군산교육문화회관 개인정보 침해사고 대응 매뉴얼

Ⅰ	개요

1. 목적

□ 개인정보 보호법 제34조(개인정보 유출 통지 등)에 의거하여 개인정보 유출 및 침해사고 발생 시 사고대응 및 처리 방법 등을 정의하여 신속하고 체계적인 대응을 통한 피해 최소화

2. 적용 범위

□ 군산교육문화회관에서 처리하는 개인정보

- 컴퓨터․영상정보처리기기(CCTV) 등 정보의 처리 또는 송․수신 기능을 가진 장치에 의하여 처리되는 개인정보

- 신청서 서식 등 종이문서에 수기로 기록된 개인정보(인사기록카드, 각종 위원 명단, 회계서류 등)

□ 개인정보의 해킹, 분실, 도난, 오․남용 등 내․외부자에 의한 개인정보 유출 사고 발생 시

3. 관련 근거

□ 개인정보 보호법 제34조(개인정보 유출 통지 등), 동법 시행령 제39조(개인정보 유출 신고의 범위 및 기관), 제40조(개인정보 유출 통지의 방법 및 절차)

□ 표준 개인정보보호 지침 제29조(개인정보 유출 사고 대응 매뉴얼 등)

4. 개인정보 침해 유형의 정의

□ 개인정보 유출

- 개인정보가 포함된 서면, 이동식 저장장치, 휴대용 컴퓨터 등을 분실하거나 도난당한 경우

- 개인정보가 저장된 데이터베이스 등 개인정보처리시스템에 정상적인 권한이 없는 자가 접근한 경우

- 개인정보처리자의 고의 또는 과실로 인해 개인정보가 포함된 파일 또는 종이문서, 그 밖에 기타 저장매체가 권한이 없는 자에게 잘못 전달된 경우

- 그 밖에 권한이 없는 자에게 개인정보가 전달된 경우

□ 개인정보 노출

- 일반 인터넷 이용자가 해킹 등 특별한 방법을 사용하지 않고 정상적으로 인터넷을 이용하면서 다른 사람의 개인정보를 취득할 수 있도록 인터넷 상에서 관련 정보가 방치되어 있는 경우

Ⅱ	침해사고 대응 및 조치

1. 대응 절차

단계		상세 업무		비고
사고인지 및 긴급조치		• 개인정보 유출사고 신고 접수 및 사고인지 • 유출사고 대응센터 소집 및 유관기관 협조체계 확인 • 피해 최소화를 위한 긴급조치 수행 ※ 유출된 개인정보 삭제조치 및 기술지원 요청
		⇩
정보주체 유출통지		• 정보주체에게 개인정보 유출사실 통지(5일 이내)
		⇩
개인정보 유출신고		• 1천명 이상의 개인정보 유출시 행정안전부 또는 한국인터넷진흥원(privacy.go.kr)에 유출신고
		⇩
민원대응반 운영		• 개인정보 유출사고 규모 및 성격에 따라 민원대응반 구성
		⇩
고객민원 대응		• 2차 피해 방지를 위한 고객 민원 대응 및 고객 불안 해소 조치
		⇩
피해구제 절차		• 개인정보 유출에 대한 피해구제 절차 안내
		⇩
보안기능 강화		• 사고 원인 분석 및 보안 강화·기능 개선
		⇩
결과 보고		• 개인정보 유출사고 결과보고서 작성 및 보고
		⇩
재발방지		• 개인정보 유출사고 사례 전파 교육 및 개선 대책 시행

2. 조직 체계

				총괄대응본부 (개인정보 보호책임자)							행정안전부 한국인터넷진흥원
			분석∙복구반					민원대응반

□ 업무 분장

조직별	담당자	담당업무
개인정보 보호책임자 (총무과장)		• 유출사고 대응 총괄 지휘
총괄대응본부	전산정보담당	• 유출사고 인지, 접수, 전파 • 유출사고 대응 절차 수립 • 정보주체에게 유출사실 통지 • 행정안전부 또는 전문기관에 유출통지 사실 신고
분석∙복구반	(회관) 전산정보담당	• 유출사실 확인, 조사 및 원인 분석 • 사고내용 세부조사 • 외부요인에 의한 유출의 경우, 유관기관과 협조하여 사고 처리 지원 • 시스템 복구 및 백업(유지보수/협력업체 포함)
민원대응반	민원담당	• 정보주체 개별 통지문 안내에 따른 후속업무(민원 등) 진행 • 유출사고 안내문 문구 최종 검토

