인증심사기준

- G-ISMS 정보보호 대책 통제사항

	분야		통제		세부통제	인증심사기준
1	정보보호 정책	1.1	정보보호 정책	1.1.1	정보보호 정책의 문서화	정보보호 정책 문서는 책임자의 승인을 받아야 하고 공지되어야 한다
				1.1.2	정보보호 정책의 검토	정보보호 정책/대책/계획은 정기적으로 또는 적합성과 타당성 및 효과에 있어 중대한 변화가 발생된 경우에 검토하여야 한다.
2	정보보호 조직	2.1	정보보호 조직	2.1.1	정보보호를 위한 책임자 역할	책임자는 정보보호 방향 제시 및 검토, 역할 및 책임 승인, 조직의 협력 및 조정 확인 등의 역할 수행을 통하여 정보보호 활동을 능동적으로 지원하여야 한다.
				2.1.2	정보보호 관련 위원회 구성 및 운영	정보보호관련 위원회를 구성하여 기관 전반에 걸친 중요한 정보보호 관련 심의 및 승인 기능을 수행하며 필요한 자원 할당을 통해 정보보호 관리 활동이 적절하게 수행될 수 있도록 하여야 한다.
				2.1.3	정보보호 책임의 할당	정보보호 책임은 명확히 정의되어야 한다.
				2.1.4	정보시스템 도입에 대한 인가절차	신규 정보시스템 도입 시 정보보호 요구사항을 반영하는 인가절차를 수립하여야 한다.
				2.1.5	보안 서약서	정보보호를 위한 기관의 요구사항을 반영하여 보안 서약서의 내용을 정의하고 정기적으로 검토하여야 한다.
				2.1.6	관련기관과의 연계	관련기관과의 상시협조체계를 마련하여 유지하여야 한다.
				2.1.7	전문적인 그룹과의 연계	전문적인 보안 관련 그룹과 적절한 연계를 유지하여야 한다.
				2.1.8	정보보호에 대한 독립적인 검토	정보보호에 대한 기관의 활동은 정기적으로 또는 보안 환경에 중요한 변화가 있을 경우 독립적으로 검토하여야 한다.
3	자산관리	3.1	자산에 대한 책임	3.1.1	자산 목록	주요 정보자산에 대한 목록을 작성하고 관리하여야 한다.
				3.1.2	자산관리자	정보자산에 대하여 자산관리자를 명시적으로 지정하여야 한다.
				3.1.3	자산의 허가된 사용	정보자산의 사용 규정을 문서화 하고 이에 따라 적용하여야 한다.
		3.2	정보자산 분류	3.2.1	분류 기준	정보자산은 업무에 대한 정보의 필요성 및 영향을 고려하여 분류되어야 한다.
				3.2.2	정보처리 규정	기관의 정보자산 분류 기준에 근거하여 정보에 대한 처리 방식을 규정하고 이에 따라 적용하여야 한다.
4	인적보안	4.1	채용시 인적 보안	4.1.1	역할과 책임	직원의 신규 채용시 정보보호에 관한 역할 및 책임이 문서화되어야 한다.
				4.1.2	적격심사	관련 법규 및 업무 요구사항에 따라 채용 대상자에 대한 적격심사가 수행되어야 한다.
				4.1.3	고용계약	채용 대상자는 정보보호에 대한 책임이 포함된 고용계약서에 동의하고 서명하여야 한다.
		4.2	재직시 인적 보안	4.2.1	정보보호 수행관리	내부직원 및 외주용역 전 직원이 수립된 정책 및 기관의 절차에 따라 정보보호를 수행할 수 있도록 관리하여야 한다.
				4.2.2	정보보호 교육 및 훈련	내부직원 및 외주용역 전 직원을 대상으로 주기적인 정보보호 교육 및 훈련을 실시하여야 한다.
				4.2.3	징계 규정	보안을 위반한 직원에 대한 공식적인 징계 규정이 있어야 한다.
		4.3	퇴직 및 직무변경	4.3.1	퇴직 시 책임사항	퇴직 및 직무 변경에 관한 책임이 명시적으로 정의되고 수행되어야 한다.
				4.3.2	자산의 반납	모든 직원은 퇴직 및 계약 종결 시 소유한 기관의 자산을 반납하여야 한다.
