※ 주요 직무의 기준(예시)

    - 중요정보(개인정보, 인사정보, 영업비밀, 산업기밀, 재무정보 등) 취급

    - 중요 정보시스템(서버, 데이터베이스, 응용 프로그램 등) 및 개인정보처리시스템 운영· 관리

    - 정보보호 및 개인정보보호 관리 업무 수행 

    - 보안시스템 운영 등 

  - 월렛 및 개인키, 거래원장에 접근가능한 직무에 대하여 정의

  - 주요 직무자 현황을 파악하여 주요 직무자로 공식 지정

  - 지정된 주요 직무자에 대하여 목록으로 관리

  - 주요 직무자의 신규 지정 및 변경, 해제 시 목록 업데이트

  - 정기적으로 주요 직무자 지정 현황 및 적정성을 검토하여 목록 최신화

  - 업무상 개인정보를 처리하는 개인정보취급자에 대해서는 목록으로 관리

  - 개인정보취급자 목록에는 개인정보 처리업무에 대한 위탁을 받은 수탁자의 개인정보취급자도 포함 (다만 수탁자의 개인정보취급자 중 개인정보처리시스템에 접근권한이 없는 개인정보취급자에 대한 목록관리는 수탁자 자체적으로 관리 가능)

  - 정기적으로 개인정보취급자 지정 현황 및 적정성을 검토하여 목록 최신화

    ※ 개인정보취급자의 정의

      - 임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘· 감독을 받아 개인정보를 처리하는 자

  - 업무상 반드시 필요한 경우에 한하여 주요 직무자 및 개인정보취급자로 지정

  - 주요 직무자 및 개인정보취급자 권한 신청 및 부여에 대한 승인 절차 마련

  - 주요 직무자 및 개인정보취급자에 대한 관리 및 통제방안 수립·이행(교육, 모니터링 등)

  - 개발과 운영 직무 분리

  - 정보보호담당자, 개인정보취급자와 정보보호 및 개인정보 모니터링 직무 분리

  - 정보시스템 및 개인정보처리시스템(서버, 데이터베이스, 네트워크 등)간 운영직무 분리

  - 정보보호 및 개인정보보호 관리와 정보보호 및 개인정보보호 감사 업무 분리

  - 개인정보보호 관리와 개인정보처리시스템 운영직무 분리

  - 개인정보보호 관리와 개인정보처리시스템 개발직무 분리 등

  - 외부 위탁업체 직원에게 사용자 계정 등록· 삭제(비활성화) 및 접근권한 등록· 변경· 삭제 설정 권한 부여 금지(다만 불가피한 경우 보완통제 적용)

(조직 규모가 작거나 인적 자원 부족 등의 사유로 인하여 불가피한 경우)

  - 직무자 간 상호 검토, 상위관리자 승인 등으로 오· 남용이 발생하지 않도록 관리

  - 개인별 계정 사용, 로그기록 및 감사· 모니터링을 통한 책임추적성 확보 등

  - 신규 인력이 입사하는 경우 정보보호 및 개인정보보호의 필요성과 책임, 내부 정책 및 관련 법규 준수, 비밀 유지 의무에 대해 명시된 서약서 서명

  - 고용 조건의 변경 등 중요 변경사항 발생 시 서약서 재작성 등의 조치 수행

  - 정보보호 및 개인정보보호 책임, 비밀유지 의무, 내부 규정 및 관련 법규 준수 의무, 관련 의무의 미 준수로 인한 사건· 사고 발생 시 손해배상 책임 등 필요한 내용 포함

  - 퇴직자에게 정보유출 발생 시 그에 따르는 법적 책임이 있음을 명확히 인식시킬 수 있도록 비밀유지 서약서 징구(퇴직 절차 내 포함)

  - 법적 분쟁 발생 시 법률적 책임에 대한 증거자료로 사용할 수 있도록 잠금장치가 있는 캐비닛 또는 출입통제가 적용된 문서고 등에 안전하게 보관·관리

  - 교육 유형 : 임직원 인식제고 교육, 주요직무자, 개인정보취급자 교육, 수탁자 교육, 전문 교육 등

  - 교육 방법 : 교육 목적, 교육 대상, 교육 일정, 교육 시간, 교육 내용, 온라인 및 집합교육 등

  - 교육 승인 : 교육 계획을 검토, 승인하여 계획에 따라 이행될 수 있도록 예산 배정 지원 등

  - 다음 교육시간 준수

    : 임원 : 3시간 이상(단, 정보보호 최고책임자는 6시간 이상)

