[ISMS-P] 정보보호 및 개인정보보호 관리체계 결함 사례 정리

정보보호 및 개인정보보호 관리체계 결함사례 포스팅 글 정리

 

1.1 관리체계 기반마련
항목	결함사례
1.1.1 경영진의 참여	1.정보보호 및 개인정보보호 정책서에 분기별로 정보보호 및 개인정보 현황을 경영진에게 보고하    도록 명시하였으나 장기간 관련 보고를 수행하지 않은 경우 2.중요 정보보호 활동(위험평가, 위험수용수준 결정, 정보보호대책 및 이행계획 검토, 정보보호 대    책 이행결과 검토, 보안감사 등)을 수행하면서 관련 활동보고, 승인 등 의사결정에 경영진 또는 경    영진의 권한을 위임받은 자가 참여하지 않았거나 관련 증적이 확인되지 않은 경우
1.1.2 최고책임자의 지정	1. 정통망법에 따른 CISO 지정 및 신고 의무 대상임에도 신고하지 않은 경우 2. 개보법을 적용받는 민간기업이 개인정보 처리업무 관련 임원이 존재함에도 불구하고 부서장을     CPO로 지정한 경우 3. 조직도상에 CISO 및 CPO를 명시하고 있으나 인사발령 등의 공식적인 지정절차를 거치지 않은     경우 4. ISMS 인증 의무대상자이면서 전년도 말 기준 자산총액이 5천억 원을 초과한 정보통신서비스제     공자이지만 CISO가 CIO를 겸직하고 있는 경우
1.1.3 조직 구성	1. 정보보호 및 개인정보위원회를 구성하였으나 임원 등 경영진이 포함되어 있지 않고 실무부서의     장으로 구성되어 있어 조직의 중요 정보 및 개인정보 보호에 관한 사항을 결정할 수 없는 경우 2. 내부 지침에 따라 중요 정보처리부서 및 개인정보처리부서의 장(팀장)으로 구성된 정보보호 및      개인정보보호 실무 협의체를 구성하였으나 장기간 운영 실적이 없는 경우 3. 위원회를 개최하였으나 연간 정보보호 및 개인정보보호 계획 및 교육 계획, 인력 등 관련 주요 사     항이 검토 및 의사결정이 되지 않은 경우
1.1.4 범위 설정	1. 정보시스템 및 개인정보처리시스템 개발업무에 관련한 개발 및 시험 시스템, 외주업체직원 PC,     테스트용 단말기 등이 관리체계 범위에서 누락된 경우 2. 관리체계 범위로 설정된 서비스 또는 사업에 대하여 중요 의사결정자 역할을 수행하고 있는 임     직원, 사업부서 등의 핵심 조직을 인증범위에 포함하지 않은 경우 3. 인증범위 내 조직 및 인력에 적용하고 있는 보안시스템을 인증범위에서 배제하고 있는 경우 4. 정통망법에 따른 관리체계 인증 의무대상자임에도 불구하고 인터넷에 공개하여 있는 일부 웹 사     이트가 관리체계 범위에서 누락된 경우
1.1.5 정책 수립	1. 정보보호 및 개인정보보호 정책서 제/개정 시 위원회 의결을 거치도록 하고 있으나 CISO 및 CP     O 승인을 근거로만 개정한 경우 2. 정책 및 지침서가 최근 개정되었으나 해당 사항을 관련 부서 및 임직원에게 공유하지 않아 구 버     전 지침서를 기준으로 업무를 수행하고 있는 경우 3. 정보보호 및 개인정보보호 정책 및 지침서를 보안부서에서만 관리하고 있고, 임직원이 열람할     수 있도록 게시판, 문서 등의 방법으로 제공하지 않은 경우
1.1.6 자원할당	1. 정보보호 및 개인정보보호 조직을 구성하는데 분야별 전문성을 갖춘 인력이 아닌 정보보호 또는     IT 전문성이 없는 인원으로 보안인력을 구성한 경우 2. 개인정보처리시스템의 기술적/관리적 보호지치의 요건을 갖추기 위한 보안 솔루션 등의 비용을     최고경영자가 지원하지 않고 법적 위험을 수용하고 있는 경우 3. 인증 취득 후 인력과 예산 지원을 대폭 줄이고 기존 인력을 다른 부서로 배치하고나 일부 예산을     다른 용도로 사용하는 경우
1.2 위험관리
1.2.1 정보자산 식별	1. 정보보호 및 개인정보보호 관리체계 범위 내의 자산 목록에서 중요정보 취급자 및 개인정보 취     급자 PC를 통제하는 데 사용되는 출력물 보안, 문서 암호화, USB매체제어 등의 내부정보 유출     통제 시스템이 누락되어 있는 경우 2. 관리체계 범위 내 제3자로부터 제공받은 정보가 있으나 해당 개인정보에 대한 자산 식별이 이루     어지지 않은 경우 3. 내부 지침에 명시된 정보자산 및 개인정보 보안등급 분류 기준과 자산관리 대장의 분류기준이     일치하지 않은 경우
1.2.2 현황 및 흐름분석	1. 관리체계 범위 내 주요 서비스의 업무 절차/흐름 및 현황에 문서화가 이루어지지 않은 경우 2. 개인정보 흐름도를 작성하였으나 실제 개인정보의 흐름과 상이한 부분이 다수 존재하거나 중요     한 개인정보 흐름이 누락되어 있는 경우 3. 최초 개인정보 흐름도 작성 이후에 현행화가 이루어지지 않아 변화된 개인정보 흐름이 흐름도에     반영되지 않고 있는 경우
1.2.3 위험 평가	1. 수립된 위험관리계획서에 위험평가 기간 및 위험관리 대상과 방법이 정의되어 있으나 위험관리     수행 인력과 소요 예산 등 구체적인 실행계획이 누락되어 있는 경우 2. 전년도에는 위험평가를 수행하였으나 금년도에는 자산 변경이 없었다는 사유로 위험 평가를 수     행하지 않은 경우 3. 위험관리 계획에 따라 위험 식별 및 평가를 수행하고 있으나, 범위 내 중요 정보자산에 대한 위험     식별 및 평가를 수행하지 않았거나 정보보호 관련 법적 요구 사항 준수 여부에 따른 위험을 식     별 및 평가하지 않은 경우
1.2.4 보호대책 선정	1. 정보보호 및 개인정보보호 대책에 대한 이행계획은 수립하였으나 정보보호 최고책임자 및 개인     정보 보호책임자에게 보고가 이루어지지 않은 경우 2. 위험감소가 요구되는 일부 위험의 조치 이행계획이 누락되어 있는 경우 3. 이행계획 시행에 대한 결과를 정보보호 최고책임자 및 개인정보 보호책임자에게 보고하였으나     일부 미이행된 건에 대한 사유 보고 및 후속 조치가 이루어지지 않은 경우 4. 법에 따라 의무적으로 이행하여야 할 사항, 보안 취약성이 높은 위험 등을 별도의 보호조치 계획     없이 위험수용으로 결정하여 조치하는 경우
1.3 관리체계 운영
1.3.1 보호대책 구현	1. 정보보호 및 개인정보보호 대책에 대한 이행완료 결과를 CISO 및 CPO에게 보고하지 않은 경우 2. 위험조치 이행결과보고서는 '조치완료'로 명시되어 있으나, 관련된 위험이 여전히 존재하거나 이     행결과의 정확성 및 효과성이 확인되지 않은 경우 3. 전년도 정보보호대책 이행계획에 따라 중/장기로 분류된 위험들이 해당 연도에 구현이 되고 있     지 않거나 이행결과를 경영진이 검토 및 확인하고 있지 않은 경우
1.3.2 보호대책 공유	1. 보호대책을 마련하여 구현하고 있으나 관련 내용을 충분히 공유/교육하지 않아 실제 운영 또는     수행 부서 및 담당자가 해당 내용을 인지하지 못하고 있는 경우
1.3.3 운영현황 관리	1. 정보보호 및 개인정보보호 관리체계 운영현황 중 주기적 또는 상시적인 활동이 요구되는 활동     현황을 문서화하지 않은 경우 2. 관리체계 운영현황에 대한 문서화는 이루어졌으나 해당 운영 현황에 대한 주기적인 검토가 이루     어지지 않아 월별 및 분기별 활동이 요구되는 일부 정보보호 및 개인정보보호 활동이 누락되었     고 일부는 이행 여부를 확인할 수 없는 경우
1.4 관리체계 점검 및 개선
1.4.1 법적 요구사항 준수          검토	1. 정통망법 및 개보법이 최근 개정되었으나 개정사항이 조직에 미치는 영향을 검토하지 않았으며     정책서 및 시행문서에도 해당 내용을 반영하지 않아 정책서 및 시행문서 내용이 법령 내용과 일     치하지 않은 경우 2. 조직에서 준수하여야할 법률이 개정되었으나 해당 법률 준거성 검토를 1년 이상 수행하지 않은     경우 3. 법적 준거성 준수 여부에 대한 검토가 적절히 이루어지지 않아 개인정보 보호법 등 법규 위반 사     항이 다수 발견된 경우 4. 개보법에 따라 개인정보 손해배상책임 보장제도 적용 대상이 되었으나, 이를 인지하지 못하여     보험 가입이나 준비금 적립을 하지 않은 경우 또는 보험 가입을 하였으나 이용자 수 매출액에 따     른 최저가입금액 기준을 준수하지 않은 경우 5. 정보보호 공시 의무대상 사업자이지만 법에 정한 시점 내에 정보보호 공시가 시행되지 않은     경우
1.4.2 관리체계 점검	1. 관리체계 점검 인력에 점검 대상으로 식별된 전산팀 직원이 포함되어 있어 점검의 독립성이 훼     손된 경우 2. 금년도 관리체게 점검을 실시하였으나 점검범위가 일부 영역에 국한되어 있어 정보보호 및 개인     정보 관리체계 범위를 충족하지 못한 경우 3. 관리체계 점검 시 발견된 문제점에 대하여 조치계획을 수립하지 않았거나 조치 완료 여부를 확     인하지 않은 경우