				4.3.3	접근권한의 제거	퇴직, 계약 종결 또는 직무 변경 등의 사유가 발생할 경우 정보시스템에 대한 해당 직원의 접근권한이 제거되어야 한다.
		4.4	외부자 보안	4.4.1	외부자와 관련된 위험파악	외부자와 관련된 업무에서의 정보와 정보처리시설에 대한 위험을 파악하고, 접근 권한을 부여하기 전에 적절한 통제를 구현하여야 한다.
				4.4.2	민원인 접근에 대한 보안	기관의 정보 및 자산에 대한 민원인의 접근을 허용하기 전에 파악된 보안 요구사항에 대한 적절한 조치를 수행하여야 한다.
				4.4.3	외주용역 계약에 대한 보안	기관의 정보 또는 정보처리시설에 대하여 외주용역 직원의 접근을 허용할 경우 기관의 보안 요구사항을 계약서상에 명시하여야 한다.
5	물리적 보안	5.1	보호구역	5.1.1	물리적 보호구역	정보 및 정보처리시설이 설치된 장소를 보호하기 위해 물리적 보호구역(제한지역, 보호구역, 통제구역)을 지정하여야 한다.
				5.1.2	물리적 출입통제	보호구역은 인가된 사람만 출입이 가능하도록 출입통제 장치를 설치하고 운영하여야 한다.
				5.1.3	사무실 및 설비 공간 보호	사무실 및 설비 공간에 대한 물리적인 보호방안을 수립하고 적용하여야 한다.
				5.1.4	외부 및 환경 위협에 대한 보호	자연재해 및 인재로 인한 피해에 대비하기 위해 물리적인 보호방안을 수립하고 적용하여야 한다.
				5.1.5	보호구역 작업	보호구역에서의 작업을 위한 물리적인 보호방안을 수립하고 적용하여야 한다.
				5.1.6	공공장소 및 운송․하역구역	공공장소 및 운송․하역을 위한 구역은 내부 정보처리시설로부터 분리 및 통제하여야 한다.
		5.2	정보처리시설 및 장비 보호	5.2.1	정보처리시설의 배치	정보처리시설은 물리적인 위협과 비인가된 접근으로부터 보호될 수 있도록 배치하여야 한다.
				5.2.2	설비 지원	정보처리시설은 전원 장애 및 공조시설의 장애에 따른 중단으로부터 보호되어야 한다.
				5.2.3	케이블 보호	전원을 공급하는 전력선과 데이터를 전송하는 통신선은 손상이나 도청으로부터 보호하여야 한다.
				5.2.4	시설 및 장비 유지보수	정보처리시설은 가용성과 무결성을 지속적으로 보장할 수 있도록 유지보수 하여야 한다.
				5.2.5	외부 반출 장비의 보안	외부로 반출된 정보시스템 장비는 사용과정에서 발생할 수 있는 위험에 대한 적절한 대책을 수립 및 적용하여야 한다.
				5.2.6	장비의 폐기 및 재사용	저장매체를 가지고 있는 장비의 폐기 및 재사용 시 정보 및 소프트웨어가 안전하게 삭제되었는지 점검하여야 한다.
				5.2.7	장비의 반출․입	장비 및 저장매체를 반입 및 반출하기 위한 안전한 승인 절차를 마련하여야 한다.
6	통신 및 운영관리	6.1	운영절차 및 책임	6.1.1	운영절차의 문서화	정보시스템 운영절차를 문서화하고 관리하여야 한다.
				6.1.2	변경관리	정보시스템의 변경에 대한 통제 방안을 수립하고 시행하여야 한다.
				6.1.3	직무분리	정보시스템에 대한 고의적 또는 우발적 오용의 위험을 감소시키기 위해 직무가 분리되어야 한다.
				6.1.4	개발, 시험 및 운영환경의 분리	정보시스템의 개발, 시험 및 운영환경은 비인가된 접근 또는 변경의 위험을 최소화하기 위해 분리되어야 한다.
		6.2	위탁 서비스 관리	6.2.1	서비스 계약	서비스 범위 및 보안 대책을 포함한 위탁 서비스 계약을 체결하고 이에 따른 위탁 서비스 제공자의 이행을 확인하여야 한다.