3. 유출 통지 및 조회 절차

□ 총괄대응본부는 유출 인원 등을 확인하여 [참고1]‘유출통지 방법’에 따라 유출 사실을 정보주체들에게 통지

	[ 통지 항목 ]
① 유출된 개인정보의 항목 ② 유출된 시점과 그 경위 ③ 피해 최소화를 위한 정보주체의 조치 방법 ④ 기관의 대응조치 및 피해구제 절차 ⑤ 피해 신고 접수 담당부서 및 연락처

□ 수탁사업자가 수탁 업무를 처리하는 과정에서 개인정보가 유출된 경우 즉시 위탁자에게 보고하도록 위·수탁계약서에 명시하고, 수탁사업자로부터 보고 받은 시점에서 지체 없이 유출 통지

□ 1천명 이상 유출 시에는 홈페이지에 필수 유출통지 5개 항목을 7일 이상 공지하고, 정보주체가 유출 여부를 확인할 수 있는 별도 페이지(예, http://jbe.go.kr/119) 제공

- 아이핀, 핸드폰 인증 등을 통한 정보주체 본인 확인 후 개인정보 유출 결과 조회

4. 유출 통지 신고 절차

□ 1천명 이상 유출 시 인지 시점으로부터 5일 이내 행정안전부 또는 한국인터넷진흥원에 유출 신고

	[ 신고 방법 및 내용 ]
- (신고처) http://privacy.go.kr 접속 ⇒ 민원마당 ⇒ 개인정보 유출신고 - (신고내용) 정보주체에 대한 유출 통지 결과 및 피해 최소화를 위한 조치 결과 ※ 이후 홈페이지에 필수 유출통지 5개 항목을 7일 이상 게재

5. 현장 혼잡 최소화 조치

□ 총괄대응본부는 오프라인 창구를 개설

- 전화, 메일, 홈페이지, SNS 등 한 가지 이상의 채널을 선택하여 단일한 민원대응 창구를 구축

구 분	채 널	상세 내용
오프라인	민원실	상황 발생 시 정함
온라인 (中 택 1)	전화 / 메일 / 홈페이지

□ 복구반은 유출된 시스템의 이용을 제한하고 별도의 임시 시스템 구축을 통하여 기관의 업무 혼잡 방지

□ 분석반은 대외 수사 기관에 협조 할 수 있는 전담 인력 구성 및 대응

6. 민원 대응 조치

□ 민원대응반은 총괄대응본부와 협의하여 피해자 구제방안, 수사 진행상황 등에 대한 외부 질의 답변 방향 결정

□ 협의 방안을 토대로 민원대응 매뉴얼 작성 및 배포

□ 민원대응 전담 인력·회선 확보 및 대응 매뉴얼 교육

□ 대외적 접촉창구는 민원대응반으로 단일화하여 회관 내 및 인터넷 홈페이지에 공지하고 외부로부터 개인정보 유출 관련 질문을 받으면 최대한 민원대응반으로 연결

문의 구분	업무담당부서
유출 확인 문의 대응	민원대응반
피해구제 관련 문의 대응
기타

□ 유출 규모와 상황을 고려하여 원활한 민원 처리를 위해 통신회선 증설 및 인터넷회선 확충과 관련된 계약 수립

7. 피해자 불안 해소 조치

□ 인터넷 홈페이지에 유출 피해 최소화를 위해 현재 기관에서 실시하고 있는 노력에 대한 사항 공지(1일 1회 업데이트)

[개인정보 유출 항목별 2차 피해 예방을 위한 안내사항]

구분	세부 안내 사항
아이디, 비밀번호 유출	- 비밀번호 변경 안내
다량의 개인정보 유출	- 2차 피해(보이스피싱, 문자피싱 등 금융사기) 예방 안내 (https://www.anti-phishing.or.kr)

