IT 위키 - 사용자 기여 [ko]

ISMS-P 인증 기준 세부점검항목 개정(23.10.31)

2023-11-03T10:47:44Z

Isms:

{| class="wikitable"
! colspan="5" |개정 후(23.10.31.)
! colspan="3" |개정 전
|-
|항목
| colspan="2" |상세 내용
| colspan="2" |주요 확인사항
|항목
|상세 내용
|주요 확인사항
|-
| rowspan="4" |2.4.7 업무환경 보안<ref>개인정보 출력 보호조치 기준이 사라지면서 그 중 업무 환경에서의 노출 확인사항이 본 항목으로 이관되었다. (참고) 마스킹 관련 내용은 2.6.3 응용프로그램 접근으로 이관되었다.</ref>
| rowspan="4" |공용으로 사용하는 사무용 기기(문서고, 공용 PC, 복합기, 파일서버 등) 및 개인 업무환경(업무용 PC, 책상 등)을 통해 개인정보 및 중요정보가 비인가자에게 노출 또는 유출되지 않도록 클린데스크, 정기점검 등 업무환경 보호대책을 수립∙이행하여야 한다.
| rowspan="4" |동일
|문서고, 공용 PC, 복합기, 파일서버 등 공용으로 사용하는 시설 및 사무용 기기에 대한 보호대책을 수립∙이행하고 있는가?
|동일
| rowspan="4" |2.4.7 업무환경 보안
| rowspan="4" |공용으로 사용하는 사무용 기기(문서고, 공용 PC, 복합기, 파일서버 등) 및 개인 업무환경(업무용 PC, 책상 등)을 통해 개인정보 및 중요정보가 비인가자에게 노출 또는 유출되지 않도록 클린데스크, 정기점검 등 업무환경 보호대책을 수립∙이행하여야 한다.
|문서고, 공용 PC, 복합기, 파일서버 등 공용으로 사용하는 시설 및 사무용 기기에 대한 보호대책을 수립∙이행하고 있는가?
|-
|업무용 PC, 책상, 서랍 등 개인업무 환경을 통한 개인정보 및 중요정보의 유∙노출을 방지하기 위한 보호대책을 수립∙이행하고 있는가?
|동일
|업무용 PC, 책상, 서랍 등 개인업무 환경을 통한 개인정보 및 중요정보의 유∙노출을 방지하기 위한 보호대책을 수립∙이행하고 있는가?
|-
|'''개인정보가 포함된 종이 인쇄물 등 개인정보의 출력∙복사물을 안전하게 관리하기 위해 필요한 보호조치를 하고 있는가?'''
|'''신설'''
|
|-
|개인 및 공용업무 환경에서의 정보보호 준수여부를 주기적으로 검토하고 있는가?
|동일
|개인 및 공용업무 환경에서의 정보보호 준수여부를 주기적으로 검토하고 있는가?
|-
| rowspan="3" |2.5.4 비밀번호 관리<ref>개인정보처리시스템, 개인정보주체의 인증에 관한 내용이 강화되었다.</ref>
| rowspan="3" |법적 요구사항, 외부 위협요인 등을 고려하여 정보시스템 사용자 및 고객, 회원 등 정보주체(이용자)가 사용하는 비밀번호 관리절차를 수립∙이행하여야 한다.
| rowspan="3" |동일
|'''정보시스템'''에 대한 안전한 사용자 비밀번호 관리절차 및 작성규칙을 수립∙이행하고 있는가?
|'''변경'''
| rowspan="3" |2.5.4 비밀번호 관리
| rowspan="3" |법적 요구사항, 외부 위협요인 등을 고려하여 정보시스템 사용자 및 고객, 회원 등 정보주체(이용자)가 사용하는 비밀번호 관리절차를 수립∙이행하여야 한다.
|'''정보시스템 및 개인정보처리시스템'''에 대한 안전한 사용자 비밀번호 관리절차 및 작성규칙을 수립∙이행하고 있는가?
|-
|정보주체(이용자)가 안전한 비밀번호를 이용할 수 있도록 비밀번호 작성 규칙을 수립∙이행하고 있는가?
|동일
|정보주체(이용자)가 안전한 비밀번호를 이용할 수 있도록 비밀번호 작성 규칙을 수립∙이행하고 있는가?
|-
|개인정보취급자 또는 정보주체의 인증수단을 안전하게 적용하고 관리하고 있는가?
|'''신설'''
|
|-
| rowspan="5" |2.6.3 응용프로그램 접근
| rowspan="5" |사용자별 업무 및 접근 정보의 중요도 등에 따라 응용프로그램 접근권한을 제한하고, 불필요한 정보 또는 중요정보 노출을 최소화할 수 있도록 기준을 수립하여 적용하여야 한다.
| rowspan="5" |동일
|중요정보 접근을 통제하기 위하여 사용자의 업무에 따라 응용프로그램 접근권한을 차등 부여하고 있는가?
|동일
| rowspan="5" |2.6.3 응용프로그램 접근
| rowspan="5" |사용자별 업무 및 접근 정보의 중요도 등에 따라 응용프로그램 접근권한을 제한하고, 불필요한 정보 또는 중요정보 노출을 최소화할 수 있도록 기준을 수립하여 적용하여야 한다.
|중요정보 접근을 통제하기 위하여 사용자의 업무에 따라 응용프로그램 접근권한을 차등 부여하고 있는가?
|-
|일정 시간동안 입력이 없는 세션은 자동 차단하고, 동일 사용자의 동시 세션 수를 제한하고 있는가?
|동일
|일정 시간동안 입력이 없는 세션은 자동 차단하고, 동일 사용자의 동시 세션 수를 제한하고 있는가?
|-
|관리자 전용 응용프로그램(관리자 웹페이지, 관리콘솔 등)은 비인가자가 접근할 수 없도록 접근을 통제하고 있는가?
|동일
|관리자 전용 응용프로그램(관리자 웹페이지, 관리콘솔 등)은 비인가자가 접근할 수 없도록 접근을 통제하고 있는가?
|-
|'''개인정보 및 중요정보의 표시제한 보호조치의 일관성을 확보할 수 있도록 관련 기준을 수립하여 적용하고 있는가?'''
|'''이동<ref>개정안에서 삭제된 기존 3.2.3의 주요 확인사항이 이동되었다.</ref>'''
|
|-
|'''개인정보 및 중요정보의''' 불필요한 노출(조회, 화면표시, 인쇄, 다운로드 등)을 최소화할 수 있도록 응용프로그램을 구현하여 운영하고 있는가?
|'''변경'''
|중요정보의 불필요한 노출(조회, 화면표시, 인쇄, 다운로드 등)을 최소화할 수 있도록 응용프로그램을 구현하여 운영하고 있는가?
|-
| rowspan="4" |2.6.6 원격접근 통제
| rowspan="4" |보호구역 이외 장소에서의 정보시스템 관리 및 개인정보 처리는 원칙적으로 금지하고, 재택근무∙장애대응∙원격협업 등 불가피한 사유로 원격접근을 허용하는 경우 책임자 승인, 접근 단말 지정, 접근 허용범위 및 기간 설정, 강화된 인증, 구간 암호화, 접속단말 보안(백신, 패치 등) 등 보호대책을 수립∙이행하여야 한다.
| rowspan="4" |동일
|인터넷과 같은 외부 네트워크를 통한 정보시스템 원격운영은 원칙적으로 금지하고 장애대응 등 부득이하게 허용하는 경우 보완대책을 마련하고 있는가?
|동일
| rowspan="4" |2.6.6 원격접근 통제
| rowspan="4" |보호구역 이외 장소에서의 정보시스템 관리 및 개인정보 처리는 원칙적으로 금지하고, 재택근무∙장애대응∙원격협업 등 불가피한 사유로 원격접근을 허용하는 경우 책임자 승인, 접근 단말 지정, 접근 허용범위 및 기간 설정, 강화된 인증, 구간 암호화, 접속단말 보안(백신, 패치 등) 등 보호대책을 수립∙이행하여야 한다.
