1. 개정 이유

○ ｢개인정보보호 정상화 대책｣(’14.7) 중 ‘기업의 개인정보보호 조치 자율성 보장’, ‘개인정보유출 대응지침 마련 의무화’ 등 주요 과제 이행과,

- 최근 스마트폰·태블릿PC 등 모바일 기기에서의 개인정보보호 조치 사항 등을 반영한 ｢개인정보의 기술적ㆍ관리적 보호조치 기준｣(이하 ‘보호조치 기준’) 일부개정안을 심의·의결하기 위함

2. 주요 개정내용

가. 보호조치 기준의 목적을 현행 ‘구체적인 기준’에서 ‘최소한의 기준’을 정함을 원칙으로 하고, 사업규모·개인정보 보유 수 등을 고려하여 자율적으로 사업자 환경에 맞는 개인정보 보호조치 기준을 수립하여 시행토록 함 (안 제1조)

나. 위탁자의 명확한 관리책임을 위하여 “개인정보 처리업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항”을 추가하고, 개인정보 유출 사고시 신속한 대응 조치를 취할 수 있도록 “개인정보 유출사고 등 발생시 대응절차 및 방법에 관한 사항”을 추가하고, 사업자 환경에 따른 자율적인 교육계획 수립·시행을 위하여 “매년 2회 이상 교육”을 “사업규모, 개인정보 보유 수 등을 고려하여 필요한 교육을 정기적으로”로 변경·완화함 (안 제3조제1항제5호·제6호 및 제2항)

다. 개인정보처리시스템 접속시 공인인증서 뿐만 아니라 다양한 인증수단을 사용할 수 있도록 “공인인증서 등”을 삭제하여 사업자의 선택기회를 확대하고, “영문 대문자(26개)·영문 소문자(26개)·숫자(10개)·특수문자(32개)”로 지나치게 세부적인 비밀번호 작성규칙을 “영문·숫자·특수문자”로 간략화 함 (안 제4조제4항 및 제8항)

라. 현재 암호화 대상(비밀번호, 바이오정보, 주민등록번호, 신용카드번호, 계좌번호)에 “여권번호, 운전면허번호, 외국인등록번호”를 추가함 (안 제6조제2항)

마. 현재 개인정보취급자의 “컴퓨터”에만 접근통제 조치를 하고 있으나, 태블릿PC 등으로 업무환경이 변화됨에 따라 “모바일 기기”를 추가하고, 개인정보처리시스템에 대한 접속이 필요한 시간에 한하여 유지되도록 “최대 접속시간 조치” 등을 취하도록 함 (안 제4조제9항 및 제10항)

바. 현재 개인정보를 저장할 때 암호화해야 하는 장치를 “컴퓨터”에 한정하고 있으나, “모바일 기기 및 보조저장매체”를 추가함 (안 제6조제4항)

사. 보조저장매체 등을 통한 개인정보 유출을 막기 위해 전산실, 자료보관실 등에 대한 출입통제, 보조저장매체의 반출·입 통제 근거를 신설함 (안 제8조 신설)

3. 참고사항

가. 관련법령 : 생 략

나. 예산조치 : 별도조치 필요 없음

다. 기    타 : 신·구 조문 대비표

◉ 방송통신위원회고시 제2015-3호

｢정보통신망 이용촉진 및 정보보호 등에 관한 법률｣ 제28조 및 같은 법 시행령 제15조제6항에 따른 ｢개인정보의 기술적ㆍ관리적 보호조치 기준｣의 일부를 다음과 같이 개정하여 고시합니다.

2015년 5월 19일

방송통신위원회위원장

개인정보의 기술적‧관리적 보호조치 기준 일부개정

개인정보의 기술적‧관리적 보호조치 기준 일부를 다음과 같이 개정한다.

제1조 중 “정보통신서비스 제공자등”을 “정보통신서비스 제공자등(법 제67조에 따라 준용되는 자를 포함한다. 이하 같다)”로, “구체적인 기준”을 “최소한의 기준”으로 하고, 같은 조 본문을 제1항으로 하며, 같은 조에 제2항을 다음과 같이 신설한다.

② 정보통신서비스 제공자등은 사업규모, 개인정보 보유 수 등을 고려하여 스스로의 환경에 맞는 개인정보 보호조치 기준을 수립하여 시행하여야 한다.

제2조제1호 중 ““개인정보 관리책임자”라 함은 정보통신서비스 제공자의 사업장 내에서 이용자의”를 ““개인정보 관리책임자”란 이용자의”로 하고, 같은 조 제2호 중 ““개인정보취급자”라 함은 정보통신서비스 제공자의 사업장 내에서 이용자의”를 ““개인정보취급자”란 이용자의”로 하며, 같은 조 제13호 및 제14호를 각각 다음과 같이 신설한다.

