개인정보보호 관리수준 진단 결과

2015. 7.

기 관 명
담당자명
연 락 처
e-mail

	목 차
1. 개인정보보호 기반 마련 1 2. 위탁 업무에 따른 개인정보보호 활동 3. 개인정보보호 교육 추진 4. 개인정보 보호책임자 역할 수행 5. 개인정보 목적외 이용‧제3자 제공 절차 운영 6. 개인정보파일 관리 7. 개인정보 영향평가 수행 8. 영상정보처리기기 설치‧운영 9. 개인정보 노출방지 및 자율개선 10. 개인정보 침해사고 대응절차 11. 개인정보처리시스템의 안전한 이용 및 관리 12. 주민등록번호의 처리 제한

▶ 작성 시 유의사항

① 반드시 배포된 “2015년 공공기관 개인정보보호 관리수준 진단 매뉴얼”의 진단대상, 인정실적, 산정방법 등 세부 내용을 확인하시기 바랍니다.

② “본청”은 수준진단 대상 기관인 귀 기관을 의미합니다.

(중앙부처나 광역자치단체만을 지칭하는 것이 아님)

③ 증빙자료는 반드시 전문을 첨부할 필요는 없으며, 해당 지표에서 요구하는 내용을 확인할 수 있는 부분만 발췌하여 첨부하여도 됩니다. 다만, 문서 표지나 시행문 등 문서정보를 확인할 수 있는 부분을 같이 첨부하여야 합니다. (문서 번호, 시행일자, 결재 등)

④ 문서 번호, 결재내역은 해당 문서의 사진(스캔)을 첨부하시기 바랍니다.

⑤ 제출된 증빙자료의 진위여부 확인을 위해 원본 및 방문 확인을 요청할 수 있습니다.

⑥ 허위 자료 등록 발견 시, 최종 결과에 감점을 적용할 수 있습니다.

⑦ 내부관리계획 전문을 첨부하는 등의 자료 등록은 피해 주시기 바랍니다. 불가피하게 전체문서를 첨부할 경우, 증빙 내역을 확인할 수 있도록 해당 페이지를 기재하여 주시기 바랍니다.

⑧ 각종 현황표(담당자 현황, 위탁업무 현황 등)는 양식에 해당되는 내용만을 기재하여 주시기 바라며, 현황표와 증빙내용이 다를 경우, 증빙내용을 기준으로 산정합니다.

⑨ 각 항목별 증빙자료 첨부 후 필요한 경우 설명을 함께 기재하시기 바랍니다.(첨부파일 제출 시 “지표번호-증빙자료“으로 파일명 작성, 예 : 1-개인정보 담당자 업무분장표 및 예산내역)

⑩ 증빙자료가 다수인 경우는 현황표를 만들고 연번 순서대로 첨부하시기 바라며, 증빙자료를 반드시 제출양식 박스 안에 넣을 필요는 없습니다.

연번	보고서 제목	비고(해당 페이지)
1	<예 시>
2

⑪ 현황 파악업무에 대하여 증빙자료를 일부 제출할 경우, 제출된 일부 업무만을 실적으로 인정합니다.

1		개인정보보호 기반마련

진단 항목	1.1. 개인정보보호를 위한 전담조직과 인력을 구성 · 운영하고 있는가?
진단 대상	본청 및 소속기관	인정 실적	2015년 실적(‘15. 6. 30. 기준 가장 최근 실적) - 개인정보건수 : 본청, 소속기관 파일의 합 - 전담조직, 인력 : 본청 총괄부서 현황

□ 기관 현황 (2015. 6. 30. 기준)

기관 유형	총 개인정보 건수	정원 현황(해당기관만 기재)
중앙부처 / 광역자치단체 / 기초자치단체 / 지방공기업 / 산하기관	○○○건	○○○명

① 총 개인정보 건수 : 개인정보보호 종합지원 시스템에 등록된 개인정보 파일 기준으로 본청 및 소속기관 파일에 포함된 개인정보의 총 합

② (중앙, 광역, 지방공기업, 산하기관) 1백만건 미만, (기초) 3백만건 미만의 개인정보건수를 가진 기관의 경우에만 정원 현황 기재

□ 개인정보보호 실무담당자 현황

연번	소속	직위(직급)	성명	비고
1	OOOO과 개인정보보호팀	과장 (전산 5급)	ㅇㅇㅇ	담당/전담 여부 표시
2
3
4

⇨ 본청 개인정보보호 총괄(담당)부서의 담당자 현황 작성

(개인정보보호책임자 및 분야별․부서별 담당자, 취급자 지정 현황이 아님)

□ 업무분장표

① 개인정보보호책임자 및 분야별 담당자 지정 현황이 아닌, 해당 기관의 개인정보보호 업무를 총괄하는 부서의 업무분장표 첨부(예: 정보화담당관실, 개인정보보호팀 등)

