				★ ◎
문서번호	정보시스템부-2598			부 원			파트장				정보시스템부장			홍보실장
보존기간	10년																06/30
				조소영			김병건				곽정호			이종선
결재일자	2020.06.30
공개여부	공개			협조
일상감사	대상아님
보조제목을 입력하는곳 입니다
2020년 개인정보 내부관리계획 이행실태 점검 결과 보고
		서울주택도시공사
(홍보실 정보시스템부)

개인정보 내부관리 계획 이행실태 점검 결과 보고

공사 개인정보보호 수준 점검 및 문제점 도출을 위하여

실시한 “2020년 개인정보 내부관리계획 이행실태 점검”

결과를 보고함

Ⅰ

관련근거

❍ 개인정보의 안전성 확보조치 기준 제4조 4항

❍ 정보시스템부-1446호(2017.05.10.) “개인정보 내부관리계획

이행실태 점검 계획(안)”

❍ 정보시스템부-2526호(2020.06.26.) “공사 개인정보 내부관리

계획 개정”

Ⅱ

점검 개요

❍ 점검 절차 및 방법

① 내부관리계획 이행실태 체크리스트를 통한 자체점검 실시

② 점검 실시 후 미흡사항 도출 시 개선계획 수립 후 개선 실시

Ⅲ

점검 결과

❍ 정보시스템부 체크리스트(20개 분야 41개 항목)

∙ 세부 점검 내용(자료)은 붙임1“개인정보 내부관리계획 이행실태

체크리스트 ”참조

분 야 (내부관리계획 조항)	점검 항목	점검 결과 (○, △, ×)
제4조 (내부 관리계획의 수립 ‧ 시행)	1. 필수사항을 포함하는 내부관리계획 수립‧시행 여부	○
	2. 중요한 변경 사항이 있는 경우 즉시 반영 및 수정이력 관리 여부	○
제5조 (내부 관리계획의 공표)	3. 내부관리계획의 공표 및 언제든 열람할 수 있는 방법으로 비치 여부	○
제6조 (개인정보보호 조직구성)	4. 개인정보보호 보호책임자를 포함하는 개인정보보호 조직구성 여부	○
제7조 (역할 및 업무)	5. 개인정보보호 각 담당자별 업무 구분 여부	○
제8조 (개인정보보호 책임자의 공개)	6. 개인정보보호 책임자의 정보공개 여부	○
제9조 (개인정보보호 교육계획의 수립)	7. 연간 개인정보보호 교육계획 수립 여부	○
제10조 (개인정보보호 교육계획의 이행)	8. 전 임직원을 대상으로 매년 정기적으로 2회 이상 개인정보보호 교육 실시 여부	○
제11조 (접근권한의 관리)	9. 전보‧퇴직 등 인사이동으로 취급자가 변경될 경우 접근권한 변경 또는 말소 여부	○
	10. 접근권한의 부여‧변경‧말소 내역의 기록관리 및 최소 3년간 보관 여부	○
	11. 안전한 비밀번호 작성규칙의 수립‧적용 여부	○
	12. 비밀번호 일정 횟수 이상 잘못 입력한 경우 접근 제한 등 기술적 조치 여부	○
	13. 비밀번호 반기별 1회 이상 변경 조치 여부	○
제12조 (접근통제)	14. 개인정보처리시스템에 불법적 접근 및 침해사고 방지를 위한 시스템 설치‧운영 여부	○
	15. 외부에서 정보통신망을 통한 접속 시 가상사설망, 전용선 등 안전한 접속수단 제공 여부	○
	16. P2P, 웹하드 등 비인가 프로그램, 공유 설정 등에 대한 접속 차단 실시 여부	○
	17. 인터넷 홈페이지의 개인정보 노출 방지를 위한 연1회 이상 취약점 점검 및 필요한 보완조치 여부	○
	18. 개인정보처리시스템에서 일정시간 업무처리를 하지 않는 경우 시스템 접속 차단조치 여부	○
제13조 (개인정보의 암호화)	19. 비밀번호의 내부 저장 시 일방향 암호화 조치 여부	○
	20. 고유식별정보의 인터넷과 내부망의 중간지점(DMZ) 저장 시 암호화 조치 여부	○
	21. 안전한 암호키 생성,이용,보관 등의 관한 절차 수립‧시행 여부	○
제14조 (접속기록의 보관 및 점검)	22. 취급자의 접속기록을 최소 1년 이상 보관‧관리 여부 (5만명 이상 정보주체 개인정보 처리 또는 고유식별 정보, 민감정보 처리하는 개인정보시스템은 2년 이상)	○
	23. 개인정보처리시스템의 접속기록을 월 1회 이상 점검 여부	○
	24. 개인정보 다운로드 시 사유 확인 여부	×
	25. 접속기록이 위‧변조 및 도난, 분실되지 않도록 접속기록의 안전하게 보관 여부	○
제15조 (악성프로그램 등 방지)	26. 보안 프로그램의 설치‧운영 여부	○
	27. 보안 프로그램의 자동 업데이트 또는 일 1회 이상 업데이트 실시 여부	○
	28. 발견된 악성프로그램 등에 대해 삭제 등 대응조치 여부	○
제16조 (관리용 단말기의 안전조치)	29. 관리용 단말기 안전조치 여부	○
	30. 인가된 인원만 관리용 단말기 접근조치 여부	○
	31. 본래 목적 외로 사용되지 않도록 조치 여부	○
	32. 악성프로그램 감염방지 등 보안조치 적용	○
제17조 (물리적 안전조치)	33. 전산실 등 물리적 보관 장소에 대한 물리적 접근방지를 위한 보호조치 여부	○
제18조 (개인정보 유출사고 대응 계획)	34. 개인정보 유출사고 대응계획 마련 여부	○
제19조 (재해재난 대비 안전조치)	35. 재해 및 재난발생 시 대응절차 마련 여부	○
	36. 재해 및 재난발생 시 개인정보처리시스템 백업 및 복구 계획 마련 여부	○
제22조 (실태점검 주기 및 절차)	37. 내부관리 계획 이행실태 점검 연1회 이상 실시 여부	○
제23조 (점검 결과 반영)	38. 내부관리 계획 이행실태 점검 후 문제점 발견 시 시정·개선 조치 여부	○
제24조 (개인정보 영향평가)	39. 개인정보 취급 업무의 신규 기획, 개발 또는 변경될 경우 개인정보 영향평가 수행여부 파악 및 수행	○
제25조 (개인정보 흐름분석)	40. 개인정보 관련 업무 및 서비스를 분석하여 목록으로 관리 및 개인정보 흐름파악 여부	○
-	41. 위험도 분석 여부	위험도 분석 기준은 내부망에 고유식별정보를 암호화하지 않고 저장하는 경우 개인정보 처리자가 이행하여야 할 최소한의 보호조치 기준으로 공사는 고유식별정보를 포함한 모든 개인정보를 암호화 완료하여 분석 불필요

❍ 점검 총평 : 내부관리계획 이행실태 점검결과 전 항목에서 대체로

양호하였으나 개인정보 내부 관리계획에 따라 개인정보 다운           로드 시 사유를 기록하도록 시스템 반영이 필요함

Ⅳ

추후 계획

❍ 개인정보 다운로드 시 사유 기재 시스템 적용

붙임  개인정보 내부 관리계획 이행실태 체크리스트 1부.  끝.