13. “모바일 기기”란 스마트폰, 태블릿PC 등 무선망을 이용할 수 있는 휴대용 기기를 말한다.

14. “보조저장매체”란 이동형 하드디스크(HDD), USB메모리, CD(Compact Disk) 등 자료를 저장할 수 있는 매체로서 개인정보처리시스템 또는 개인용 컴퓨터 등과 쉽게 분리⋅접속할 수 있는 저장매체를 말한다.

제3조제1항제5호 및 제6호를 각각 다음과 같이 신설하고, 같은 항 제5호를 제7호로 하며, 같은 조 제2항 중 “매년 2회 이상 교육을”을 “사업규모, 개인정보 보유 수 등을 고려하여 필요한 교육을 정기적으로”로 한다.

5. 개인정보 처리업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항

6. 개인정보의 분실·도난·누출·변조·훼손 등이 발생한 경우의 대응절차 및 방법에 관한 사항

제4조제4항 중 “공인인증서 등 안전한 인증 수단”을 “안전한 인증 수단”으로 하고, 같은 조 제6항 중 “정보통신서비스 제공자등은”을 “전년도 말 기준 직전 3개월간 그 개인정보가 저장·관리되고 있는 이용자 수가 일일평균 100만명 이상이거나 정보통신서비스 부문 전년도(법인인 경우에는 전 사업연도를 말한다) 매출액이 100억원 이상인 정보통신서비스 제공자등은”으로 하고, 같은 조 제8항제1호 중 “다음 각 목의 문자 종류”를 “영문, 숫자, 특수 문자”로 하고, 가목부터 라목까지를 삭제하고, 같은 조 제9항 중 “컴퓨터”를 “컴퓨터와 모바일 기기”로 하며, 제10항을 다음과 같이 신설한다.

⑩ 정보통신서비스 제공자등은 개인정보처리시스템에 대한 개인정보취급자의 접속이 필요한 시간 동안만 최대 접속시간 제한 등의 조치를 취하여야 한다.

제6조제1항 중 “비밀번호 및 바이오정보”를 “비밀번호”로 하고, 같은 조 제2항을 다음과 같이 하며, 같은 조 제4항 중 “개인용컴퓨터(PC)”를 “컴퓨터, 모바일 기기 및 보조저장매체 등”으로 한다.

② 정보통신서비스 제공자등은 다음 각 호의 정보에 대해서는 안전한 암호알고리듬으로 암호화하여 저장한다.

1. 주민등록번호

2. 여권번호

3. 운전면허번호

4. 외국인등록번호

5. 신용카드번호

6. 계좌번호

7. 바이오정보

제7조를 다음과 같이 한다.

제7조(악성프로그램 방지) 정보통신서비스 제공자등은 악성 프로그램 등을 방지·치료할 수 있는 백신 소프트웨어 등의 보안 프로그램을 설치·운영하여야 하며, 다음 각호의 사항을 준수하여야 한다.

1. 보안 프로그램의 자동 업데이트 기능을 사용하거나, 또는 일 1회 이상 업데이트를 실시하여 최신의 상태로 유지

2. 악성프로그램관련 경보가 발령된 경우 또는 사용 중인 응용 프로그램이나 운영체제 소프트웨어의 제작업체에서 보안 업데이트 공지가 있는 경우, 즉시 이에 따른 업데이트를 실시

제8조를 다음과 같이 신설한다.

제8조(물리적 접근 방지) ① 정보통신서비스 제공자등은 전산실, 자료보관실 등 개인정보를 보관하고 있는 물리적 보관 장소에 대한 출입통제 절차를 수립․운영하여야 한다.

② 정보통신서비스 제공자등은 개인정보가 포함된 서류, 보조저장매체 등을 잠금장치가 있는 안전한 장소에 보관하여야 한다.

③ 정보통신서비스 제공자등은 개인정보가 포함된 보조저장매체의 반출․입 통제를 위한 보안대책을 마련하여야 한다.

제8조를 제9조로 한다.

제9조를 제10조로 하고 본문 중 “취하는 경우에는 다음의 원칙으로 적용할 수 있다.”를 “취할 수 있다.”로 하고, 각호를 삭제한다.

제10조를 제11조로 한다.

부 칙

이 고시는 고시한 날부터 시행한다.