|인터넷과 같은 외부 네트워크를 통한 정보시스템 원격운영은 원칙적으로 금지하고 장애대응 등 부득이하게 허용하는 경우 보완대책을 마련하고 있는가?
|-
|내부 네트워크를 통해서 원격으로 정보시스템을 운영하는 경우 특정 단말에 한해서만 접근을 허용하고 있는가?
|동일
|내부 네트워크를 통해서 원격으로 정보시스템을 운영하는 경우 특정 단말에 한해서만 접근을 허용하고 있는가?
|-
|재택근무, 원격협업, 스마트워크 등과 같은 원격업무 수행 시 중요정보 유출, 해킹 등 침해사고 예방을 위한 보호대책을 수립∙이행하고 있는가?
|동일
|재택근무, 원격협업, 스마트워크 등과 같은 원격업무 수행 시 중요정보 유출, 해킹 등 침해사고 예방을 위한 보호대책을 수립∙이행하고 있는가?
|-
|개인정보처리시스템의 관리, 운영, 개발, 보안 등을 목적으로 원격으로 개인정보처리시스템에 '''접속하는''' 단말기는 관리용 단말기로 지정하고 임의조작 및 목적 외 사용 금지 등 안전조치를 적용하고 있는가?
|'''변경'''
|개인정보처리시스템의 관리, 운영, 개발, 보안 등을 목적으로 원격으로 개인정보처리시스템에 '''직접 접속'''하는 단말기는 관리용 단말기로 지정하고 임의조작 및 목적 외 사용 금지 등 안전조치를 적용하고 있는가?
|-
| rowspan="3" |2.6.7 인터넷 접속 통제<ref>안전성 확보조치 개정에 따른 변경 (참고) "전년도 말 기준 직전 3개월간 그 개인정보가 저장ㆍ관리되고 있는 이용자 수가 일일평균 100만명 이상인 개인정보처리자는 개인정보처리시스템에서 개인정보를 다운로드 또는 파기할 수 있거나 개인정보처리시스템에 대한 접근 권한을 설정할 수 있는 개인정보취급자의 컴퓨터 등에 대한 인터넷망 차단 조치를 하여야 한다. 다만, 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제2조제3호에 따른 클라우드컴퓨팅서비스를 이용하여 개인정보처리시스템을 구성ㆍ운영하는 경우에는 해당 서비스에 대한 접속 외에는 인터넷을 차단하는 조치를 하여야 한다. "</ref>
| rowspan="3" |인터넷을 통한 정보 유출, 악성코드 감염, 내부망 침투 등을 예방하기 위하여 주요 정보시스템, 주요 직무 수행 및 개인정보 취급 단말기 등에 대한 인터넷 접속 또는 서비스(P2P, 웹하드, 메신저 등)를 제한하는 등 인터넷 접속 통제 정책을 수립∙이행하여야 한다.
| rowspan="3" |동일
|주요 직무 수행 및 개인정보 취급 단말기 등 업무용 PC의 인터넷 접속에 대한 통제정책을 수립∙이행하고 있는가?
|동일
| rowspan="3" |2.6.7 인터넷 접속 통제
| rowspan="3" |인터넷을 통한 정보 유출, 악성코드 감염, 내부망 침투 등을 예방하기 위하여 주요 정보시스템, 주요 직무 수행 및 개인정보 취급 단말기 등에 대한 인터넷 접속 또는 서비스(P2P, 웹하드, 메신저 등)를 제한하는 등 인터넷 접속 통제 정책을 수립∙이행하여야 한다.
|주요 직무 수행 및 개인정보 취급 단말기 등 업무용 PC의 인터넷 접속에 대한 통제정책을 수립∙이행하고 있는가?
|-
|주요 정보시스템(DB서버 등)에서 불필요한 외부 인터넷 접속을 통제하고 있는가?
|동일
|주요 정보시스템(DB서버 등)에서 불필요한 외부 인터넷 접속을 통제하고 있는가?
|-
|관련 법령에 따라 '''인터넷망 차단''' 의무가 부과된 경우 대상자를 식별하여 안전한 방식으로 '''인터넷망 차단 조치'''를 적용하고 있는가?
|'''변경'''
|관련 법령에 따라 '''인터넷 망분리''' 의무가 부과된 경우 '''망분리''' 대상자를 식별하여 안전한 방식으로 망 분리를 적용하고 있는가?
|-
| rowspan="2" |2.7.1 암호정책 적용
| rowspan="2" |개인정보 및 주요정보 보호를 위하여 법적 요구사항을 반영한 암호화 대상, 암호 강도, 암호 사용 정책을 수립하고 개인정보 및 주요정보의 저장∙전송∙전달 시 암호화를 적용하여야 한다.
| rowspan="2" |동일
|개인정보 및 주요정보의 보호를 위하여 법적 요구사항을 반영한 암호화 대상, 암호강도, 암호사용 등이 포함된 암호정책을 수립하고 있는가?
|동일
| rowspan="2" |2.7.1 암호정책 적용
| rowspan="2" |개인정보 및 주요정보 보호를 위하여 법적 요구사항을 반영한 암호화 대상, 암호 강도, 암호 사용 정책을 수립하고 개인정보 및 주요정보의 저장∙전송∙전달 시 암호화를 적용하여야 한다.
|개인정보 및 주요정보의 보호를 위하여 법적 요구사항을 반영한 암호화 대상, 암호강도, 암호사용 등이 포함된 암호정책을 수립하고 있는가?
|-
|암호정책에 따라 '''개인정보 및 주요정보'''의 저장, 전송, 전달 시 암호화를 수행하고 있는가?
|'''변경'''
|암호정책에 따라 '''개인정보 및 중요 정보'''의 저장, 전송, 전달 시 암호화를 수행하고 있는가?
|-
| rowspan="3" |2.9.4 로그 및 접속기록 관리
| rowspan="3" |서버, 응용프로그램, 보안시스템, 네트워크시스템 등 정보시스템에 대한 사용자 접속기록, 시스템로그, 권한부여 내역 등의 로그유형, 보존기간, 보존방법 등을 정하고 위∙변조, 도난, 분실 되지 않도록 안전하게 보존∙관리하여야 한다.
| rowspan="3" |동일
|서버, 응용프로그램, 보안시스템, 네트워크시스템 등 정보시스템에 대한 로그관리 절차를 수립하고 이에 따라 필요한 로그를 생성하여 보관하고 있는가?
|동일
| rowspan="3" |2.9.4 로그 및 접속기록 관리
| rowspan="3" |서버, 응용프로그램, 보안시스템, 네트워크시스템 등 정보시스템에 대한 사용자 접속기록, 시스템로그, 권한부여 내역 등의 로그유형, 보존기간, 보존방법 등을 정하고 위∙변조, 도난, 분실 되지 않도록 안전하게 보존∙관리하여야 한다.
|서버, 응용프로그램, 보안시스템, 네트워크시스템 등 정보시스템에 대한 로그관리 절차를 수립하고 이에 따라 필요한 로그를 생성하여 보관하고 있는가?
|-
|정보시스템의 로그기록은 '''위∙변조 및 도난, 분실되지 않도록 안전하게 보관하고''' 로그기록에 대한 접근권한은 최소화하여 부여하고 있는가?
|'''변경'''
|정보시스템의 로그기록은 '''별도 저장장치를 통해 백업하고''' 로그기록에 대한 접근권한은 최소화하여 부여하고 있는가?
|-
|개인정보처리시스템에 대한 접속기록은 법적 요구사항을 준수할 수 있도록 필요한 항목을 모두 포함하여 일정기간 안전하게 보관하고 있는가?
|동일
|개인정보처리시스템에 대한 접속기록은 법적 요구사항을 준수할 수 있도록 필요한 항목을 모두 포함하여 일정기간 안전하게 보관하고 있는가?
|-
| rowspan="9" |'''3.1.1''' 개인정보 '''수집∙이용'''
| rowspan="9" |'''개인정보는 적법하고 정당하게 수집∙이용하여야 하며, 정보주체의 동의를 근거로 수집하는 경우에는 적법한 방법으로 정보주체의 동의를 받아야 한다. 또한 만 14세 미만 아동의 개인정보를 수집하는 경우에는 그 법정대리인의 동의를 받아야 하며 법정대리인이 동의하였는지를 확인하여야 한다.'''