1.4.3 관리체계 개선	1. 내부점검을 통하여 발견된 정보보호 및 개인정보보호 관리체계 운영상 문제점이 매번 동일하게     반복되어 발생되는 경우 2. 내부 규정에는 내부점검 시 발견된 문제점에 대해서는 근본원인에 대한 분석 및 재발방지 대책    을 수립하도록 되어 있으나 최근에 수행된 내부점검에서는 발견된 문제점에 대하여 근본원인 분    석 및 재발방지 대책이 수립되지 않은 경우 3. 관리체계상 문제점에 대한 재발방지 대책을 수립하고 핵심성과지표를 마련하여 주기적으로 측     정하고 있으나 그 결과에 대하여 경영진 보고가 장기간 이루어지지 않은 경우
2.1 정책, 조직, 자산 관리
2.1.1 정책의 유지관리	1. 지침서와 절차서 간 패스워드 설정 규칙에 일관성이 없는 경우 2. 정보보호 활동(정보보호 교육, 암호화, 백업 등)의 대상, 주기, 수준, 방법 등이 관련 내부규정, 지     침, 절차에 서로 다르게 명시되어 일관성이 없는 경우 3. 데이터베이스에 대한 접근 및 작업이력을 효과적으로 기록 및 관리하기 위하여 데이터베이스 접     근통제 솔루션을 신규로 도입하여 운영하고 있으나 보안시스템 보안 관리지침 및 데이터베이스     보안 관리지침 등 내부 보안지침에 접근통제, 작업이력, 로깅, 검토 등에 관한 사항이 반영되어     있지 않은 경우 4. 개인정보보호 정책이 개정되었으나 정책 시행 기준일이 명시되어 있지 않으며, 관련 정책의 작     성일, 작성자 및 승인자 등이 누락되어 있는 경우 5. 개인정보 보호 관련 법령, 고시 등에 중대한 변경사항이 발생하였으나 이러한 변경이 개인 정보     보호 정책 및 시행문서에 미치는 영향을 검토하지 않았거나 변경사항을 반영하여 개정하지 않은     경우
2.1.2 조직의 유지관리	1. 내부 지침 및 직무기술서에 정보보호 최고책임자, 개인정보 보호책임자 및 관련 담당자의 역할     과 책임을 정의하고 있으나 실제 운영현황과 일치하지 않은 경우 2. 정보보호 최고책임자 및 관련 담당자의 활동을 주기적으로 평가할 수 있는 목표, 기준, 지표 등의     체계가 마련되어 있지 않은 경우 3. 내부 지침에는 부서별 정보보호 담당자는 정보보호와 관련된 KPI를 설정하여 인사평가시 반영     하도록 되어 있으나 부서별 정보보호 담당자의 KPI에 정보보호와 관련된 사항이 전혀 반영되어     있지 않은 경우 4. 정보보호 최고책임자 및 개인정보보호책임자가 지정되어 있으나 관련 법령에서 요구하는 역할     및 책임이 내부 지침이나 직무 기술서 등에 구체적으로 명시되어 있지 않은 경우
2.1.3 정보자산 관리	1. 내부 지침에 따라 문서에 보안등급을 표기하도록 되어 있으나 이를 표시하지 않은 경우 2. 정보자산별 담당자 및 책임자를 식별하지 않았거나 자산목록 현행화가 미흡하여 퇴직, 전보 등     인사이동이 발생하여 주요 정보자산의 담당자 및 책임자가 변공되었음에도 이를 식별하지 않은     경우 3. 식별된 정보자산에 대한 중요도 평가를 실시하여 보안등급을 부여하고 정보 자산목록에 기록하     고 있으나 보안등급에 따른 취급절차를 정의하지 않은 경우
2.2 인적 보안
2.2.1 주요 직무자 지정 및          관리	1. 주요 직무자 명단(개인정보취급자 명단, 비밀정보관리자 명단 등)을 작성하고 있으나 대량의 개     인정보 등 중요정보를 취급하는 일부 임직원(DBA, DLP 관리자 등)을 명단에 누락한 경우 2. 주요 직무자 및 개인정보취급자 목록을 관리하고 있으나 퇴사한 임직원이 포함되어 있고 최근     신규 입사한 인력이 포함되어 있지 않는 등 현행화 관리가 되어 있지 않은 경우 3. 부서 단위로 개인정보취급자 권한을 일괄 부여하고 있어 실제 개인정보를 취급할 필요가 없는     인원까지 과다하게 개인정보취급자로 지정된 경우 4. 내부 지침에는 주요 직무자 권한 부여 시에는 보안팀의 승인을 받고 주요 직무에 따른 보안서약     서를 작성하도록 하고 있으나 보안팀 승인 및 보안서약서 작성 없이 등록된 주요 직무자가 다수     존재하는 경우
2.2.2 직무 분리	1. 조직의 규모와 인원이 담당자별 직무 분리가 충분히 가능한 조직임에도 업무 편의성만을 사유로     내부 규정으로 정한 직무 분리 기준을 준수하고 있지 않은 경우 2. 조직의 특성상 경영진의 승인을 받은 후 개발과 운영 직무를 병행하고 있으나 직무자 간 상호 검     토, 상위관리자의 주기적인 직무수행 모니터링 및 변경 사항 검토/승인, 직무자의 책임추적성 확     보 등의 보안통제 절차가 마련되어 있지 않은 경우
2.2.3 보안 서약	1. 신규 입사자에 대해서는 입사 절차상에 보안서약서를 받도록 규정하고 있으나 최근에 입사한 일부 직원의 보안서약서 작성이 누락된 경우 2. 임직원에 대해서는 보안서약서를 받고 있으나 정보처리시스템에 직접 접속이 가능한 외주 인력에 대해서는 보안서약서를 받지 않은 경우 3. 제출된 정보보호 및 개인정보보호 서약서를 모아 놓은 문서철이 비인가자가 접근 가능한 상태로 사무실 책상에 방치되어 있는 등 관리가 미흡한 경우 4. 개인정보취급자에 대하여 보안서약서만 받고 있으나 보안서약서 내에 비밀유지에 대한 내용만 있고 개인정보보호에 관한 책임 및 내용이 포함되어 있지 않은 경우
2.2.4 인식제고 및          교육훈련	1. 전년도에는 연간 정보보호 및 개인정보보호 교육 계획을 수립하여 이행하였으나 당해 연도에 타     당한 사유 없이 연간 정보보호 및 개인정보보호 교육 계획을 수립하지 않은 경우 2. 연간 정보보호 및 개인정보보호 교육 계획에 교육 주기와 대상은 명시하고 있으나 시행일정, 내     용 및 방법 등이 포함되어 있지 않은 경우 3. 연간 교육 계획에 전 직원을 대상으로 하는 개인정보보호 인식 교육은 일정시간 계획되어 있으     나 개인정보 보호책임자 및 담당자 등 직무별로 필요한 개인정보보호관련 교육 계획이 포함되어     있지 않은 경우 4. 정보보호 및 개인정보보호 교육 계획서 및 결과 보고서를 확인한 결과, 인증범위 내의 정보자산     및 설비에 접근하는 외주용역업체 직원을 교육 대상에서 누락한 경우 5. 당해 연도 정보보호 및 개인정보보호 교육을 실시하였으나 교육시행 및 평가에 관한 기록 일부     를 남기지 않고 있는 경우 6. 교육 미이수자를 파악하지 않고 있거나 해당 미이수자에 대한 추가교육 방법(전달교육, 추가교     육, 온라인교육 등)을 수립/이행하고 있지 않은 경우
2.2.5 퇴직 및 직무변경          관리	1. 직무 변동에 따라 개인정보취급자에서 제외된 인력의 계정과 권한이 개인정보처리시스템에 그     대로 남아 있는 경우 2. 최근에 퇴직한 주요직무자 및 개인정보취급자에 대하여 자산반납, 권한 회수 등의 퇴직절차 이     행 기록이 확인되지 않은 경우 3. 임직원 퇴직 시 자산반납 관리는 잘 이행하고 있으나 인사규정에서 정한 퇴작자 보안점검 및 퇴     직 확인서를 작성하지 않은 경우
2.2.6 보안 위반 시 조치	1. 정보보호 및 개인정보보호 규정 위반자에 대한 처리 기준 및 절차가 내부 규정에 전혀 포함되어     있지 않은 경우 2. 보안시스템을 통하여 정책 위반이 탐지된 관련자에게 경고 메시지를 전달하고 있으나 이에 대한     소명 및 추가 조사 징계 처분 등 내부 규정에 따른 후속 조치가 이행되고 있지 않은 경우
2.3 외부자 보안
2.3.1 외부자 현황 관리	1. 내부 규정에 따라 외부 위탁 및 외부 시설/서비스 현황을 목록으로 관리하고 있으나, 몇 개월 전     에 변경된 위탁업체 목록에 반영되어 있지 않은 등 현행화 관리가 미흡한 경우 2. 관리체계 범위 내 일부 개인정보처리시스템을 외부 클라우드 서비스로 이전하였으나 이에 대한     식별 및 위험평가가 수행되지 않은 경우
2.3.2 외부자 계약 시 보안	1. IT운영, 개발 및 개인정보 처리업무를 위탁하는 외주용역업체에 대한 위탁계약서가 존재하지 않     은 경우 2. 개인정보 처리업무를 위탁하는 외부업체와의 위탁계약서상에 개인정보 보호법 등 법령에서 요     구하는 일부 항목(관리/감독에 관한 사항 등)이 포함되어 있지 않은 경우 3. 인프라 운영과 개인정보 처리업무 일부를 외부업체에 위탁하고 있으나 계약서 등에는 위탁 업무     의 특성에 따른 보안 요구사항을 식별/반영하지 않고 비밀유지 및 손해배상에 관한 일반 사항만     규정하고 있는 경우