				6.2.2	서비스 모니터링 및 검토	위탁 서비스에 대한 보고서 및 기록은 정기적으로 모니터링 및 검토하여야 한다.
				6.2.3	서비스 변경관리	위탁 서비스의 변경은 관련된 업무의 중요도와 정보시스템의 위험평가를 고려하여 관리되어야 한다.
		6.3	정보시스템 도입	6.3.1	정보시스템 도입 계획	정보시스템의 처리 속도와 용량에 대하여 주기적인 모니터링을 수행하고 안정성의 확보에 필요한 시스템 도입 계획을 수립하여야 한다.
				6.3.2	정보시스템 인수	새로 도입되는 정보시스템에 대한 인수 기준이 수립되어야 하며, 인수 전에 테스트가 수행되어야 한다.
		6.4	유해소프트웨어 통제	6.4.1	악성코드 통제	악성코드로부터 정보시스템의 보호를 위한 통제 방안을 수립하고 사용자 교육 및 훈련을 수행하여야 한다.
				6.4.2	모바일 코드 통제	모바일 코드(자바스크립트, 액티브엑스 등)의 안전한 실행을 위한 통제 방안을 수립하여야 한다.
		6.5	백업	6.5.1	정보 백업	중요 정보와 소프트웨어의 백업을 위한 규정을 수립하고 주기적으로 백업을 수행하여야 한다.
		6.6	네트워크 보안	6.6.1	네트워크 통제	네트워크로 전송되는 정보와 네트워크에 연결된 정보시스템에 대한 보안을 유지하기 위하여 통제 방안을 수립하고 운영하여야 한다.
				6.6.2	네트워크 서비스 보안	네트워크 서비스에 대한 보안 기능, 서비스 수준, 관리 요구사항을 고려하여 네트워크 서비스 계약을 체결하여야 한다.
		6.7	매체 관리	6.7.1	휴대용 저장매체의 관리	휴대용 저장매체에 대한 관리 방안이 수립되어야 한다.
				6.7.2	매체 폐기	매체의 불용처리 시 저장내용을 식별할 수 없도록 소각, 파쇄 등의 폐기 방안을 수립하여야 한다.
				6.7.3	정보 취급 절차	매체에 포함된 정보의 비인가된 유출, 변경, 손상으로부터 보호하기 위한 취급 방안을 수립하여야 한다.
				6.7.4	시스템 문서의 보안	시스템 문서를 비인가된 접근으로부터 보호하기 위한 관리 방안을 수립하여야 한다.
		6.8	정보의 교환	6.8.1	정보 교환의 통제	통신 설비를 사용한 정보의 교환 시 안전한 절차와 통제가 수립되어야 한다.
				6.8.2	정보 교환 계약	정보 및 소프트웨어를 타 기관과 교환할 경우 공식적인 계약을 체결하여야 한다.
				6.8.3	운송중인 매체의 보호	정보를 포함한 매체는 기관 외부로 운송시 인가되지 않은 접근, 변경, 손상으로부터 보호하여야 한다.
				6.8.4	전자적 교환 보안	전자 메일, 메신저 및 P2P 통신과 같은 전자적인 교환에 대한 보호 방안을 수립하여야 한다.
				6.8.5	정보시스템 접속 통제	정보시스템 간의 안전한 접속을 보장하고 관련 정보를 보호하기 위한 방안을 수립하여야 한다.
		6.9	전자상거래 서비스	6.9.1	전자상거래	전자상거래 관련 정보는 허위 행위, 계약 분쟁, 그리고 인가받지 않은 공개와 변경으로부터 보호되어야 한다.
				6.9.2	온라인거래	온라인 거래에 관련된 정보는 전송 실패, 라우팅 오류, 인가받지 않은 메시지 변조, 공개, 복제나 재생 등을 방지하도록 보호하여야 한다.
				6.9.3	공개정보	민원인이 사용할 수 있는 시스템에서의 이용 정보를 보호하기 위한 무결성 유지 방안을 수립하여야 한다.
		6.10	모니터링	6.10.1	감사 로그	사용자 활동, 예외 처리, 정보보호 사고에 대한 조사와 모니터링을 지원하기 위해 감사 로그를 기록하고 관리하여야 한다.
				6.10.2	정보시스템 사용 모니터링	정보처리시설의 사용에 대한 모니터링 방안을 수립하여야하고 모니터링 결과를 주기적으로 검토하여야 한다.
