개인정보 내부관리 계획

1. 개요

1.1 목적

이 문서는 고객사의 시스템과 운영 데이터, 특히 중요정보(개인정보, 민감 개인정보 및 기업정보)에 대한 접근을 관리하고 지원하는데 적용되는 업무에 대한 계획 및 통제 사항에 대해 정의한다.

• • 고객 정보보호에 대한 요구사항 문서화
• • 유니디아에 의해 다루어지는 고객 데이터 유형과 해당 데이터가 제공되는 형태(예, 시스템, 어플리케이션, 문서 및 서류, 다운로드 등)를 기술
• • 유니디아 멤버가 접근하는 모든 시스템 또는 환경에 담겨 있는 중요정보 유형을 기술
• • 중요정보를 조회하고, 저장하는 고객 환경에 대한 접근을 관리하고 지원하기 위해 유니디아가 사용하는 프로세스를 문서화
• • 유니디아 팀 내 모든 멤버들이 다음의 사항을 인지하고 있음을 보증
  • - 고객 중요정보의 이용, 접근, 처리, 관리 및 전송 시 보호 방안 및 본인의 역할

1.1 범위

해당 범위는 고객사에서 업무를 수행하는 유니디아 팀 내 인력(위탁업체 포함) 및 관련 시스템에 대한 제반 사항으로 한정한다.

• • 고객 명시 정보보안 및 개인정보 보호 요구사항
• • 고객 시스템 환경, 내부 웹사이트에서 접근되는 고객의 민감한 데이터, 특정 어플리케이션에 담겨있거나 특정 어플리케이션으로부터 추출된 데이터, 개발, 테스트를 위한 운영 환경으로부터 복사된 데이터
• • 중요정보에 대한 정의
• • 유니디아 팀 멤버가 고객의 시스템 및 정보에 접근하는 것을 관리하고 지원하기 위해서 반드시 수료해야 할 교육
• • 근무장소에서 고객의 중요정보의 보안을 보증하기 위한 업무환경의 보안 통제
• • 고객 시스템 및 (개발, 테스트 및 운영 환경을 포함한) 모든 환경에서 포함된 중요정보에 대한 접근을 통제하고 제한하기 위해 사용되는 정보 보안 기술
  • - 중요정보의 저장, 관리 및 폐기
  • - 데이터 암호화 및 마스킹
  • - 데이터 관리(운영 데이터 관리)
• • 고객의 시스템 및 데이터에 대한 사용자 접근 제한을 위한 통제
  • - 사용자 접근 승인, 재검토 및 해지
  • - 운영환경에서의 사용자 접근 모니터링
• • 고객의 도용 및 자산의 오용 위험을 감소시키기 위한 직무 분리
• • 변경 관리, 리스크 관리, 이슈 관리 수행

1.3 참고 자료

해당 문서가 참고로 하는 문서는 다음과 같다.

• • 개인정보보호 규정, 개인정보보호준칙, 개인신용정보관리보호준칙, 개인정보 마스킹처리지침, 고객정보관리업무지침

1.4 용어 및 약어

용어	용어 해설
중요정보	고객사의 중요 및 기밀정보 - 개인정보(이름, 전화번호 등) - 민감 개인정보(주민번호, 비밀번호, 계좌번호 등) - 민감 기업 정보(원가, 실적 등)
On-Boarding	프로젝트 인력 투입
Off-Boarding	프로젝트 인력 철수