신ㆍ구조문대비표

현 행	개 정 안
제1조(목적) 이 기준은 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 “법”이라 한다) 제28조제1항 및 같은 법 시행령 제15조제6항에 따라 정보통신서비스 제공자등이 이용자의 개인정보를 취급함에 있어서 개인정보가 분실․도난․누출․변조․훼손 등이 되지 아니하도록 안전성을 확보하기 위하여 취하여야 하는 기술적․관리적 보호조치의 구체적인 기준을 정하는 것을 목적으로 한다.	제1조(목적) ① ----------------------------------------------------------------------------------------------------------- 정보통신서비스 제공자등(법 제67조에 따라 준용되는 자를 포함한다. 이하 같다)--------------------------------------------------------------------------------------------------- 최소한의 기준 -----------------------.
< 신 설 >	② 정보통신서비스 제공자등은 사업규모, 개인정보 보유 수 등을 고려하여 스스로의 환경에 맞는 개인정보 보호조치 기준을 수립하여 시행하여야 한다.
제2조(정의) 이 기준에서 사용하는 용어의 뜻은 다음과 같다.	제2조(정의) ---------------------------------------.
1. "개인정보관리책임자"라 함은 정보통신서비스 제공자의 사업장 내에서 이용자의 개인정보보호 업무를 총괄하거나 업무처리를 최종 결정하는 임직원을 말한다.	1. "개인정보관리책임자"란 이용자의 -----------------------------------------------------------------------------------------------.
2. "개인정보취급자"라 함은 정보통신서비스 제공자의 사업장 내에서 이용자의 개인정보를 수집, 보관, 처리, 이용, 제공, 관리 또는 파기 등의 업무를 하는 자를 말한다.	2. "개인정보취급자"란 이용자의 ----------------------------------------------------------------------------------------------------.
3. ～ 12. (생 략)	3. ～ 12. (현행과 같음)
< 신 설 >	13. “모바일 기기”란 스마트폰, 태블릿PC 등 무선망을 이용할 수 있는 휴대용 기기를 말한다.
< 신 설 >	14. “보조저장매체”란 이동형 하드디스크(HDD), USB메모리, CD(Compact Disk) 등 자료를 저장할 수 있는 매체로서 개인정보처리시스템 또는 개인용 컴퓨터 등과 쉽게 분리⋅접속할 수 있는 저장매체를 말한다.
제3조(내부관리계획의 수립⋅시행) ① 정보통신서비스 제공자등은 다음 각 호의 사항을 정하여 개인정보 보호 조직을 구성⋅운영하여야 한다.	제3조(내부관리계획의 수립⋅시행) ① ---------------------------------------------------------------------------------
1. ～ 4. (생 략)	1. ～ 4. (현행과 같음)
< 신 설 >	5. 개인정보 처리업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항
< 신 설 >	6. 개인정보의 분실·도난·누출·변조·훼손 등이 발생한 경우의 대응절차 및 방법에 관한 사항
5. 그 밖에 개인정보보호를 위해 필요한 사항	7. ----------------------------------
② 정보통신서비스 제공자등은 다음 각 호의 사항을 정하여 개인정보관리책임자 및 개인정보취급자를 대상으로 매년 2회 이상 교육을 실시하여야 한다.	② -------------------------------------------------------------------------------------- 사업규모, 개인정보 보유수 등을 고려하여 필요한 교육을 정기적으로 -----------------------.
1. ～ 3. (생 략)	1. ～ 3. (현행과 같음)
제4조(접근통제)	제4조(접근통제)
① ～ ③ (생 략)	① ～ ③ (현행과 같음)
④ 정보통신서비스 제공자등은 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속이 필요한 경우에는 공인인증서 등 안전한 인증 수단을 적용하여야 한다.	④ ---------------------------------------------------------------------------------------------------------------- 안전한 인증 수단---------------.
⑤ (생 략)	⑤ (현행과 같음)
⑥ 정보통신서비스 제공자등은 개인정보처리시스템에서 개인정보를 다운로드 또는 파기할 수 있거나 개인정보처리시스템에 대한 접근권한을 설정할 수 있는 개인정보취급자의 컴퓨터 등을 물리적 또는 논리적으로 망분리 하여야 한다.	⑥ 전년도 말 기준 직전 3개월간 그 개인정보가 저장·관리되고 있는 이용자 수가 일일평균 100만명 이상이거나 정보통신서비스 부문 전년도(법인인 경우에는 전 사업연도를 말한다) 매출액이 100억원 이상인 정보통신서비스 제공자등은 -----.
⑦ (생 략)	⑦ (현행과 같음)
