제1조 ~ 제14조

제1조 데이터베이스 관리자

데이터베이스 관리자(DBA)는 다음 각 호의 역할을 수행하여야 한다.
1. 데이터베이스의 운영 및 관리, 유지보수
2. 데이터베이스 보안정책의 설정 및 주기적 검토
3. 데이터베이스의 장애 및 이상 발생 시 신속한 조치 및 보고
4. 데이터베이스 계정 및 비밀번호 관리, 성능 및 로그 관리
5. 데이터베이스 접근제어시스템을 통한 정보자산의 접근권한 관리, 접속기록 관리 및 주기적 점검
6. 데이터베이스에 저장된 개인정보의 파기 수행 및 기록
7. 그 밖에 데이터베이스 보안에 필요한 업무
데이터베이스 관리자와 정보보안담당자의 역할과 책임은 문서로 정하고, 담당자 변경 시 인수·인계 내역을 기록하여야 한다.
데이터베이스 관리자는 제1항 각 호의 업무 수행 기록을 남기고, 정보보안담당자가 확인할 수 있도록 관리하여야 한다.

제2항은 고시 제4조제1항이 내부 관리계획에 포함하도록 정한 항목 중 개인정보 보호책임자와 개인정보취급자의 역할·책임에 대응한다. ISMS-P 인증기준에서는 2.1.1 부터 2.1.3 까지의 정책·조직·정보자산 관리 항목이 이 조문과 맞물린다.

제2조 데이터베이스 도입

데이터베이스 관리자는 데이터베이스 도입 시 목적에 맞는 용량과 성능을 고려하여야 하며, 설치 시 다음 각 호의 사항을 준수하여야 한다.
1. ‘데이터베이스 도입 체크리스트’를 검토하고 보안강화를 적용하여 구성하여야 한다.
2. 서비스 적용 전 보안강화 조치의 이행을 완료하여야 한다.
3. 설치 후 접근제어 정책을 구성하여 일반 사용자가 데이터베이스 장비에 접근할 수 없도록 접근통제를 적용하여야 한다.
데이터베이스 관리자는 도입 시 다음 각 호를 판단하여 기록하여야 한다.
1. 해당 데이터베이스가 개인정보처리시스템에 해당하는지 여부
2. 저장하는 개인정보의 항목과 제5조의 암호화 대상 포함 여부
3. 제8조에 따라 적용할 접속기록 보관 기간
4. 소유 부서, 데이터 등급, 개인정보 포함 여부 등 자산 목록에 등록할 정보
데이터베이스의 구성·설정·버전 변경은 변경 사유, 승인자, 적용 일시, 결과를 기록하여야 한다.
데이터베이스의 철수 및 폐기, 저장된 개인정보의 파기는 제10조에 따른다.

제2항 제1호가 이 조문의 출발점이다. 고시 제2조는 개인정보처리시스템을 “데이터베이스시스템 등 개인정보를 처리할 수 있도록 체계적으로 구성한 시스템”으로 정의한다. 데이터베이스가 곧 규율 대상이 될 수 있으므로, 해당 여부를 도입 시점에 판단해 두면 이후 조문의 적용 범위가 정해진다. 제3항은 ISMS-P 인증기준 2.9.1 변경관리에 대응한다.

제3조 데이터베이스 사용자관리

데이터베이스 접근제어시스템을 통한 데이터베이스 접근을 필요로 하는 경우, ‘DB계정 사용 신청서’를 작성하여 데이터베이스 관리자에게 권한 등록을 요청할 수 있다.
데이터베이스 관리자는 정보보안담당자의 승인을 받은 후 계정 신청자에게 데이터베이스 접근제어시스템의 접근 권한을 부여하여야 한다. 이때 권한은 업무 수행에 필요한 최소한의 범위로 차등 부여하여야 한다.
전보, 퇴직, 위탁 계약 종료 등 인사이동이나 신분 변동이 있는 경우 데이터베이스 관리자는 지체 없이 해당 접근 권한을 변경하거나 말소하여야 한다.
데이터베이스 관리자는 접근 권한의 부여, 변경, 말소에 관한 내역을 기록하고 그 기록을 최소 3년간 보관하여야 한다.
데이터베이스 관리자는 ‘로그 및 정책 점검 보고서’를 참조하여 다음 각 호를 점검하고 정보보안담당자에게 보고하여야 한다.
1. 데이터베이스 계정 부여 현황과 사용하지 않는 계정
2. 사용자별 접속기록
3. 개인정보 다운로드 상황
4. 제4조의 권한 구분과 실제 부여된 권한의 일치 여부
1인 1계정을 사용하여야 하며, 공용 계정은 사용하지 않는 것을 원칙으로 한다. 다만, 공용 계정의 사용이 필요한 경우 정보보안담당자의 승인을 득하여야 한다.
점검 결과 부적합 사항이 발견된 경우 사후조치 내역과 완료 여부를 기록하여야 한다.