2.3.3 외부자 보안 이행          관리	1. 회사 내에 상주하여 IT 개발 및 운영 업무를 수행하는 외주업체에 대해서는 정기적으로 보안점검     을 수행하고 있지 않은 경우 2. 개인정보 수탁자에 대하여 보안교육을 실시하라는 공문을 발송하고 있으나 교육 수행 여부를 확     인하고 있지 않은 경우 3. 수탁자가 자체적으로 보안점검을 수행한 후 그 결과를 통지하도록 하고 있으나, 수탁자가 보안     점검을 충실히 수행하고 있는지 여부에 대하여 확인하는 절차가 존재하지 않아 보안 점검 결과     의 신뢰성이 매울 떨어지는 경우 4. 개인정보 처리업무 위탁계약서의 재위탁 제한 조항에는 재위탁 시 위탁자의 사전 승인을 받도록     하고 있으나 수탁자 중 일부가 위탁자의 동의 없이 해당 업무를 재위탁한 경우 5. 영리 목적의 광고성 정보전송 업무를 타인에게 위탁하면서 수탁자에 대한 관리/감독을 수행하지      않고 있는 경우
2.3.4 외부자 계약 변경 및          만료 시 보안	1. 일부 정보시스템에서 계약 만료된 외부자의 계정 및 권한이 삭제되지 않고 존재하는 경우 2. 외주용역사업 수행과정에서 일부 용역업체 담당자가 교체되거나 계약 만료로 퇴작하거나 관련     인력들에 대한 퇴사 시 보안서약서 등 내부 규정에 따른 조치가 이행되지 않은 경우
2.4 물리 보안
2.4.1 보호구역 지정	1. 내부 물리보안 지침에는 개인정보 보관시설 및 시스템 구역을 통제구역으로 지정한다고 명시되     어 있으나 멤버십 가입신청 서류가 보관되어 있는 문서고 등 일부 대상 구역이 통제구역에서 누     락된 경우 2. 내부 물리보안 지침에 통제구역에 대해서는 지정된 양식의 통제구역 표지판을 설치하도록 명시     하고 있으나 일부 통제구역에 표시판을 설치하지 않은 경우
2.4.2 출입통제	1. 통제구역을 정의하여 보호대책을 수립하고 출입 가능한 임직원을 관리하고 있으나 출입기록을     주기적으로 검토하지 않아 퇴직, 전배 등에 따른 장기 미출입자가 다수 존재하고 있는 경우 2. 전산실, 문서고 등 통제구역에 출입통제 장치가 설치되어 있으나 타당한 사유 또는 승인 없이 장     시간 개방 상태로 유지하고 있는 경우 3. 일부 외부 협력업체 직원에게 과도하게 전 구역을 상시 출입할 수 있는 출입카드를 부여하고 있     는 경우
2.4.3 정보시스템 보호	1. 시스템 배치도가 최신 변경사항을 반영하여 업데이트되지 않아 장애가 발생한 정보시스템을 신     속하게 확인할 수 없는 경우 2. 서버실 바닥 또는 랙에 많은 케이블이 정리되지 않고 뒤엉켜 있어 전기적으로 간섭, 손상, 누수,     부주의 등에 의한 장애 발생이 우려되는 경우
2.4.4 보호설비 운영	1. 본사 전산실 등 일부 보호구역에 내부 지침에 정한 보호설비를 갖추고 있지 않은 경우 2. 전산실 내에 UPS, 소화설비 등의 보호설비는 갖추고 있으나 관련 설비에 대한 운영 및 점검기준     을 수립하고 있지 않은 경우 3. 운영지침에 따라 전산실 내에 온/습도 조절기를 설치하였으나 용량 부족으로 인하여 표준 온/습     도를 유지하지 못하여 장애발생 가능성이 높은 경우
2.4.5 보호구역 내 작업	1. 전산실 출입로그에는 외부 유지보수 업체 직원의 출입기록이 남아 있으나 이에 대한 보호구역     작업 신청 및 승인 내역 존재하지 않은 경우 2. 내부 규정에는 보호구역 내 작업기록에 대하여 분기별 1회 이상 점검하도록 되어 있으나 특별한     사유 없이 장기간 동안 보호구역 내 작업기록에 대한 점검이 이루어지고 있지 않은 경우
2.4.6 반출입 기기 통제	1.이동컴퓨팅기기 반출입에 대한 통제 절차를 수립하고 있으나 통제구역 내 이동컴퓨팅기기 반입    에 대한 통제를 하고 있지 않아 출입이 허용된 내/외부인이 이동컴퓨팅기기를 제약없이 사용하고    있는 경우 2. 내부지침에 따라 전산장비 반출입이 있는 경우 작업계획서에 반출입 내용을 기재하고 관리 책임     자의 서명을 받도록 되어 있으나 작업계획서의 반출입 기록에 관리책임자의 서명이 다수 누락되     어 있는 경우
2.4.7 업무환경 보안	1. 개인정보 내부관리계획서 내 개인정보보호를 위한 생활보안 점검을 정기적으로 수행하도록 명     시하고 있으나 이를 이행하지 않은 경우 2. 멤버십 가입 신청서 등 개인정보가 포함된 서류를 잠금장치가 없는 사무실 문서함에 보관한 경     우 3. 직원들의 컴퓨터 화면보호기 및 패스워드가 설정되어 있지 않고 휴가자 책상 위에 중요 문서가     장기간 방치되어 있는 경우
2.5 인증 및 권한관리
2.5.1 사용자 계정 관리	1. 사용자 및 개인정보취급자에 대한 계정 권한에 대한 사용자 등록, 해지 및 승인절차 없이 구두 요     청, 이메일 등으로 처리하여 이에 대한 승인 및 처리 이력이 확인되지 않는 경우 2. 개인정보취급자가 휴가, 출장, 공가 등에 따른 업무 백업을 사유로 공식적인 절차를 거치지 않고     개인정보취급자로 지정되지 않은 인원에게 개인정보취급자 계정을 알려주는 경우 3. 정보시스템 또는 개인정보처리시스템 사용자에게 필요 이상의 과도한 권한을 부여하여 업무상     불필요한 정보 또는 개인정보에 접근이 가능한 경우
2.5.2 사용자 식별	1. 정보시스템의 계정 현황을 확인한 결과 제조사에서 제공하는 기본 관리자 계정을 변경하지 않고     사용하는 경우 2. 개발자가 개인정보처리시스템 계정을 공용으로 사용하고 있으나 타당성 검토 또는 책임자의 승     인 등이 없이 사용하고 있는 경우 3. 외부직원이 유지보수하고 있는 정보시스템의 운영계정을 별도의 승인 절차 없이 개인 계정처럼     사용하고 있는 경우
2.5.3 사용자 인증	1. 개인정보취급자가 공개된 외부 인터넷망을 통하여 개인정보처리시스템에 접근 시 안전한 인증     수단을 적용하지 않고 ID/비밀번호 방식으로만 인증하고 있는 경우 2. 정보시스템 및 개인정보처리시스템 로그인 실패 시 해당 ID가 존재하지 않거나 비밀번호가 틀림     을 자세히 표시해 주고 있으며 로그인 실패횟수에 대한 제한이 없는 경우
2.5.4 비밀번호 관리	1. 정보보호 및 개인정보보호 관련 정책, 지침 등에서 비밀번호 생성규칙의 기준을 정하고 있으나,    일부 정보시스템 및 개인정보처리시스템에서 내부 지침과 상이한 비밀번호를 사용하고 있는 경    우 2. 비밀번호 관련 내부 규정에는 비밀번호를 초기화 시 임시 비밀번호를 부여받고 강제적으로 변경    하도록 되어 있으나, 실제로는 임시 비밀번호를 그대로 사용하고 있는 경우 3. 사용자 및 개인정보취급자의 비밀번호 변경주기가 규정되어 있음에도 불구하고 변경하지 않고     그대로 사용하고 있는 경우
2.5.5 특수 계정 및          권한관리	1. 시스템의 관리자 및 특수권한 부여 등의 승인 이력이 시스템이나 문서상으로 확인이 되지 않거     나, 승인 이력과 특수권한 내역이 서로 일치되지 않는 경우 2. 내부 규정에는 개인정보 관리자 및 특수권한 보유자를 목록으로 작성/관리하도록 되어 있으나     이를 작성/관리하고 있지 않거나 보안시스템 관리자 등 일부 특수권한이 식별/관리되지 않는 경     우 3. 정보시스템 및 개인정보처리시스템의 유지보수를 위하여 분기 1회에 방문하는 유지보수용 특수     계정이 사용기간 제한없이 상시로 활성화되어 있는 경우 4. 관리자 및 특수권한의 사용 여부를 정기적으로 검토하지 않아 일부 특수권한자의 업무가 변경되     었음에도 불구하고 기존 관리자 및 특수권한을 계속 보유하고 있는 경우
2.5.6 접근권한 검토	1. 접근권한 검토와 관련된 방법, 점검주기, 보고체계, 오/남용 기준 등이 관련 지침에 구체적으로     정의되어 있지 않아 접근권한 검토가 정기적으로 수행되지 않은 경우 2. 내부 정책, 지침 등에 장기 미사용자 계정에 대한 잠금 또는 삭제 조치하도록 되어 있으나 6개월     이상 미접속한 사용자의 계정이 활성화 되어 있는 경우 3. 접근권한 검토 시 접근권한의 과다 부여 및 오/남용 의심사례가 발견되었으나 이에 대한 상세조     사, 내부보고 등의 후속조치가 수행되지 않은 경우
2.6 접근통제
2.6.1 네트워크 접근	1. 네트워크 구성도와 인터뷰를 통하여 확인한 결과 외부 지점에서 사용하는 정보시스템 및 개인정보처리시스템과 IDC에 위치한 서버 간 연결 시 일반 인터넷 회선을 통하여 데이터 송수신을 처리하고 있어 내부 규정에 명시된 VPN이나 전용망 등을 이용한 통신이 이루어지고 있지 않은 경우 2. 내부망에 위치한 데이터베이스 서버 등 일부 중요 서버의 IP주소가 내부 규정과 달리 공인 IP로 설정되어 있고 네트워크 접근 차단이 적용되어 있지 않은 경우 3. 서버팜이 구성되어 있으나 네트워크 접근제어 설정 미흡으로 내부망에서 서버팜으로의 접근이 과도하게 허용되어 있는 경우 4. 외부자에게 제공되는 네트워크를 별도의 통제 없이 내부 업무 네트워크와 분리하지 않은 경우 5. 내부 규정과는 달리 MAC주소 인증, 필수 보안 소프트웨어 설치 등의 보호대책을 적용하지 않은 상태로 네트워크 케이블 연결만으로 사내 네트워크에 접근 및 이용할 수 있는 경우