2. 정보보호 계획 관리

2.1 데이터 및 개인정보 보호의 고객 요구사항

• 1) 계약상의 요구 사항
  • • 본 계약의 제 5조 위탁자로부터 위탁 받은 개인(신용)정보를 위탁계약에 따른 위탁업무 수행을 위하여 필요한 범위 내에서 적합하게 처리하여야 하며, 그 범위를 초과하여 개인(신용)정보를 이용하거나 제3자에게 제공하여서는 아니 된다. 본 조의 의무는 계약기간은 물론 계약이 종료된 후에도 준수되어야 한다.
• 2) 고객사의 요구사항
  • • 개인, 고객, 기업정보 등 모든 정보는 법률상 강제되는 경우를 제외하고는 어떠한 경우에도 공개 및 유출하지 않는다.
  • • 고객사가 제공하는 건물 및 시설출입과 업무수행 상 취급되는 모든 정보에 관하여 개인정보관련규정 , 제반표준절차, “개인정보보호법” 및 “신용정보의 이용 및 보호에 관한 법률” 등 관계 법령에서 정하는 바에 따른다.
  • • 업무수행을 위해 사용하는 단말, PC에는 바이러스백신과 고객사가 제공하는 매체제어SW 등 보안 SW를 반드시 설치한다.
  • • 노트북, 태블릿PC, CD-ROM, DVD, USB 메모리, 외장 HDD 등의 정보처리기기 및 정보저장매체 등의 외부단말 및 기기를 일체 은행에 반입하지 않는다. (스마트폰 제외)
  • • 비밀정보로 지정한 모든 정보를 PC 등 보안이 통제되지 않는 매체나 장치에 보관하지 않는다.
  • • 고객사가 사용을 허락한 전산, 통신시스템, 컴퓨터 등 정보처리기기(노트북, 태블릿 PC, 스마트폰 포함), 정보저장매체(CD-ROM, DVD, USB 메모리, 외장 HDD 등 포함), 전자우편 계정 등을 통해 처리 또는 송•수신되거나 그 과정에서 처리되는 컴퓨터 파일, 전자기록 등 정보 및 데이터 일체(이하 “정보자산”)는 모두SC제일은행의 소유이며, 정보자산을 고객사에서 허락한 업무용도로만 사용한다.
  • • 위 정보자산 및 그 처리현황에 대해서 고객사(소속 임직원 등)또는 고객사 로부터 위임 또는 도급 받은 수임인(수급인)이 필요에 따라 수시로 접근, 열람, 검색, 모니터링, 추출을 하는 것에 대하여 일정한 제한이나 통제를 가할 수 있으며, 이에 성실히 협조할 의무가 있다.
  • • 개인정보의 안전한 처리를 위해 고객사가 교육하고 감독할 수 있으며, 교육 및 감독을 위한 고객사의 요청이 있는 경우 이에 응한다.
  • • 업무가 종결되거나 고객사의 요청이 있는 경우, 업무와 관련하여 취급한 개인정보 일체를 고객사에 즉시 반환하고, 고객사의 요청이 있는 경우 그에 대한 확인서를 작성하여 제출하도록 한다.
  • • 고객사의 명시적인 사전 서면동의 없이는 업무를 제 3자에게 위탁하지 않는다.
  • • 업무 수행을 위해 불가피한 경우 고객사의 허락을 득한 경우를 제외하고는 정보에 접근하거나 정보를 사용, 공개, 보유하지 않는다.

2.2 개인정보 및 개인정보보호 역할

• 1) 역할 정의
  • • 정보보안 관련 업무를 수행하는 유니디아 프로젝트 팀 내 주요 보안 역할은 아래와 같이 구분한다. (상세 업무 정의)

구분	역할	업무
정보보안 책임자	정보보안/개인정보보호 책임자	프로젝트 관리(총괄) 및 개인정보/정보보안책임 겸함
정보보안 관리자	정보보안 관리자	프로젝트 정보보안 관리
정보보안 담당자	정보보안 담당자	파트별 정보보안 담당

3. 관리적 안전조치

3.1 프로젝트 인력 관리

3.1.1 인력 투입

• 1) 프로젝트 인력 투입
  • • 인력 투입 프로세스는 유니디아 정규직, 협력업체 및 계열사를 포함한 프로젝트 인력이 고객사 업무에 투입될 때 수행한다.
  • • 업무 협의로 인한 방문 인력은 on-boarding 대상에서 제외한다. 단, 고객 PC 사용을 필요로 하는 경우는 on-boarding 대상에 포함한다.
  • • 고객사 출입 및 PC 발급을 원활하게 하기 위해서는 프로젝트 투입 전 고객사에 준비서류를 제출해야 하므로, on-boarding 체크리스트 일부 항목은 실투입 일 전에 수행되는 경우가 존재한다.
• 2) 프로젝트 인력 투입 절차
  • • 고객사 프로젝트 인력 투입 프로세스에 따른다.

