OBS_연계정보관리규정

연계정보관리규정

제1장 총칙

제1조 (목적)

본 규정은 OBS 경인TV(이하 "회사")가 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 "정보통신망법") 제23조의 6, 같은 법 시행령 제13조, 「연계정보의 생성․처리 등에 관한 기준」 등에 의거하여, 회사가 실명인증을 위하여 본인확인기관의 연계정보 서비스를 이용함에 있어 준수해야 할 안전조치 사항을 정함으로써 연계정보의유출․위조․변조 등을 방지하고 이용자의 개인정보를 적법하고 안전하게 처리하는 것을 목적으로 한다.

제2조 (적용범위)

본 규정은회사가 실명인증을 위하여 본인확인기관의 연계정보 서비스를 이용하는 과정에서 연계정보를 처리하거나 이용하는 임직원, 관련 부서 및 업무 수탁자에 적용된다.

제3조 (정의)

이 규정에서 사용하는 용어의 정의는 다음과 같다.

1. "연계정보"는 정보통신서비스 제공자와 제3자 간의 서비스 연계를 위하여 본인확인기관이 이용자의 주민등록번호를 비가역적으로 암호화한 정보를 말한다.

2. "처리"란 생성 또는 제공ㆍ이용ㆍ대조ㆍ연계 등 그 밖에 이와 유사한 행위를 말한다.

3. "본인확인기관"은 정보통신망법 제23조의3에 따라 방송통신위원회로부터 주민등록번호 대체수단의 개발ㆍ제공ㆍ관리업무 수행기관으로 지정 받은 법인 또는 단체를 말한다.

4. "연계정보 이용기관"은 본인확인기관으로부터 연계정보를 제공받아 업무에 활용하는 개인, 법인 또는 단체를 말한다.

5. "실명인증"이란 회사가 이용자의 실명 및 본인 여부를 확인하기 위하여 본인확인기관이 제공하는 본인확인서비스(연계정보 서비스)를 이용하는 절차를 말한다.

6. "이용부서"는 실명인증을 위하여 본인확인기관으로부터 제공받은 연계정보를 처리하는 부서를 말한다.

7. "이용자"는 정보통신서비스 제공자가 제공하는 정보통신서비스를 이용하는 개인을 말한다.

8. 기타 이 규정에서 사용하는 용어의 뜻은 정보통신망법 및 같은 법 시행령 등이 정한 바에 따른다.

제2장 내부관리계획의 수립 및 시행

제4조 (내부관리계획 수립 및 시행)

① 회사는 실명인증을 위한 연계정보의 이용 및 처리에 관한 전반적인 사항을 포함한 본 규정을 시행함으로써 연계정보에 관한 내부관리계획을 수립 및 시행한다

② 회사는 본 규정을 시행함에 있어 연계정보의 보호에 관련된 정보통신망법 등 관련 법령 및 규정을 준수한다.

③ 이용부서는 본 규정의 개정이 필요하다고 판단되는 경우 개정안을 작성하여 연계정보 안전조치 책임자의 승인을 받은 후 내규담당부서에 개정을 요청한다.

제5조 (내부관리계획의 게시)

회사는 본 규정을 임직원이 언제든지 열람할 수 있도록 비치 또는 게시하며 변경사항이 있는 경우에는 이를 공지한다.

제3장 연계정보의 처리절차

제6조 (연계정보의 처리)

① 이용부서는 연계정보를 처리할 경우 처리 목적에 필요한 범위 내에서 적법하게 연계정보를 처리한다.

② 회사는 이용자의 주민등록번호를 수집ㆍ저장하지 않으며, 실명인증 과정에서 본인확인기관으로부터 제공받은 연계정보(CI, Connecting Information)는 실명 및 본인 여부 확인 목적으로만 일시적으로 이용하고, 서버 로그ㆍ파일ㆍ데이터베이스ㆍ가상의 테이블(VIEW)ㆍ백업 매체 등 어떠한 형태로도 저장ㆍ보관하지 않는다.

③ 이용부서는 연계정보 이용기관의 지위에서 본인확인기관으로부터 제공받은 연계정보의 경우 실명인증 목적 범위에서만 연계정보를 처리한다. 다만, 정보주체로부터 별도로 동의를 받은 경우에는 동의 받은 목적 범위에서만 연계정보를 처리하며, 이 경우에도 제2항에 따른 미저장 원칙을 준수한다.

④ 이용부서는 본인확인기관이 아닌 제3자로부터 제공받은 연계정보의 경우 일시적인 대조 또는 연계 목적으로 활용한 후 별도로 저장 및 보관하지 않고 파기한다.

⑤ 제2항부터 제4항까지의 규정에도 불구하고, 이용부서는 법령에 연계정보의 처리에 관한 규정이 있는 경우 해당 법령에 따라 처리한다. 이 경우 연계정보를 저장하여야 하는 때에는 사전에 본 규정을 개정하여 분리보관ㆍ암호화 등 안전조치를 적용한다.