※ 전체 직원의 업무분장표가 아닌 개인정보보호 총괄부서 담당자에 대한 내용만 발췌

② 인사명령 등 구성원 역할이 확인 가능한 자료로 대체 가능(단, 개인별 수행 업무가 명시된 자료에 한함)

진단 항목	1.2. 개인정보보호 활동을 수행하는데 필요한 예산을 반영하고 있는가?
진단 대상	본청	인정 실적	2015년 실적 (예산편성 및 지출 내역)

□ 개인정보보호 예산 내역(총괄)

연번	구 분	예산 (천원)
합 계
1	개인정보보호 교육·홍보 예산 내역
2	개인정보 관리‧감독, 컨설팅, 모니터링 예산 내역
3	보안시스템 도입‧운영 예산 내역
4	백신S/W 도입‧운영 예산 내역
5	개인정보 영향평가 수행 예산 내역
6	주민번호 암호화 조치 예산 내역

⇨ 예산 편성 내역이 없을 경우 항목별 지출 내역으로 증빙 가능

□ 개인정보보호 교육‧홍보 예산 내역

○ 예산편성표 및 자문비, 교통비, 운영비, 결과보고서 등 지출 내역을 확인할 수 있는 자료

□ 개인정보 관리‧감독, 컨설팅, 모니터링 예산 내역

○ 예산편성표 및 자문비, 교통비, 운영비, 결과보고서 등 지출 내역을 확인할 수 있는 자료

□ 보안시스템(F/W, IDS, IPS, UTM 등) 도입‧운영 예산 내역

○ 예산 편성표 또는 지출 내역

※ 반드시 예산 편성 및 지출을 확인할 수 있는 자료만 인정(기타 자료 제출 불가)

○ 개인정보처리시스템이 없을 경우, 해당없음으로 기재(지표 9.1에서 확인)

□ 백신S/W 도입‧운영 예산 내역

○ 예산 편성표 또는 지출 내역

※ 반드시 예산 편성 및 지출을 확인할 수 있는 자료만 인정 (기타 자료 제출 불가)

□ 개인정보 영향평가 및 주민번호 암호화 조치 예산 내역

(단위 : 건, %, 천원)

분류	대상	전체 건수	완료 건수	추진 건수	비율	예산액
개인정보 영향평가	O/X
주민번호 암호화	O/X

⇨ 개인정보 영향평가(7번), 주민번호 암호화(12번) 지표와 연관

○ 개인정보 영향평가 수행 예산 내역

○ 현황

(단위 : 건, 천원, %)

연번	개인정보 영향평가 대상	예산액	진행상황	비율 (완료건수/전체건수)×100
계	○건	○천원	○건 완료, ○건 추진중
			‘00년 완료 / 추진 중

○ 예산 편성 내역

○ 영향평가 대상이 없을 경우, 해당없음으로 기재(지표 7.1에서 확인)

○ 주민등록번호 암호화 예산 내역

○ 현황

(단위 : 천원, %)

연번	주민번호 암호화 대상	예산액	비고	비율 (완료+완료예정/전체건수)×100
계	○건	○천원	○건 완료, ○건 완료예정
			‘00년 완료 / ‘00년 완료 예정

○ 예산 편성 내역

○ 주민등록번호 암호화 대상이 없을 경우 해당없음으로 기재(지표 12.1에서 확인)

□ 선택사항(가점 사항)

○ ’14년 대비 ’15년 개인정보보호 예산 비교 내역

○ 예산 비교표

(단위 : 천원)

’14년 예산 (A)	’15년 예산 (B)	증감 (B-A)

○ 예산 비교표에 작성한 ’14년 및 ’15년 개인정보보호관련 예산 총액을 증빙 자료

※ 예산은 추경 등 관련 자료 첨부

※ 시스템 도입 완료 등의 이유로 전년대비 예산 증액이 불가능한 경우에 해당 항목을

제외한 다른 항목의 예산 내역 증가를 증빙시 가점 부여(항목별 대비표 작성시)

○ 인증마크 도입, 컨설팅 등 예산 반영 내역

○ 개인정보보호를 위한 인증마크 도입, 컨설팅 등을 위한 예산을 별도로 반영한 증빙 자료

2		위탁 업무에 따른 개인정보보호 활동

진단 항목	2.1. 개인정보 처리 업무위탁 현황을 파악하고 법 의무사항을 문서화 하고 있는가?
진단 대상	본청 및 소속기관	인정 실적	2015년 실적(위탁기간 중 ‘15년이 포함된 개인정보처리 업무가 포함된 위탁사업 대상) * 위탁이 없는 경우에도 현황 파악 자료 제출

□ 개인정보 위탁업무 현황 (위탁업무 수 : 건)

연번	개인정보 위탁업무명	수탁기관	계약기간	구분	계약 형태
1	예) 업무시스템 유지보수	A정보통신	2015. 1. 1. ~ 2015. 12. 31.	“본청” 또는 “소속기관명”	조달 / 자체
2
3
4
5

