개인정보보호 현장조사 결과에 따른

위반사항 및 조치방법

(2017. 6.22 / 치협 정보통신위원회)

■ 참고사항

※ 동 자료는 행정자치부에서 실시한 개인정보보호 현장조사 결과 중 주요 위반사항 2가지에 대한 안내 및 조치방법이며, 심평원에서 제공한 조치방법을 이해하기 쉽게 해석하여 정리한 사항임을 참고해 주시기 바랍니다.

■ 위반사항 및 조치방법

1. 접속기록의 보관 및 점검소홀(25개 기관 중 16개 기관 위반)

- 위반내역

개인정보취급자가 개인정보처리시스템에 접속한 기록을 6개월 이상 보관·관리하여야 하고, 접속기록을 반기별로 1회 이상 점검하여야 하나, 이를 이행하지 않음.

- 조치방법

1) 개인정보처리시스템은 청구S/W, 전자차트 등 개인정보를 프로그램으로 처리하는 시스템을 말함.

2) 동 사항은 프로그램에 로그인하는 계정의 이용기록을 6개월 이상 보관하라는 것임.

3) 이용기록에 기록되어야 하는 정보는 ID, 접속일시, IP주소, 수행업무(접속화면/업무내용) 이며, 아래 예시와 같이 표 또는 text log 파일로 저장하여도 됨.

(예시 표 형식)

순번	사용자 ID(계정)	접속일시	접속자 정보(IP주소)	수행업무
				접속화면	업무내용
1	hira01	2017-01-05 09:01:01	123.456.789.012	접수	조회/삭제/수정/출력 등
1	hira03	2017-05-12 16:10:05	123.456.789.018	청구	조회/삭제/수정/출력 등

(예시 text log 파일 형식)

hira01,2017-01-05 09:01:01,123.456.789.012,접수화면,조회,기타정보

hira01,2017-01-05 13:01:01,123.456.789.012,접수화면,조회,기타정보

·

·

·

접속기록을 최소 6개월 이상 보유

4) 위와 같이 보관하고 있는 접속기록은 반기별로 (6개월 마다) 1회 이상 점검하여야 함. 점검은 접속기록을 보면서 비인가자 접속, 대량의 개인정보 조회·정정·다운로드·삭제 작업 등 비정상 행위가 있었는지 점검하는 것임.

5) 또한 보관하는 접속기록은 위변조 및 분실 방지를 위해 별도의 저장매체(PC와 분리된 외장하드, USB, CD, DVD 등)에 백업하여 보관해야 함. USB는 PC에 꽂아두는 것이 아니라 잠금장치가 있는 안전한 곳에 보관해야 함.

6) 위와 같은 기능(접속 기록 데이터 제공 등)은 현재 치과병·의원에서 사용하는 청구S/W 또는 전자차트 업체에서 기능을 제공해주어야 하는 바, 기능제공 유무 및 이용방법에 대해서는 해당 업체에 요청하여 처리하면 됨.

2. 접근통제 소홀(25개 기관 중 14개 기관 위반)

- 위반내역

불법적인 접근 및 침해사고 방지를 위해 개인정보처리시스템에 대한 접근을 제한하는 등 필요한 기술적 조치를 취하지 않음.

- 조치방법

1) 치과병·의원에서는 개인정보처리 시스템(청구S/W, 전자차트 등)을 이용하는 직원들이 개별적으로 1인1계정을 부여하여 사용하도록 해야 함. 즉, 전직원들이 하나의 아이디로 접속하는 것은 위반이므로 반드시 1인1계정 발급받아 사용하기 바람.

2) 직원 개개인별로 부여된 계정 및 비밀번호는 직원끼리 상호 공유하지 않도록 관리해야 함.

3) 직원 개개인별로 계정을 발급할 때는 해당 직원의 업무에 맞는 권한만 부여해야 함. 즉, 치료내역에 대한 입력 및 보험청구를 담당하는 직원은 조회, 수정 등의 권한이 있어야 하지만 진료보조 업무를 하는 직원은 환자의 정보를 조회만 하도록 권한을 제한하라는 것임.

4) 또한, 직원 입·퇴사에 따른 계정 부여 또는 말소에 대한 내역을 아래의 표와 같은 양식에 맞춰 기록하고 그 기록을 3년간 보관해야 함.

5) 아래와 같이 직원별 계정 관리 기능은 청구S/W, 전자차트 프로그램에서 제공하고 있으나, 실제 사용방법을 잘 모르는 경우 해당 업체에 사용방법 등에 대해 문의하여 처리해야 하며, 접근권한 관리대장은 프로그램에서 기능 제공이 불가한 경우가 많은 바, 별도 엑셀이나 한글 파일 출력이나 파일 속에서 관리하면 됨.

(예시 표 형식) 접근권한 관리대장(사용자 ID 관리대장)

이름	신청ID	신청 일시	적용 권한	신청 권한	유형	신청 사유	승인자
홍길동	hira01	2017-01-01	접수업무, 건강보험 청구업무	조회, 저장, 수정, 출력	신규부여	입사	김원장

위 공문 사항은 아니나, 기본적으로 반드시 조치되어야할 사항 추가 안내 – 치협

※ 치과의료기관에서는 PC 및 개인정보처리 시스템(청구S/W, 전자차트 등)을 사용할 때, 반드시 비밀번호를 이용하여 로그인하도록 설정해야 하며, 비밀번호를 설정할 때에는 아래와 같은 비밀번호 작성 규칙을 수립하여 적용해야 함.

▶ 안전한 비밀번호 작성 규칙

① 비밀번호 최소길이

- 비밀번호 설정 시 숫자, 영문, 특수기호 3가지로 조합해야 하는 경우 최소 8자 이상으로 설정

- 비밀번호 설정 시 숫자, 영문 2가지로만 조합해야 하는 경우는 최소 10자리 이상으로 설정

② 추측하기 어려운 비밀번호 사용

- 병원전화번호, 핸드폰번호, 생일 등 추측하기 쉬운 문자열은 배제

- 키보드 상에 연속으로 배열된 비번은 사용 금지(ex: qwer1234 / 1234567 등)

- 아이디가 비밀번호 문자열에 포함되지 않도록 제한

③ 비밀번호의 주기적인 변경

- 비밀번호는 최소 6개월마다 변경하여 이용

④ 동일 비밀번호 사용 제한

- 비밀번호를 주기적으로 변경하되 이전에 사용했던 비번으로 재설정을 제한