				6.10.3	로그 정보의 보호	로그 기록 장치와 로그 정보는 비인가된 접근 및 변경으로부터 보호하여야 한다.
				6.10.4	관리자 및 운영자 로그	정보시스템 관리자와 운영자의 활동을 기록 및 검토하여야 한다.
				6.10.5	장애 로그	장애 로그를 기록하고 분석하여 적절한 대응 방안을 수립하여야 한다.
				6.10.6	시간 동기화	기관 내부의 정보시스템은 정확한 시간으로 동기화하여야 한다.
7	접근통제	7.1	접근 통제에 대한 업무 요구 사항	7.1.1	접근통제 방안 수립	업무와 정보의 접근에 대한 보안 요구사항에 기초하여 접근통제 방안을 수립 및 문서화하고 주기적으로 검토하여야 한다.
		7.2	사용자 접근 관리	7.2.1	사용자 등록	정보시스템과 서비스에 접근을 허용하거나 취소하기 위한 공식적인 사용자 등록 및 해지 절차가 있어야 한다.
				7.2.2	특수권한 관리	특수권한의 할당이나 사용을 제한하고 통제하여야 한다.
				7.2.3	패스워드 관리	패스워드는 승인된 절차에 의해 통제 및 관리되어야 한다.
				7.2.4	접근권한의 검토	사용자의 접근권한을 주기적으로 검토하여야 한다.
		7.3	사용자 책임	7.3.1	패스워드 사용	안전한 패스워드 사용 및 관리 지침을 수립하여야 한다.
				7.3.2	이석시의 장비 보안	사용자가 자리를 비울 때 비인가된 접근으로부터 장비를 보호하기 위한 방안을 수립하여야 한다.
				7.3.3	클린데스크	중요 문서, 출력물, 저장매체를 책상 및 우편보관함 등에서 사용자가 보호하는 방안을 수립하여야 한다.
		7.4	네트워크 접근통제	7.4.1	네트워크 서비스의 사용정책	사용자가 인가를 받은 서비스에만 접속할 수 있도록 통제하는 방안을 수립하여야 한다.
				7.4.2	원격접속 사용자 인증	원격 사용자의 접속을 통제하기 위해 적절한 인증방법을 사용하여야 한다.
				7.4.3	네트워크에서의 장비 인식	특정 위치 및 장비로부터의 접속을 인증하기 위한 자동 장비 인식 방식을 사용하여야 한다.
				7.4.4	원격 진단 및 포트 설정 보호	포트를 구성하고 진단하기 위한 물리적․논리적 접속을 통제하여야 한다.
				7.4.5	네트워크 분리	서비스 그룹 및 사용자, 정보 시스템 별로 네트워크를 분리하여 운영하야 한다.
				7.4.6	네트워크 연결 제어	외부의 네트워크 접속은 접근통제 정책과 업무 요구사항에 따라 제한하여야 한다.
				7.4.7	네트워크 경로 제어	업무 응용의 접근통제 정책에 따른 컴퓨터 접속과 정보 흐름 통제를 위한 경로 제어를 수행하여야 한다.
		7.5	운영시스템 접근통제	7.5.1	로그온 절차	사용자의 접속을 통제하기 위한 적절한 로그온 절차를 사용하여야 한다.
				7.5.2	사용자 식별 및 인증	사용자에 대한 유일한 ID를 부여하고 적절한 인증 방법을 사용하여야 한다.
				7.5.3	패스워드 관리 체계	패스워드를 관리하는 체계는 대화형이어야 하고, 안전한 패스워드를 유지할 수 있어야 한다.
				7.5.4	시스템 유틸리티의 사용	업무통제나 시스템을 무력화 할 수 있는 유틸리티의 사용은 한정되고 최고로 통제된 상황에서만 허용되어야 한다.
				7.5.5	세션 시간 종료	활성화 되지 않는 세션은 일정시간 경과 후 중지하여야 한다.
				7.5.6	연결 시간 제한	중요 정보나 응용시스템을 보호하기 위해 접속 시간을 제한하여야 한다.
		7.6	정보 접근제어	7.6.1	정보 접근통제	정보나 서비스의 접근에 대한 통제 방안을 수립하여야 한다.