① 본청 및 소속기관의 개인정보처리가 포함된 위탁업무 현황 작성

② 개인정보처리 위탁 업무 현황이 없는 기관의 경우 증빙자료 제출

□ 소속기관 현황

연번	소속기관명	비고
1
2
3
4
5
6
7
8

□ 위·수탁 계약서(협약서 또는 특약서도 가능)

① 위·수탁업체의 인감·서명날인 등이 포함된 자료로 당해연도 소속기관을 포함하여 발주된 개인정보 위탁 사업에 대한 계약서 첨부

- 기관별 위탁업무의 수가 기준 이상일 경우, 아래 기준에 맞춰 실적 등록

⇨ 기준 : 중앙부처(40개), 광역(30개), 기초(20개), 지방공기업/산하기관(15개)

-  위탁업무 수가 다수여서 기준에 따라 15～40개 위탁 계약서만 실적 등록한 기관의 경우,

현황표에 기재된 계약서 등 추가 자료를 요구할 수 있음(거부시, 감점 처리)

② 표준 개인정보처리 위탁계약서를 사용하지는 않았지만 7가지 사항에 대하여 문서화 되어 있다면 그 조항을 발췌하여 기재

연번	개인정보위탁업무명	해당 조항
1	<예시>
2

③ 개인정보 위탁업무 현황 연번 순서대로 첨부

④ 개인정보처리 위탁 업무 현황이 없는 기관의 경우에도 증빙자료 제출

진단 항목	2.2. 수탁자 대상 교육 및 감독 계획을 수립·이행하고 있는가?
진단 대상	본청 및 소속기관 (2.1 실적 없는 기관은 해당없음)	인정 실적	2014. 7. 1 ~ 2015. 6. 30 실적 ‘15년이 포함된 장기계약은 계약체결 이후에 수립된 교육 및 관리·감독 계획 인정 (단, 이행은 ‘14. 7. 1～’15. 6. 30 실적만을 인정)

□ 교육 및 관리․감독 현황

연번	개인정보 위탁업무명	수탁기관	교육			관리·감독
			계획 수립	이행 여부		계획 수립	이행 여부
				위탁 기관	수탁 기관
계	-	-	O개	O개	O개	O개	O개
1	예) 업무시스템 유지보수	A정보통신	O/X	O	O	O/X	O/X
2
3
4
⦙

⇨ 실적 증빙이 가능한 경우에 대해서만 이행한 것으로 인정

□ 수탁업체 대상 교육 계획

① 수탁자에 대한 개인정보보호 교육 계획을 수립한 문서

- 수탁업체에서 자체 교육을 실시했을 경우, 해당 사항 명시

(수탁업체 자체 교육 결과 증빙자료를 제출한 경우 계획 수립으로 인정)

② 계약기간에 ‘15년이 포함된 장기계약은 계약체결 이후에 수립된 교육 계획도 인정

(단, 교육 이행 실적은 2014. 7. 1 ~ 2015. 6. 30 실적만을 인정)

□ 수탁업체 대상 교육 결과

○ 수탁자에 대한 개인정보보호 교육 결과 첨부(결과보고, 참석자 명단 등)

□ 수탁업체 자체 교육 결과 (해당 시)

○ 수탁업체 자체적으로 실시한 개인정보보호 교육 결과 첨부 (결과보고, 참석자 명단 등)

□ 수탁업체 대상 관리‧감독 계획

① 수탁자의 개인정보 처리현황 및 실태, 목적외 이용‧제공, 재위탁 여부, 안전성 확보조치 여부에 대한 관리‧감독 계획을 수립한 문서

② 계약기간에 ‘15년이 포함된 장기계약은 계약체결 이후에 수립된 관리·감독 계획도 인정  (단, 관리·감독 이행 실적은 2014. 7. 1 ~ 2015. 6. 30 실적만을 인정)

□ 수탁업체 대상 관리‧감독 결과

○ 수탁업체별 관리‧감독 결과 첨부(관련 공문, 결과보고서, 점검표 등 관리‧감독 사실을 증빙할 수 있는 자료)

3		개인정보보호 교육 추진

진단 항목	3.1. 교육대상별(책임자, 담당자, 취급자/일반직원) 연간 교육 계획이 수립되어 있는가?
진단 대상	본청 및 소속기관	인정 실적	2015년 실적

□ 개인정보보호 교육 계획

○ 교육의 목적, 대상(책임자, 담당자, 취급자/일반직원), 교육 내용, 교육 일정 및 방법 등 내용을 포함한 개인정보보호 교육 계획 문서 첨부

진단 항목	3.2. 교육대상별(책임자, 담당자, 취급자/일반직원) 교육이 이행되고 있는가?
진단 대상	본청 및 소속기관	인정 실적	2014. 7. 1 ~ 2015. 6. 30

□ 개인정보보호 교육 결과

(단위 : 명, %)

교육일시	대상	대상인원	참석 인원	비율	비고
2015. 6. 30	책임자	-		-	‘00.00.00 신설 ※ 인정기간내 신설기관의 경우 신설일자 표기
	담당자			-
	취급자	정원현황		%