3.1.2 인력 철수

• 1) 프로젝트 인력 철수
  • • 인력 철수 프로세스는 유니디아 정규직, 협력업체 및 계열사를 포함한 프로젝트 인력이 고객사 업무에서 철수될 때 수행한다.
• 2) 프로젝트 인력 철수 절차
  • • 고객사 프로젝트 인력 투입 프로세스에 따른다.

3.1.3 정보보호 서약

• 1) 고객사 정보보호 서약서 서명
  • • 모든 프로젝트 팀원은 고객의 정보보호 서약서에 서명한다.

제목	내용	분류	문서		주기
정보보호 각서 서명	고객 정보보호 각서	프로세스	정보보호 서약서.doc		발생 시

3.2 보안 교육

3.2.1 보안 교육

• 1) 보안 교육 대상 및 기간
  • • 모든 프로젝트 팀 멤버들 대상으로 교육을 진행한다.
  • • 신규 투입 시
      - 고객 접근 권한(출입증 발급, ID발급, ID권한 등)을 신청하기 전에 아래 “SC제일은행 보안 교육”을 반드시 이수해야 하며, 프로젝트 투입일로부터 2주이내 완료한다.
• 2) 보안 교육 방안
  • • 보안 교육
      - 고객사의 온라인 교육 완료 후 “보안교육이수확인서”에 교육이수 내역을 작성하여 보관 제출한다.
      - 온/오프라인 형태의 외부 교육기관의 정보보호교육을 실시 경우, 교육 완료 후 교육결과를 작성하여 보관한다.
      - 교육결과에 대해 고객사에 제출한다. (개인 이수 완료 서명 문서 포함)

3.2.2 정보보안 사고대응 프로세스

• 정보보안 사고가 발생하였거나 또는 발생 전 사전에 인지했을 경우 신속히 보고 조치함으로 기업의 유/무형의 손실을 최소화 하고자 한다.

• 1) 정보보안 사고대응
  • • 정보보안 사고 발생 시 적절한 사고 대응 체계로 대응 보고한다.
• 2) 정보보안 사고
  • • 정보보안 사고의 예는 아래와 같다
    • - 휴대용 및 소형 기기와 같은 은행정보 및 자산의 손실 또는 도난
    • - 정보 손실 또는 손상을 초래하는 고객사 내 외부로부터의 무단 접근(예, 해킹) 또는 웹 또는 네트워크 관련 위반
    • - 악성 소프트웨어 또는 바이러스를 컴퓨터에 다운로드 한 경우
    • - 정보를 요청하는 누군가로부터 수상한 e-mail이나 전화를 받은 경우
    • - 고객사가 외부로 보낸 정보가 고객사가 의도한 곳에 도착하지 않은 경우
    • - 이기적으로 이용 당할 수 있는 정보보호 규정과 표준의 위반(정보 손실이나 위해 또는 사기 초래)
    • - 고객사 정보의 불확실한 처분

4. 물리적 안전조치

4.1 사무실 보안

4.1.1 사무실 보안

1) 사무실 보안 규칙
  • 본 규칙은 고객사 와 유니디아의 자산/데이터를 보호하기 위해 자산/데이터의 취급 방안을 정의한다.

취급	방안
사무실 출입	- 상시 출입이 필요한 최소한의 직원에 한하여 고객사 출입통제시스템 상 권한 허용 - 출입 통제는 보안 관리자가 통제한다.
문서 프린팅	- 중요정보가 담긴 내용은 출력을 피하고 프린트 후 인쇄물은 즉시 수거한다.(최대한 10분 이내) - 출력한 사용자의 정보 및 출력일, 워터마크가 표시되도록 한다.
문서 보관	- 개인 사물함 및 공용 캐비닛에 보관한다. - 고객정보 서류는 시건 장치가 설치된 장소에 보관하여야 한다.
문서 폐기	- 인쇄한 중요정보는 반드시 문서 파쇄기를 이용하여 처리한다.
문서 배포 및 전송	- e-mail은 암호화되거나 산업표준 보안 프로토콜을 적용한다. - 시스템간에 중요 정보를 전송하는 경우 보안이 확보된 프로토콜을 이용하여 수행한다.
워크스테이션 내 데이터 삭제	- 중요정보가 더 이상 필요하기 않은 경우, 데이터 복구 프로그램이 추출하거나 읽을 수 없도록 모든 저장 매체로부터 삭제되도록 소프트웨어를 사용하여 삭제한다.