2.6.2 정보시스템 접근	1. 사무실에서 서버관리자가 IDC에 위치한 윈도우 서버에 접근 시 터미널 서비스를 이용하여 접근     하고 있으나 터미널 서비스에 대한 세션 타임아웃 설정이 되어 있지 않아 장시간 아무런 작업을     하지 않아도 해당 세션이 차단되지 않는 경우 2. 서버 간 접속이 적절히 제한되지 않아 특정 사용자가 본인에게 인가된 서버에 접속한 후 해당 서     버를 경유하여 다른 인가받지 않은 서버에도 접속할 수 있는 경우 3. 타당한 사유 또는 보완 대책 없이 안전하지 않은 접속 프로토콜(telnet, ftp 등)을 사용하여 접근     하고 있으며 불필요한 서비스 및 포트를 오픈하고 있는 경우
2.6.3 응용프로그램 접근	1. 응용프로그램의 개인정보 처리화면 중 일부 화면의 권한 제어 기능에 오류가 존재하여 개인 정     보 열람 권한이 없는 사용자에게 개인정보가 노출되고 있는 경우 2. 응용프로그램의 관리자 페이지가 외부인터넷에 오픈되어 있으면서 안전한 인증수단이 적용되어     있지 않은 경우 3. 응용프로그램에 대하여 타당한 사유 없이 세션 타임아웃 또는 동일 사용자 계정의 동시 접속을     제한하고 있지 않은 경우 4. 응용프로그램을 통하여 개인정보를 다운로드받는 경우 해당 파일 내에 주민등록번호 등 업무상     불필요한 정보가 과도하게 포함되어 있는 경우 5. 응용프로그램의 개인정보 조회화면에서 like 검색을 과도하게 허용하고 있어, 모든 사용자가 본     인의 업무 범위를 초과하여 전체 고객 정보를 조회할 수 있는 경우
2.6.4 데이터베이스 접근	1. 대량의 개인정보를 보관/처리하고 있는 데이터베이스를 인터넷을 통하여 접근 가능한 웹 응용프     로그램과 분리하지 않고 물리적으로 동일한 서버에서 운영하고 있는 경우 2. 개발자 및 운영자들이 응용프로그램에서 사용하고 있는 계정을 공유하여 운영 데이터베이스에     접속하고 있는 경우 3. 내부 규정에는 데이터베이스의 접속권한을 오브젝트별로 제한하도록 되어 있으나 데이터베이스     접근권한을 운영자에게 일괄부여하고 있어 개인정보 테이블에 접근할 필요가 없는 운영자에게     도 과도하게 접근 권한이 부여된 경우 4. 데이터베이스 접근제어 솔루션을 도입하여 운영하고 있으나 데이터베이스 접속자에 대한 IP주     소 등이 적절히 제한되어 있지 않아 데이터베이스 접근제어 솔루션을 우회하여 데이터베이스에     접속하고 있는 경우 5. 개인정보를 저장하고 있는 데이터베이스의 테이블 현황이 파악되지 않아 임시로 생성된 테이블     에 불필요한 개인정보가 파기되지 않고 대량으로 저장되어 있는 경우
2.6.5 무선 네트워크 접근	1. 외부인용 무선 네트워크와 내부 무선 네트워크 영역대가 동일하여 외부인도 무선네트워크를 통하여 별도의 통제 없이 내부 네트워크에 접근이 가능한 경우 2. 무선 AP 설정 시 정보 송수신 암호화 기능을 설정하였으나 안전하지 않은 방식으로 설정한 경우 3. 업무 목적으로 내부망에 연결된 무선AP에 대하여 SSID 브로드캐스팅 허용, 무선 AP 관리자 비밀번호 노출, 접근제어 미적용 등 보안 설정이 미흡한 경우
2.6.6 원격접근 통제	1. 내부 규정에는 시스템에 대한 원격 접근은 원칙적으로 금지하고 불가피한 경우 IP 기반의 접근     통제를 통하여 승인된 사용자만 접근할 수 있도록 명시하고 있으나 시스템에 대한 원격 데스크     톱 연결, SSH 접속이 IP주소 등으로 제한되어 있지 않아 모든 PC에서 원격 접속이 가능한 경우 2. 원격운영관리를 위하여 VPN을 구축하여 운영하고 있으나 VPN에 대한 사용 승인 또는 접속기간     제한 없이 상시 허용하고 있는 경우 3. 외부 근무자를 위하여 모든 개인 스마트 기기에 업무용 모바일 앱을 설치하여 운영하고 있으나     악성코드, 분실, 도난 등에 의한 개인정보 유출을 방지하기 위한 적절한 보호대책을 적용하고 있     지 않은 경우
2.6.7 인터넷 접속 통제	1. 개보법상 정보통신서비스 제공자 특례조항 등 관련 법규에 따라 망분리를 적용하였으나 개인정     보처리시스템의 접근권한 설정 가능자 등 일부 의무대상자에 대하여 망분리 적용이 누락된 경우 2. 망문리 의무대상자로서 망분리를 적용하였으나 다른 서버를 경유한 우회접속이 가능하여 망분     리가 적용되지 않은 환경에서 개인정보처리시스템 접속 및 개인정보의 다운로드, 파기 등이 가        능한 경우 3. DMZ 및 내부망에 위치한 일부 서버에서 불필요하게 인터넷으로의 직접 접속이 가능한 경우 4. 인터넷 PC와 내부 업무용 PC를 망분리하고 망간 자료전송시스템을 구축/운영하고 있으나, 자료     전송에 대한 승인 절차가 부재하고 자료 전송 내역에 대한 주기적 검토가 이루어지고 있지 않은     경우 5. 내부 규정에는 개인정보취급자가 P2P 및 웹하드 사이트 접속 시 책임자 승인을 거쳐 특정 기간     동안만 허용하도록 되어 있으나 승인절차를 거치지 않고 예외 접속이 허용된 사례가 다수 존재     하는 경우
2.7 암호화 적용
2.7.1 암호정책 적용	1. 내부 정책/지침에 암호통제 관련 법적 요구사항을 고려한 암호화 대상, 암호 강도, 저장 및 전송     시 암호화 방법, 암호화 관련 담당자의 역할 및 책임 등에 관한 사항이 적절히 명시되지 않은 경     우 2. 암호정책을 수립하면서 해당 기업이 적용받는 법규를 잘못 적용하여 암호화 관련 법적 요구사항     을 준수하지 못하고 있는 경우 3. 개인정보취급자 및 정보주체의 비밀번호에 대하여 일방향 암호화를 적용하였으나 안전하지 않     은 MD5 알고리즘을 사용한 경우 4. 정보통신서비스 제공자가 관련 법규 및 내부 규정에 따라 인터넷 웹사이트에 대하여 보안 서버     를 적용하였으나 회원정보 조회 및 변경, 비밀번호 찾기, 비밀번호 변경 등 개인정보가 전송되는     일부 구간에 암호화 조치가 누락된 경우
2.7.2 암호키 관리	1. 암호 정책 내에 암호키 관리와 관련된 절차, 방법 등이 명시되어 있지 않아 담당자 별로 암호키     관리 수준 및 방법 상이 등 암호키 관리에 취약사항이 존재하는 경우 2. 내부 규정에 중요 정보를 암호화할 경우 관련 책임자 승인 하에 암호화 키를 생성하고 암호키 관     리대장을 작성하도록 정하고 있으나 암호키 관리대장에 일부 암호키가 누락되어 있거나 현행화     가되어 있지 않은 경우
2.8 정보시스템 도입 및 개발 보안
2.8.1 보안 요구사항 정의	1. 정보시스템 인수 전 보안성 검증 기준 및 절차가 마련되어 있지 않은 경우 2. 신규 시스템 도입 시 기존 운영환경에 대한 영향 및 보안성을 검토하도록 내부 규정을 마련하였     으고 있으나 최근 도입한 일부 시스템에 대하여 인수테스트(취약점 점검) 등의 관련 보안성검토     수행 증적이 확인되지 않은 경우 3. 개발 관련 내부 지침에 개발과 관련된 주요 보안 요구사항(인증 및 암호화, 보안로그 등)이 정의     되어 있지 않은 경우 4. 개발표준정의서에 사용자 패스워드를 안전하지 않은 암호화 알고리즘(MD5, SHA1)으로 사용하     도록 되어 있어 관련 법적 요구사항을 적절히 반영하지 않은 경우
2.8.2 보안 요구사항 검토          및 시험	1. 정보시스템 구현 이후 개발 관련 내부 지침 및 문서에 정의된 보안 요구사항을 시험하지 않고 있     는 경우 2. 응용프로그램 테스트 시나리오 및 기술적 취약점 점검항목에 입력값 유효성 체크 등의 중요 점     검항목 일부가 누락된 경우 3. 구현 또는 시험 과정에서 알려진 기술적 취약성이 존재하는지 여부를 점검하지 않거나 타당한     사유 또는 승인 없이 확인된 취약성에 대한 개선조치를 이행하지 않은 경우 4. 공공기관이 5만명 이상 정보주체의 고유식별정보를 처리하는 등 영향평가 의무 대상 개인 정보     파일 및 개인정보처리시스템을 신규로 구축하면서 영향평가를 실시하지 않은 경우 5. 공공기관이 영향평가를 수행한 후 영향평가기관으로부터 영향평가서를 받은 지 2개월이 지났음     에도 불구하고 영향평가서를 개인정보보호위원회에 제출하지 않은 경우
2.8.3 시험과 운영 환경          분리	1. 타당한 사유 또는 승인 없이 별도의 개발환경을 구성하지 않고 운영환경에서 직접 소스코드 변     경을 수행하고 있는 경우 2. 불가피하게 개발시스템과 운영시스템을 분리하지 않고 운영 중에 있으나 이에 대한 상호 검토     내역, 모니터링 내역 등이 누락되어 있는 경우 3. 개발시스템이 별도로 구성되어 있으나 개발환경으로부터 운영환경으로의 접근이 통제되지 않아     개발자들이 개발시스템을 경유하여 불필요하게 운영시스템 접근이 가능한 경우