제7조 (연계정보의 파기)

이용부서는 실명인증이 완료(인증 실패 및 중단을 포함한다)되는 즉시 처리 과정에서 일시적으로 이용된 연계정보를 복구ㆍ재생이 불가능한 방법으로 지체 없이 파기하며, 연계정보를 별도로 보유하지 않는다는 사실을 정보주체가 알 수 있도록 개인정보 처리방침 등에 명시한다.

제8조 (준용)

이용부서는 연계정보를 처리하는 경우 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 등 연계정보와 관련된 법령 및 본 규정에 따라 연계정보를 처리하여야 하며, 본 규정에서 정하지 않은 사항에 대해서는 「개인정보 보호법」 등 개인정보와 관련된 법령 및 회사의 개인정보에 관한 내부관리규정에 따른다.

제4장 연계정보보호에 관한조직

제9조 (연계정보 안전조치 책임자)

① 회사는 연계정보가 안전하게 보호 및 관리될 수 있도록 연계정보의 물리적ㆍ기술적ㆍ관리적 조치에 관한 업무를총괄하는 안전조치 책임자(이하 "연계정보 안전조치 책임자"라 한다)를 지정한다.

② 연계정보 안전조치 책임자는 연계정보 및 개인정보 보호 관련 법․제도, 기술 등에 대한 지식과 경험을 보유한 자로 지정하여야 한다.

③ 연계정보 안전조치 책임자는 연계정보의 안전조치에 대한 실질적 권한을 갖고, 어느 정도 독자적인 의사결정을 할 수 있는 지위에 있는 자로 지정하여야 한다.

④ 연계정보 안전조치 책임자는 「개인정보 보호법」에 따라 지정된 개인정보 보호책임자(CPO, Chief Privacy Officer) 또는 정보통신망법 제45조의3에 따라 지정된 정보보호 최고책임자(CISO, Chief Information Security Officer)가 겸직할 수 있다.

제10조 (연계정보 안전조치 책임자의 의무와책임)

① 연계정보 안전조치 책임자는 다음 각 호의 업무를 수행한다.

1. 연계정보 내부관리규정의 수립 및 시행

2. 연계정보 처리시 활용되는 정보시스템에 관한 정기적인 점검 및 조치

3. 연계정보 처리와 관련한 불만의 처리 및 피해 구제

4. 연계정보 유출 및 오용ㆍ남용 방지를 위한 내부통제시스템의 구축

5. 연계정보 처리에 관한 교육 계획의 수립 및 시행

② 연계정보 안전조치 책임자는 연계정보를 취급하는 임직원(이하 "연계정보 취급자"라 한다)을 최소한으로 제한하고 관리ㆍ감독하며,임직원에 대한 교육 등을 통해 연계정보가 적법하게 처리될 수 있도록 조치한다.

제11조 (연계정보취급자의 의무와 책임)

연계정보 취급자는 연계정보와 관련하여 다음 각 호의 역할 및 책임을 이행한다.

1. 연계정보 보호 활동 참여

2. 내부관리계획의 준수 및 이행

3. 연계정보의 물리적ㆍ기술적ㆍ관리적 보호조치 기준 이행

4. 기타 연계정보의 보호를 위해 필요한 사항의 이행

제5장 연계정보의물리적ㆍ기술적ㆍ관리적보호조치

제12조 (연계정보 취급자 접근권한 관리 및 인증)

① 연계정보 안전조치 책임자는 연계정보 처리 권한을 이용부서의 연계정보 취급자에게만 부여한다.

② 연계정보 안전조치 책임자는 이용부서에서 연계정보 취급 업무를 담당하는 임직원의 담당업무에 따라 연계정보 처리권한을 차등 부여한다.

③ 연계정보 안전조치 책임자는 이용부서의 연계정보 취급자 또는 연계정보 취급자의 업무가 변경되었을 경우 지체 없이 연계정보 처리 권한을 변경 또는 말소한다.

④ 이용부서는 제1항부터 제3항까지에 따른 권한 부여ㆍ변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관한다.

제13조 (연계정보 취급자에 대한 교육)

① 이용부서는 연계정보를 취급하는 임직원에 대하여 연1회 이상 교육을 실시한다.

② 이용부서는 제1항의 교육을 「개인정보 보호법」 등 법적 요구사항에 따라 실시되는 교육으로 대체할 수 있다.

③ 제2항에 따라 연계정보 취급자에 대한 교육을 「개인정보 보호법」 등 법적 요구사항에 따라 실시되는 교육으로 대체하는 경우, 연계정보 취급자가 준수해야 할 사항을 포함한다.