2) 사무실 보안 점검
  • 사무실 기본 보안 정보는 아래와 같다.

구분	방안
건물 출입	고객사 시스템에 의해 출입통제 됨
사무실 출입	고객사 시스템에 의해 출입통제 됨

• 사무실 보안 점검 대상은 고객사 내 유니디아 사무실로 한정한다.

4.2 PC 보안

4.2.1 PC 보안

• 1) 단말기 보호 대책
    • 업무용 PC 관리를 위하여 아래 규칙을 준수한다.
  • - PC의 사용자 로그인 비밀번호를 설정한다. 비밀번호는 절대로 타인과 공유해서는 안 된다.
  • - 15분 이상 PC 사용 중지 시 화면보호 기능(비밀번호 지정)을 설정하고 자리를 비울 때는 PC를 즉시 잠금 상태로 설정한다.
  • - PC의 보안 프로그램은 주기적인 업데이트를 통해 최신 상태를 유지한다.
  • - 고객사에서 지급받은 표준 단말기의 화면보호기 등 모든 H/W, S/W 등에 대하여 변조/변형을 절대 금한다.
  • - 고객사 네트워크에 접속하는 PC는 사무실 외부로 반출이 불가하다. 또한, 허가된 네트워크에만 접속하여야 한다.
  • - 사무실 내의 모든 PC(고객사 PC)는 휴대폰 테더링, 와이브로, wifi 등의 무선통신망을 사용하면 안 된다.
  • - 유니디아 업무용 PC는 사무실 내에 반입하지 않는다. 다만 필요한 경우에 한하여 고객사 반출입 통제절차에 따라 승인을 받고 반입, 반출한다. 반입 후 사무실 내에 지정된 위치에서만 사용하고 그 외에는 잠금장치가 설치된 사물함에 보관한다.
  • - 유니디아 업무용 PC는 고객사 네트워크에 절대 접속해서는 안되고 유니디아 업무용도로만 사용한다.
  • - 유니디아 업무용 PC에는 고객사의 중요정보를 저장하지 않는다.
• 2) Privacy-I, SEP수동 검사 점검
    • 고객사의 솔루션 및 보안 정책시스템에 따른다.

4.3 이동식 미디어 관리

4.3.1 이동식 미디어

• 1) 이동식 미디어 관리
    • 이동식 미디어 관리를 위한 방안을 수립 및 준수한다.
  • - 이동식 미디어 사용 여부 필요 검토
      · 고객사 네트워크에 접속하는 PC는 이동식 미디어 사용 금지. DLP로 PC USB 포트 시스템상에서 제어됨. 단, 고객사 요청에 의한 사용의 경우 승인 후 사용
  • - 이동식 미디어 범위 정의
      · 메모리카드, CD, DVD, USB 메모리, 외장하드 모바일 기기 등 탈착이 상대적으로 쉬운 매체로 정의
  • - 승인되지 않은 이동식 미디어 사용여부에 대한 관리 방안을 마련
      · 고객사 네트워크 접속 PC는 고객사의 솔루션 및 정책에 따라 모든 이동식 미디어를 통한 데이터 입출력이 차단

4.4 문서 보안 관리

4.4.1 문서 관리

1) 문서 관리 준수
• “4.1 사무실 보안” 등 문서 관리를 위한 방안을 준수한다.

• - Clean desk 수행 및 점검
• - 주요 자료 시간 장치 설치된 보관함 별도 보관
• - 비인가자 자료 제공 및 열람 금지
• - 최종 퇴실자 사무실 내 문서 방치 여부 최종 확인

5. 기술적 안전조치

5.1 사용자 접근통제

5.1.1 운영환경에서의 사용자 접근 모니터링

1) 모니터링 방안
  • 운영 범위 내 개별 시스템별로 운영 환경에 대한 모니터링은 다음 단계로 정의한다.

