OBS_침해대응규정

침해대응규정

제1장 총칙

제1조 (목적)

이 규정은 OBS 경인TV(이하 "회사")가 홈페이지 회원정보 등 개인정보를 안전하게 처리하고, 침해사고에 신속히 대응하며, 정보주체의 열람․정정․삭제 등 권리를 보장하기 위하여 「개인정보 보호법」, 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(이하 "정보통신망법") 등 관련 법령에 따른 내부 기준과 절차를 정함을 목적으로 한다.

제2조 (적용범위)

이 규정은 회사가 운영하는 홈페이지 및 관련 정보시스템의 개인정보 처리, 회원가입 및 본인확인(실명인증), 개인정보 처리업무 수탁자 관리, 침해사고 대응 업무에 적용하며, 이를 수행하는 임직원 및 수탁자에게 적용한다.

제3조(정의)

이 규정에서 사용하는 용어의 뜻은 다음과 같다.

1. "본인확인(실명인증)"이란 회사가 회원가입 등의 과정에서 이용자의 실명 및 본인 여부를 확인하기 위하여 본인확인기관인 NICE평가정보(이하 "NICE")의 휴대전화 본인확인 서비스를 이용하는 절차를 말한다.

2. "연계정보(CI, Connecting Information)"란 본인확인기관이 이용자의 주민등록번호를 비가역적으로 암호화하여 생성한 정보를 말한다.

3. "침해사고"란 제7조에서 정하는 사고를 말한다.

4. 그 밖에 이 규정에서 사용하는 용어의 뜻은 「개인정보 보호법」, 정보통신망법 및 같은 법 시행령 등이 정하는 바에 따른다.

제4조 (기본원칙)

• 개인정보는 서비스 제공에 필요한 최소한의 범위에서 적법하게 처리한다.

• 회사는 이용자의 주민등록번호를 수집․저장하지 않는다.

• 회사는 본인확인 과정에서 NICE평가정보로부터 수신하는 연계정보(CI)를 실명인증 목적으로만 일시적으로 이용하며, 어떠한 형태로도 저장․보관하지 않는다.

• 접근권한은 업무상 필요한 인원에게 최소한으로 부여하고, 정기적으로 검토한다.

• 개인정보는 목적 달성 또는 보유기간 경과 시 지체 없이 파기하되, 법령상 보존 의무가 있는 경우 해당 기간 동안 분리하여 보관한다.

제2장 책임 및 관리체계책

제5조 (개인정보보호책임자 및 담당자)

① 회사는 개인정보 처리, 정보주체 권리행사 및 침해사고 대응을 총괄하는 개인정보 보호책임자(CPO, Chief Privacy Officer)를 지정한다.

② 개인정보 보호책임자는 「OBS 경인TV 연계정보의 안전한 처리를 위한 내부 관리 규정」에 따른 연계정보 안전조치 책임자를 겸직할 수 있다.

③ 개인정보 보호책임자 및 담당자의 성명․부서․연락처는 별지 1에 기재하고, 변경 시 지체 없이 갱신한다.

관련 법령에 따라 개인정보 보호책임자의 지정․변경에 관한 의결 또는 신고 의무가 적용되는 경우 이를 이행한다.

④ 개인정보 보호책임자는 처리방침 관리, 권리행사 처리 감독, 침해사고 대응 및 통지․신고 검토, 임직원 교육, 수탁자 관리․감독 및 정기 점검 업무를 수행한다.

제6조 (임직원 및 수탁자 준수사항)

① 개인정보 취급자는 개인정보를 업무 목적 외로 열람․복사․전달․저장해서는 아니 된다.

② 회사는 개인정보 처리업무를 위탁하는 경우 계약서에 목적 외 처리 금지, 안전조치, 재위탁 제한, 사고발생 시 통지, 관리․감독 및 계약 종료 시 반환․파기에 관한 사항을 반영한다.

③ 홈페이지 개발․운영 수탁자는 본인확인 연동 과정에서 주민등록번호 및 연계정보(CI)를 저장하거나 로그에 기록하지 않도록 하여야 하며, 회사는 이를 계약 및 정기 점검으로 확인한다.

제3장 침해사고대응계획의 수립 및시행

제7조 (침해사고의범위)

침해사고는 다음 각 호의 어느 하나에 해당하는 사고를 말한다.