제2항부터 제4항까지, 그리고 제6항은 고시 제5조(접근 권한의 관리)에 대응한다. 최소한의 범위로 차등 부여는 제5조제1항, 인사이동 시 지체 없는 변경·말소는 제5조제2항, 부여·변경·말소 내역의 3년 이상 보관은 제5조제3항, 계정의 개별 발급과 공유 금지는 제5조제4항이다.

제5항의 점검 주기는 고시가 숫자로 정하지 않는다. 고시 제8조제2항은 개인정보취급자의 접속기록 및 개인정보 다운로드 상황을 확인·점검하는 주기, 방법, 사후조치절차를 내부 관리계획에 정하고 이행하도록 한다. 이 지침서는 그 주기를 월 1회 이상으로 정한다. 내부 관리계획이 다른 주기를 정하면 그쪽을 따르고 이 지침서를 수정한다.

WARNING — 권한 내역 3년과 접속기록 1~2년은 다른 기간이다

제4항의 3년은 접근 권한 부여·변경·말소 내역에 대한 기간이고, 제8조의 1년 또는 2년은 접속기록에 대한 기간이다. 근거 조항이 각각 고시 제5조제3항과 제8조제1항으로 다르다. 두 기록을 같은 저장소에 모아 두더라도 보관 기간은 한 값으로 묶지 않는다. 기간별 대조는 제8조의 보관 기간 표에 있다.

제4조 데이터베이스 접근제어

데이터베이스에 접근하는 모든 사용자는 데이터베이스에 직접 접근을 지양하며, 데이터베이스 접근제어시스템을 통해 접근하여야 한다.
데이터베이스 관리자는 정보보안담당자와 협의하여 데이터베이스에 접근할 수 있는 권한을 부서 또는 업무에 따라 다음 각 호와 같이 분리하여야 한다.
1. 데이터베이스 관리자(DBA)
2. 애플리케이션 서비스 계정
3. 배치 서비스 계정
4. 일반 사용자
5. 읽기 전용 사용자
6. 감사·조회 전용 사용자
사용자에게 접근권한을 부여하는 경우, 적절한 롤(Role)을 생성하여 필요한 시스템 권한 및 오브젝트 권한을 롤에 부여하고 사용자를 롤에 귀속시켜야 한다. 개별 사용자에게 권한을 직접 부여하는 경우 사유와 승인 내역을 기록하여야 한다.
오브젝트 권한 부여 시 권한을 부여받은 사용자가 또 다른 사용자에게 권한을 부여할 수 없도록 하여야 한다.
데이터베이스 서버는 다른 공개 서비스(Web 서비스 등)와 분리하여 운영하여야 하며, 외부 망에서 데이터베이스의 직접 접속을 차단하여야 한다. 다만, 업무 상 필요한 경우 정보보안담당자의 승인을 받아야 한다.
외부에서 데이터베이스 또는 데이터베이스 접근제어시스템에 접속하는 경우에는 인증서, 보안토큰, 일회용 비밀번호 등 안전한 인증수단을 적용하거나 안전한 접속수단을 적용하여야 한다.
접근제어 정책의 변경은 변경 전후 내용을 기록하고, 제3조 제5항의 점검 대상에 포함하여야 한다.
제2항 각 호의 롤에 허용되는 권한 유형은 다음 표에 따른다.

롤	허용 권한 유형	비고
데이터베이스 관리자(DBA)	시스템 권한, 스키마 변경, 계정·권한 관리	최소 인원으로 한정, 개인별 계정
애플리케이션 서비스 계정	지정 스키마의 조회·입력·수정·삭제	대화형 로그인 금지
배치 서비스 계정	지정 오브젝트의 조회 및 일괄 처리 권한	실행 창구와 시간대 제한
일반 사용자	담당 업무 범위의 조회·입력·수정	승인된 오브젝트로 한정
읽기 전용 사용자	지정 오브젝트 조회	스키마 변경 불가
감사·조회 전용 사용자	접속기록 및 감사 로그 조회	업무 데이터 변경 권한 없음

제6항은 고시 제6조제2항에 대응한다. 제2항과 제8항의 롤 구분은 고시가 목록으로 정한 것이 아니다. 권한 최소화를 검증할 수 있게 만들려고 이 지침서가 정한 구분이다. 관리자와 사용자 두 단계로만 나누면 제3항의 롤 귀속 조문이 실제로 무엇을 제한하는지 확인할 수 없다. ISMS-P 인증기준에서는 2.6.4 데이터베이스 접근이 이 조문 전체에, 2.6.1 네트워크 접근이 제5항에, 2.6.2 정보시스템 접근이 제1항에, 2.6.3 응용프로그램 접근이 제3항과 제4항에, 2.6.6 원격접근 통제가 제1항과 제6항에 대응한다.

