서울주택도시공사

개인정보보호 내부관리계획 이행실태 점검표

○ 정보시스템부 체크리스트(40개 항목)

연번	점검 항목	점검 결과 (○,△,×)	점검 증빙 내용(자료)
1	필수사항을 포함하는 내부관리계획 수립‧시행 여부	○	정보시스템부-2526(2020.06.26.) “공사 개인정보 내부관리 계획 개정”
2	내부 관리계획의 중요한 변경 사항이 있는 경우 즉시 반영 및 수정이력 관리 여부	○
3	내부관리계획의 공표 및 언제든 열람할 수 있는 방법으로 비치 여부	○	공사 사규정보시스템 업무편람 (정보화)에 등록
4	개인정보보호 보호책임자를 포함하는 개인정보보호 조직구성 여부	○	개인정보보호지침 제9조 (개인정보보호 조직구성)
5	개인정보보호 각 담당자별 업무 구분 여부	○	개인정보보호지침 제10조 (역할 및 업무)
6	개인정보보호 책임자의 정보공개 여부	○	홈페이지 개인정보처리방침 內 공개
7	연간 개인정보보호 교육계획 수립 여부	○	정보시스템부-460(2020.02.05.) “2020년 개인정보보호 교육 계획(안)”
8	전 임직원을 대상으로 매년 정기적으로 2회 이상 개인정보 보호 교육 실시 여부	○	정보시스템부-1444(2019.11.27.) “2019년 정보보안 및 개인정보보호 사이버교육 결과 통보”, 정보시스템부-2019(2020.05.21.) “2020년 정보보안 및 개인정보보호 사이버교육 결과 통보”
9	전보‧퇴직 등 인사이동으로 취급자가 변경될 경우 접근권한 변경 또는 말소 여부	○	전보, 퇴직, 인사이동시 권한변경 및 말소 (기록보관)
10	접근권한의 부여‧변경‧말소 내역의 기록관리 및 최소 3년간 보관 여부	○
11	안전한 비밀번호 작성규칙의 수립‧적용 여부	○	사용자보안 기준서 제25조(사용자 계정 및 패스워드 관리) 적용
12	비밀번호 일정 횟수 이상 잘못 입력한 경우 접근 제한 등 기술적 조치 여부	○	5회 비밀번호 잘못 입력 시 핸드폰을 통한 임시 비밀번호 발급
13	비밀번호 반기별 1회 이상 변경 조치 여부	○	분기별 비밀번호 변경
14	개인정보처리시스템에 불법적 접근 및 침해사고 방지를 위한 시스템 설치‧운영 여부	○	IPS, DDOS대응시스템, 방화벽, 웹방화벽, UTM, 스팸메일차단, 유해차단, 서버보안, APT대응 등 정보보안 시스템 운영
15	외부에서 정보통신망을 통한 접속 시 가상사설망, 전용선 등 안전한 접속수단 제공 여부	○	SSL-VPN 및 IP-Sec VPN(센터) 제공
16	P2P, 웹하드 등 비인가 프로그램, 공유 설정 등에 대한 접속 차단 실시 여부	○	유해차단, APT대응 시스템 등을 통한 차단 실시
17	인터넷 홈페이지의 개인정보 노출 방지를 위한 연1회 이상 취약점 점검 및 필요한 보완조치 여부	○	소스코드 취약점 및 개인정보 노출 점검 실시
18	개인정보처리시스템에서 일정시간 업무처리를 하지 않는 경우 시스템 접속 차단조치 여부	○	SHine(2시간), 홈페이지(1시간) 세션 타임아웃 적용
19	비밀번호의 내부 저장 시 일방향 암호화 조치 여부	○	비밀번호 대칭키 암호화 알고리즘(Seed) 적용 중
20	고유식별정보의 인터넷과 내부망의 중간지점(DMZ) 저장 시 암호화 조치 여부	○	고유식별정보 암호화 적용 중
21	안전한 암호키 생성,이용,보관 등의 관한 절차 수립‧시행 여부	○	SHC-114 “암호화 기준서” 운영
22	취급자의 개인정보처리시스템 접속기록을 1년 이상 보관 ‧ 관리 여부(5만명 이상 정보주체 개인정보 처리 또는 고유식별정보, 민감정보 처리하는 개인정보시스템은 2년 이상)	○	접속기록 1개월 이상 안전하게 보관 및 관리
23	개인정보처리시스템의 접속기록을 월 1회 이상 점검 여부	○	매월 점검 실시 중
24	개인정보 다운로드 시 사유 확인 여부 (신규)	×	시스템 미적용 상태로 공사 개인정보 내부관리 계획 기준에 따른 개발 후 적용 예정
25	접속기록이 위‧변조 및 도난, 분실되지 않도록 접속기록의 안전하게 보관 여부	○	접속기록 이상 안전하게 보관 및 관리
26	보안 프로그램의 설치‧운영 여부	○	안티바이러스, 보안키패드, Privacy-i, SafePC 등 운영 중
27	보안 프로그램의 자동 업데이트 또는 일 1회 이상 업데이트 실시 여부	○	응용프로그램이나 운영체제 소프트웨어의 제작업체에서 보안 업데이트 공지가 있는 경우 즉시 이에 따른 업데이트 실시 및 악성 프로그램 삭제
28	발견된 악성프로그램 등에 대해 삭제 등 대응조치 여부	○
29	관리용 단말기 안전조치 여부	○	비밀번호 설정 및 출입대장 운영 중
30	인가된 인원만 관리용 단말기 접근조치 여부	○
31	본래 목적 외로 사용되지 않도록 조치 여부	○
32	악성프로그램 감염방지 등 보안조치 적용	○	유해 사이트 접속 차단 및 악성코드 유입차단 및 APT공격 사전차단 시스템 운영 중
33	전산실 등 물리적 보관 장소에 대한 물리적 접근방지를 위한 보호조치 여부	○	물리적 잠금장치 운영 중
34	개인정보 유출사고 대응계획 마련 여부	○	SHC-202 “개인정보사고 대응 기준서”
35	재해 및 재난발생 시 대응절차 마련 여부	○	SHC-115 “업무 연속성관리 기준서” SHC-1151 “업무 연속성 대응 체계서”
36	재해 및 재난발생 시 개인정보처리시스템 백업 및 복구 계획 마련 여부	○	SHC-115 “업무 연속성관리 기준서” SHC-1151 “업무 연속성 대응 체계서”
37	내부관리 계획 이행실태 점검 연1회 이상 실시 여부	○	2020년 6월 점검 완료
38	내부관리 계획 이행실태 점검 후 문제점 발견 시 시정·개선 조치 여부	○	미흡사항 도출 시 부서 자체 개선 또는 필요 시 정보시스템부와의 협업을 통한 개선 실시 정보시스템부-2197(2019.06.27.) “2019년 개인정보 내부관리계획 이행실태 점검 결과”
39	개인정보 취급 업무의 신규 기획, 개발 또는 변경될 경우 개인정보 영향평가 수행여부 파악 및 수행	○	영향평가 대상 기준에 따른 공사 개인정보 영향평가 수행여부 파악 완료
40	개인정보 관련 업무 및 서비스를 분석하여 목록으로 관리 및 개인정보 흐름파악 여부	○	개인정보의 처리 및 관리 등 취급상의 개인정보 흐름 파악
41	위험도 분석 여부	불필요	위험도 분석 기준은 내부망에 고유식별정보를 암호화하지 않고 저장하는 경우 개인정보 처리자가 이행하여야 할 최소한의 보호조치 기준으로 공사는 고유식별정보를 포함한 모든 개인정보를 암호화 완료하여 분석 불필요