				7.6.2	민감 시스템 격리	내․외부로부터의 접근통제 강화가 요구되는 민감 장비나 시스템은 격리되어야 한다.
		7.7	이동 컴퓨팅 및 원격지 근무	7.7.1	이동 컴퓨팅 및 통신	이동 컴퓨팅 도구와 통신설비를 사용하는 위험을 감소시키기 위해 적절한 보호방안이 적용되어야 하고 공식적인 정책이 수립되어야 한다.
				7.7.2	원격지 근무	원격지 근무 활동에 관한 정책, 운영계획과 절차가 개발되고 적용되어야 한다.
8	정보시스템 요구사항, 개발 및 유지보수	8.1	정보시스템의 보안 요구사항	8.1.1	정보시스템 보안 요구사항 분석과 설계	새로운 정보시스템 설치나 기존의 정보시스템 기능향상에 관한 업무 요구서에는 보호방안의 요구사항에 관해 명시하여야 한다.
		8.2	응용프로그램의 정확한 처리	8.2.1	입력 데이터의 검증	응용프로그램에 입력되는 데이터는 사전에 적절하고 정확한지 검증되어야한다.
				8.2.2	내부 프로세스 통제	처리오류 및 고의적인 장애를 통한 정보의 변조를 탐지하도록 점검 기능을 응용프로그램에 구현하여야 한다.
				8.2.3	메시지 무결성	중요 데이터를 포함하는 메시지를 전송하는 경우 메시지가 변조되거나 훼손되지 않았음을 보장하기 위해 메시지에 대한 무결성 보장 통제를 적용하여야 한다.
				8.2.4	출력 데이터의 검증	저장된 정보의 처리가 상황에 맞게 적절히 수행되었는지 확인하기 위해 응용프로그램에서 출력된 데이터를 검증하여야 한다.
		8.3	암호화 통제	8.3.1	암호화 통제	정보보호를 위한 암호화 정책을 수립하고 적용하여야 한다.
				8.3.2	키 관리	암호화 기법 사용을 지원하는 키 관리 방법을 마련하여야 한다.
		8.4	시스템파일의 보안	8.4.1	운영소프트웨어 통제	운영 시스템에서 소프트웨어를 설치할 시 이에 대한 통제 절차를 수립 및 수행하여야 한다.
				8.4.2	시스템 테스트 데이터의 보호	테스트 데이터에 대한 접근을 통제하는 절차가 있어야 한다.
				8.4.3	프로그램 소스코드에 대한 접근통제	인가되지 않은 방식으로 소스코드가 변경되지 않도록 소스 코드에 대한 접근 통제를 수행하여야 한다.
		8.5	개발 및 지원과정에서의 보안	8.5.1	변경 통제 절차	정형화된 변경 통제 절차를 수립하고 이에 따라 변경의 수행을 통제하여야 한다.
				8.5.2	운영체제 변경에 따른 기술적 검토	운영체제(OS)가 변경되면 중요한 업무용 응용 프로그램을 검토 및 시험하여 기관의 운영이나 보안에 대한 영향을 확인하여야 한다.
				8.5.3	소프트웨어 패키지 변경 제한	소프트웨어 패키지 수정은 엄격하게 통제하여야 하며 꼭 필요한 변경일 경우로 제한하여야 한다.
				8.5.4	정보 유출 방지	정보 유출을 방지하는 통제를 수행하여야 한다.
				8.5.5	외부용역 소프트웨어 개발	외부용역을 통한 소프트웨어 개발을 감독하여야하고 모니터링 하여야 한다.
		8.6	기술적 취약성 관리	8.6.1	기술적 취약성 통제	정보시스템의 기술적인 취약점에 대해 시기적절한 정보를 유지하고 관련된 위험에 대응하기 위해 적절한 방법을 이행하여야 한다.
9	보안사고 관리	9.1	보안사고 및 취약점 보고	9.1.1	보안사고 보고	보안사고는 가능한 빨리 적절한 관리 채널을 통해 보고되어야 한다.
				9.1.2	취약점 보고	정보시스템과 서비스에 대한 사용자는 시스템 또는 서비스의 취약점을 기록하고 보고하여야 한다
		9.2	보안사고 대응 및 사후관리	9.2.1	대응 및 복구	보안사고에 빠르고 효과적이며 규정화된 대응을 보장하도록 관리 책임과 절차가 수립되어야 한다.