2.8.4 시험 데이터 보안	1. 개발 서버에서 사용할 시험 데이터 생성에 대한 구체적 기준 및 절차가 수립되어 있지 않은 경우 2. 타당한 사유 및 책임자 승인 없이 실 운영데이터를 가공하지 않고 시험 데이터로 사용하고 있는     경우 3. 불가피한 사유로 사전 승인을 받아 실 운영데이터를 시험 용도로 사용하면서 테스트 데이터베이     스에 대하여 운영 데이터베이스와 동일한 수준의 접근통제를 적용하고 있지 않은 경우 4. 실 운영데이터를 테스트 용도로 사용한 후 테스트가 완료되었음에도 실 운영데이터를 테스트 데     이터베이스에서 삭제하지 않은 경우
2.8.5 소스 프로그램 관리	1. 별도의 소스 프로그램 백업 및 형상관리 시스템이 구축되어 있지 않으며 이전 버전의 소스코드     를 운영 서버 또는 개발자 PC에 승인 및 이력관리 없이 보관하고 있는 경우 2. 형상관리시스템을 구축하여 운영하고 있으나 형상관리시스템 또는 형상관리시스템에 저장된 소     스코드에 대한 접근제한, 접근 및 변경이력이 적절히 관리되지 않고 있는 경우
2.8.6 운영환경 이관	1. 개발/변경이 완료된 소스 프로그램을 운영환경으로 인관 시 검토/승인하는 절차가 마련되어 있     지 않은 경우 2. 운영서버에 서비스 실행에 불필요한 파일이 존재하는 경우 3. 내부 지침에 운영환경 이관 시 안전한 이관/복구를 위하여 변경작업 요청서 및 결과서를 작성하     도록 정하고 있으나 관련 문서가 확인되지 않은 경우
2.9 시스템 및 서비스 운영관리
2.9.1 변경관리	1. 최근 DMZ 구간 이중화에 따른 변경 작업을 수행하였으나 변경 후 발생할 수 있는 보안 위험성     및 성능 평가에 대한 수행/승인 증적이 확인되지 않은 경우 2. 최근 네트워크 변경 작업을 수행하였으나 관련 검토 및 공지가 충분히 이루어지지 않아 네트워     크 구성도 및 일부 접근통제시스템의 접근통제리스트에 적절히 반영되어 있지 않은 경우 3. 변경관리시스템을 구축하여 정보시스템 입고 또는 변경 시 성능 및 보안에 미치는 영향을 분석/     협의하고 관련 이력을 관리하도록 하고 있으나 해당 시스템을 통하지 않고도 시스템 변경이 가     능하며, 관련 변경사항이 적절히 검토되지 않은 경우
2.9.2 성능 및 장애관리	1. 성능 및 용량 관리를 위한 대상별 요구사항을 정의하고 있지 않거나 정기 점검 보고서 등에 기록     하지 않아 현황 파악할 수 없는 경우 2. 성능 또는 용량 기준을 초과하였으나 관련 검토 및 후속조치방안 수립/이행이 이루어지고 있지     않은 경우 3. 전산장비 장애대응절차를 수립하고 있으나 네트워크 구성 및 외주업체 변경 등의 내/외부 환경     변화가 적절히 반영되어 있지 않은 경우 4. 장애처리절차와 장애유형별 조치방법 간 일관성이 없거나 예상소요시간 산정에 대한 근거가 부     족하여 신속/정확하고 체계적인 대응이 어려운 경우
2.9.3 백업 및 복구관리	1. 백업 대상, 주기, 방법, 절차 등이 포함된 백업 및 복구 절차가 수립되어 있지 않은 경우 2. 백업정책을 수립하고 있으나 법적 요구사항에 따라 장기간(6개월 3/5년 등) 보관이 필요한 백업     대상 정보가 백업 정책에 따라 보관되고 있지 않은 경우 3. 상위 지침 또는 내부 지침에 따라 별도로 백업하여 관리하도록 명시된 일부 시스템에 대한 백업     이 이행되고 있지 않은 경우 4. 상위 지침 또는 내부 지침에는 주기적으로 백업매체에 대한 복구 테스트를 수행하도록 정하고     있으나 복구테스트를 장기간 실시하지 않은 경우
2.9.4 로그 및 접속기록          관리	1. 로그 기록 대상, 방법, 보존기간, 검토 주기, 담당자 등에 대한 세부 기준 및 절차가 수립되어 있     지 않은 경우 2. 보안 이벤트 로그, 응용 프로그램 및 서비스 로그 등 중요 로그에 대한 최대 크기를 충분하게 설     정하지 않아 내부 기준에 정한 기간 동안 기록/보관되고 있지 않은 경우 3. 중요 리눅스 계열 서버에 대한 로그 기록을 별도로 백업하거나 적절히 보호하지 않아 사용자의     명령 실행 기록 및 접속 이력 등을 임의로 삭제할 수 있는 경우 4. 개인정보처리시스템에 접속한 기록을 확인한 결과 접속자의 계정, 접속 일시, 접속자 IP주소 정     보는 남기고 있으나 처리한 정보주체 정보 및 수행업무(조회, 변경, 삭제, 다운로드 등)와 관련된     정보를 남기고 있지 않은 경우
2.9.5 로그 및 접속기록          점검	1. 중요 정보를 처리하고 있는 정보시스템에 대한 이상접속 또는 이상행위에 대한 모니터링 및 경     고 알림 정책이 수립되어 있지 않은 경우 2. 내부 지침 또는 시스템 등에 접근 및 사용에 대한 주기적인 점검, 모니터링 기준을 마련하고 있으     나 실제 이상접속 및 이상행위에 대한 검토 내역이 확인되지 않은 경우 3. 개인정보처리자 또는 정보통신서비스제공자가 개인정보철시스템의 접속기록 점검 주기를 반기     1회로 정하고 있는 경우 4. 개인정보처리자의 내부관리계획에는 1000명 이상의 정보주체에 대한 개인정보를 다운로드한     경우에는 사유를 확인하도록 기준이 책정되어 있는 상태에서 1000건 이상의 개인정보를 다운로     드가 발생하였으나 그 사유를 확인하지 않고 있는 경우
2.9.6 시간 동기화	1. 일부 중요 시스템의 시각이 표준시와 도익화되어 있지 않으며 관련 동기화 여부에 대한 주기적     점검이 이행되고 있지 않은 경우 2. 내부 NTP 서버와 시각을 동기화하도록 설정하고 있으나 일부 시스템의 시각이 동기화되지 않고     있고, 이에 대한 원인분석 및 대응이 이루어지고 있지 않은 경우
2.9.7 정보자산의 재사용          및 폐기	1. 개인정보취급자 PC를 재사용할 경우 데이터 삭제프로그램을 이용하여 완전삭제하도록 정책 및     절차가 수립되어 있으나 실제로는 완전삭제 조치 없이 재사용하거나 기본 포맷만 하고 재사용하     고 있는 등 관련 절차를 이행되고 있지 않은 경우 2. 외부업체를 통하여 저장매체를 폐기하고 있으나 계약 내용상 안전한 폐기 절차 및 보호대책에     대한 내용이 누락되어 있고 폐기 이행 증적 확인 및 실사 등의 관리/감독이 이루어지지 않은 경우 3. 폐기된 HDD의 일련번호가 아닌 시스템명을 기록하거나 폐기 대장을 작성하지 않아 폐기이력 및     추적할 수 있는 증적을 확인할 수 없는 경우 4. 회수한 폐기 대상 하드디스크가 완전 삭제되지 않은 상태로 잠금장치가 되지 않은 장소에 방치     되고 있는 경우
2.10 시스템 및 서비스 보안관리
2.10.1 보안시스템 운영	1. 침입차단시스템 보안정책에 대한 정기 검토가 수행되지 않아 불필요하거나 과도하게 허용된 정     책이 다수 존재하는 경우 2. 보안시스템 보안정책의 신청, 변경, 삭제, 주기적 검토에 대한 절차 및 기준이 없거나, 절차는 있     으나 이를 준수하지 않은 경우 3. 보안시스템의 관리자 지정 및 권한 부여 현황에 대한 관리감독이 적절히 이행되고 있지 않은 경     우 4. 내부 지침에는 정보보호담당자가 보안시스템의 보안정책 변겨 이력을 기록, 보관하도록 정하고     있으나, 정책관리대장을 주기적으로 작성하지 않고 있거나 정책관리대장에 기록된 보안정책과     실제 운영 중인 시스템의 보안정책이 상이한 경우
2.10.2 클라우드 보안	1. 클라우드 서비스 계약서 내에 보안에 대한 책임 및 역할 등에 대한 사항이 포함되어 있지 않은     경우 2. 클라우드 서비스의 보안설정을 변경할 수 있는 권한이 업무상 반드시 필요하지 않은 직원들에게     과도하게 부여되어 있는 경우 3. 내부 지침에는 클라우드 내 사설 네트워크의 접근 통제 룰 변경 시 보안책임자 승인을 받도록 하고 있으나 승인절차를 거치지 않고 등록/변경된 접근제어 룰이 다수 발견된 경우 4. 클라우드 서비스의 보안설정 오류로 내부 로그 파일이 인터넷을 통하여 공개되어 있는 경우
2.10.3 공개서버 보안	1. 인터넷 공개된 웹사이트의 취약점으로 인하여 구글 검색을 통하여 열람 권한이 없는 타인의 개      인정보에 접근할 수 있는 경우 2. 웹사이트에 개인정보를 게시하는 경우 승인 절차를 거치도록 내부 규정이 마련되어 있으나, 이     를 준수하지 않고 개인정보가 게시된 사례가 다수 존재한 경우 3. 게시판 등의 웹 응용프로그램에서 타인이 작성한 글을 임의로 수정/삭제하거나 비밀번호로 보호     된 글을 열람할 수 있는 경우
