과 및 보유목적 달성 시 지체 없이 삭제

ㅇ 개인정보시스템 위·수탁 운영 시 위·수탁계약서에 개인정보보호    관련 내용을 명시하여 처리(문서화)

□ 침해 사고 예방 및 대응 강화

ㅇ 사이버 침해사고 대응

- (모니터링) 사이버 침해사고 대응

- (초등대응) 신고, 사고 처리

- (유출사고 대응) 원인 분석 및 대외기관 대응, 안내문 작성 등

- (유출사고 대응 모의 훈련) 대응 모의 훈련 실시: 하반기

□ 사이버 침해사고 대응

ㅇ 사이버 침해사고 대응절차 : 보안담당 사고 인지 모니터링

- 사이버 위기경보 발생 시 단계별 대응활동을 유지하고 사이버 위기경보“주의”단계부터 사이버 침해사고 대응활동 수행

- 사이버 공격, 전산망 장애 등 이상 징후 포착시 보고체계에 따라 즉시 보고

- 출처가 불분명하거나 의심스러운 메일 열람 금지 및 즉시 신고(초동대응 및 신고)

- 서울시 통합보안관제센터 신고, LAN 케이블 분리, 현장보전

- 침해사고신고서 제출, 서울시 통합보안관제센터 기술지원요청

- (사고원인조사) 증거자료 제출, 자체 조사분석

- (피해복구) 침해사고 조사분석 결과보고서 제출

ㅇ 신고처 : 서울시 통합보안관제센터, 2133-0188/scert@seoul.go.kr

ㅇ 사이버 침해사고 대응체계 구성으로 신속한 진단 및 조치

□ 개인정보 유출사고 대응

ㅇ 처리절차

- 개인정보담당자의 사고(개인정보 유출) 접수 -> 조사.분석 -> 신고여부 결정

ㅇ 유출 대응 업무수행 구성

- 분석복구 : 유출 사실 조사 및 원인 분석

- 법무홍보 : 유출 사고 관련 대외기관 대응, 안내문 최종 검토

- 민원홍보 : 정보주체 개별 통지문 안내, 이에 따른 후속업무

※ 신고처

- 성북소방서 정보보안 담당자 : 안전계획

- 서울시 정보통신보안담당관, 2133-2880~2/privacy@seoul.go.kr

- 한국인터넷진흥원, 118(ARS 내선 2번)/118@kisa.or.kr

ㅇ 개인정보 유출 사고 대응체계 구성으로 신속한 진단 및 조치

5		행정사항

ㅇ PC등 단말기 보안관리 철저

- 매월 첫째주 수요일 ‘개인정보보오의 날’ 시행

- 매월 셋째주 수요일 ‘사이버보안진단의 날’ 시행

ㅇ 개인(영상)정보 처리 절차 준수 및 관리·이용 실태 점검 철저

- 개인영상정보관리 책임자와 운영자 지정 및 관리 철저

ㅇ 사이버보안(개인정보 유출)사고 발생시 신속한 보고체계 유지

- 사이버보안 사고 발생시 신속한 보고체계 유지

- 인터넷 해킹 및 바이러스 감염시 본서 행정팀(☏6981-7214) 및 본부 정보

- 보안운영팀(☏3706-1643), 서울사이버 안전센터(☏2133-0118)로 즉시 신고

ㅇ 각 부서장은 정보보안 및 개인정보 활동 결과를 자체관리 및 보안   교육을 철저히 하기 바랍니다.

붙임  서식 1~9(압축파일) 9부.  끝.