| rowspan="9" |'''변경'''
|'''개인정보를 수집하는 경우 정보주체 동의, 법령상 의무준수, 계약 체결∙이행 등 적법 요건에 따라 수집하고 있는가?'''
|'''변경'''
| rowspan="9" |'''3.1.2''' 개인정보의 '''수집 동의'''
| rowspan="9" |'''개인정보는 정보주체(이용자)의 동의를 받거나 관계 법령에 따라 적법하게 수집하여야 하며, 만 14세 미만 아동의 개인정보를 수집하려는 경우에는 법정대리인의 동의를 받아야 한다.'''
|개인정보 수집 시 법령에 특별한 규정이 있는 경우를 제외하고는 정보주체(이용자)에게 관련 내용을 명확하게 고지하고 동의를 받고 있는가?
|-
|'''정보주체에게 개인정보 수집 동의를 받는 경우 동의방법''' 및 시점은 적절하게 되어 있는가?
|'''변경'''
|정보주체(이용자)에게 동의를 받는 방법 및 시점은 적절하게 되어 있는가?
|-
|'''정보주체에게''' 개인정보 수집 동의를 받는 경우 관련 내용을 명확하게 고지하고 법령에서 정한 중요한 내용에 대해 명확히 표시하여 알아보기 쉽게 '''표시하고 있는가?'''
|'''변경'''
|정보주체(이용자)에게 동의를 서면(전자문서 포함)으로 받는 경우 법령에서 정한 중요한 내용에 대해 명확히 표시하여 알아보기 쉽게 하고 있는가?
|-
|만 14세 미만 아동의 개인정보에 대해 수집∙이용∙제공 등의 동의를 받는 경우 법정대리인에게 필요한 사항에 대하여 고지하고 동의를 받고 있는가?
|동일
|만 14세 미만 아동의 개인정보에 대해 수집∙이용∙제공 등의 동의를 받는 경우 법정대리인에게 필요한 사항에 대하여 고지하고 동의를 받고 있는가?
|-
|법정대리인의 동의를 받기 위하여 필요한 최소한의 개인정보만을 수집하고 있으며, 법정대리인이 자격 요건을 갖추고 있는지 확인하는 절차와 방법을 마련하고 있는가?
|동일
|법정대리인의 동의를 받기 위하여 필요한 최소한의 개인정보만을 수집하고 있으며, 법정대리인이 자격 요건을 갖추고 있는지 확인하는 절차와 방법을 마련하고 있는가?
|-
|'''만 14세 미만의 아동에게 개인정보 처리와 관련한 사항 등의 고지 시 이해하기 쉬운 양식과 명확하고 알기 쉬운 언어로 표현하고 있는가?'''
|'''신설'''
|
|-
|'''정보주체''' 및 법정대리인에게 동의를 받은 기록을 보관하고 있는가?
|'''변경'''
|'''정보주체(이용자)''' 및 법정대리인에게 동의를 받은 기록을 보관하고 있는가?
|-
|'''정보주체의 동의 없이 처리할 수 있는 개인정보에 대해서는 그 항목과 처리의 법적 근거를 정보주체의 동의를 받아 처리하는 개인정보와 구분하여 개인정보 처리방침에 공개하거나 정보주체에게 알리고 있는가?'''
|'''신설'''
|
|-
|'''정보주체의 동의 없이 개인정보의 추가적인 이용 시 당초 수집 목적과의 관련성, 예측 가능성, 이익 침해 여부, 안전성 확보조치 등의 고려사항에 대한 판단기준을 수립∙이행하고, 추가적인 이용이 지속적으로 발생하는 경우 고려사항에 대한 판단기준을 개인정보 처리방침에 공개하고 이를 점검하고 있는가?'''
|'''신설'''
|
|-
| rowspan="3" |'''3.1.2''' 개인정보 수집 제한
| rowspan="3" |'''개인정보를 수집하는 경우 처리 목적에''' 필요한 최소한의 '''개인정보만을 수집하여야 하며, 정보주체가 선택적으로 동의할 수 있는 사항 등에 동의하지 아니한다는 이유로 정보주체에게 재화 또는''' 서비스의 제공을 거부하지 않아야 한다.
| rowspan="3" |'''변경'''
|개인정보를 수집하는 경우 '''그 목적에 필요한 범위에서''' 최소한의 정보만을 수집하고 있는가?
|'''변경'''
| rowspan="3" |'''3.1.1''' 개인정보 수집 제한
| rowspan="3" |'''개인정보는 서비스 제공을 위하여''' 필요한 최소한의 '''정보를 적법하고 정당하게 수집하여야 하며, 필수정보 이외의 개인정보를 수집하는 경우에는 선택항목으로 구분하여 해당 정보를 제공하지 않는다는 이유로''' 서비스 제공을 거부하지 않아야 한다.
|개인정보를 수집하는 경우 '''서비스 제공 또는 법령에 근거한 처리 등을 위해 필요한 범위 내에서''' 최소한의 정보만을 수집하고 있는가?
|-
|'''정보주체의 동의를 받아 개인정보를 수집하는 경우''' 필요한 최소한의 정보 외의 '''개인정보 수집에는 동의하지 않을 수 있다는 사실을 구체적으로 알리고''' 있는가?
|'''변경'''
|'''수집 목적에''' 필요한 최소한의 정보 외의 '''개인정보를 수집하는 경우 정보주체(이용자)가 해당 개인정보의 제공 여부를 선택할 수 있도록 하고''' 있는가?
|-
|'''정보주체가 수집 목적에''' 필요한 최소한의 정보 이외의 개인정보 수집에 동의하지 않는다는 이유로 서비스 또는 재화의 제공을 거부하지 않도록 하고 있는가?
|'''변경'''
|'''정보주체(이용자)'''가 수집 목적에 필요한 최소한의 정보 이외의 개인정보 수집에 동의하지 않는다는 이유로 서비스 또는 재화의 제공을 거부하지 않도록 하고 있는가?
|-
| rowspan="3" |3.1.3 주민등록번호 처리 제한
| rowspan="3" |주민등록번호는 법적 근거가 있는 경우를 제외하고는 수집∙이용 등 처리할 수 없으며, 주민등록번호의 처리가 허용된 경우라 하더라도 인터넷 홈페이지 등에서 대체수단을 제공하여야 한다.
| rowspan="3" |동일
|주민등록번호는 명확한 법적 근거가 있는 경우에만 처리하고 있는가?
|동일
| rowspan="3" |3.1.3 주민등록번호 처리 제한
| rowspan="3" |주민등록번호는 법적 근거가 있는 경우를 제외하고는 수집∙이용 등 처리할 수 없으며, 주민등록번호의 처리가 허용된 경우라 하더라도 인터넷 홈페이지 등에서 대체수단을 제공하여야 한다.
|주민등록번호는 명확한 법적 근거가 있는 경우에만 처리하고 있는가?
|-
|주민등록번호의 수집 근거가 되는 법조항을 구체적으로 식별하고 있는가?
|동일
|주민등록번호의 수집 근거가 되는 법조항을 구체적으로 식별하고 있는가?
|-
|법적 근거에 따라 '''주민등록번호를 처리하는 경우에도 정보주체가 인터넷 홈페이지를 통하여 회원으로 가입하는 단계에서는 주민등록번호를 사용하지 아니하고도 회원으로 가입할 수 있는 방법을''' 제공하고 있는가?
|'''변경'''
|법적 근거에 따라 '''정보주체(이용자)의 주민등록번호 수집이 가능한 경우에도 아이핀, 휴대폰 인증 등 주민등록번호를 대체하는 수단을''' 제공하고 있는가?
|-
| rowspan="3" |3.1.4 민감정보 및 고유식별정보의 처리 제한
| rowspan="3" |민감정보와 고유식별정보(주민등록번호 제외)를 처리하기 위해서는 법령에서 구체적으로 처리를 요구하거나 허용하는 경우를 제외하고는 '''정보주체'''의 별도 동의를 받아야 한다.