단계	정의
예방(Preventive Control)	사전 승인된 업무만 운영환경에서 수행되도록 보증
적발(Detective Control)	운영환경에서 수행중인 작업을 실시간 또는 준실시간 모니터링을 통해 이상 상황을 감지하고 필요할 경우, 적절한 조치 수행
교정(Corrective Control)	작업 수행 후 결과를 검토하여 적절히 수행되었는지 여부를 검토하거나, 주기적으로 활동로그를 검토하여 이상 여부를 확인

5.1.2 사용자 접근 재검토

• 1) 사용자 접근 권한 재검토
    • 권한이 업무에 맞게 부여되어 있는지, 더 이상 사용하지 않는 권한을 보유하고 있는지에 대한 검증을 수행한다.
• 2) 재직 여부 재검토
    • 프로젝트 수행 중인 팀원의 재직여부에 대한 재 검증을 수행한다.

5.1.3 사용자 접근 해지

1) 사용자 접근 권한 해지
  • 유니디아를 퇴사하거나, 해당 프로젝트 Roll-Off 인력에 대해서는 삭제처리 기간 내 ID/Access 권한 삭제

5.1.4 운영 환경에서의 공용 사용자 ID 접근

• 1) 사용자 공용계정 권한 관리
    • 본 프로젝트는 고객 운영환경에 공용접근이 가능한 프로젝트 멤버 존재
  • - 공용사용 계정에 대한 책임자를 지정하고 최소한으로 공유되도록 관리
  • - 공용계정의 비밀번호 변경주기가 경과되거나 계정을 사용하는 사용자가 퇴사나 업무변경 등으로 더 이상 사용이 불필요한 경우 즉시 비밀번호 변경
  • - 공용ID를 사용하여야 하는 경우 공용ID(공용계정) 사용신청 프로세스를 준수

5.2 데이터 보호기술

5.2.1 데이터 관리

5.2.2 고객 정보의 저장과 폐기

• 1) 정보 저장, 폐기 및 저장
  • • 유니디아 팀 멤버가 고객의 중요정보 데이터를 저장하는 경우 통제 방안을 마련한다.
      - 중요정보로의 접근을 최소화 하고 모니터링을 통해 임의적인 접근 금지
      - 업무상 필요에 의해 중요정보를 사용한 경우 중요정보 저장 여부를 검사하고 저장을 확인한 경우 복구 불가능하도록 삭제
  • • 고객의 요청에 의해 고객의 중요정보 데이터를 추출하여 저장하는 경우 통제 방안을 마련한다.
      - 데이터는 반드시 암호화 하여 저장한다. 또한, DRM을 사용 및 데이터 유출을 차단하고 네트워크는 인터넷망과 분리된 내부망 접속만 허용
  • • 유니디아는 보유기간의 경과, 개인정보의 처리 목적 당성 등 이용자의 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 복구 불가능한 방법으로 파기함.
      - 전자적 파일 형태의 정보는 기록을 재생할 수 없는 기술적 방법을 사용합니다.
      - 종이에 출력된 개인정보는 분쇄기로 분쇄하거나 소각을 통하여 파기합니다

5.2.3 데이터 암호화 및 마스킹

1) 암호화 및 마스킹
  • 데이터 암호화 및 마스킹 대상은 고객사 정책에 따른다

5.3 개인정보 저장 관리

• • 개인정보 저장 통제 정책은 아래를 따른다.
  • - PC 내에는 모든 형태의 개인 정보를 저장 금지
  • - PC 내에 개인정보가 저장되지 않음을 확인하기 위해 주기적으로 PC 내에 개인정보 저장여부 체크
  • - 다만 업무상 필요에 의해 일시적으로 개인정보 저장이 필요한 경우 개인정보 저장 예외 승인 프로세스에 따라 정해진 기간(90일 이내)동안만 저장 (DRM통해 암호화)
  • - 저장하고 있는 동안 비밀번호를 설정하여 임의로 파일을 열어볼 수 없도록 하며 기간이 만료된 후에는 복구가 불가능 하도록 삭제