1. 개인정보의 분실․도난․유출․위조․변조․훼손(랜섬웨어에 의한 암호화를 포함한다)

2. 회원 계정 탈취, 관리자 계정 도용, 비인가 접근

3. 악성코드 감염, 웹셸 설치, 홈페이지 위․변조

4. NICE 본인확인 연동 구간의 위․변조, 본인확인 우회 또는 연계정보(CI)의 노출

5. 정보시스템 장애 또는 그 밖에 개인정보 보호에 중대한 영향을 줄 수 있는 보안사고

제8조 (대응체계 및 보고)

① 임직원은 침해사고 또는 의심 징후를 발견하면 즉시 개인정보 보호책임자와 정보시스템 담당자에게 보고한다. 야간․휴일 연락을 위하여 별지 1의 비상연락망을 관리한다.

② 회사는 내부 탐지, 이용자 신고, 수탁자 통보, 관계기관 통보 및 외부 위협 모니터링(다크웹․텔레그램 등 유출 정보 유통 채널 포함) 등 다양한 경로로 인지한 징후를 동일한 절차에 따라 처리한다.

③ 대응체계는 접수․보고, 초동조치, 영향분석, 통지․신고, 복구, 사후분석 및 재발방지의 순서로 운영한다.

제9조 (초동조치)

• 피해 확산 방지를 위해 관련 계정․시스템․네트워크의 접근을 차단하거나 권한을 제한한다.

• 로그, 접속기록, 서버․단말 증거자료를 보존하고 임의 삭제․변경을 금지한다.

• 영향받은 개인정보 항목과 정보주체 수, 사고 발생․인지 시각, 유출 또는 접근 가능성을 확인한다.

• 계정 탈취가 의심되면 계정 잠금, 비밀번호 초기화, 인증수단 변경 등 보호조치를 시행한다.

• 본인확인 연동 구간이 관련된 경우 NICE에 즉시 통보하고 연동 차단 여부를 협의한다.

• 초동조치의 내용․시각․담당자를 별지 3에 기록하고, 중대 사고는 경영진에 신속히 보고한다.

제10조 (영향분석 및 통지 신고)

① 개인정보 보호책임자는 사고 유형, 영향받은 정보, 피해 규모 및 정보주체에 대한 위험을 분석한다.

② 개인정보의 유출 등(분실․도난․유출․위조․변조․훼손을 말한다. 이하 같다)을 알게 되었거나 그 가능성이 높다고 합리적으로 판단되는 경우, 회사는 그 사실을 알게 된 때부터 72시간 이내에 해당 정보주체에게 통지한다. 다만, 확인되지 않은 사항은 확인된 내용을 우선 통지한 후 추가로 통지한다.

③ 다음 각 호의 어느 하나에 해당하는 경우, 회사는 알게 된 때부터 72시간 이내에 개인정보보호위원회 또는 한국인터넷진흥원(KISA)에 신고한다.

1. 1천명 이상의 정보주체에 관한 개인정보가 유출 등이 된 경우

2. 민감정보 또는 고유식별정보가 유출 등이 된 경우

3. 개인정보처리시스템 또는 개인정보취급자의 정보기기에 대한 외부로부터의 불법적인 접근에 의하여 개인정보가 유출 등이 된 경우

④ 정보통신망법에 따른 침해사고가 발생한 경우, 회사는 그 사실을 알게 된 때부터 24시간 이내에 과학기술정보통신부 또는 한국인터넷진흥원(KISA)에 신고한다.

⑤ 통지에는 유출 등이 된 개인정보 항목, 시점과 경위, 회사의 대응조치 및 피해 구제절차, 정보주체가 피해를 최소화하기 위해 할 수 있는 방법, 손해배상 청구․분쟁조정 신청 등 법적 구제 절차, 신고․상담 창구를 포함한다.

⑥ 회사는 유출된 정보를 악용한 피싱․스미싱 등 2차 피해를 예방하기 위하여 통지 시 주의사항을 함께 안내한다.

⑦ 통지․신고 여부와 판단 근거, 처리 시각 및 제출 자료를 별지 3에 기록한다. 적용 여부가 불명확한 경우 법무 또는 전문기관의 자문을 받되, 자문을 이유로 법정기한을 지연하지 않는다.

제11조 (복구 및 사후조치)

① 회사는 사고 원인을 제거하고 안전하게 복구한 후 접근권한․취약점․보안설정을 재점검한다.

② 회사는 유출된 개인정보의 회수․삭제 등 피해 확산 방지 조치를 시행한다.