| rowspan="3" |'''변경'''
|민감정보는 '''정보주체'''로부터 별도의 동의를 받거나 관련 법령에 근거가 있는 경우에만 처리하고 있는가?
|'''변경'''
| rowspan="3" |3.1.4 민감정보 및 고유식별정보의 처리 제한
| rowspan="3" |민감정보와 고유식별정보(주민등록번호 제외)를 처리하기 위해서는 법령에서 구체적으로 처리를 요구하거나 허용하는 경우를 제외하고는 '''정보주체(이용자)'''의 별도 동의를 받아야 한다.
|민감정보는 '''정보주체(이용자)'''로부터 별도의 동의를 받거나 관련 법령에 근거가 있는 경우에만 처리하고 있는가?
|-
|고유식별정보(주민등록번호 제외)는 '''정보주체'''로부터 별도의 동의를 받거나 관련 법령에 구체적인 근거가 있는 경우에만 처리하고 있는가?
|'''변경'''
|고유식별정보(주민등록번호 제외)는 '''정보주체(이용자)'''로부터 별도의 동의를 받거나 관련 법령에 구체적인 근거가 있는 경우에만 처리하고 있는가?
|-
|재화 또는 서비스를 제공하는 과정에서 공개되는 정보에 정보주체의 민감정보가 포함됨으로써 사생활 침해의 위험성이 있다고 판단하는 때에는 재화 또는 서비스의 제공 전에 민감정보의 공개 가능성 및 비공개를 선택하는 방법을 정보주체가 알아보기 쉽게 알리고 있는가?
|'''신설'''
|
|-
| rowspan="6" |3.1.5 '''개인정보 간접수집'''<ref>법 개정 과정에서 용어 및 표현의 정리에 따라 사소한 자구수정만 있었다</ref>
| rowspan="6" |'''정보주체''' 이외로부터 개인정보를 수집하거나 '''제3자로부터 제공받는''' 경우에는 업무에 필요한 최소한의 '''개인정보를 수집하거나 제공받아야 하며''', 법령에 근거하거나 '''정보주체'''의 요구가 있으면 개인정보의 수집 출처, 처리목적, 처리정지의 요구권리를 알려야 한다.
| rowspan="6" |변경
|'''정보주체 이외의 제3자로부터''' 개인정보를 제공받는 경우 개인정보 수집에 대한 동의획득 책임이 개인정보를 제공하는 자에게 있음을 계약을 통해 명시하고 있는가?
|'''변경'''
| rowspan="6" |3.1.5 '''간접수집 보호조치'''
| rowspan="6" |'''정보주체(이용자)''' 이외로부터 개인정보를 수집하거나 '''제공받는''' 경우에는 업무에 필요한 최소한의 '''개인정보만 수집∙이용하여야 하고''' 법령에 근거하거나 '''정보주체(이용자)의''' 요구가 있으면 개인정보의 수집 출처, 처리목적, 처리정지의 요구권리를 알려야 한다.
|'''정보주체(이용자) 이외로부터''' 개인정보를 제공받는 경우 개인정보 수집에 대한 동의획득 책임이 개인정보를 제공하는 자에게 있음을 계약을 통해 명시하고 있는가?
|-
|공개된 매체 및 장소에서 개인정보를 수집하는 경우 '''정보주체의''' 공개 목적∙범위 및 사회 통념상 동의 의사가 있다고 인정되는 범위 내에서만 수집∙이용하고 있는가?
|'''변경'''
|공개된 매체 및 장소에서 개인정보를 수집하는 경우 '''정보주체(이용자)'''의 공개 목적∙범위 및 사회 통념상 동의 의사가 있다고 인정되는 범위 내에서만 수집∙이용하는가?
|-
|서비스 계약 이행을 위해 필요한 경우로서, '''서비스 제공 과정에서''' 자동수집장치 등에 의해 수집∙생성하는 '''개인정보의''' 경우에도 최소수집 원칙을 적용하고 있는가?
|'''변경'''
|서비스 계약 이행을 위해 필요한 경우로서, '''사업자가 서비스 제공 과정에서''' 자동수집장치 등에 의해 수집･생성하는 '''개인정보(이용내역 등)'''의 경우에도 최소수집 원칙을 적용하고 있는가?
|-
|'''정보주체''' 이외로부터 수집하는 개인정보에 대해 '''정보주체의''' 요구가 있는 경우 즉시 필요한 사항을 '''정보주체에게''' 알리고 있는가?
|'''변경'''
|'''정보주체(이용자)''' 이외로부터 수집하는 개인정보에 대해 정보주체(이용자)의 요구가 있는 경우 즉시 필요한 사항을 '''정보주체(이용자)에게''' 알리고 있는가?
|-
|'''정보주체''' 이외로부터 수집한 개인정보를 처리하는 경우 개인정보의 종류∙규모 등이 법적 요건에 해당하는 경우 필요한 사항을 '''정보주체에게''' 알리고 있는가?
|'''변경'''
|'''정보주체(이용자)''' 이외로부터 수집한 개인정보를 처리하는 경우 개인정보의 종류∙규모 등이 법적 요건에 해당하는 경우 필요한 사항을 '''정보주체(이용자)에게''' 알리고 있는가?
|-
|'''정보주체에게''' 수집 출처에 대해 알린 기록을 해당 개인정보의 파기 시까지 보관∙관리하고 있는가?
|'''변경'''
|'''정보주체(이용자)'''에게 수집출처에 대해 알린 기록을 해당 개인정보의 파기 시까지 보관∙관리하고 있는가?
|-
| rowspan="8" |3.1.6 영상정보처리기기 설치∙운영
| rowspan="8" |'''고정형 영상정보처리기기를 공개된 장소에 설치∙운영하거나 이동형 영상정보처리기기를 공개된 장소에서 업무를 목적으로 운영하는 경우''' 설치 목적 및 위치에 따라 '''법적 요구사항'''을 준수하고, 적절한 보호대책을 수립∙이행하여야 한다.
| rowspan="8" |변경
|공개된 장소에 '''고정형 영상정보처리기기를''' 설치∙운영할 경우 '''법적 허용 요건에 해당하는지를''' 검토하고 있는가?
|'''변경'''
| rowspan="8" |3.1.6 영상정보처리기기 설치∙운영
| rowspan="8" |'''영상정보처리기기를 공개된 장소에 설치∙운영하는 경우''' 설치 목적 및 위치에 따라 '''법적 요구사항(안내판 설치 등)'''을 준수하고, 적절한 보호대책을 수립∙이행하여야 한다.
|공개된 장소에 '''영상정보처리기기를''' 설치∙운영할 경우 '''법적으로 허용한 장소 및 목적인지''' 검토하고 있는가?
|-
|공공기관 등이 공개된 장소에 '''고정형 영상정보처리기기를''' 설치∙운영하려는 경우 공청회∙설명회 개최 등의 법령에 따른 절차를 거쳐 관계 전문가 및 이해관계인의 의견을 수렴하고 있는가?
|'''변경'''
|공공기관이 공개된 장소에 '''영상정보처리기기를''' 설치∙운영하려는 경우 공청회∙설명회 개최 등의 법령에 따른 절차를 거쳐 관계 전문가 및 이해관계인의 의견을 수렴하고 있는가?
|-
|'''고정형 영상정보처리기기''' 설치∙운영 시 정보주체가 쉽게 인식할 수 있도록 안내판 설치 등 필요한 조치를 하고 있는가?
|'''변경'''
|'''영상정보처리기기''' 설치∙운영 시 정보주체가 쉽게 인식할 수 있도록 안내판 설치 등 필요한 조치를 하고 있는가?
|-
|'''업무를 목적으로 공개된 장소에서 이동형 영상정보처리기기를 운영하는 경우 법적 허용 요건에 해당하는지를 검토하고 있는가?'''
|'''변경'''
|
|-
|'''업무를 목적으로 공개된 장소에서 이동형 영상정보처리기기로 사람 또는 그 사람과 관련된 사물의 영상을 촬영하는 경우 불빛, 소리, 안내판 등의 방법으로 촬영 사실을 표시하고 알리고 있는가?'''