2.10.4 전자거래 및 핀테크            보안	1. 전자결제대행업체와 위탁 계약을 맺고 연계를 하였으나 적절한 인증 및 접근제한 없이 특정 UR     L을 통하여 결제 관련 정보가 모두 평문으로 전송되는 경우 2. 전자결제대행업체와 외부 연계 시스템이 전용망으로 연결되어 있으나 해당 연계 시스템에서 내     부 업무 시스템으로의 접근이 침입차단시스템 등으로 적절히 통제되지 않고 있는 경우 3. 내부 지침에는 외부 핀테크 서비스 연계 시
2.10.5 정보전송 보안	1. 대외 기관과 연계 시 전용망 또는 VPN을 적용하고 중계서버와 인증서 적용 등을 통하여 안전하     게 정보를 전송하고 있으나, 외부 기관별 연계 시기, 방식, 담당자 및 책임자, 연계 정보, 법적 근     거 등에 대한 현황관리가 적절히 이루어지지 않고 있는 경우 2. 중계과정에서의 암호 해제 구간 또는 취약한 암호화 알고리즘(DES, 3DES) 사용 등에 대한 보안     성 검토, 보안표준 및 조치방안 수립 등에 대한 협의가 이행되고 있지 않은 경우
2.10.6 업무용 단말기기            보안	1. 업무적인 목적으로 노트북, 태블릿PC 등 모바일 기기를 사용하고 있으나, 업무용 모바일 기기에     대한 허용 기준, 사용 범위, 승인 절차, 인증 방법 등에 대한 정책이 수립되어 있지 않은 경우 2. 모바일 기기 보안관리 지침에서는 모바일 기기의 업무용 사용을 원칙적으로 금지하고 필요시 승     인 절차를 통하여 제한된 기간 동안 허가된 모바일 기기만 사용하도록 정하고 있으나, 허가된 모     바일 기기가 식별·관리되지 않고 승인되지 않은 모바일 기기에서도 내부 정보 시스템 접속이 가     능한 경우 3. 개인정보 처리업무에 이용되는 모바일 기기에 대하여 비밀번호 설정 등 도난·분실에 대한 보호     대책이 적용되어 있지 않은 경우 4. 내부 규정에서는 업무용 단말기의 공유폴더 사용을 금지하고 있으나, 이에 대한 주기적인 점검     이 이루어지고 있지 않아 다수의 업무용 단말기에서 과도하게 공유폴더를 설정하여 사용하고 있     는 경우
2.10.7 보조저장매체 관리	1. 통제구역인 서버실에서의 보조저장매체 사용을 제한하는 정책을 수립하여 운영하고 있으나, 예     외 승인 절차를 준수하지 않고 보조저장매체를 사용한 이력이 다수 확인되었으며, 보조 저장매     체 관리실태에 대한 주기적 점검이 실시되지 않아 보조저장매체 관리대장의 현행화가 미흡한 경     우 2. 개인정보가 포함된 보조저장매체를 잠금장치가 있는 안전한 장소에 보관하지 않고 사무실 서랍     등에 방치하고 있는 경우 3. 보조저장매체 통제 솔루션을 도입·운영하고 있으나, 일부 사용자에 대하여 적절한 승인 절차 없     이 예외처리되어 쓰기 등이 허용된 경우 4. 전산실에 위치한 일부 공용 PC 및 전산장비에서 일반 USB에 대한 쓰기가 가능한 상황이나 매체     반입 및 사용 제한, 사용이력 기록 및 검토 등 통제가 적용되고 있지 않은 경우
2.10.8 패치관리	1. 일부 시스템에서 타당한 사유나 책임자 승인 없이 OS패치가 장기간 적용되고 있지 않은 경우 2. 일부 시스템에 서비스 지원이 종료(EOS)된 OS버전을 사용 중이나, 이에 따른 대응계획이나 보     완대책이 수립되어 있지 않은 경우 3. 상용 소프트웨어 및 OS에 대해서는 최신 패치가 적용되고 있으나, 오픈소스 프로그램(openssl,     openssh, Apache 등)에 대해서는 최신 패치를 확인하고 적용하는 절차 및 담당자가 지정되어 있     지 않아 최신 보안패치가 적용되고 있지 않은 경우
2.10.9 악성코드 통제	1. 일부 PC 및 서버에 백신이 설치되어 있지 않거나, 백신 엔진이 장기간 최신 버전으로 업데이트     되지 않은 경우 2. 백신 프로그램의 환경설정(실시간 검사, 예약검사, 업데이트 설정 등)을 이용자가 임의로 변경할     수 있음에도 그에 따른 추가 보호대책이 수립되어 있지 않은 경우 3. 백신 중앙관리시스템에 접근통제 등 보호대책이 미비하여 중앙관리시스템을 통한 침해 사고발     생 가능성이 있는 경우 또는 백신 패턴에 대한 무결성 검증을 하지 않아 악의적인 사용자에 의한     악성코드 전파 가능성이 있는 경우 4. 일부 내부망 PC 및 서버에서 다수의 악성코드 감염이력이 확인되었으나, 감염 현황, 감염 경로     및 원인 분석, 그에 따른 조치내역 등이 확인되지 않은 경우
2.11 사고 예방 및 대응
2.11.1 사고 예방 및 대응            체계 구축	1. 침해사고에 대비한 침해사고 대응 조직 및 대응 절차를 명확히 정의하고 있지 않은 경우 2. 내부 지침 및 절차에 침해사고 단계별(사고 전, 인지, 처리, 복구, 보고 등) 대응 절차를 수립하여     명시하고 있으나, 침해사고 발생 시 사고 유형 및 심각도에 따른 신고·통지 절차, 대응 및 복구 절     차의 일부 또는 전부를 수립하고 있지 않은 경우 3. 침해사고 대응 조직도 및 비상연락망 등을 현행화하지 않고 있거나, 담당자별 역할과 책임이 명     확히 정의되어 있지 않은 경우 4. 침해사고 신고·통지 및 대응 협조를 위한 대외기관 연락처에 기관명, 홈페이지, 연락처 등이 잘못     명시되어 있거나, 일부 기관 관련 정보가 누락 또는 현행화되지 않은 경우 5. 외부 보안관제 전문업체 등 유관기관에 침해사고 탐지 및 대응을 위탁하여 운영하고 있으나, 침     해사고 대응에 대한 상호 간 관련 역할 및 책임 범위가 계약서나 SLA에 명확하게 정의되지 않은     경우 6. 침해사고 대응절차를 수립하였으나, 개인정보 침해 신고 기준, 시점 등이 법적 요구사항을 준수     하지 못하는 경우
2.11.2 취약점 점검 및            조치	1. 내부 규정에 연 1회 이상 주요 시스템에 대한 기술적 취약점 점검을 하도록 정하고 있으나, 주요     시스템 중 일부가 취약점 점검 대상에서 누락된 경우 2. 취약점 점검에서 발견된 취약점에 대한 보완조치를 이행하지 않았거나, 단기간 내에 조치할 수     없는 취약점에 대한 타당성 검토 및 승인 이력이 없는 경우
2.11.3 이상행위 분석 및            모니터링	1. 외부로부터의 서버, 네트워크, 데이터베이스, 보안시스템에 대한 침해 시도를 인지할 수 있도록     하는 상시 또는 정기적 모니터링 체계 및 절차를 마련하고 있지 않은 경우 2. 외부 보안관제 전문업체 등 외부 기관에 침해시도 모니터링 업무를 위탁하고 있으나, 위탁 업체     가 제공한 관련 보고서를 검토한 이력이 확인되지 않거나, 위탁 대상에서 제외된 시스템에 대한     자체 모니터링 체계를 갖추고 있지 않은 경우 3. 내부적으로 정의한 임계치를 초과하는 이상 트래픽이 지속적으로 발견되고 있으나, 이에 대한     대응조치가 이루어지고 있지 않은 경우
2.11.4 사고 대응 훈련 및 개선	1. 침해사고 모의훈련을 수행하지 않았거나 관련 계획서 및 결과보고서가 확인되지 않은 경우 2. 연간 침해사고 모의훈련 계획을 수립하였으나 타당한 사유 또는 승인 없이 해당 기간 내에 실시     하지 않은 경우 3. 모의훈련을 계획하여 실시하였으나, 관련 내부 지침에 정한 절차 및 서식에 따라 수행하지 않은     경우
2.11.5 사고 대응 및 복구	1. 내부 침해사고 대응지침에는 침해사고 발생 시 개인정보위원회 및 이해관계 부서에게 보고하도     록 정하고 있으나 침해사고 발생 시 담당 부서에서 자체적으로 대응 조치 후 정보보호위원회 및     이해관계 부서에 보고하지 않은 경우 2. 최근 DDoS 공격으로 의심되는 침해사고로 인하여 서비스 일부가 중단된 사례가 있으나 이에 대     한 원인분석 및 재발방지 대책이 수립되지 않은 경우
2.12 재해복구
2.12.1 재해/재난 대비            안전조치	1. IT 재해 복구 절차서 내에 IT 재해 복구 조직 및 역할 정의, 비상연락체계, 복구 절차 및 방법 등     중요한 내용이 누락되어 있는 경우 2. 비상사태 발생 시 정보시스템의 연속성 확보 및 피해 최소화를 위하여 백업센터를 구축하여 운     영하고 있으나, 관련 정책에 백업센터를 활용한 재해 복구 절차 등이 수립되어 있지 않아 재해 복     구 시험 및 복구가 효과적으로 진행되기 어려운 경우 3. 서비스 운영과 관련된 일부 중요 시스템에 대한 복구 목표시간이 정의되어 있지 않으며 이에 대     한 적절한 복구 대책을 마련하고 있지 않은 경우 4. 재해 복구 관련 지침서 등에 IT 서비스 또는 시스템에 대한 복구 우선순위, 복구 목표시간, 복구     목표시점 등이 정의되어 있지 않은 경우 5. 현실적 대책 없이 복구 목표시간을 과도 또는 과소하게 설정하고 있거나 복구 목표시점과 백업     정책(대상, 주기 등)이 적절히 연계되지 않아 복구 효과성을 보장할 수 없는 경우