제5조 데이터베이스 암호화

다음 각 호의 정보를 데이터베이스에 저장하는 경우에는 암호화하여야 한다.
1. 주민등록번호
2. 여권번호
3. 운전면허번호
4. 외국인등록번호
5. 신용카드번호
6. 계좌번호
7. 생체인식정보
8. 비밀번호
9. 그 밖에 정보보안담당관이 정하는 중요 정보
암호화 적용 시 “암호기술 및 키 유효기간”을 참고하여 한국인터넷진흥원 등의 국내외 전문기관에서 정한 안전한 암호화 알고리즘을 적용하여 암호화하여야 한다.
정보보안담당자는 제7조에 따라 데이터베이스 암호화 키관리 업무를 수행하여야 한다.
개인정보처리시스템의 암호화는 내부 관리계획이 정한 절차를 따라야 하며, 이 지침서와 내부 관리계획의 관계는 제14조에 따른다.

제1항 제1호부터 제7호까지는 고시 제7조제2항이 이용자의 개인정보를 저장할 때 암호화 대상으로 열거한 일곱 개 항목이다. 제8호와 제9호는 이 지침서가 함께 대상으로 둔 것이다. 고시 제7조는 이용자의 개인정보와 이용자가 아닌 정보주체의 개인정보를 각각 다른 항에서 규정하므로, 처리하는 정보주체의 구분에 따라 적용 항을 확인한다.

제7호의 용어는 생체인식정보다. 고시 제2조는 생체정보와 생체인식정보를 각각 정의하고, 제7조제2항이 암호화 대상으로 드는 것은 생체인식정보다. 제6조 제1항의 대상 목록도 같은 범위를 가리키며, 두 조문은 같은 목록을 쓴다.

제6조 암호화 기술 및 대상

다음 각 호의 정보를 데이터베이스 등 정보시스템에 저장하는 경우 또는 정보통신망을 통해 전송하는 경우에는 “암호기술 및 키 유효기간”에서와 같이 안전한 암호화 알고리즘을 적용하여 암호화하여야 한다.
1. 주민등록번호
2. 중요 개인정보 — 여권번호, 운전면허번호, 외국인등록번호, 신용카드번호, 계좌번호, 생체인식정보, 비밀번호
3. 그 밖에 정보보안담당관이 정하는 정보
업무 제휴, 개인정보 처리 위탁 등 외부기관에 파일 또는 정보통신망을 통해 제1항에서 정한 정보를 제공하는 경우 암호화하여야 한다.
업무용 PC 또는 노트북, 이동식 저장매체, 보조기억매체에 제1항에서 정한 정보를 저장할 경우 암호화하여야 한다. 다만, 응용 프로그램에서 암호화 기능을 제공하는 경우 이를 이용할 수 있다.
제1항의 안전한 암호화 알고리즘이란 국내외 전문기관이 안전하다고 권고하는 알고리즘을 말한다.
정보보안담당자는 적용 중인 알고리즘과 키 길이가 제4항의 권고에서 제외되었는지 주기적으로 확인하고, 교체가 필요한 경우 이행계획을 수립하여야 한다.

고시는 특정 안내서를 지정하지 않는다. 한국인터넷진흥원이 발행하는 암호화 조치 및 암호 키 관리 관련 안내서를 참고 기준으로 삼는 경우, 인용 시점의 현행 제목과 판을 확인하여 별도 문서에 기재한다. 조문 본문에 안내서 제목을 직접 적으면 제목이 바뀔 때 조문이 현행과 맞지 않게 된다.