|'''변경'''
|
|-
|영상정보처리기기 및 영상정보의 안전한 관리를 위한 영상정보처리기기 운영∙관리 방침을 마련하여 시행하고 있는가?
|동일
|영상정보처리기기 및 영상정보의 안전한 관리를 위한 영상정보처리기기 운영∙관리 방침을 마련하여 시행하고 있는가?
|-
|영상정보의 보관 기간을 정하고 있으며, 보관 기간 만료 시 지체 없이 '''파기하고''' 있는가?
|'''변경'''
|영상정보의 보관 기간을 정하고 있으며, 보관 기간 만료 시 지체 없이 '''삭제하고''' 있는가?
|-
|영상정보처리기기 설치∙운영에 관한 사무를 위탁하는 경우 관련 절차 및 요건에 따라 계약서에 반영하고 있는가?
|동일
|영상정보처리기기 설치∙운영에 관한 사무를 위탁하는 경우 관련 절차 및 요건에 따라 계약서에 반영하고 있는가?
|-
| rowspan="4" |3.1.7 '''마케팅 목적의 개인정보 수집∙이용'''
| rowspan="4" |재화나 서비스의 홍보, 판매 권유, 광고성 정보전송 등 마케팅 목적으로 개인정보를 수집∙이용하는 '''경우''' 그 목적을 '''정보주체가''' 명확하게 인지할 수 있도록 고지하고 동의를 받아야 한다.
| rowspan="4" |'''변경'''
|'''정보주체에게''' 재화나 서비스를 홍보하거나 판매를 권유하기 위하여 개인정보 처리에 대한 동의를 받는 경우 '''정보주체가''' 이를 명확하게 인지할 수 있도록 알리고 별도 동의를 받고 있는가?
|'''변경'''
| rowspan="4" |3.1.7 '''홍보 및 마케팅 목적 활용 시 조치'''
| rowspan="4" |재화나 서비스의 홍보, 판매 권유, 광고성 정보전송 등 마케팅 목적으로 개인정보를 수집∙이용하는 경우에는 그 목적을 정보주체(이용자)가 명확하게 인지할 수 있도록 고지하고 동의를 받아야 한다.
|'''정보주체(이용자)에게''' 재화나 서비스를 홍보하거나 판매를 권유하기 위하여 개인정보 처리에 대한 동의를 받는 경우 '''정보주체(이용자)가''' 이를 명확하게 인지할 수 있도록 알리고 별도 동의를 받고 있는가?
|-
|전자적 전송매체를 이용하여 영리목적의 광고성 정보를 전송하는 경우 수신자의 명시적인 사전 동의를 받고 있으며, 2년 마다 정기적으로 수신자의 수신동의 여부를 확인하고 있는가?
|동일
|전자적 전송매체를 이용하여 영리목적의 광고성 정보를 전송하는 경우 수신자의 명시적인 사전 동의를 받고 있으며, 2년 마다 정기적으로 수신자의 수신동의 여부를 확인하고 있는가?
|-
|전자적 전송매체를 이용한 영리목적의 광고성 정보 전송에 대해 수신자가 수신거부의사를 표시하거나 사전 동의를 철회한 경우 영리목적의 광고성 정보 전송을 중단하도록 하고 있는가?
|동일
|전자적 전송매체를 이용한 영리목적의 광고성 정보 전송에 대해 수신자가 수신거부의사를 표시하거나 사전 동의를 철회한 경우 영리목적의 광고성 정보 전송을 중단하도록 하고 있는가?
|-
|영리목적의 광고성 정보를 전송하는 경우 전송자의 명칭, 수신거부 방법 등을 구체적으로 밝히고 있으며, 야간시간에는 전송하지 않도록 하고 있는가?
|동일
|영리목적의 광고성 정보를 전송하는 경우 전송자의 명칭, 수신거부 방법 등을 구체적으로 밝히고 있으며, 야간시간에는 전송하지 않도록 하고 있는가?
|-
| rowspan="2" |3.2.2 개인정보 품질보장
| rowspan="2" |수집된 개인정보는 처리 목적에 필요한 범위에서 개인정보의 정확성∙완전성∙최신성이 보장되도록 '''정보주체에게''' 관리절차를 제공하여야 한다.
| rowspan="2" |'''변경'''
|'''개인정보를''' 최신의 상태로 '''정확하게 유지하기 위한 절차 및 방안을 수립∙이행하고 있는가?'''
|'''변경'''
| rowspan="2" |3.2.2 개인정보 품질보장
| rowspan="2" |수집된 개인정보는 처리 목적에 필요한 범위에서 개인정보의 정확성∙완전성∙최신성이 보장되도록 '''정보주체(이용자)에게''' 관리절차를 제공하여야 한다.
|'''수집된 개인정보는 내부 절차에 따라 안전하게 처리하도록 관리하며''' 최신의 상태로 '''정확하게 유지하고 있는가?'''
|-
|'''정보주체가 본인의 개인정보에''' 대하여 정확성, 완전성 및 최신성을 유지할 수 있는 방법을 제공하고 있는가?
|'''변경'''
|'''정보주체(이용자)가 개인정보의''' 정확성, 완전성 및 최신성을 유지할 수 있는 방법을 제공하고 있는가?
|-
| rowspan="6" |삭제
| rowspan="6" |삭제(이관)
| rowspan="6" |삭제
|삭제
|'''이동'''
| rowspan="6" |3.2.3 개인정보 표시제한 및 이용 시 보호조치
| rowspan="6" |'''개인정보의 조회 및 출력(인쇄, 화면표시, 파일생성 등) 시 용도를 특정하고 용도에 따라 출력 항목 최소화, 개인정보 표시제한, 출력물 보호조치 등을 수행하여야 한다. 또한 빅데이터 분석, 테스트 등 데이터 처리 과정에서 개인정보가 과도하게 이용되지 않도록 업무상 반드시 필요하지 않은 개인정보는 삭제하거나 또는 식별할 수 없도록 조치하여야 한다.'''
|'''개인정보의 조회 및 출력(인쇄, 화면표시, 파일생성 등) 시 용도를 특정하고 용도에 따라 출력항목을 최소화하고 있는가?'''
|-
|삭제
|'''이동'''
|'''개인정보 표시제한 보호조치의 일관성을 확보할 수 있도록 관련 기준을 수립하여 적용하고 있는가?'''
|-
|삭제
|'''이동'''
|'''개인정보가 포함된 종이 인쇄물 등 개인정보의 출력∙복사물을 안전하게 관리하기 위해 필요한 보호조치를 하고 있는가?'''
|-
|삭제
|'''이동'''
|'''개인정보 검색 시 불필요하거나 과도한 정보가 조회되지 않도록 일치검색 또는 두 가지 항목 이상의 검색조건을 요구하고 있는가?'''
|-
|삭제
|'''이동'''
|'''개인정보를 가명처리하여 이용∙제공 시 추가 정보의 사용∙결합 없이 개인을 알아볼 수 없도록 적절한 방법으로 가명처리를 수행하고 있으며, 이에 대한 적정성을 평가하고 있는가? 또한, 다른 개인정보처리자 간의 가명정보 결합은 국가에서 지정한 전문기관을 통하고 있는가?'''
|-
|삭제
|'''이동'''
|'''가명정보를 처리하는 경우 추가 정보를 삭제 또는 별도로 분리하여 보관∙관리하는 등 안전성 확보에 필요한 기술적∙관리적 및 물리적 조치를 하고 있는가? 또한, 가명정보의 처리내용을 관리하기 위하여 관련 기록을 작성∙보관하고 있는가?'''
|-
| rowspan="3" |'''3.2.3''' 이용자 단말기 접근 보호
| rowspan="3" |정보주체(이용자)의 이동통신단말장치 내에 저장되어 있는 정보 및 이동통신단말장치에 설치된 기능에 접근이 필요한 경우 이를 명확하게 인지할 수 있도록 알리고 정보주체(이용자)의 동의를 받아야 한다.