③ 사고 종료 후 원인, 영향, 대응 경과, 통지․신고 결과 및 재발방지 대책을 포함한 사고보고서를 작성하고, 개선조치 이행을 확인한다.

제12조 (훈련 및 점검)

회사는 연 1회 이상 대응 절차와 비상연락망을 점검하고, 필요한 경우 모의훈련을 실시한다.

담당자‧시스템 변경 또는 사고 발생 시에는 수시로 대응계획을 갱신한다.

제4장 개인정보처리방침의 수립‧공개

제13조 (처리방침 수립 및 공개)

① 회사는 개인정보 처리 목적․항목․보유기간, 제3자 제공, 처리위탁, 파기, 정보주체 권리행사 방법, 개인정보 보호책임자 연락처, 안전조치 및 권익침해 구제 방법 등 법령상 요구사항을 반영한 개인정보 처리방침을 수립한다.

② 처리방침에는 NICE 휴대전화 본인확인 서비스의 이용 목적과 회사가 수신․보유하는 항목을 기재하고, 회사가 주민등록번호를 수집하지 않으며 연계정보(CI)를 저장하지 않는다는 사실을 명시한다.

③ 처리방침은 홈페이지 하단 등 쉽게 확인할 수 있는 위치에 상시 공개한다. 변경 시 변경사항과 시행일을 표시하고, 필요한 경우 변경 전․후 내용을 안내한다.

④ 회사는 실제 개인정보 처리 현황, NICE 계약․연동 규격 및 처리방침의 일치 여부를 정기 점검한다.

제14조 (정기검토)

개인정보 보호책임자는 연 1회 이상, 그리고 처리 목적․항목․수탁자․시스템․관련 법령이 변경되는 경우 처리방침을 검토하고 개정 필요성을 판단한다.

제5장 정보주체 권리행사 대응

제15조 (접수채널)

① 정보주체는 홈페이지에 공개된 전자우편, 전화, 서면 또는 온라인 문의 채널로 열람․정정․삭제․처리정지 등 권리를 행사할 수 있다. 회사는 홈페이지에 신청 방법, 담당부서 및 연락처를 공개한다.

② 접수 담당자는 접수일시, 요청 유형, 신청인 확인 방법, 처리 담당자, 처리 결과 및 통지일을 별지 2에 기록한다.

제16조 (본인 또는 대리인확인)

① 회사는 개인정보의 무단 제공․변경․삭제를 방지하기 위하여 신청인의 본인 여부 또는 정당한 대리인 여부를 합리적인 방법으로 확인한다.

② 본인 확인은 회원 로그인, NICE 휴대전화 본인확인 등의 방법으로 하되, 신분증 사본 등 주민등록번호가 포함된 자료를 요구하지 않는다. 부득이하게 제출받는 경우 주민등록번호 뒷자리를 가리도록 안내하고, 확인 후 지체 없이 파기한다.

제17조 (열람요구처리)

① 회사는 열람 요구를 받으면 보유 여부와 열람 가능한 개인정보 및 처리 내역을 확인한다.

② 회사는 열람 요구를 받은 날부터 10일 이내에 열람하도록 하며, 연기․제한․거절하는 경우 같은 기간 내에 그 사유와 이의제기 방법을 통지한다.

③ 법령상 제한 사유가 있는 경우 해당 범위에서 제한․거절할 수 있으나, 가능한 부분은 분리하여 제공한다.

제18조 (정정․삭제요구처리)

① 정정․삭제 요구가 접수되면 관련 자료와 시스템을 확인하고 정당성을 검토하여, 요구를 받은 날부터 10일 이내에 처리 결과를 통지한다.

② 다른 법령에 따라 보존해야 하는 정보는 즉시 삭제하지 않고 보존 근거와 기간을 안내하며, 보존 목적 외 이용을 제한한다.

③ 해당 정보가 수탁자 또는 제3자에게 제공된 경우 법령과 계약에 따라 필요한 조치를 요청하고 이행 여부를 확인한다.

제19조 (처리정지․동의철회)

처리정지 또는 동의 철회 요구는 법령상 예외 사유를 검토하여 요구를 받은 날부터 10일 이내에 처리하고 결과를 통지한다. 서비스 이용에 영향이 있는 경우 그 사유와 영향을 알기 쉽게 안내한다.

