서울시공익활동지원센터 [연계정보 관리기준]

- 서울시공익활동지원센터(이하 “센터”라고 한다)는 본인확인기관 등으로부터 제공받아 처리하는 연계정보(CI)를 안전하게 관리하기 위하여 다음과 같이 「연계정보 관리기준」을 정하여 운영하고 있습니다.
제1장 총칙
- 제1조(목적)
  - 이 기준은 센터가 본인확인기관 등으로부터 제공받아 처리하는 연계정보를 안전하게 관리하기 위한 사항을 정함을 목적으로 한다.
- 제2조(정의)
  - 1이 장에서 사용하는 용어의 뜻은 아래와 같다.
    1. “연계정보”란 정보통신서비스 제공자의 서비스 연계를 위하여 이용자의 주민등록번호를 비가역적으로 암호화한 정보(CI)를 말한다.
    2. “연계정보의 처리”란 연계정보의 생성·이용·제공·대조·연계 및 그 밖에 이와 유사한 행위를 말한다.
    3. “연계정보처리시스템”이란 연계정보를 처리하기 위하여 구성된 정보시스템을 말한다.
    4. “연계정보취급자”란 업무상 연계정보에 접근하여 처리하는 자를 말한다.
  - 2이 장에서 정하지 아니한 용어의 뜻은 관련 법령 및 센터의 개인정보보호 관련 규정에서 정하는 바에 따른다.

제2장 연계정보의 처리 및 관리

제3조(연계정보의 처리)
- 1센터는 관련 법령에서 정하는 범위에서 본인확인기관으로부터 제공받은 연계정보를 처리할 수 있다.
- 2센터는 제공받은 연계정보를 제공 목적의 범위 내에서만 처리하여야 한다.
- 3연계정보를 다른 목적으로 이용하거나 새로운 업무에 활용하고자 하는 경우에는 관련 법령 및 개인정보보호 관련 규정에 따라 적정성을 검토하여야 한다.

제4조(연계정보보호책임자 및 담당자)

1센터는 연계정보의 안전조치를 총괄하는 책임자와 담당자를 각각 1인을 지정해야 하며, 기존의 개인정보보호책임자(CPO)와 개인정보보호담당자가 겸임할 수 있다.

2연계정보보호책임자와 담당자는 아래의 업무를 수행한다.

연계정보보호책임자	연계정보보호담당자
1. 연계정보보호 계획의 수립 및 시행 2. 연계정보 처리 실태 및 관행의 정기적인 조사 및 개선 3. 연계정보 처리와 관련한 불만의 처리 및 피해 구제 4. 연계정보 유출 및 오남용 방지를 위한 내부통제시스템의 구축 5. 연계정보 침해사고 발생 시 대응 총괄 6. 그 밖에 연계정보 보호를 위하여 필요한 사항	1. 각 호에 따른 연계정보보호책임자의 업무수행 지원 2. 연계정보보호를 위한 관련 규정 제·개정 검토 3. 센터의 연계정보처리 관리상태 점검 4. 연계정보처리에 관한 불만의 접수 및 피해 구제 지원 5. 그 밖에 연계정보 보호를 위하여 연계정보보호책임자가 지시하는 업무

연계정보보호책임자 및 담당자의 업무 - 연계정보보호책임자, 연계정보보호담당자로 구성

제5조(연계정보취급자의 관리)
- 1연계정보취급자는 업무 수행에 필요한 최소한의 범위에서 연계정보에 접근하여야 한다.
- 2연계정보처리시스템의 접근권한은 업무상 필요한 범위에서 최소한으로 부여하고, 업무 변경·퇴직 등으로 접근 필요성이 없어진 경우 지체 없이 권한을 변경 또는 말소하여야 한다.
- 3연계정보취급자는 업무상 알게 된 연계정보를 목적 외로 이용하거나 정당한 권한 없이 제3자에게 제공·누설하여서는 아니 된다.