				9.2.2	보안사고 사후관리	보안사고의 유형, 규모, 비용 등을 정량화하고 모니터링 할 수 있는 적절한 방안을 수립하여야 한다.
				9.2.3	근거의 수집	보안사고로 인한 법적 조치가 필요한 경우, 객관적으로 증명할 수 있는 증거를 수집, 보유하여 제시할 수 있어야 한다.
10	업무 연속성 관리	10.1	업무연속성 관리	10.1.1	업무연속성 관리를 위한 정보보호	조직의 업무연속성에 필요한 정보보호 요구사항을 만족하기 위하여 조직 전반적인 업무연속성에 대한 관리 절차가 수립 및 유지되어야 한다.
				10.1.2	업무연속성에 대한 영향평가	업무 중단을 초래할 수 있는 사건은 중단의 가능성 및 영향과 정보보호에 대한 중요성에 따라 평가되어야 한다.
				10.1.3	정보보호를 포함한 연속성 계획 수립 및 구현	중요한 업무의 중단 또는 장애 후에 요구된 시간 내로 요구된 수준만큼 운영을 유지 및 복구할 수 있도록 업무연속성계획을 수립하고 구현하여야 한다.
				10.1.4	업무연속성 계획 체계	모든 계획의 일관성 유지, 정보보호 요구사항의 일관된 처리, 시험 및 유지보수의 우선순위 판단을 위해 업무연속성 계획의 단일 체계를 관리하여야 한다.
				10.1.5	업무연속성 계획의 시험, 유지 및 재평가	업무연속성 계획은 최신성과 효율성을 보장하기 위하여 주기적으로 시험 및 갱신되어야 한다.
11	준거성	11.1	법적 요구사항 준수	11.1.1	관련 법률 파악	관련 법적 요구사항을 만족하기 위해 법률 및 조직의 정책 등을 최신으로 유지하여야 한다.
				11.1.2	지적재산권	지적 재산권에 대한 법적 준수를 위해 지적재산권 확인 및 계약 등에 대한 절차를 수립하여야 한다.
				11.1.3	기관의 기록 보호	법, 정책, 계약 및 업무 요건에 따라 중요 기록을 손상, 파괴, 위조로부터 보호하기 위한 방안을 수립하여야 한다.
				11.1.4	정보처리시설의 오남용 방지	사용자는 인가되지 않은 목적으로 정보처리시설을 사용해서는 안 된다.
		11.2	정보보호 정책 준수	11.2.1	정책의 준수	정보보호 규정이 제대로 준수되는지에 대한 점검을 주기적으로 수행하여야 한다.
				11.2.2	기술표준의 준수	정보시스템에 대한 구현이 기술적 보안 표준을 준수하는지 정기적인 점검을 실시하여야 한다.
		11.3	정보시스템 감사 고려사항	11.3.1	감사 활동	감사 활동은 업무의 중단을 최소화하도록 계획 및 수행되어야 한다.
				11.3.2	감사 도구의 보호	정보시스템 감사도구에 대한 오용 및 손상을 방지하기 위한 통제를 수행하여야 한다.
12	개인정보보호	12.1	개인정보 관리	12.1.1	개인정보 보호계획	기관 내 개인정보보호 계획(정책)이 수립되어 있어야 한다.
				12.1.2	개인정보 보호조직	개인정보보호를 위한 조직이 구성되어 있어야 한다.
				12.1.3	개인정보 관리책임관	개인정보보호 계획의 수립 및 관련 업무의 총괄 등을 위해 개인정보관리책임관을 지정하여야 한다.
				12.1.4	개인정보 보호방침	기관 내 개인정보보호방침을 수립하고, 그 내용을 관보 또는 인터넷 홈페이지 등에 게재하여야 한다.
				12.1.5	개인정보 취급자 교육	개인정보취급자에 대하여 정기적으로 개인정보보호에 관한 교육을 실시하여야 한다.
		12.2	CCTV 설치 및 관리	12.2.1	CCTV 설치 시 사전의견 수렴	CCTV를 설치하는 경우 관련 전문가 및 이해관계인의 의견을 수렴하여야 한다.
				12.2.2	개인영상 정보의 보호	설치된 CCTV는 설치목적을 넘어 카메라를 임의로 조작하거나 다른 곳을 비춰서는 아니 되며, 녹음기능은 사용해서는 아니 된다.