제20조 (기록관리)

권리행사 처리 결과, 처리일, 제한․거절 사유 및 이의제기 방법은 신청인에게 통지하고, 요청․처리 기록은 내부 기록관리 기준과 법령에 따라 안전하게 보관한다.

제6장 본인확인 및 연계정보관리

제21조 (본인확인 서비스이용)

① 회사는 회원가입 및 권리행사 신청인 확인 등을 위하여 NICE 휴대전화 본인확인 서비스를 이용한다.

② 회사는 본인확인 과정에서 이용자의 주민등록번호를 수집․저장하지 않는다.

③ 회사는 NICE로부터 수신하는 연계정보(CI)를 실명 및 본인 여부 확인 목적으로만 일시적으로 이용하고, 서버 로그․파일․데이터베이스․가상의 테이블(VIEW)․백업 매체 등 어떠한 형태로도 저장하지 않으며, 본인확인이 완료(인증 실패 및 중단을 포함한다)되는 즉시 파기한다.

④ 회사가 회원정보로 보관하는 본인확인 결과 항목은 처리방침에 공개한 최소한의 항목으로 한정한다.

⑤ 연계정보(CI)는 일시적으로 처리하는 경우에도 관련 법령 및 「연계정보의 생성․처리 등에 관한 기준」의 적용을 받으므로, 세부 안전조치는 「OBS 경인TV 연계정보 내부 관리 규정」에 따른다.

제22조 (연동규격 및 미저장 입증관리)

① 회사는 NICE 계약서, 서비스 명세서, API 응답 항목 및 연동 소스․설정을 보관하여, 연계정보(CI)를 일시 이용 후 저장하지 않는다는 사실을 입증할 수 있도록 관리한다.

② 회사는 연동 방식, 수신 항목 또는 홈페이지 구조가 변경되는 경우 별지 4에 따라 연동 현황을 재점검하고, 연계정보 또는 주민등록번호를 저장하여야 하는 사정이 생기는 경우 사전에 관련 규정을 개정하고 안전조치를 마련한다.

③ 본인확인 정보는 인터넷 구간에서 안전한 암호 프로토콜(TLS 등)로 송․수신하며, 화면․로그․오류 메시지․디버깅 정보 등을 통해 노출되지 않도록 한다.

제7장 교육‧점검 및 기록관리

제23조 (교육 및 점검)

① 개인정보 보호책임자는 개인정보 취급자에게 연 1회 이상 개인정보 보호, 연계정보 처리 기준 및 침해사고 보고 절차를 교육한다.

② 개인정보 보호책임자는 연 1회 이상 별지 4에 따른 NICE 본인확인 연동 현황(주민등록번호․연계정보 미저장 여부 포함)을 점검한다.

제24조 (문서 및 기록관리)

회사는 이 규정, 처리방침 개정 이력, 권리행사 처리대장, 사고 기록, 교육․점검 결과, 수탁자 계약 및 NICE 연동 확인 자료를 안전하게 보관한다. 기록에는 불필요한 개인정보를 포함하지 않으며, 주민등록번호 및 연계정보(CI)를 기록하지 않는다.

제25조 (시행 및 개정)

이 규정은 회사의 내부 승인 절차를 거쳐 시행한다. 관련 법령, 서비스 구조 또는 개인정보 처리 현황이 변경되면 개정 필요성을 검토한다.

- 부 칙-

제1조(시행일)

이 규정은 2026년 10월 20일부터 시행한다.

별지1. 담당자 및 연락처

구분	성명/부서	연락처	주요 역할
개인정보 보호책임자(CPO)	장건철 국장 / 경영인프라국	032-670-5111 hdtv@obs.co.kr	총괄, 통지·신고 결정
연계정보 안전조치 책임자	장건철 국장 / 경영인프라국	032-670-5111 hdtv@obs.co.kr	CI 처리 안전조치 총괄
개인정보 실무담당자	백승일 / 인프라팀	032-670-5242 sibaek@obs.co.kr	권리행사 접수, 대장 관리
정보시스템 담당자	백승일 / 인프라팀	032-670-5242 sibaek@obs.co.kr	초동조치, 로그 보존, 복구
유지보수	SB소프트	02-3296-1177	연동·시스템 조치 지원
본인확인	NICE 평가정보	02-2122-4553	연동 구간 사고 통보․협의
경영진/비상승인자	김학균 대표이사	032-670-5102 hakkim@obs.co.kr	중대사고 의사결정