2.12.2 재해 복구 시험 및            개선	1. 재해 복구 훈련을 계획 시행하지 않았거나 관련 계획서 및 결과보고서가 확인되지 않은 경우 2. 재해 복구 훈련 계획을 수립하였으나 타당한 사유 또는 승인 없이 계획대로 실시하지 않았거나     관련 결과보고가 확인되지 않은 경우 3. 재해 복구 훈련을 계획하여 실시하였으나 내부 관련 지침에 정한 절차 및 서식에 따라 이행되지     않아 수립한 재해 복구 절차의 적정성 및 효과성을 평가하기 위한 훈련으로 보기 어려운 경우
3.1 개인정보 수집 시 보호조치
3.1.1 개인정보 수집 제한	1. 회원가입 시 서비스 제공을 위하여 필요한 최소한의 정보 외의 기타 정보를 수집하면서 필수 항     목과 선택항목으로 구분하지 않고 일괄로 동의를 받는 경우 2. 회원가입 양식에서 필수정보와 선택정보로 나눠서 동의를 받고 있으나 필수정보에 포함된 개인     정보 항목에 서비스 제공을 위하여 필요한 최소한의 정보 외의 과도한 개인정보 항목이 포함되     어 있는 경우 3. 회원가입 양식에서 필수와 선택 정보를 구분하여 별도 동의를 받도록 되어 있었으나 선택 정보     에 대하여 동의하지 않아도 회원가입이 가능함을 정보주체가 인지할 수 있도록 구체적으로 알리     지 않은 경우 4. 홈페이지 회원가입 화면에서 선택사항에 대하여 동의하지 않거나 선택정보를 입력하지 않으면     다음 단계로 넘어가지 않거나 회원가입이 차단되는 경우
3.1.2 개인정보 수집 동의	1. 개인정보 보호법을 적용받는 개인정보처리자가 개인정보 수집 동의 시 고지사항에 '동의 거부     권리 및 동의 거부에 따른 불이익 내용'을 누락한 경우 2. 개인정보 수집 동의 시 수집하는 개인정보 항목을 구체적으로 명시하지 않고 ~등 과 같이 포괄적     으로 안내하는 경우 3. 쇼핑몰 홈페이지에서 회원가입 시 회원가입에 필요한 개인정보 외에 추후 물품 구매 시 필요한     결제/배송 정보를 미리 필수 항목으로 수집하는 경우 4. Q&A, 게시판을 통하여 비회원의 개인정보(이름, 이메일, 휴대폰버호)를 수집하면서 개인정보 수     집 동의 절차를 거치지 않은 경우 5. 만 14세 미만 아동의 개인정보를 수집하면서 법정대리인의 동의를 받지 않은 경우 6. 만 14세 미만 아동에 대하여 서비스를 제공하고 있지 않지만, 회원가입 단게에서 입력받는 생년     월일을 통하여 나이 체크를 하지 않아 법정대리인 동의 없이 가입된 만 14세 미만 아동 회원이     존재하는 경우 7. 법정대리인의 진위여부를 확인하는 절차가 미흡하여 미성년자 등 아동의 법정대리인으로 보기     어려운데도 법정대리인 동의가 가능한 경우 8. 만 14세 미만 아동으로부터 법정대리인 동의를 받는 목적으로 법정대리인의 개인정보(이름, 휴     대폰번호)를 수집한 이후 법정대리인의 동의가 장기간 확인되지 않았음에도 이를 파기하지 않고     계속 보유하고 있는 경우 9. 법정대리인 동의에 근하거여 만 14세 미만 아동의 개인정보를 수집하였으나, 관련 기록을 보존     하지 않아 법정대리인 동의와 관련된 사항(법정대리인 이름, 동의 일시 등)을 확인할 수 없는 경     우
3.1.3 주문등록번호 처리          제한	1. 홈페이지 가입과 관련하여 실명확인, 단순 회원관리 목적을 위하여 정보주체(이용자)의 동의에     근거하여 주민등록번호를 수집한 경우 2. 정보주체의 주민등록번호를 시행규칙이나 지방자치단체의 조례에 근거하여 수집한 경우 3. 비밀번호 분실 시 본인확인 등의 목적으로 주민등록번호 뒤 6자리를 수집하지만 관련된 법적 근     거가 없는 경우 4. 채용전형 진행단게에서 법적 근거 없이 입사지원자의 주민등록번호를 수집한 경우 5. 콜센터에 상품, 서비스 관련 문의 시 본인확인을 위하여 주민번호를 수집한 경우 6. 주민번호 수집 법정주의 시행 이전에 수집하여 저장하고 있던 주민번호를 현재 법적 근거가 없     음에도 파기하지 않고 보관하는 경우
3.1.4 민감정보 및 고유식          별정보의 처리 제한	1. 장애인에 대한 요금감면 등 헤택 부여를 위하여 장애 여부 등 건강에 관한 민감정보를 수집하면     서 다른 개인정보 항목에 포함하여 일괄 동의를 받은 경우 2. 회원가입 시 외국인에 한하여 외국인등록번호를 수집하면서 다른 개인정보 항목에 포함하여 일     괄 동의를 받은 경우 3. 민감정보 또는 고유식별정보에 대하여 별도의 동의를 받으면서 고지하여야 할 4가지 사항 중에     일부를 누락하거나 잘못된 내용으로 고지하는 경우
3.1.5 간접수집 보호조치	1. 인터넷 홈페이지, SNS에 공개된 개인정보를 수집하고 있는 상태에서 정보주체의 수집출처 요구     에 대한 처리절차가 존재하지 않은 경우 2. 개인정보 보호법 제17조1항제1호에 따라 다른 사업자로부터 개인정보 제공동의를 근거로 개인     정보를 제공받았으나 이에 대하여 해당 정보주체에게 3개월 내에 통지하지 않은 경우 3. 서비스 제공과 직접 관련이 없는 타깃 마케팅 목적으로 쿠키에 포함된 개인정보를 동의받지 않     고 수집하는 경우
3.1.6 영상정보처리기기          설치/운영	1. 영상정보처리기기 안내판의 고지 문구가 일부 누락되어 운영되고 있거나, 영상처리기기 운영/관     리 방침을 수립/운영하고 있지 않은 경우 2. 영상정보처리기기 운영/관리 방침을 수립 운영하고 있으나 방침 내용과 달리 보관기간을 준수하     지 않고 운영되거나, 영상정보 보호를 위한 접근통제 및 로깅 등 방침에 기술한 사항이 준수되지     않는 등 관리가 미흡한 경우 3. 영상정보처리기기의 설치/운영 사무를 외부업체에 위탁을 주고 있으나, 영상정보의 관리 현황     점검에 관한 사항, 손해배상 책임에 관한 사항 등 법령에서 요구하는 내용을 영상정보 처리기기     업무 위탁 계약서에 명시하지 않은 경우 4. 영상정보처리기기의 설치/운영 사무를 외부업체에 위탁을 주고 있으나 영상정보처리기기 안내     판에 수탁자의 명칭과 연락처를 누락하여 고지한 경우
3.1.7 홍보 및 마케팅 목적          활용 시 조치	1. 홍보 및 마케팅 목적으로 개인정보를 수집하면서 부가서비스 제공, 제휴 서비스 제공 등과 같이     목적을 모호하게 안내하는 경우 또는 다른 목적으로 수집하는 개인정보와 구분하지 않고 표괄     동의를 받는 경우 2. 모바일 앱에서 광고성 정보전송에 대하여 거부 의사를 밝혔으나 프로그램 오류 등의 이유로 광     고성 앱 푸시가 이루어지는 경우 3. 온라인 회원가입 화면에서 문자, 이메일에 의한 광고성 정보 전송에 대하여 디폴트로 체크되어     있는 경우 4. 광고성 정보 수신동의 여부에 대하여 2년마다 확인하지 않은 경우
3.2 개인정보 보유 및 이용 시 보호조치
3.2.1 개인정보 현황관리	1. 개인정보파일을 홈페이지의 개인정보파일 등록 메뉴를 통하여 목록을 관리하고 있으나 그 중 일     부 홈페이지 서비스와 관련된 개인정보파일의 내용이 개인정보 처리방침에 누락되어 있는 경우 2. 신규 개인정보파일을 구축한 지 2개월이 경과하였으나, 해당 개인정보파일을 개인정보보호위원     회에 등록하지 않은 경우 3. 개인정보보호위원회에 등록되어 공개된 개인정보파일의 내용이 실제 처리하고 있는 개인정보파     일 현황과 상이한 경우
3.2.2 개인정보 품질보장	1. 인터넷 홈페이지를 통하여 회원정보를 변경할 때는 본인확인 절차를 거치고 있으나 고객센터 상     담원과의 통화를 통한 회원 정보 변경 시에는 본인확인 절차가 미흡하여 회원정보의 불법적인     변경이 가능한 경우 2. 온라인 회원에 대해서는 개인정보를 변경할 수 있는 방법을 제공하고 있으나 오프라인 회원에     대해서는 개인정보를 변경할 수 있는 방법을 제공하고 있지 않은 경우
3.2.3 개인정보 표시제한          및 이용 시 보호조치	1.개인정보 표시제한 조치 기준이 마련되어 있지 않거나 이를 준수하지 않는 등의 사유로 동일한    개인정보 항목에 대하여 개인정보처리시스템 화면별로 서로 다른 마스킹 기준이 적용된 경우 2. 개인정보처리시스템의 화면상에는 개인정보 마스킹되어 표시되어 있으나 웹 브라우저 소스 보     기를 통해 마스킹되지 않은 전체 개인정보가 노출된 경우 3. 개인정보 검색 화면에서 전체적으로 like 검색이 허용되어 성씨만으로도 불필요하게 과도한 개     인정보가 조회되는 경우 4. 통계작성 및 과학적 연구를 위하여 정보주체 동의 없이 가명정보를 처리하면서 가명정보 처리에     관한 기록을 남기고 있지 않거나 또는 개인정보 처리방침에 관련 사항을 공개하지 않은 경우 5. 가명정보와 동일한 데이터베이스 내에 추가 정보를 분리하지 않고 보관하고 있거나 또는 가명정    보와 추가 정보에 대한 접근 권한이 적절히 분리되지 않은 경우 6. 개인정보를 가명처리하여 활용하고 있으나 적정한 수준의 가명처리가 수행되지 않아 추가 정보     의 사용 없이도 다른 정보와의 결합 등을 통하여 특정 개인을 알아볼 수 있는 가능성이 존재하는     경우 7. 테스트 데이터 생성, 외부 공개 등을 위하여 개인정보를 익명처리하였으나, 특이치 등으로 인하     여 특정 개인에 대한 식별 가능성이 존재하는 등 익명처리가 적정하게 수행되었다고 보기 어려     운 경우