④ 이용부서는 연계정보 관련 교육시행에 관한 기록을 작성하고 교육 효과와 적정성을 평가하여 개선이 필요한 사항이 발견된 경우 해당 내용을 차년도 교육 계획에 반영한다

제14조 (취약점 점검 및 조치)

① 이용부서는 연계정보 처리를 위하여 활용되는 정보시스템 및 응용프로그램에 대하여 연1회 이상 취약점점검을 수행한 후 미흡 사항을 조치한다.

② 이용부서는 제1항에 따른 점검에서 취약점이 발견된 경우 해당 사실 및 취약점에 대한 조치 내용을 연계정보 안전조치 책임자에게 보고하여 승인받는다.

제15조 (개인정보처리방침 공개)

이용부서는 개인정보 처리방침을 통해 실명인증을 위한 연계정보 서비스의 이용 목적, 이용 절차, 본인확인기관, 주민등록번호 및 연계정보의 미저장 사실 등 연계정보에 관한 사항을 정보주체가 쉽게 확인할 수 있도록 게시하고, 개인정보 처리방침에서 연계정보에 관한 사항이 변경되는 경우 변경 사유 및 변경 내용을 공지한다.

제6장 이용부서의 안전조치

제16조 (주민등록번호 및 연계정보의 미저장)

① 회사는 주민등록번호를 수집ㆍ저장하지 않으며 연계정보 또한 저장하지 않으므로, 연계정보와 주민등록번호를 함께 보관하는 경우를 전제로 하는 분리보관 조치는 적용하지 아니한다.

② 이용부서는 실명인증 처리 과정에서 주민등록번호 및 연계정보가 서버 로그, 파일, 데이터베이스, 가상의 테이블(VIEW), 백업 매체 등 모든 영역에 기록되거나 잔존하지 않도록 정보시스템을 설계ㆍ운영한다.

③ 회사가 법령 개정 또는 서비스 변경 등으로 주민등록번호 또는 연계정보를 저장하여야 하는 경우에는 사전에 본 규정을 개정하고, 연계정보와 주민등록번호를 <별표1>의 방식 중 한 가지를 선택하여 물리적 또는 논리적으로 분리하여 보관한다. 이 경우 'DB 테이블 분리' 방식을 적용하는 때에는 테이블 단위로 접근권한을 분리하고 접근제어 및 모니터링을 강화하는 등 추가적인 접근통제를 적용한다.

제17조 (연계정보 암호화)

① 이용부서는 실명인증 과정에서 연계정보를 정보통신망을 통하여 인터넷망 구간으로 송ㆍ수신하는 경우 안전한 암호 알고리즘으로 암호화한다.

② 회사는 연계정보를 저장하지 않으므로 저장 시 암호화 조치는 적용하지 아니한다. 다만, 제16조제3항에 따라 연계정보를 저장하게 되는 경우에는 서버 로그, 데이터베이스 등에 보관하는 연계정보를 안전한 암호 알고리즘으로 암호화하여 저장한다.

③ 이용부서는 실명인증 처리 중 메모리 등에 일시적으로 존재하는 연계정보가 화면, 로그, 오류 메시지, 디버깅 정보 등을 통하여 노출되지 않도록 조치한다.

제18조 (처리실태점검)

이용부서는 연계정보가 정보통신망법 등 관련 법령 및 본 규정 등 내부규정에 따라 안전하게 처리되고 있는지에 관하여 연1회 이상 실태점검을 수행하고, 점검 결과를 연계정보 안전조치 책임자에게 보고한다. 이 경우 주민등록번호 및 연계정보가 서버 로그, 파일, 데이터베이스 등에 저장되어 있지 않은지 여부를 점검 항목에 포함한다.

제19조 (침해사고대응)

이용부서는 연계정보의 분실ㆍ도난 등 침해사고가 발생할 경우를 대비하여 다음 각 호의 내용이 포함된 대응계획을 수립 및 시행한다.

1. 연계정보 수집 등 연계정보 처리에 관한 사항의 공개

2. 연계정보 침해사고 발생 시 접수 및 절차

3. 연계정보 이용내역 등 연계정보 처리에 관한 사항의 열람,정정ㆍ삭제,처리정지,동의철회 등 요구 대응 절차

제20조 (실명인증 이용기록ㆍ보관)

① 이용부서는 실명인증을 위한 연계정보 서비스 이용의 근거 및 현황을 확인할 수 있도록 다음 각 호의 사항을 포함한 자료를 1년 이상 보관한다. 다만, 해당 자료에는 주민등록번호 및 연계정보를 포함하지 아니한다.

1. 이용 본인확인기관

2. 이용 시기

3. 이용 목적

4. 이용 대상 서비스

② 이용부서는 실명인증 이용 관련 자료가 변조훼손되지 않도록 관리 담당자를 지정하고, 정기적인 백업 등을 통해 안전하게 보관되도록 조치한다.