| rowspan="3" |체상
|정보주체(이용자)의 이동통신단말장치 내에 저장되어 있는 정보 및 이동통신단말장치에 설치된 기능에 대하여 접근할 수 있는 권한이 필요한 경우 명확하게 인지할 수 있도록 알리고 정보주체(이용자)의 동의를 받고 있는가?
|동일
| rowspan="3" |'''3.2.4''' 이용자 단말기 접근 보호
| rowspan="3" |정보주체(이용자)의 이동통신단말장치 내에 저장되어 있는 정보 및 이동통신단말장치에 설치된 기능에 접근이 필요한 경우 이를 명확하게 인지할 수 있도록 알리고 정보주체(이용자)의 동의를 받아야 한다.
|정보주체(이용자)의 이동통신단말장치 내에 저장되어 있는 정보 및 이동통신단말장치에 설치된 기능에 대하여 접근할 수 있는 권한이 필요한 경우 명확하게 인지할 수 있도록 알리고 정보주체(이용자)의 동의를 받고 있는가?
|-
|이동통신단말장치 내에서 해당 서비스를 제공하기 위하여 반드시 필요한 접근권한이 아닌 경우, 정보주체(이용자)가 동의하지 않아도 서비스 제공을 거부하지 않도록 하고 있는가?
|동일
|이동통신단말장치 내에서 해당 서비스를 제공하기 위하여 반드시 필요한 접근권한이 아닌 경우, 정보주체(이용자)가 동의하지 않아도 서비스 제공을 거부하지 않도록 하고 있는가?
|-
|이동통신단말장치 내에서 해당 접근권한에 대한 정보주체(이용자)의 동의 및 철회방법을 마련하고 있는가?
|동일
|이동통신단말장치 내에서 해당 접근권한에 대한 정보주체(이용자)의 동의 및 철회방법을 마련하고 있는가?
|-
| rowspan="6" |'''3.2.4''' 개인정보 목적 외 이용 및 제공
| rowspan="6" |개인정보는 수집 시의 '''정보주체에게''' 고지∙동의를 받은 목적 또는 법령에 근거한 범위 내에서만 이용 또는 제공하여야 하며, 이를 초과하여 이용∙제공하려는 때에는 '''정보주체의''' 추가 동의를 받거나 관계 법령에 따른 적법한 경우인지 확인하고 적절한 보호대책을 수립∙이행하여야 한다.
| rowspan="6" |변경
|개인정보는 최초 수집 시 '''정보주체로부터''' 동의받은 목적 또는 법령에 근거한 범위 내에서만 이용∙제공하고 있는가?
|'''변경'''
| rowspan="6" |'''3.2.5''' 개인정보 목적 외 이용 및 제공
| rowspan="6" |개인정보는 수집 시의 '''정보주체(이용자)에게''' 고지∙동의를 받은 목적 또는 법령에 근거한 범위 내에서만 이용 또는 제공하여야 하며, 이를 초과하여 이용∙제공하려는 때에는 '''정보주체(이용자)의''' 추가 동의를 받거나 관계 법령에 따른 적법한 경우인지 확인하고 적절한 보호대책을 수립∙이행하여야 한다.
|개인정보는 최초 수집 시 '''정보주체(이용자)로부터''' 동의 받은 목적 또는 법령에 근거한 범위 내에서만 이용∙제공하고 있는가?
|-
|'''개인정보처리자로부터 개인정보를 제공받은 경우 제공받은 목적의 범위 내에서만 이용∙제공하고 있는가?'''
|'''신설'''
|
|-
|개인정보를 수집 목적 또는 '''개인정보처리자로부터 제공받은 목적의 범위'''를 초과하여 이용하거나 제공하는 경우 '''정보주체에게''' 별도의 동의를 받거나 법적 근거가 있는 경우로 제한하고 있는가?
|'''변경'''
|개인정보를 수집 목적 또는 범위를 초과하여 이용하거나 제공하는 경우 정보주체(이용자)로부터 별도의 동의를 받거나 법적 근거가 있는 경우로 제한하고 있는가?
|-
|개인정보를 목적 외의 용도로 제3자에게 제공하는 경우 제공받는 자에게 이용목적∙방법 등을 제한하거나 안전성 확보를 위해 필요한 조치를 마련하도록 요청하고 있는가?
|동일
|개인정보를 목적 외의 용도로 제3자에게 제공하는 경우 제공받는 자에게 이용목적∙방법 등을 제한하거나 안전성 확보를 위해 필요한 조치를 마련하도록 요청하고 있는가?
|-
|공공기관이 개인정보를 목적 외의 용도로 이용하거나 제3자에게 제공하는 경우 그 이용 또는 제공의 법적 근거, 목적 및 범위 등에 관하여 필요한 사항을 관보 또는 인터넷 홈페이지 등에 게재하고 있는가?
|동일
|공공기관이 개인정보를 목적 외의 용도로 이용하거나 제3자에게 제공하는 경우 그 이용 또는 제공의 법적 근거, 목적 및 범위 등에 관하여 필요한 사항을 관보 또는 인터넷 홈페이지 등에 게재하고 있는가?
|-
|'''공공기관 등이''' 개인정보를 목적 외의 용도로 이용하거나 제3자에게 제공하는 경우 목적 외 이용 및 제3자 제공대장에 '''기록∙관리하는 등 절차를 마련하고 있는가?'''
|'''변경'''
|'''공공기관이''' 개인정보를 목적 외의 용도로 이용하거나 제3자에게 제공하는 경우 목적 외 이용 및 제3자 제공대장에 '''기록∙관리하고 있는가?'''
|-
| rowspan="6" |'''3.2.5 가명정보 처리'''
| rowspan="6" |'''가명정보를 처리하는 경우 목적제한, 결합제한, 안전조치, 금지의무 등 법적 요건을 준수하고 적정 수준의 가명처리를 보장할 수 있도록 가명처리 절차를 수립∙이행하여야 한다.'''
| rowspan="6" |'''신설'''
|'''가명정보를 처리하는 경우 목적 제한, 가명처리 방법 및 기준, 적정성 검토, 재식별 금지 및 재식별 발생 시 조치사항 등 가명정보를 적정하게 처리하기 위한 절차를 수립하고 있는가?'''
|'''신설'''
| rowspan="6" |
| rowspan="6" |
|
|-
|'''개인정보를 가명처리하여 이용∙제공 시 추가 정보의 사용∙결합 없이는 개인을 알아볼 수 없도록 적정한 수준으로 가명처리를 수행하고 있는가?'''
|'''신설'''
|
|-
|'''다른 개인정보처리자와 가명정보를 결합하는 경우 결합전문기관 또는 데이터전문기관을 통해 결합하고 있는가?'''
|'''신설'''
|
|-
|'''가명정보를 처리하는 경우 추가 정보를 삭제 또는 별도로 분리하여 보관∙관리, 관련 기록의 작성∙보관 등 안전성 확보에 필요한 기술적∙관리적 및 물리적 조치를 하고 있는가?'''
|'''신설'''
|
|-
|'''가명정보 처리목적 등을 고려하여 가명정보의 처리 기간을 적정한 기간으로 정하고 있으며, 해당 기간이 경과한 경우 지체 없이 파기하고 있는가?'''
|'''신설'''
|
|-
|'''개인정보를 익명처리하는 경우 시간∙비용∙기술 등을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 특정 개인을 알아볼 수 없도록 적정한 수준으로 익명처리하고 있는가?'''
|'''신설'''
|
|-
| rowspan="7" |3.3.1 개인정보 제3자 제공
| rowspan="7" |개인정보를 제3자에게 제공하는 경우 법적 근거에 의하거나 '''정보주체의''' 동의를 받아야 하며, 제3자에게 개인정보의 접근을 허용하는 등 제공 과정에서 개인정보를 안전하게 보호하기 위한 보호대책을 수립∙이행하여야 한다.
| rowspan="7" |변경
|'''개인정보를 제3자에게 제공하는 경우 정보주체 동의, 법령상 의무준수 등 적법 요건을 명확히 식별하고 이를 준수하고 있는가?'''