    : 일반직원 : 6시간 이상

    : 정보기술부문업무 담당 직원 : 9시간 이상

    : 정보보호업무 담당 직원 : 12시간 이상

  - 정보자산에 직· 간접적으로 접근하는 임직원, 임시직원, 외주용역업체 직원 등 모든 인력 포함

  - 수탁자 및 파견된 직원인 경우 해당 업체가 교육 수행할 수 있도록 관련 자료 제공, 시행 여부를 관리· 감독

  - 최소 연 1회 이상 교육 수행(특히 개인정보취급자의 경우 법적 요구사항에 따라 연 1회 이상 개인정보보호 교육 필요)

  - 교육 내용에는 임직원 및 관련 외부자가 조직의 관리체계와 정책을 이해하고, 이를 준수할 수 있도록 필요한 내용을 모두 포함하여야 함

    ※ 정보보호 및 개인정보보호 관련 교육에 포함될 내용(예시)

      - 정보보호 및 개인정보보호의 기본 개요, 관리체계 구축 및 방법, 관련 법률

      - 정보보호 및 개인정보보호 관련 내부규정, 관리적· 기술적· 물리적 조치사항

      - 중요정보 및 개인정보 침해(유출)사고 사례 및 대응방안, 규정 위반 시 법적 책임 등

  - 출장, 휴가, 업무 등으로 인하여 교육에 참석하지 못한 인력에 대한 교육 방법을 마련하여 시행(불참자 대상 추가교육, 전달 교육, 온라인 교육 등)

  - 내부 규정 및 절차의 중대한 변경, 조직 내·외부 침해사고 발생, 관련 법규 변경 등 발생 시 이에 대한 추가 교육 수행(다만 사안이 중요하지 않을 경우에는 게시판 공지, 이메일 안내, 책자 배포 등으로 대체)

  - 신규 인력 발생 시점 또는 업무 수행 전에 정보보호 및 개인정보보호 교육을 시행하여 조직 정책, 주의해야 할 사항, 규정 위반 시 법적 책임 등에 대한 내용 숙지

  - 관련 직무자 : IT 직무자, 정보보호 최고책임자, 개인정보 보호책임자, 개인정보취급자, 정보보호 직무자 등

  - 교육과정 : 정보보호 및 개인정보보호 관련 콘퍼런스·세미나·워크숍 참가, 교육 전문기관 위탁 교육, 외부 전문가 초빙을 통한 내부교육 등

  - IT 및 정보보호, 개인정보보호, 월렛 조직내 임직원은 직무별 정보보호 전문성 제고를 위해 별도의 교육 수행

  - 교육 시행 후 교육 공지, 교육자료, 출석부 등과 같은 기록을 남기고, 미리 마련된 평가기준에 따라 설문 또는 테스트 등을 통하여 교육 내용의 적절성과 효과성 평가

  - 교육평가 결과 내용에서 도출된 개선점에 대한 대책을 마련하고 차기 교육 계획 수립 시 반영

  - 관련 조직 및 시스템 간 인사변경 내용이 신속하게 공유될 수 있도록 절차 수립· 이행

    ※ 인사 변경 내용에 대한 신속한 공유 절차(예시)

      - 정보처리시스템을 인사시스템과 연동하여 실시간 또는 일배치로 계정정보 동기화

      - 협력업체 인원에 대한 통합 계정 등록·관리시스템을 구축하여 개별 시스템과 계정 동기화

      - 퇴직 프로세스 내에 관련 부서에 퇴직자 정보를 관련 부서에 공유하는 절차 포함 등

  - 퇴직 및 직무변동 시 출입증 및 자산 반납, 계정 삭제 또는 잠금, 접근권한 회수· 조정, 보안점검 등의 절차를 수립·이행

  - 불가피하게 계정을 공유 사용하고 있었다면 해당 계정의 비밀번호를 즉시 변경

  - 관련 기록을 보존하고 퇴직 절차 준수여부에 대하여 정기적으로 검토

  - 관련 법규 및 내부 규정 미준수, 책임 미이행, 중요 정보 및 개인정보의 훼손, 유· 노출, 오· 남용 등이 발견된 경우 조사, 소명, 징계 등의 조치 기준 및 절차 수립

  - 정보보호 및 개인정보보호 책임과 의무를 충실히 이행한 경우에 대한 보상 방안도 고려

  - 상벌 규정에 따른 조치를 수행하고 결과 기록

  - 필요한 경우 전사 공지 또는 교육 사례로 활용 등