Docs / Database / 표준 데이터베이스 운영관리 지침서

부칙 B. 공공시스템운영기관 특례

이 부칙은 고시 제14조부터 제18조까지가 적용되는 공공시스템운영기관에만 적용된다. 해당되지 않는 기관에는 적용되지 않으며, 본문 제1조부터 제14조까지와 부칙 A 만 적용된다. 해당 여부는 고시 제14조부터 제18조까지의 규정으로 확인한다.

이 부칙의 요구는 본문보다 강하다. 본문 조문을 충족해도 이 부칙의 요구가 자동으로 충족되지는 않으므로, 대상 기관은 두 층을 모두 이행한다.

B-1. 관리책임자 지정과 내부 관리계획

1. 공공시스템 별로 관리책임자를 지정하여야 한다.
2. 고시 제16조부터 제18조까지의 사항을 내부 관리계획에 포함하여야 한다.
3. 공공시스템별 관리책임자와 이 지침서의 데이터베이스 관리자가 다른 사람인 경우, 두 역할의 경계와 보고 경로를 문서로 정하여야 한다.

제1항과 제2항은 고시 제15조에 대응한다. 같은 조 제5호는 2027. 1. 1. 시행이다.

B-2. 접근 권한 관리

1. 접근 권한의 부여, 변경, 말소를 인사정보와 연계하여야 한다.
2. 인사정보에 등록되지 않은 자에게 계정을 발급하여서는 아니 된다. 불가피한 사유로 발급하는 경우에는 그 사유를 제3조 제4항의 부여·변경·말소 내역에 포함하여야 한다.
3. 계정을 발급할 때 개인정보 보호 교육을 실시하고 보안 서약을 받아야 한다.
4. 접근 권한의 부여, 변경, 말소 내역을 반기 1회 이상 점검하여야 한다.

이 항목들은 고시 제16조에 대응한다. 제4항의 반기 1회 이상은 권한 내역 점검에 관한 고시 요구다. 본문 제3조 제5항의 월 1회 이상은 계정 현황·접속기록·다운로드 상황 점검에 관한 이 지침서의 자체 기준이다. 점검 대상이 다르므로 한쪽이 다른 쪽을 대체하지 않는다. 두 점검의 기록은 분리해 남긴다.

B-3. 접속기록 분석

1. 접속기록을 자동화된 방식으로 분석하여 개인정보의 불법적인 유출, 오용, 남용 시도를 탐지하고, 그 사유를 소명하게 하여야 한다.
2. 이용기관이 소관 개인정보취급자의 접속기록을 직접 점검할 수 있는 기능을 제공하여야 한다.
3. 제1항의 탐지 기준, 소명 절차, 소명 결과의 기록 방법을 정하여야 한다.

제1항과 제2항은 고시 제17조에 대응한다. 본문 제8조는 접속기록을 수집·보관하고 주기적으로 점검하는 수준까지 정한다. 제17조는 그 위에 자동화된 분석과 소명 절차를 요구하므로, 수집 항목이 제8조 제1항의 다섯 가지를 모두 채우고 있어야 분석이 성립한다.

B-4. 취약점 점검과 침투테스트

1. 연 1회 이상 취약점 점검을 실시하여야 한다.
2. 연 1회 이상 외부 침투테스트를 실시하여야 한다.
3. 점검 및 테스트에서 발견된 사항은 이행계획을 수립하여 개선하고, 개선 결과를 기록하여야 한다.

제1항과 제2항은 고시 제18조에 대응하며, 제18조는 2027. 1. 1. 시행이다. 본문 제8조 제8항의 연 1회 이상 취약점 분석은 이 지침서의 자체 기준이고, 제18조가 적용되는 기관에서는 외부 침투테스트가 별도로 추가된다. 두 활동의 범위와 수행 주체를 분리해 계획한다.