|'''신설'''
| rowspan="7" |3.3.1 개인정보 제3자 제공
| rowspan="7" |개인정보를 제3자에게 제공하는 경우 법적 근거에 의하거나 '''정보주체(이용자)의''' 동의를 받아야 하며, 제3자에게 개인정보의 접근을 허용하는 등 제공 과정에서 개인정보를 안전하게 보호하기 위한 보호대책을 수립∙이행하여야 한다.
|
|-
|'''정보주체에게 개인정보''' 제3자 제공 동의'''를 받는 경우 관련 사항을 명확하게 고지하고 다른 동의사항과 구분하여 적법하게 동의를 받고''' 있는가?
|'''변경'''
|'''개인정보의''' 제3자 제공 동의'''는 수집∙이용에 대한 동의와 구분하여 받고 이에 동의하지 않는다는 이유로 해당 서비스의 제공을 거부하지 않도록 하고''' 있는가?
|-
|'''정보주체에게 개인정보''' 제3자 '''제공 동의를 받는 경우''' 관련 내용을 명확하게 고지하고 '''법령에서 정한 중요한 내용에 대해 명확히 표시하여 알아보기 쉽게 하고 있는가?'''
|'''변경'''
|'''개인정보를''' 제3자'''에게 제공하는 경우 법령에 규정이 있는 경우를 제외하고는 정보주체(이용자)에게''' 관련 내용을 명확하게 고지하고 '''동의를 받고 있는가?'''
|-
|개인정보를 제3자에게 제공하는 경우 제공 목적에 맞는 최소한의 개인정보 항목으로 제한하고 있는가?
|동일
|개인정보를 제3자에게 제공하는 경우 제공 목적에 맞는 최소한의 개인정보 항목으로 제한하고 있는가?
|-
|개인정보를 제3자에게 제공하는 경우 안전한 절차와 방법을 통해 제공하고 제공 내역을 기록하여 보관하고 있는가?
|동일
|개인정보를 제3자에게 제공하는 경우 안전한 절차와 방법을 통해 제공하고 제공 내역을 기록하여 보관하고 있는가?
|-
|제3자에게 개인정보의 접근을 허용하는 경우 개인정보를 안전하게 보호하기 위한 보호절차에 따라 통제하고 있는가?
|동일
|제3자에게 개인정보의 접근을 허용하는 경우 개인정보를 안전하게 보호하기 위한 보호절차에 따라 통제하고 있는가?
|-
|'''정보주체의 동의 없이 개인정보의 추가적인 제공 시 당초 수집 목적과의 관련성, 예측 가능성, 이익 침해 여부, 안전성 확보조치 등의 고려사항에 대한 판단기준을 수립∙이행하고, 추가적인 제공이 지속적으로 발생하는 경우 고려사항에 대한 판단기준을 개인정보 처리방침에 공개하고 이를 점검하고 있는가?'''
|'''신설'''
|
|-
| rowspan="2" |3.2.2 '''개인정보 처리 업무 위탁'''
| rowspan="2" |개인정보 처리업무를 제3자에게 위탁하는 경우 위탁하는 업무의 내용과 수탁자 등 관련사항을 '''공개하여야 한다. 또한 재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우 위탁하는 업무의 내용과 수탁자를 정보주체에게 알려야 한다.'''
| rowspan="2" |'''변경'''
|개인정보 처리업무를 제3자에게 '''위탁(재위탁 포함)하는''' 경우 인터넷 홈페이지 등에 위탁하는 업무의 내용과 수탁자를 현행화하여 공개하고 있는가?
|'''변경'''
| rowspan="2" |3.2.2 '''업무 위탁에 따른 정보주체 고지'''
| rowspan="2" |개인정보 처리업무를 제3자에게 위탁하는 경우 위탁하는 업무의 내용과 수탁자 등 관련사항을 '''정보주체(이용자)에게 알려야 하며, 필요한 경우 동의를 받아야 한다.'''
|개인정보 처리업무를 제3자에게 '''위탁하는''' 경우 인터넷 홈페이지 등에 위탁하는 업무의 내용과 수탁자를 현행화하여 공개하고 있는가?
|-
|재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우에는 서면, 전자우편, 문자전송 등의 방법으로 위탁하는 업무의 내용과 수탁자를 정보주체에게 알리고 있는가?
|동일
|재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우에는 서면, 전자우편, 문자전송 등의 방법으로 위탁하는 업무의 내용과 수탁자를 정보주체에게 알리고 있는가?
|-
| rowspan="3" |3.3.3 영업의 양도 등에 따른 '''개인정보''' 이전
| rowspan="3" |영업의 양도∙합병 등으로 개인정보를 이전하거나 이전받는 경우 '''정보주체''' 통지 등 적절한 보호조치를 수립∙이행하여야 한다.
| rowspan="3" |'''변경'''
|영업의 전부 또는 일부의 양도∙합병 등으로 개인정보를 다른 사람에게 이전하는 경우 필요한 사항을 사전에 '''정보주체에게''' 알리고 있는가?
|'''변경'''
| rowspan="3" |3.3.3 영업의 양수 등에 따른 개인정보의 이전
| rowspan="3" |영업의 양도∙합병 등으로 개인정보를 이전하거나 이전받는 경우 '''정보주체(이용자)''' 통지 등 적절한 보호조치를 수립∙이행하여야 한다.
|영업의 전부 또는 일부의 양도∙합병 등으로 개인정보를 다른 사람에게 이전하는 경우 필요한 사항을 사전에 '''정보주체(이용자)에게''' 알리고 있는가?
|-
|'''개인정보를 이전받는 자는''' 법적 통지 요건에 해당될 경우 개인정보를 이전받은 '''사실 등 필요한 사항을 정보주체에게''' 지체 없이 알리고 있는가?
|동일
|'''영업양수자 등은''' 법적 통지 요건에 해당될 경우 개인정보를 이전받은 '''사실을 정보주체(이용자)에게''' 지체 없이 알리고 있는가?
|-
|개인정보를 이전받는 자는 이전 당시의 본래 목적으로만 개인정보를 이용하거나 제3자에게 제공하고 있는가?
|동일
|개인정보를 이전받는 자는 이전 당시의 본래 목적으로만 개인정보를 이용하거나 제3자에게 제공하고 있는가?
|-
| rowspan="4" |삭제
| rowspan="4" |삭제
| rowspan="4" |삭제
|삭제
|삭제
| rowspan="4" |'''3.4.3 휴면 이용자 관리'''
| rowspan="4" |'''서비스를 일정기간 동안 이용하지 않는 휴면 이용자의 개인정보를 보호하기 위하여 관련 사항의 통지, 개인정보의 파기 또는 분리보관 등 적절한 보호조치를 이행하여야 한다.'''
|'''정보통신서비스 제공자등은 법령에서 정한 기간 동안 이용하지 않는 휴면 이용자의 개인정보를 파기 또는 분리 보관하고 있는가?'''
|-
|삭제
|삭제
|'''휴면 이용자의 개인정보를 파기하거나 분리하여 저장∙관리하려는 경우 이용자에게 알리고 있는가?'''
|-
|삭제
|삭제
|'''분리되어 저장∙관리하는 휴면 이용자의 개인정보는 법령에 따른 보관 목적 또는 이용자의 요청에 대해서만 이용 및 제공하고 있는가?'''
|-
|삭제
|삭제
|'''분리되어 저장∙관리하는 휴면 이용자의 개인정보에 대하여 접근권한을 최소한의 인원으로 제한하고 있는가?'''
|-
| rowspan="3" |3.5.1 '''개인정보 처리방침''' 공개
| rowspan="3" |개인정보의 처리 목적 등 필요한 사항을 모두 포함하여 '''정보주체가 알기 쉽도록 개인정보 처리방침을 수립하고''', 이를 '''정보주체가''' 언제든지 쉽게 확인할 수 있도록 적절한 방법에 따라 공개하고 지속적으로 현행화하여야 한다.
| rowspan="3" |'''변경'''
|개인정보 처리방침에는 법령에서 요구하는 내용을 모두 '''포함하여''' '''알기 쉬운 용어로 구체적이고 명확하게 작성하였는가?'''