8. 피해자 구제 조치

□ (고객 민원 발생시) 시스템 오류 등 서비스 장애로 인한 고객의 민원 발생 시 유관부서와 협의하여 해결

□ (정보주체 요청이 있을 시) 회원 탈퇴 방법 안내 및 정보주체의 개인정보 삭제 조치

참고 1	유출 통지 방법 및 유출 통지문 예시

□ 유출통지 방법

구 분	내 용
통지대상	• 정보주체
통지방법	• 서면, 전자우편, 모사전송, 전화, 휴대전화 문자전송 또는 이와 유사한 방법을 통해 5일 이내에 정보주체에게 고지 • 위의 통지방법과 동시에 홈페이지에도 공개 ※ 단, 통지 및 조치 후에도 1천 명 이상의 개인정보가 유출된 경우에는 서면 등의 방법과 함께 홈페이지에 7일 이상 통지내용을 게재
통지내용	• 유출된 개인정보의 항목 및 유출된 시점과 그 경위 • 유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보 • 개인정보처리자의 대응조치 및 피해구제절차 • 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처
통지시기	• 유출사실을 발견할 때로부터 5일 이내
통지연기	• 개인정보 유출 확산방지를 위해 필요한 경우 연기 가능 - 개인정보가 유출되었을 것으로 의심되는 개인정보처리시스템의 접속권한 삭제·변경 또는 폐쇄 조치 - 네트워크, 방화벽 등 대내·외 시스템 보안점검 및 취약점 보완 조치 - 향후 수사에 필요한 외부의 접속기록 등 증거 보존 조치 - 정보주체에게 유출 관련 사실을 통지하기 위한 유출확인 웹페이지 제작 등의 통지방법 마련 조치 - 기타 개인정보의 유출확산 방지를 위해 필요한 기술적∙관리적 조치 • 위 각 항목의 조치를 취한 이후, 정보주체에게 다음 각 항목의 사실만 일차적으로 알리고, 추후 확인되는 즉시 알릴 수 있음 - 정보주체에게 유출이 발생한 사실 - 통지내용 중 확인된 사항

□ 유출 통지문 예시

개인정보 유출에 대한 안내 및 사과의 말씀

개인정보 유출 사실을 통지해 드리며, 깊이 사과드립니다.

(유출경위 설명)

귀하의 소중한 개인정보를 안전하게 보호, 관리하고자 최선의 노력을 다해왔으나,

○○○시스템에 저장∙보관중인 귀하의 개인정보가 ○○○○년 ○○월 ○○경 해커에 의한 해킹으로 유출되었습니다.

(유출된 개인정보 항목)

유출된 개인정보 항목은 이름, 아이디(ID), 비밀번호, 이메일, 연락처 총 5개입니다.

(개인정보처리자의 대응 조치)

군산교육문화회관에서는 유출 사실을 인지한 후 즉시 해당 IP와 불법접속 경로를 차단하고, 취약점 점검과 보완 조치를 하였습니다. 또한, 유지보수업체 서버에 있던 귀하의 개인정보는 즉시 삭제 조치하였습니다.

(피해 최소화를 위한 정보주체의 조치방법, 유출 경위에 따라 정보주체가 할 수 있는 방법을 안내)

추가적인 피해 방지를 위해 기존에 사용하시던 비밀번호를 새로운 비밀번호로 변경해주시기 바랍니다.

그리고 개인정보 악용으로 의심되는 전화, 메일 등을 받으시거나 기타 궁금하신 사항은 연락주시면 친절하게 안내해 드리고, 신속하게 대응하도록 하겠습니다.

(피해 구제절차)

피해가 발생하였거나 예상되는 경우에는 아래의 담당부서에 신고하시면 성실하게 안내와 상담을 해드리겠습니다.

(개인정보처리자의 향후 대응 계획)

앞으로 개인정보 보호 강화를 위해 내부 관리 체계를 재검토하고 직원 교육을 강화하여, 향후 다시는 이와 유사한 사례가 발생하지 않도록 최선의 노력을 다하겠습니다.

(피해 신고 접수 담당부서 및 연락처)

- 피해 접수 담당부서 : ○○○

- 피해 접수 전화번호 : ○○○-○○○-○○○○

20○○년 ○○월 ○○일

군산교육문화회관

참고 2	개인정보 유출 신고(보고)서

개인정보 유출신고(보고)서
기관명
정보주체에의 통지 여부
유출된 개인정보의 항목 및 규모
유출된 시점과 그 경위
유출피해 최소화 대책ㆍ조치 및 결과
정보주체가 할 수 있는 피해 최소화 방법 및 구제절차
담당부서ㆍ담당자 및 연락처		성명		부서	직위		연락처
	개인정보 보호책임자
	개인정보 취급자
유출신고(보고) 접수기관	기관명		담당자명			연락처

참고 3	개인정보 유출 신고처 및 관련 기관

□ 개인정보 유출 신고처

기 관 명	전화번호	인터넷사이트
행정안전부	-	https://www.privacy.go.kr/ (개인정보보호 종합지원포털)
한국인터넷진흥원	118 (Fax:02-405-5229)

□ 관련기관

기 관 명	전화번호	인터넷사이트
대검찰청 사이버범죄 수사단	1301	http://www.spo.go.kr/minwon
경찰청 사이버안전국	182	http://cyberbureau.police.go.kr