제7조 암호화 키 관리

중요 정보를 암호화해야 하는 경우 정보보안담당자는 다음 각 호의 사항을 참고하여 정보보안관리자의 승인을 득하여 암호화 키를 생성하고 이를 “암호화 키 관리 대장”에 기록·관리하여야 한다.
1. 암호화 키는 암호화를 적용해 보관하여야 하며, 노출 위협을 최소화하기 위해 유효기간을 최대 5년으로 정하여야 한다. 다만, 정보시스템에 미치는 영향을 분석하여 그 영향이 중대할 경우 정보보안담당관의 승인을 득하여 유효기간을 연장할 수 있다.
2. 정보유출 등의 침해사고 발생 시 정보보안담당자는 정보보안관리자의 승인을 득하여 암호화 키를 변경하여야 하며 이를 “암호화 키 관리 대장”에 기록·관리하여야 한다.
3. 암호화 키 및 관련 문서는 정보보안담당자가 관리하며 시건장치가 달린 문서함 또는 암호화 기능이 있는 보조기억매체 등 강력한 접근통제를 적용하여야 한다.
암호화 키의 유효기간이 만료되었을 경우 정보보안담당자는 해당 암호화 키를 정보보안관리자의 승인을 득하여 폐기하고 이를 “암호화 키 관리 대장”에 기록·관리하여야 한다.
암호화 키를 백업하는 경우 별도의 물리적 공간 또는 저장매체 등에 저장하여야 하며 이를 “암호화 키 관리 대장”에 기록·관리하여야 한다.
정보보안담당자는 적용된 암호화 기술의 적정성 및 유효성을 주기적으로 점검하여야 한다.
정보보안담당자는 암호 키의 생성, 이용, 보관, 배포, 파기에 관한 절차를 수립하여 시행하여야 한다. 절차에는 각 단계의 수행 주체, 승인 경로, 기록 방법이 포함되어야 한다.
키 교체를 시스템 제약으로 같은 방법으로 수행할 수 없는 경우에는 대체 절차와 그 절차가 남기는 기록을 사전에 정하여야 한다.

제5항은 고시 제7조제6항에 대응한다. 고시가 이 절차의 수립·시행을 요구하는 대상은 둘 중 하나에 해당하는 개인정보처리자다. 10만명 이상의 정보주체에 관한 개인정보를 처리하는 대기업·중견기업·공공기관, 또는 100만명 이상의 정보주체에 관한 개인정보를 처리하는 중소기업·단체다. 규모 요건에 해당하는지는 제14조의 적용 원칙에 따라 확인한다.

고시에 암호 키 유효기간 숫자는 없다. 제1항 제1호의 최대 5년은 이 지침서가 정한 기준이다. 제6항은 관리형 데이터베이스에서 키 교체 방법이 달라지는 경우를 위한 조문이며, 그 구체적인 제약은 부칙 A-2 에 있다.

제8조 데이터베이스 운영관리

데이터베이스 관리자는 정보보안담당자와 협의하여 감사 및 정보보안 사고 발생 시 책임추적성을 확보할 수 있도록 접속기록을 남겨야 하며, 접속기록에는 다음 각 호의 항목이 포함되어야 한다.
1. 접속한 개인정보취급자의 식별자
2. 접속일시
3. 접속지 정보
4. 처리한 정보주체 정보
5. 수행업무
제1항의 접속기록 외에 다음 각 호의 로그를 함께 수집·관리하여야 한다.
1. 데이터베이스 접속의 시작과 종료(로그온 및 로그오프)
2. 서버 시스템에 대한 접속 시도(인증 성공 및 실패 로그)
3. 계정 및 권한의 등록, 변경, 삭제
4. 스키마 및 오브젝트 구조의 변경
5. 대량 조회 및 다운로드 수행 내역
제1항의 접속기록은 1년 이상 보관·관리하여야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 2년 이상 보관·관리하여야 한다.
1. 5만명 이상의 정보주체에 관한 개인정보를 처리하는 개인정보처리시스템
2. 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템
3. 「전기통신사업법」 제6조제1항에 따라 등록·신고한 기간통신사업자
데이터베이스 관리자는 접속기록이 위·변조되거나 도난·분실되지 않도록 안전하게 보관하는 조치를 하여야 한다.
접속기록 및 개인정보 다운로드 상황의 점검은 제3조 제5항에 따르며, 점검 주기·방법·사후조치절차는 내부 관리계획에 정한 바에 따른다.
데이터베이스 관리자는 데이터베이스 시스템의 정상 작동 여부 확인을 위하여 시스템 자원 상태 감시가 가능한 모니터링 환경을 구축하고 모니터링 하여야 한다.
데이터베이스 관리자는 데이터베이스 시스템의 성능을 주기적으로 관리하며 연 1회 이상 정보보안담당자에게 신규 데이터베이스 도입 또는 업그레이드 필요 등의 사항을 보고하여야 한다.
데이터베이스 관리자는 데이터베이스 시스템에 대해 연 1회 이상 취약점 분석을 수행하고 이를 정보보안담당자에게 보고하여야 하며, 발견된 취약점에 대해 이행계획을 수립하여 개선하여야 한다.
데이터베이스 서버와 접속기록을 수집·보관하는 시스템의 시각은 신뢰할 수 있는 표준시 원천에 동기화하여야 하며, 동기화 상태와 이상 발생 시 조치 내역을 기록하여야 한다.
데이터베이스 관리자는 데이터베이스 엔진과 운영체제의 보안 패치에 대해 다음 각 호를 정하여 시행하여야 한다.
1. 패치 대상과 적용 주기
2. 긴급 패치의 판단 기준과 적용 경로
3. 적용을 유예하는 경우의 사유, 보완 통제, 승인 절차
4. 적용 결과의 기록 방법
데이터베이스와 관련된 각 기록의 보관 기간은 다음 표에 따른다.