① 교육 대상[책임자, 담당자(2회), 취급자/일반직원]별 교육 결과를 확인할 수 있는 결과 보고 문서 (참석확인증/수료증/참석자 서명 등 포함)

② 정보보안 내용으로만 운영된 교육은 인정 불가

③ 실적인정(’14. 7. 1～’15. 6. 30) 기간 중 신설기관은 취급자/일반직원 교육을 실시한 경우 50% 기준 적용에서 제외

④ 개인정보보호 책임자가 취급자 교육에 단순 참가하는 경우 인정 불가

4		개인정보 보호책임자 역할 수행

진단 항목	4.1. 개인정보 보호책임자가 관리·감독 등 역할을 이행하고 있는가?
진단 대상	본청	인정 실적	2014. 7. 1. ~ 2015. 6. 30

개인정보 보호책임자 성명	직급

□ 개인정보 보호책임자 관리‧감독 실적(1)

○ 개인정보처리 실태점검, 개인정보파일 점검, 처리시스템 점검(모니터링 및 분석) 등

개인정보보호 관련 관리‧감독 업무 수행 실적 첨부

- 개인정보 보호책임자가 관리·감독을 이행한 것을 증빙할 수 있는 실적(결과보고서 등)

□ 개인정보보호 관련 제도 개선 활동 실적(2)

○ 주민번호 미수집 전환 관련 서식개선, 개인정보보호 내부관리계획 개선 회의 주재 등  제도 개선 활동 실적 첨부

- 개인정보 보호책임자가 제도개선을 이행한 것을 증빙할 수 있는 실적(결과보고서 등)

진단 항목	4.2. 개인정보 보호책임자 주도하에 기관에서 자체적으로 수행한 개인정보보호 활동 사례·실적이 있는가?
진단 대상	본청	인정 실적	2014. 7. 1. ~ 2015. 6 30

□ 자체 개인정보보호 활동 사례·실적

① 기관에서 자체적으로 수행한 개인정보보호 활동 사례·실적 첨부

(외부·상위 기관에서 협조 등을 통해 요청·지시한 실적은 제외)

② 실적 예시

- 개인정보보호 홍보 활동, 주민번호 암호화 조기 이행을 위한 TF 활동 등

- 개인정보보호 기반 마련 개선, 개인정보 보호책임자 서약 등

- 외부에서 개인정보보호 관련 기관 표창, 인증을 받은 경우 등

5		개인정보 목적외 이용・제3자 제공 절차 운영

진단 항목	5.1. 개인정보의 이용·제공에 대비하기 위한 절차서를 수립하고 있는가?
진단 대상	본청	인정 실적	법 시행(‘11. 9월) 이후 실적

□ 개인정보 목적 외 이용·제3자 제공 절차 지침

① 해당 기관의 개인정보 목적 외 이용‧제3자 제공 업무 절차서로 6가지 세부항목을 반영할 것

② 내부관리계획 등 지침에 반영된 경우 해당 부분만을 발췌

(내부관리계획 표지 및 결재 정보 포함)

③ 단순히 법 조항을 나열한 것이 아닌 해당 기관의 현황을 반영한 구체적인 내부 절차를 수립할 것

진단 항목	5.2. 절차서를 개인정보취급자에게 전파하고, 이용·제공시 대장에 기록·관리하는가?
진단 대상	본청 및 소속기관	인정 실적	2014. 7. 1. ~ 2015. 6 30

□ 개인정보 목적 외 이용·제3자 제공 절차 교육 등 전파 실적

① 해당 절차서 교육에 대하여 확인할 수 있는 자료(교육 계획, 교육 결과보고 등)

- 절차서를 법 시행 이전에 만들었더라도 교육은 매년 실시

② 인트라넷 게시 화면(게시일자 포함) 등 직원들에게 이용‧제공 절차를 전파한 사실을 확인할 수 있는 자료 첨부

- 5.1에 따라 절차서를 수정한 경우 수정 이전의 문서시행, 인트라넷 게시 불인정

□ 개인정보 목적 외 이용·제3자 제공 대장

① 개인정보 보호법 시행규칙 별지 제1호 서식에 따른 개인정보의 목적 외 이용 및 제3자 제공 대장 첨부(8가지 세부항목 반영 필요)

② 인정기간 내 관리대장을 첨부하되, 인정기간 내 실적이 없는 경우 실적이 있는 가장 최근년도 관리대장을 첨부

③ 법 시행(‘11.9.) 이후 지금까지 목적 외 이용·제3자 제공이 전혀 없는 경우, 관리대장 보유 사실 증명시 실적 인정(관리대장 표지 또는 시스템으로 등록 가능한 경우 시스템 현황을 파악할 수 있는 화면 캡쳐 5개 이상 첨부)

6		개인정보파일 관리

진단 항목	6.1. 개인정보처리방침을 수립‧공개하며, 법 의무사항이 모두 반영되어 있는가?
진단 대상	본청 및 소속기관	인정 실적	2015. 6. 30 기준

□ 개인정보처리방침 수립‧공개 현황 (홈페이지를 통한 공개)

연번	해당 개인정보파일명	개인정보처리방침(URL)	구분
1	예) OO포탈 회원정보 (파일건수가 많아 표기가 곤란한 경우, OO포탈 회원정보 등 000건 형태로 표기)	http://www.sample.go.kr/personal.htm	“본청” 또는 “소속기관명”
2
3
4

⇨ 개인정보파일 : 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물(集合物)을 말한다.