⑧ 정보통신서비스 제공자등은 개인정보취급자를 대상으로 다음 각 호의 사항을 포함하는 비밀번호 작성규칙을 수립하고, 이를 적용·운영하여야 한다.	⑧ ----------------------------------------------------------------------------------------------------------------.
1. 다음 각 목의 문자 종류 중 2종류 이상을 조합하여 최소 10자리 이상 또는 3종류 이상을 조합하여 최소 8자리 이상의 길이로 구성 가. 영문 대문자(26개) 나. 영문 소문자(26개) 다. 숫자(10개) 라. 특수문자(32개)	1. 영문, 숫자, 특수문자 ------------------------------------------------------------------------------------------ 가. <삭 제> 나. <삭 제> 다. <삭 제> 라. <삭 제>
2. ~ 3. (생 략)	2. ~ 3. (현행과 같음)
⑨ 정보통신서비스 제공자등은 취급중인 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 열람권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스템 및 개인정보취급자의 컴퓨터에 조치를 취하여야 한다.	⑨ -------------------------------------------------------------------------------------------------------------------------------------------------------------- 컴퓨터와 모바일 기기-----.
< 신 설 >	⑩ 정보통신서비스 제공자등은 개인정보처리시스템에 대한 개인정보취급자의 접속이 필요한 시간 동안만 유지되도록 최대 접속시간 제한 등의 조치를 취하여야 한다.
제5조(접속기록의 위·변조방지) (생 략)	제5조(접속기록의 위·변조방지) (현행과 같음)
제6조(개인정보의 암호화) ① 정보통신서비스 제공자등은 비밀번호 및 바이오정보는 복호화 되지 아니하도록 일방향 암호화하여 저장한다.	제6조(개인정보의 암호화) ① --------------------- 비밀번호 -----------------------------------------------------.
② 정보통신서비스 제공자등은 주민등록번호, 신용카드번호 및 계좌번호에 대해서는 안전한 암호알고리듬으로 암호화하여 저장한다.	② 정보통신서비스 제공자등은 다음 각 호의 정보에 대해서는 안전한 암호알고리듬으로 암호화하여 저장한다. 1. 주민등록번호 2. 여권번호 3. 운전면허번호 4. 외국인등록번호 5. 신용카드번호 6. 계좌번호 7. 바이오정보
③ (생 략)	③ (현행과 같음)
④ 정보통신서비스 제공자등은 이용자의 개인정보를 개인용컴퓨터(PC)에 저장할 때에는 이를 암호화해야 한다.	④ -------------------------------------- 컴퓨터, 모바일 기기 및 보조저장매체 등 -----------.
제7조(악성프로그램 방지) 정보통신서비스 제공자등은 백신 소프트웨어를 월 1회 이상 주기적으로 갱신·점검하고, 악성 프로그램 관련 경보가 발령된 경우 및 백신소프트웨어 또는 운영체제 제작업체에서 업데이트 공지가 있는 경우에는 응용프로그램과 정합성을 고려하여 최신 소프트웨어로 갱신·점검하여야 한다.	제7조(악성프로그램 방지) 정보통신서비스 제공자등은 악성 프로그램 등을 방지·치료할 수 있는 백신 소프트웨어 등의 보안 프로그램을 설치·운영하여야 하며, 다음 각호의 사항을 준수하여야 한다. 1. 보안 프로그램의 자동 업데이트 기능을 사용하거나, 또는 일 1회 이상 업데이트를 실시하여 최신의 상태로 유지 2. 악성프로그램관련 경보가 발령된 경우 또는 사용 중인 응용 프로그램이나 운영체제 소프트웨어의 제작업체에서 보안 업데이트 공지가 있는 경우, 즉시 이에 따른 업데이트를 실시
< 신 설 >	제8조(물리적 접근 방지) ① 정보통신서비스 제공자등은 전산실, 자료보관실 등 개인정보를 보관하고 있는 물리적 보관 장소에 대한 출입통제 절차를 수립․운영하여야 한다. ② 정보통신서비스 제공자등은 개인정보가 포함된 서류, 보조저장매체 등을 잠금장치가 있는 안전한 장소에 보관하여야 한다. ③ 정보통신서비스 제공자등은 개인정보가 포함된 보조저장매체의 반출․입 통제를 위한 보안대책을 마련하여야 한다.
제8조(출력․복사시 보호조치) (생 략)	제9조(출력․복사시 보호조치) (현행과 같음)
제9조(개인정보 표시 제한 보호조치) 정보통신서비스 제공자 등은 개인정보 업무처리를 목적으로 개인정보의 조회, 출력 등의 업무를 수행하는 과정에서 개인정보보호를 위하여 개인정보를 마스킹하여 표시제한 조치를 취하는 경우에는 다음의 원칙으로 적용할 수 있다. 1. 성명 중 이름의 첫 번째 글자 이상 2. 생년월일 3. 전화번호 또는 휴대폰 전화번호의 국번 4. 주소의 읍·면·동 5. 인터넷주소는 버전 4의 경우 17∼24비트 영역, 버전 6의 경우 113∼128비트 영역	제10조(개인정보 표시 제한 보호조치) ------------------------------------------------------------------------------------------------------------------------------------------------- 취할 수 있다. 1. <삭 제> 2. <삭 제> 3. <삭 제> 4. <삭 제> 5. <삭 제>
제10조(규제의 재검토) (생 략)	제11조(규제의 재검토) (현행과 같음)