제3장 연계정보의 안전조치
- 제6조(연계정보의 분리·보관)
  - 1센터가 주민등록번호와 연계정보를 함께 보관하는 경우에는 주민등록번호와 연계정보를 물리적 또는 논리적으로 분리하여 보관·관리하여야 한다.
  - 2제1항에 따른 분리는 물리서버, 가상서버, 데이터베이스 인스턴스, 스키마, 테이블 등의 분리 또는 이에 준하는 방법으로 할 수 있다.
  - 3주민등록번호와 연계정보에 대한 접근권한은 구분하여 부여하고 업무상 필요한 최소한의 범위에서 관리하여야 한다.
- 제7조(연계정보의 안전한 저장 및 전송)
  - 1센터는 연계정보를 정보통신망 등을 통하여 송·수신하는 경우 안전한 암호화 방식 등을 적용하여야 한다.
  - 2센터는 연계정보를 저장하는 경우 안전한 암호화 방식 등을 적용하여야 한다.
  - 3연계정보가 저장·전송되는 정보시스템 및 통신구간은 비인가자의 접근을 방지하기 위한 접근통제 등 필요한 보호조치를 적용하여야 한다.
- 제8조(연계정보의 보유 및 파기)
  - 1연계정보의 보유기간은 처리 목적 달성에 필요한 최소한의 기간으로 한다.
  - 2보유기간이 경과하거나 처리 목적이 달성된 연계정보는 지체 없이 파기하여야 한다.
  - 3연계정보를 파기하는 경우 복구 또는 재생이 불가능한 방법으로 파기하여야 한다.
- 제9조(연계정보의 취약점 점검)
  - 1센터는 연계정보의 유출·도난 등을 방지하기 위하여 연계정보처리시스템의 취약점을 정기적으로 점검하여야 한다.
  - 2취약점 점검은 운영체제, 데이터베이스, 응용프로그램, 네트워크 및 보안설정 등을 대상으로 실시할 수 있다.
  - 3점검 결과 발견된 취약점은 위험도에 따라 조치계획을 수립하고 개선하여야 한다.
  - 4취약점 점검 및 조치 결과는 기록·관리하여야 한다.
제4장 연계정보 보호 및 사고 대응
- 제10조(연계정보 처리기록 관리)
  - 1센터는 연계정보의 제공기관, 제공시기, 처리내역 등 연계정보의 안전한 관리에 필요한 사항을 기록·관리하여야 한다.
  - 2제1항에 따른 기록은 관련 법령에서 정하는 기간 동안 보관하여야 한다.
- 제11조(연계정보 침해사고 대응)
  - 1센터는 연계정보의 분실·도난·유출·위조·변조 또는 훼손 등의 사고에 대비하여 대응절차를 마련하여야 한다.
  - 2연계정보 침해사고를 인지한 자는 지체 없이 소속 부서 및 정보보호 담당부서에 신고하여야 한다.
  - 3침해사고 발생 시 센터의 개인정보 유출 및 정보보안 사고 대응절차에 따라 사고조사, 피해확산 방지, 복구 및 재발방지 등의 조치를 실시한다.
  - 4연계정보 침해사고 대응과 관련된 세부사항은 센터의 「서울시공익활동지원센터 개인정보보호사고 및 재해재난 통합 매뉴얼」을 준용한다.
- 제12조(교육 및 점검)
  - 1센터는 연계정보취급자를 대상으로 연계정보 보호 및 안전조치에 관한 교육을 실시할 수 있다.
  - 2센터는 연계정보의 처리 및 안전조치 이행 여부를 정기적으로 점검하고 미흡사항이 발견된 경우 개선조치를 하여야 한다.
- 제13조(수탁자 관리)
  - 1연계정보의 처리업무를 외부에 위탁하는 경우 수탁자가 연계정보를 안전하게 처리하도록 계약 등에 필요한 사항을 정하고 관리·감독하여야 한다.
- 제14조(다른 규정과의 관계)
  - 1연계정보의 처리 및 보호에 관하여 이 기준에서 정하지 아니한 사항은 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」, 같은 법 시행령, 「연계정보의 생성·처리 등에 관한 기준」 및 센터의 개인정보보호 관련 규정에서 정하는 바에 따른다.
부칙
- 제1조(시행일)
  - 이 관리기준은 2026년 10월부터 시행한다.

연계정보 관리기준

제1장 총칙

제2장 연계정보의 처리 및 관리

제3장 연계정보의 안전조치

제4장 연계정보 보호 및 사고 대응

부칙