□ 개인정보처리방침 수립‧공개 현황(홈페이지 이외의 방법을 통한 공개)

연번	해당 개인정보파일명	개인정보처리방침 공개방법	구분
1	예) OO포탈 회원정보	관보(제000호)에 게재 (개인정보보호법 시행령 제31조 제3항 참조)	“본청” 또는 “소속기관명”
2
3
4

□ (붙임) 개인정보처리방침

※ 홈페이지 이외의 방법을 통해 공개한 개인정보처리방침이 있는 경우, 상기 연번 순서대로 개인정보처리방침 전문 첨부(스캔본, 사진 등)(누락 시 미수립된 것으로 간주함)

7		개인정보 영향평가 수행

진단 항목	7.1. 개인정보 영향평가 대상을 파악하고 있는가?
진단 대상	본청 및 소속기관	인정 실적	법 시행(‘11. 9월) 이후 실적 정보주체수가 5만명 이상인 파일에 한함 ※ 영향평가 대상이 없는 경우에는 현황파악 자료 제출

□ 개인정보 영향평가 대상 파악 현황 (영향평가 대상 : 개)

연번	개인정보파일명	정보주체수	항목	비고
1	OO포탈 회원정보	0,000,000	일반 / 민감 / 고유식별정보	완료 / 추진 중
2
3
4

⇨ 본청 및 소속기관에서 보유한 5만명 이상의 개인정보파일에 대해 작성(개인정보보호 종합지원시스템 기준)

○ 영향평가 대상이 없는 경우에도 파악 현황 자료 제출(개인정보파일 현황 캡쳐 등)

진단 항목	7.2. 영향평가 계획을 수립·이행하였는가?
진단 대상	본청 및 소속기관 (7.1 실적 없는 기관은 해당없음)	인정 실적	현재(2015. 6. 30. 기준) 완료되었거나, 예산을 확보하여 추진 중인 실적

□ 개인정보 영향평가 수행 계획 수립 현황

(단위 : 개, %)

구분	영향평가 대상(A)	계획 수립(B)	완료(C)	계획 수립 비율 〔(B+C)/A〕×100	비고

① 개인정보 영향평가 대상들에 대한 수행 계획 관리 문서 등 증빙자료 첨부

(파일별로 수행 대신 일괄 계획을 통해 추진하는 경우 해당 계획에 포함되는 개인정보파일 리스트를 첨부)

② 영향평가 수행이 완료된 파일은 계획수립으로 인정

□ 개인정보 영향평가 수행 결과

(단위 : 개, %)

구분	영향평가 대상 (A)	완료 (B)	수행비율 (B/A)×100	비고

○ 행자부 제출 공문, 표지 등 영향평가 완료 실적 확인 자료 첨부

(결과보고서는 민감한 사항을 포함할 수 있으므로 제외)

8		영상정보처리기기 설치 및 운영

진단 항목	8.1. 영상정보처리기기 운영·관리 방침을 수립·공개하며, 법 의무사항이 모두 반영되어 있는가?
진단 대상	본청 및 소속기관	인정 실적	2015. 6. 30. 기준 (공개된 장소에 설치된 영상정보처리기기에 한함) ※ 영상정보처리기기 대상이 없는 경우에도 파악 현황 자료 제출(정부종합청사 입주 등)

□ 영상정보처리기기 설치·운영 현황

연번	설치위치	설치목적	촬영범위	설치대수
1
2
3

⇨ 영상정보처리기기 운영·관리 방침*건 별로 작성(기기 기준으로 작성 지양)

□ 영상정보처리기기 운영‧관리 방침 수립‧공개 현황 (홈페이지를 통한 공개)

연번	영상정보처리기기 운영‧관리 방침*(URL)	구분
1	http://www.sample.go.kr/personal.htm	“본청” 또는 “소속기관명”
2
3
4

□ 영상정보처리기기 운영‧관리 방침 수립‧공개 현황 (홈페이지가 아닌 방법으로 공개)

연번	영상정보처리기기 운영‧관리 방침* 공개방법	구분
1	관보(제000호)에 게재 (개인정보보호법 시행령 제31조 제3항 참조)	“본청” 또는 “소속기관명”
2
3

□ (붙임) 영상정보처리기기 운영‧관리 방침

※ 홈페이지 이외의 방법을 통해 공개한 영상정보처리기기 운영‧관리방침이 있는 경우, 상기 연번 순서대로 운영‧관리 방침 전문 첨부 (누락 시 미수립된 것으로 간주함)