				12.2.3	안내판의 설치	CCTV를 설치한 장소에 정보주체가 이를 쉽게 인식할 수 있도록 안내판을 설치하는 등의 필요한 조치를 취하여야 한다.
				12.2.4	설치․관리 사무의 위탁	CCTV의 설치 및 관리에 관한 사무를 위탁한 경우 개인정보보호에 필요한 사항을 위탁계약서 등 관련 서류에 기록하고, 안내판에 수탁기관의 명칭 등을 게재하여야 한다.
		12.3	개인정보의 수집 및 처리	12.3.1	개인정보의 수집	민감한 개인정보를 수집하여서는 아니 되며, 개인정보를 수집하는 경우 정보주체가 그 내용을 문서 또는 인터넷 홈페이지 등을 통하여 쉽게 확인할 수 있도록 안내하여야 한다.
				12.3.2	개인정보파일의 보유	소관업무를 수행하기 위하여 필요한 범위 안에서만 개인정보파일을 보유하여야 한다.
				12.3.3	개인정보 파일대장의 작성	개인정보파일을 신규 보유하게 되거나 다른 기관으로부터 제공받아 보유할 경우 개인정보 파일대장을 작성해야 한다.
				12.3.4	개인정보파일의 보유 및 변경시 사전협의	개인정보파일을 보유 및 변경하고자 할 때, 행정안전부 장관과 협의하여야 한다.
				12.3.5	개인정보파일대장	기관이 보유하고 있는 개인정보파일별 대장을 일반인이 열람할 수 있도록 하여야 한다.
				12.3.6	개인정보의 위탁처리	개인정보의 처리를 위탁하는 경우 관보 또는 인터넷 홈페이지 등을 통하여 미리 그 사실을 공개하여야 하며, 위탁계약서 상에 개인정보보호에 관한 내용을 포함하고 수탁기관에 대한 관리 실태를 점검하여야 한다.
				12.3.7	처리정보의 이용 및 제공의 제한	처리정보를 이용하거나 제공하는 경우 보유목적 범위내로 제한하고, 처리정보 이용․제공 대장에 기록․관리하여야 한다.
				12.3.8	입출력자료의 관리	개인정보의 입출력 자료가 유출되지 않도록 필요한 조치를 취하고, 입출력자료관리대장에 기록 ․ 관리하여야 한다.
				12.3.9	개인정보파일의 파기	개인정보파일의 보유가 불필요하게 된 경우 개인정보파일을 지체 없이 파기하고, 파기한 사실을 관보 또는 인터넷 홈페이지 등에 공고하여야 한다.
		12.4	개인정보처리의 열람 및 정정	12.4.1	개인정보 처리의 열람	정보주체가 개인정보파일대장에 기재된 범위 안에서 문서로 본인에 관한 처리정보의 열람을 할 수 있도록 조치하여야 한다.
				12.4.2	개인정보 처리의 열람 제한	처리정보의 전부 또는 일부에 대하여 열람을 허용하지 않는 경우에는 그 사유의 법령상 근거 및 당해 결정에 대한 사항을 기재한 열람제한결정서를 청구인에게 송부하여야 한다.
				12.4.3	개인정보 처리의 정정 및 삭제	본인의 처리정보를 열람한 정보주체가 당해 처리정보의 정정 또는 삭제를 할 수 있도록 조치하여야 한다.
		12.5	개인정보의 기술적 보호조치	12.5.1	웹사이트 개인정보 노출 방지	웹사이트의 개인정보 노출 방지를 위해 취약점 점검, 모니터링 등의 안전성 확보에 필요한 조치를 강구하여야 한다.
				12.5.2	개인정보 저장 시 암호화	주민등록번호 등 주요개인정보에 대해서는 안전한 알고리즘으로 암호화하여 저장하여야 한다.
				12.5.3	개인정보 전송 시 암호화	개인정보를 송․수신할 때에는 안전한 보안서버 구축 등의 조치를 통해 암호화하여 전송하여야 한다.
				12.5.4	주민번호 대체수단	인터넷상의 본인확인 과정에서 주민등록번호 대체수단을 도입하여야 한다.