3.2.4 이용자 단말기 접근          보호	1. 스마트폰 앱에서 서비스에 불필요함에도 불구하고 주소록, 사진, 문자 등 스마트폰 내 개인 정보     영역에 접근할 수 있는 권한을 과도하게 설정한 경우 2. 정보통신서비스 제공자의 스마트폰 앱에서 스마트폰 내에 저장되어 있는 정보 및 설치된 기능에     접근하면서 접근권한에 대한 고지 및 동의를 받지 않고 있는 경우 3. 스마트폰 앱의 접근권한에 대한 동의를 받으면서 선택사항에 해당하는 권한을 필수권한으로 고     지하여 동의를 받는 경우 4. 접근권한에 대한 개별동의가 불가능한 안드로이드 6.0 미만 버전을 지원하는 스마트폰 앱을 배     포하면서 선택적 접근권한을 함께 설정하여 선택적 접근권한에 대하여 거부할 수 없도록 하고     있는 경우
3.2.5 개인정보 목적 외 이용 및 제공	1. 상품배송을 목적으로 수집한 개인정보를 사전에 동의받지 않은 자사 상품의 통신판매 광고에 이     용한 경우 2. 고객 만족도 조사, 경품 행사에 응모하기 위하여 수집한 개인정보를 자사의 할인판매행사 안내     용 광고 발송에 이용한 경우 3. 공공기관이 다른 법률에 근거하여 민원인의 개인정보를 목적 외로 타 기관에 제공하면서 관련     사항을 관보 또는 인터넷 혼페이지에 게시하지 않은 경우 4. 공공기관이 범죄 수사의 목적으로 경찰서에 개인정보를 제공하면서 '개인정보 목적 외 이용 및     제3자 제공 대장'에 관련 사항을 기록하지 않은 경우
3.3 개인정보 제공 시 보호조치
3.3.1 개인정보 제3자 제공	1. 개인정보처리자가 개인정보 제3자 제공 동의를 받을 때 정보주체에게 고지하는 사항 중에 일부     사항을 누락한 경우 2. 개인정보를 제3자에게 제공하는 과정에서 제3자 제공 동의 여부를 적절히 확인하지 못하여 동의     하지 않은 정보주체의 개인정보가 함께 제공된 경우 3. 개인정보를 제공 동의를 받을 때 제공받는 자를 특정하지 않고 ~등 과 같이 포괄적으로 안내하고     동의를 받은 경우 4. 회원 가입 단게에서 선택사항으로 제3자 제공 동의를 받고 있으나 제3자 제공에 동의하지 않으     면 회원 가입 절차가 더 이상 진행되지 않도록 되어 있는 경우 5. 제공받는 자의 이용 목적과 관련 없이 지나치게 많은 개인정보를 제공하는 경우
3.3.2 업무 위탁에 따른          정보주체 고지	1. 홈페이지 개인정보 처리방침에 개인정보 처리업무 위탁 사항을 공개하고 있으나 일부 수탁사와     위탁하는 업무의 내용이 누락된 경우 2. 재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하면서, 위탁하는 업무의 내용과     수탁자를 서면 등의 방법으로 정보주체에게 알리지 않고 개인정보 처리방침에 공개하는 것으로     갈음하는 경우 3. 기존 개인정보 처리업무 수탁사와의 계약 해지에 따라 개인정보 처리업무 수탁사가 변경되었으     나 이에 대하여 개인정보 처리방침에 지체 없이 반영하지 않은 경우
3.3.3 영업의 양수 등에        따른 개인정보의 이전	1. 개인정보처리자가 영업 양수를 통하여 개인정보를 이전받으면서 양도자가 개인정보 이전 사실     을 알리지 않았음에도 개인정보 이전 사실을 정보주체에게 알리지 않은 경우 2. 영업 양수도 등에 의하여 개인정보를 이전받으면서 정보주체가 이전을 원하지 않은 경우 조치할     수 있는 방법과 절차를 마련하지 않거나 이를 정보주체에게 알리지 않은 경우
3.3.4 개인정보의 국외          이전	1. 개인정보를 처리하는 과정에서 국외 사업자에게 개인정보 제3자 제공이 발생하였으나 개인정보     국외 이전에 대한 동의를 받지 않은 경우 2. 정보통신서비스 제공자가 서비스 제공을 위하여 국외 클라우드 서비스를 이용하여 개인정보 처     리위탁 및 보관을 하면서 이전되는 국가, 이전 방법 등 관련 사항을 홈페이지에 공개하거나 이용     자에게 알리지 않은 경우 3. 정보통신서비스 제공자가 개인정보 국외 이전에 대한 동의를 받으면서 이전받는 자의 명칭만 고     지하고 이전되는 국가 등에 대하여 알리지 않은 경우
3.4 개인정보 파기 시 보호조치
3.4.1 개인정보의 파기	1. 회원 탈퇴 등 목적이 달성되거나 보유기간이 경과된 경우 회원 데이터베이스에서는 해당 개인정     보를 파기하였으나 CRM, DW 등 연계된 개인정보처리시스템에 복제 및 저장되어 개인정보를     파기하지 않은 경우 2. 특정 기간 동안 이벤트를 하면서 수집된 개인정보에 대하여 이벤트가 종료된 이후에도 파기기준     이 수립되어 있지 않거나 파기가 이루어지고 있지 않은 경우 3. 콜센터에서 수집되는 민원처리 관련 개인정보(상담이력, 녹취 등)를 전자상거래법을 근거로 3년     간 보존하고 있으나, 3년이 경과한 후에도 파기하지 않고 보관하고 있는 경우
3.4.2 처리목적 달성 후          보유 시 조치	1. 탈퇴회원 정보를 파기하지 않고 전자상거래법에 따라 일정기간 보관하면서 Flag값만 변경하여     다른 회원정보와 동일한 테이블에 보관하고 있는 경우 2. 전자상거래법에 따른 소비자 불만 및 분쟁처리에 관한 기록을 법적 의무보존 기간인 3년을 초과     하여 5년간 보존하고 있는 경우 3. 분리 데이터베이스를 구성하였으나 접근권한을 별도로 설정하지 않아 업무상 접근이 불필요한     인원도 분리 데이터베이스에 자유롭게 접근이 가능한 경우
3.4.3 휴먼 이용자 관리	1. 개인정보 유효기간제를 적용받는 정보통신서비스 제공자가 1년 이상 서비스를 접속하지 않은     이용자의 개인정보를 지체 없이 파기 또는 분리 보관하지 않고 월단위로 파기 또는 분리 보관하     고 있는 경우 2. 1년간 홈페이지에 로그인하지 않은 회원정보를 별도 데이터베이스에 분리 보관하였으나 이때     분리된 회원데이터베이스에 접근 가능한 관리자를 최소인원으로 제한하지 않고 기존에 고객 데     이터베이스의 조회 권한이 부여된 개발자, 운영자 모두가 분리된 회원 데이터베이스에서 고객정     보 조회가 가능한 경우 3. 휴먼 이용자의 재이용 요청에 대비하여 회원 데이터베이스에 일부 정보를 남겨 두면서 이름, 연     락처 등 과도한 정보를 저장하고 있는 경우
3.5 정보주체 권리보호
3.5.1 개인정보처리방침          공개	1. 개인정보 처리방침에 공개되어 있는 개인정보 수집, 제3자 제공 내역이 실제 수집 및 제공하는     내역과 다른 경우 2. 개인정보 보호책임자의 변경, 수탁자 변경 등 개인정보 처리방침 공개 내용 중에 변경사항이 발     생하였음에도 이를 반영하여 변경하지 않은 경우 3. 개인정보 처리방침이 공개는 되어 있으나 명칭이 개인정보 처리방침이 아니라 개인정보 보호정     책으로 되어 있고 글자 크기, 색상 등을 활용하여 정보주체가 쉽게 찾을 수 있도록 되어 있지 않     은 경우 4. 개인정보 처리방침 몇 차례 개정되었으나 예전 개인정보 처리방침의 내용을 확인할 수 있도록     공개되어 있지 않은 경우
3.5.2 정보주체 권리보장	1. 개인정보의 열람, 정정, 삭제, 처리정지 요구 방법을 정보주체가 알 수 있도록 공개하지 않은 경     우 2. 개인정보의 열람 요구에 대하여 정당한 사유의 통지 없이 열람 요구를 접수받은 날로부터 10일     을 초과하여 회신하고 있는 경우 3. 개인정보의 열람 민원에 대한 처리 내역 기록 및 보관이 이루어지지 않은 경우 4. 정보주체 당사자 또는 정당한 대리인이 맞는지에 대한 확인 절차 없이 열람 통지가 이루어지는     경우 5. 개인정보의 정정/삭제 요구에 대하여 정정/삭제 요구를 접수받은 날로부터 10일을 초과하여 회     신하는 경우 6. 회원가입 시에는 온라인을 통하여 쉽게 회원 가입이 가능하였으나 회원 탈퇴 시에는 신분증 등     추가 서류를 제출하게 하거나 오프라인 방문을 통해서만 가능하도록 하는 경우
3.5.3 이용내역 통지	1. 전년도 정보통신서비스 부문 매출액이 100억 원 이상이었으나 금년도에 개인정보 이용내역을     통지하지 않은 경우 2. 개인정보 이용내역을 개별 이용자에게 직접적으로 통지하는 대신 홈페이지 팝업창이나 별도 공     지사항으로 안내만 한 경우