진단 항목	8.2. 개인영상정보에 대한 이용·제공·열람·파기 내역을 대장에 기록하고 관리하는가?
진단 대상	본청 및 소속기관 (8.1 실적 없는 기관은 해당없음)	인정 실적	2014. 7. 1 ~ 2015. 6 30

□ 개인영상정보 관리대장

① 표준 개인정보 보호지침 별지 제3호 서식(개인영상정보 관리대장) 활용

② 개인영상정보 이용, 제공, 열람, 파기 내역이 포함되어 있는지 확인

(자동삭제되는 영상정보 처리기기의 경우에도 파기 확인)

③ 개인영상정보 관리대장 보유 사실 증명시 실적 인정

(관리대장 표지 또는 시스템으로 등록 가능한 경우 시스템 현황을 파악할 수 있는 화면 캡쳐 5개(부서별 관리) 이상 첨부)

④ 영상정보 관리대장을 통합하여 1개 부서에서 관리할 경우 해당 내용을 명시하고

1건 제출 가능

9		개인정보 노출방지 및 자율개선

진단 항목	9.1. 개인정보 유·노출 방지를 위한 체계를 구축·운영하고 있는가?
진단 대상	본청 및 소속기관	인정 실적	2014. 7. 1. ~ 2015. 6 30 (홈페이지의 경우, 개인정보를 처리하는 홈페이지에 한하여 실적 제출)

□ 홈페이지·개인정보처리시스템 접근통제 시스템 구축 현황(1)

연번	구분	구축 현황	관리 주체	비고
1	사이트명, 시스템 명칭	구축된 보안장비 및 SW 현황	기관명/KLID/통전 등	홈페이지/ 개인정보처리시스템
2
3
4

① 개인정보처리시스템 : 개인정보를 처리할 수 있도록 체계적으로 구성한 데이터베이스   시스템을 말한다.

② 상위기관에서 관리를 이행하는 개인정보처리시스템은 관리주체를 명시하고 진단대상 기관이 관리주체인 경우 구축 현황에 대한 증빙자료 제출 필요

① 홈페이지·개인정보처리시스템별 접근통제 시스템 구축·운영(보안시스템(F/W, IDS, IPS, UTM 등) 및 소프트웨어(키보드 보안, 웹 메일 등) 도입을 확인 할 수 있는 증빙 자료 (시스템 구축 및 관리 문서, 장비 현황 사진, 소프트웨어 도입 현황을 알 수 있는 캡쳐 화면 등)

② 문서자료의 경우 결재내역이나 문서번호 등을 확인할 수 있도록 발췌하여 첨부할 것

③ 기관 정보보안상 기밀로 분류되는 정보는 마킹처리 후 첨부

※ 해당 증빙자료는 저장된 개인정보의 보안 조치를 확인하는 것이 목적임

□ 개인정보 노출 방지 조치 현황(2)

연번	구분	구축 현황	관리 주체	비고
1	사이트명, 시스템 명칭	노출방지를 위한 조치 개요	기관/KLID/통전 등	개인정보 송수신하지 않는 경우 등
2
3

○ 상위기관에서 관리를 이행하는 개인정보처리시스템은 관리주체를 명시하고, 진단대상 기관이 관리주체인 경우 노출방지 현황에 대한 증빙자료 제출 필요

① 개인정보 노출방지를 위한 조치(웹 필터링, 암호화 등) 확인 자료 첨부(보안조치 적용 보고서, 캡쳐화면, 노출 방지 조치 적용 관련 문서 등)

※ 해당 증빙자료는 송수신되는 개인정보의 보안 조치를 확인하는 것이 목적임

□ 개인정보 노출방지 점검, 웹 취약점 점검 등 수행 결과(3)

연번	구분	점검 여부	점검 주체	후속조치 여부
1	사이트명, 시스템 명칭	O/X	기관/KLID/통전 등	O/X/해당없음(점검결과 이상 없음)
2
3

○ 진단대상 기관이 점검주체가 아니더라도 점검에 따른 후속조치에 대한 증빙자료 제출 필요

① 홈페이지·개인정보처리시스템에 대한 개인정보 노출방지 점검, 웹 취약점 점검 수행 결과

② 수행 결과에 따른 후속 조치 계획, 조치 결과 등 첨부

□ 업무용 PC에 대한 개인정보 노출방지 점검 활동

① 비밀번호 설정

② 백신 소프트웨어의 업데이트 설정․운영

③ P2P, 공유설정 등에 대한 보호조치

④ 보조저장매체의 반출․입 통제

⑤ 불필요한 개인정보 파기 등 정기점검 및 후속조치

진단 항목	9.2. 개인정보보호 자가진단 및 후속조치를 이행하고 있는가?
진단 대상	본청 및 소속기관	인정 실적	2015년 실적

□ 자가진단 실시 개요

연번	구분	진단 분류	실시일자	후속조치 이행	비고
1	본청, 소속기관 순	자가진단/ 외부 전문업체 진단(해당시)		○/X/해당없음	해당없음 사유
2