|'''변경'''
| rowspan="3" |3.5.1 '''개인정보처리방침''' 공개
| rowspan="3" |개인정보의 처리 목적 등 필요한 사항을 모두 포함하여 '''개인정보처리방침을 수립하고''', 이를 '''정보주체(이용자)가''' 언제든지 쉽게 확인할 수 있도록 적절한 방법에 따라 공개하고 지속적으로 현행화하여야 한다.
|개인정보 처리방침에는 법령에서 요구하는 내용을 모두 '''포함하고 있는가?'''
|-
|개인정보 처리방침을 '''정보주체가''' 쉽게 확인할 수 있도록 인터넷 홈페이지 등에 지속적으로 현행화하여 공개하고 있는가?
|'''변경'''
|개인정보 처리방침을 '''정보주체(이용자)가''' 쉽게 확인할 수 있도록 인터넷 홈페이지 등에 지속적으로 현행화하여 공개하고 있는가?
|-
|개인정보 처리방침이 변경되는 경우 사유 및 변경 내용을 지체 없이 공지하고 '''정보주체가''' 언제든지 변경된 사항을 쉽게 알아 볼 수 있도록 조치하고 있는가?
|'''변경'''
|개인정보 처리방침이 변경되는 경우 사유 및 변경 내용을 지체없이 공지하고 '''정보주체(이용자)가''' 언제든지 변경된 사항을 쉽게 알아 볼 수 있도록 조치하고 있는가?
|-
| rowspan="8" |3.5.2 정보주체 권리보
| rowspan="8" |'''정보주체가''' 개인정보의 열람, 정정∙삭제, 처리정지, 이의제기, '''동의철회 등''' 요구를 수집 방법∙절차보다 쉽게 할 수 있도록 권리행사 방법 및 절차를 수립∙이행하고, '''정보주체의''' 요구를 받은 경우 지체 없이 처리하고 관련 기록을 남겨야 한다. 또한 '''정보주체의''' 사생활 침해, 명예훼손 등 타인의 권리를 침해하는 정보가 유통되지 않도록 삭제 요청, 임시조치 등의 기준을 수립∙이행하여야 한다.
| rowspan="8" |'''변경'''
|'''정보주체''' 또는 그 대리인이 개인정보에 대한 열람, 정정∙삭제, 처리정지 '''및 동의 철회 등(이하 '열람등요구'라 함)을 개인정보 수집방법∙절차보다 어렵지 아니하도록''' 권리 행사 방법 및 절차를 마련하여 공개하고 있는가?
|'''변경'''
| rowspan="8" |3.5.2 정보주체 권리보
| rowspan="8" |'''정보주체(이용자)가''' 개인정보의 열람, 정정∙삭제, 처리정지, 이의제기, '''동의철회''' 요구를 수집 방법∙절차보다 쉽게 할 수 있도록 권리행사 방법 및 절차를 수립∙이행하고, '''정보주체(이용자)의''' 요구를 받은 경우 지체 없이 처리하고 관련 기록을 남겨야 한다. 또한 '''정보주체(이용자)의''' 사생활 침해, 명예훼손 등 타인의 권리를 침해하는 정보가 유통되지 않도록 삭제 요청, 임시조치 등의 기준을 수립∙이행하여야 한다.
|'''정보주체(이용자)''' 또는 그 대리인이 개인정보에 대한 열람, 정정∙삭제, 처리정지, 이의제기, '''동의 철회(이하 '열람 등'이라 함) 요구를 개인정보 수집방법∙절차보다 쉽게 할 수 있도록''' 권리 행사 방법 및 절차를 마련하고 있는가?
|-
|'''정보주체''' 또는 그 대리인이 '''열람등요구를''' 하는 경우 규정된 기간 내에 '''열람등요구에''' 따른 필요한 조치를 하고 있는가?
|'''변경'''
|'''정보주체(이용자)''' 또는 그 대리인이 개인정보 '''열람 요구를''' 하는 경우 규정된 기간 내에 '''열람 가능하도록''' 필요한 조치를 하고 있는가?
|-
|'''정보주체''' 또는 그 대리인이 개인정보 수집∙이용∙제공 등의 동의를 철회하는 경우 지체 없이 수집된 개인정보를 파기하는 등 필요한 조치를 취하고 있는가?
|'''변경'''
|'''정보주체(이용자)''' 또는 그 대리인이 개인정보 수집∙이용∙제공 등의 동의를 철회하는 경우 지체 없이 수집된 개인정보를 파기하는 등 필요한 조치를 취하고 있는가?
|-
|　
|'''삭제'''
|'''정보주체(이용자) 또는 그 대리인이 개인정보 처리정지 요구를 하는 경우 규정된 기간 내에 처리정지 등 필요한 조치를 하고 있는가?'''
|-
|　
|'''삭제'''
|'''정보주체(이용자) 또는 그 대리인이 개인정보 정정∙삭제 요구를 하는 경우 규정된 기간 내에 정정∙삭제 등 필요한 조치를 하고 있는가?'''
|-
|'''정보주체의 열람등요구'''에 대한 조치에 불복이 있는 경우 이의를 제기할 수 있도록 필요한 절차를 마련하여 안내하고 있는가?
|'''변경'''
|'''정보주체(이용자)의 요구'''에 대한 조치에 불복이 있는 경우 이의를 제기할 수 있도록 필요한 절차를 마련하여 안내하고 있는가?
|-
|'''정보주체의 열람등요구''' 및 처리 결과에 대하여 기록을 남기고 있는가?
|'''변경'''
|'''개인정보 열람 등의 요구''' 및 처리 결과에 대하여 기록을 남기고 있는가?
|-
|정보통신망에서 사생활 침해 또는 명예훼손 등 타인의 권리를 침해한 경우 침해를 받은 자가 정보통신서비스 제공자에게 정보의 삭제 요청 등을 할 수 있는 절차를 마련하여 시행하고 있는가?
|동일
|정보통신망에서 사생활 침해 또는 명예훼손 등 타인의 권리를 침해한 경우 침해를 받은 자가 정보통신서비스 제공자에게 정보의 삭제 요청 등을 할 수 있는 절차를 마련하여 시행하고 있는가?
|-
| rowspan="2" |3.5.3 '''정보주체에 대한''' 통지
| rowspan="2" |개인정보의 '''이용∙제공 내역''' 등 '''정보주체에게''' 통지하여야 할 사항을 파악하여 그 내용을 주기적으로 통지하여야 한다.
| rowspan="2" |'''변경'''
|법적 의무 대상자에 해당하는 경우 개인정보 '''이용∙제공 내역 또는 그 내역을 확인할 수 있는 정보시스템에 접속하는 방법을 정보주체에게 주기적으로 통지하고 있는가?'''
|'''변경'''
| rowspan="2" |3.5.3 '''이용내역''' 통지
| rowspan="2" |개인정보의 '''이용내역''' 등 '''정보주체(이용자)에게''' 통지하여야 할 사항을 파악하여 그 내용을 주기적으로 통지하여야 한다.
|법적 의무 대상자에 해당하는 경우 개인정보 '''이용내역을 주기적으로 정보주체(이용자)에게 통지하고 그 기록을 남기고 있는가?'''
|-
|개인정보 '''이용∙제공 내역''' 통지 항목은 법적 요구항목을 모두 포함하고 있는가?
|'''변경'''
|개인정보 '''이용내역''' 통지 항목은 법적 요구항목을 모두 포함하고 있는가?
|}

== 각주 ==

ISMS-P 인증 기준 세부점검항목 개정(23.10.31)

2023-11-03T09:29:11Z

Isms: 새 문서: {| class="wikitable" ! colspan="5" |개정 후(23.10.31.) ! colspan="3" |개정 전 |- |항목 | colspan="2" |상세 내용 | colspan="2" |주요 확인사항 |항목 |상세 내용 |주요 확인사항 |- | rowspan="4" |2.4.7 업무환경 보안<ref>개인정보 출력 보호조치 기준이 사라지면서 그 중 업무 환경에서의 노출 확인사항이 본 항목으로 이관되었다. (참고) 마스킹 관련 내용은 2.6.3 응용프로그램 접근으로 이관되...