□ 개인정보보호 자가진단 수행 확인

① 개인정보보호 자가진단 수행확인서 첨부

(개인정보보호 종합지원포탈- 사업자- 개인정보도우미- 개인정보 자가진단에서 자가진단 수행 후 “진단수행확인서 다운로드” 메뉴를 통해 내려받기 가능)

② 자가진단, 외부 전문업체 컨설팅 및 실태점검(해당시) 포함

③ 연번 순으로 증빙 자료 나열

□ 자가진단 결과에 따른 후속조치 내역

① 자가진단, 외부업체 진단 수행 결과에 따른 후속조치 내역 (개선실적 등)

② 타 진단 후속조치와 겹칠 경우 해당항목을 명시하고, 증빙자료 중복 제출은 피할 것

□ 전년도 수준진단 후속조치 개요

연번	구분	요구된 개선사항	후속조치 이행	비고
1	즉시/지속		○/X/해당없음	해당없음 사유 지적사항 없음/ 15년 첫 수준진단 대상기관)
2

⇨ 수준진단 개선조치에서 “해당없음“의 경우는 전년도 지적사항 없음(‘14년 30여개 기관에 한함) 또는 ’15년 첫 수준진단 대상 기관(산하기관 266개)인 경우에 한함

□ 수준진단 개선사항 확인(전년도 수준진단 대상 기관에 한함)

○ 수준진단 개선사항(진단위원 평가) 내역

□ 수준진단 결과에 따른 후속조치 내역(전년도 수준진단 대상 기관에 한함)

① 수준진단 결과에 따른 후속조치 내역 등

- 전년도 진단위원의 개선조치 지적사항이 없는 기관은 해당없음으로 표시

② 타진단 후속조치와 겹칠 경우 해당항목을 명시 하고, 증빙자료 중복 제출은 피할 것

10		개인정보 침해사고 대응절차

진단 항목	10.1. 개인정보 침해사고 발생에 대응하기 위한 절차서를 수립하고 있는가?
진단 대상	본청	인정 실적	법 시행(‘11. 9월) 이후 실적

□ 개인정보 침해사고 대응 절차

① 4가지 필수 항목을 포함한 기관 내 절차서 등 첨부

※ 절차서의 시행일자 확인 가능하도록 발췌할 것

② 정보보안 등 타 지침에 “개인정보 침해사고” 항목을 포함하여 수립한 것도 실적으로 인정됨 (단, 4가지 필수 항목은 포함되어야 함)

③ 변경 사항이 있을 경우, 가장 최근의 절차서 첨부

④ 단순 법 조항 나열한 것이 아닌, 해당 기관의 현황을 반영, 실제 수행이 가능한 수준의 구체적인 내부 절차를 수립할 것

진단 항목	10.2. 절차서를 개인정보취급자에게 전파하여 신속하게 대응할 수 있는가?
진단 대상	본청	인정 실적	2014. 7. 1. ~ 2015. 6. 30

□ 개인정보 침해사고 전파 실적 (1)

① 문서 시행/인트라넷 게시 실적 첨부

② 인트라넷 게시 화면(게시일자 포함) 등 직원들에게 이용‧제공 절차를 전파한 사실을 확인할 수 있는 자료 첨부

- 10.1에 따라 절차서를 수정한 경우 수정 이전의 문서시행, 인트라넷 게시 불인정

□ 개인정보 침해사고 전파 실적 (2)

① 교육 또는 모의훈련 실적 첨부

② 해당 절차서 교육에 대하여 확인할 수 있는 자료(교육 계획, 교육 결과보고 등)

- 절차서를 법 시행 이전에 만들었더라도 교육/모의훈련은 매년 실시

③ 10. 1. 지표 증빙자료로 제출한 침해사고 대응 절차의 시행일 이후 실적만 인정됨

11		개인정보처리시스템의 안전한 이용 및 관리

진단 항목	11.1. 개인정보처리시스템의 접근권한 관리 정책을 수립·이행하고 있는가?
진단 대상	본청 및 소속기관	인정 실적	법 시행(‘11. 9월) 이후 실적

□ 개인정보처리시스템 현황

연번	개인정보처리시스템명	연관 개인정보파일명	구분
1	예) OO 대민포탈	- OO포탈 회원정보 - 민원 상담내역	“본청” 또는 “소속기관명”
2
3
4

① 본청 및 소속기관에서 보유한 전체 개인정보처리시스템에 대해 작성

② 증빙 자료는 개인정보처리시스템 현황 연번에 따라 기재

□ 개인정보처리시스템 접근권한 관리 정책 수립

① 시스템별 접근권한 정의, 권한 부여대상, 부여‧해지 절차 등 문서화된 자료

(접근권한 정책이 문서화 되지 않고 접근권한 관리 시스템 화면을 제출하는 경우 인정 불가)

② 한 개의 표준 접근권한 관리 정책을 여러 시스템에서 사용할 경우, 해당 접근권한 관리 정책이 적용되는 시스템을 반드시 명시할 것

③ 상위기관에서 관리하는 개인정보처리시스템이라도 취급자의 권한 신청 및 변경 등 관리(단, 접속기록에 대한 관리는 제외)

④ 모든 개인정보처리시스템에 대해 개별 관리정책을 수립한 경우 가점 부여

□ 접근권한 정책 이행

① 시스템별 접근권한 관리 정책에 의한 관리 실적

② 권한 신청 및 부여 절차가 공문을 통해 이루어지는 경우, 권한 신청 공문과 승인 공문 등을 확인 후 관리 실적 인정

진단 항목	11.2. 개인정보처리시스템의 접속기록에 대한 점검 및 후속조치를 이행하고 있는가?
진단 대상	본청 및 소속기관 (11.1 실적 없는 기관은 해당없음)	인정 실적	2014. 7. 1. ~ 2015. 6 30

□ 시스템 점검 결과

연번	개인정보처리시스템명	접속기록 6개월 이상 저장	점검 조치	후속조치 완료	비고
계	O개	O개	O개	O개	O개
1		○	○	○	후속조치 해당없음
2
3
4

① 실적 자료는 개인정보처리시스템 현황 연번에 따라 기재

② 접속기록 점검결과 이상이 없을 경우 별도의 후속조치가 없더라도 이행한 것으로 인정

(단, 점검결과 분석내용을 제출할 것)

③ 개인정보처리시스템이 2개 이상인 경우, 미흡한 것을 기준으로 하므로 접속기록이 6개월 미만인 경우 모든 조치를 완료하더라도 기본점수 부여

□ 개인정보처리시스템별 접속기록

① 개인정보처리시스템별 저장되고 있는 접속기록(log) 샘플 첨부

② 필수 기록 항목(ID, 날짜 및 시간, 접속 IP, 수행업무)을 식별할 수 있는 화면 캡쳐 등 자료 첨부(확인이 되지 않을 경우 감점)

③ 접속기록 저장기간(6개월 이상)을 확인할 수 있도록, 시스템별 저장된 기록을 발췌할 것 (6/30일까지의 실적이 기준이므로 15.1월의 실적이 포함되어 있어야 6개월 이상 보유기간을 준수한 것으로 인정)

※ 보관된 접속기록이 6개월 미만일 경우, 해당 지표 기본점수 부여

④ 개인정보취급자 등 사용자에 대한 접속기록을 대상으로 작성

□ 개인정보처리시스템 접속기록 점검·분석 결과 및 후속조치

① 개인정보처리시스템별 접속기록 점검 결과 분석 및 후속조치 실적 첨부

② 점검·분석 결과 이상이 없을 경우, 후속조치 “해당없음“으로 명시할 것(분석결과 필요)

③ 접속기록 점검에 대한 별도의 관리 규정이 있을 경우, 해당 문서 첨부(해당 시, 가점)

(단순 법령을 나열한 경우 인정 불가)

12		주민등록번호의 처리 제한

진단 항목	12.1. 주민등록번호 처리 현황을 파악하고 있는가?
진단 대상	본청 및 소속기관	인정 실적	2014. 7. 1. ~ 2015. 6. 30 ※ 주민등록번호 처리현황이 없는 경우에는 현황 피악 자료 제출

□ 주민등록번호 처리 현황

연번	주민등록번호 처리 개인정보 파일	파일 형태	비고
계	○개	-
1		시스템/PC/문서 등
2
⦙

① 주민등록번호를 포함한 개인정보파일 현황 작성

② 문서 : 수기, 출력물 등

○ 주민등록번호 처리현황 개인정보파일이 없는 기관은 해당 증빙자료 제출(캡쳐 등)

진단 항목	12.2. 주민등록번호 암호화 조치를 이행하였는가?
진단 대상	본청 및 소속기관 (12.1 실적 없는 기관은 해당없음)	인정 실적	2015. 6. 30 기준

구분	주민등록번호 포함 개인정보파일(A)	암호화 완료 (B)	2015년 완료 예정 (C)	비율 〔(B+C)/A〕×100
전체	O개	O개	O개	%
개인정보처리시스템				-
업무용 PC				-
문서				-

○ 문서의 경우 잠금장치가 부착되어 있는 안전한 장소에 보관하는 것으로 대체 가능

□ 주민등록번호 암호화 조치 완료

① 주민등록번호 암호화 이행 실적 자료 제출(완료 보고서, 공문, 암호화 확인 화면 캡쳐 등)

② 2015년 중으로 암호화 완료예정인 파일에 대해서는 예산반영, 진행 상황 등을 증빙할 수 있는 자료를 등록할 것(확인이 불분명할 경우 인정 불가)

③ (산정방법 수정) 주민등록번호가 포함된 개인정보파일은 암호화 이행 비율로 점수 산정(10%당 3점)