대상	보관 기간	근거
개인정보처리시스템 접속기록 (일반)	1년 이상	고시 제8조제1항 본문
접속기록 — 5만명 이상의 정보주체에 관한 개인정보를 처리하는 시스템	2년 이상	고시 제8조제1항 제1호
접속기록 — 고유식별정보 또는 민감정보를 처리하는 시스템	2년 이상	고시 제8조제1항 제2호
접속기록 — 등록·신고한 기간통신사업자	2년 이상	고시 제8조제1항 제3호
접근 권한 부여·변경·말소 내역	3년 이상	고시 제5조제3항
개인정보처리시스템이 아닌 데이터베이스의 시스템 로그	6개월 이상	이 지침서 자체 기준
백업 데이터	제9조의 복구 목표에 맞춰 정한 기간	이 지침서 자체 기준

IMPORTANT — 표에서 가장 긴 기간을 찾아 적용한다

2년 이상 요건은 세 가지 중 하나에만 해당해도 적용된다. 정보주체 수가 5만명에 미치지 않아도 고유식별정보나 민감정보를 처리하면 제3항 제2호로 걸린다. 하나의 데이터베이스가 여러 호에 동시에 해당하면 가장 긴 기간을 적용한다. 어느 요건에 해당하는지는 제2조 제2항에서 도입 시점에 판단해 기록한 내용을 근거로 확인한다.

표의 마지막 두 행은 고시에 숫자가 없는 항목이다. 개인정보처리시스템이 아닌 데이터베이스의 시스템 로그 6개월 이상, 그리고 백업 데이터의 보관 기간은 이 지침서가 정한 기준이다. 같은 데이터베이스가 개인정보처리시스템에 해당하면 위 네 행이 우선한다.

제1항의 항목 구성은 고시 제2조의 접속기록 정의에 따른 것이다. 고시는 접속기록을 “식별자, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등을 전자적으로 기록한 것”으로 정의한다. 로그온과 로그오프만 남기면 이 정의를 충족하지 못한다. 처리한 정보주체 정보와 수행업무를 남기려면 데이터베이스 엔진의 기본 오류 로그나 슬로우 쿼리 로그로는 부족하다. 엔진의 감사 기능을 별도로 활성화해야 한다. 제2항은 제1항과 별개로 운영·보안 목적으로 필요한 로그이며, 제1항을 대체하지 않는다.

제4항은 고시 제8조제3항에 대응한다. 제7항의 연 1회 이상 보고와 제8항의 연 1회 이상 취약점 분석은 고시가 정한 숫자가 아니다. 이 지침서가 정한 기준이다. 공공시스템운영기관에는 취약점 점검과 침투테스트에 관한 별도 요구가 적용되며 부칙 B-4 에서 다룬다.

제9항은 ISMS-P 인증기준 2.9.6 시간 동기화에 대응한다. 접속일시는 접속기록의 필수 항목이므로, 시각이 어긋나면 기록 전체의 증거력이 흔들린다. 제10항은 2.10.8 패치관리에 대응하며, 부칙 A-1 표의 패치 관리 항목이 본문에서 걸리는 자리다.

제9조 데이터베이스 백업관리

데이터베이스 관리자는 서비스 제공 및 업무 수행과 직접 관련된 정보를 주기적으로 백업하고, 백업 매체를 안전한 곳에 보관하여야 한다. 백업은 물리적 재난이나 정보통신설비의 오류 등으로 긴급 상황이 발생할 때 즉시 복구할 수 있는 상태로 유지하여야 한다.
데이터베이스 관리자는 정보보안담당자와 협의하여 대상 데이터베이스별로 다음 각 호를 정하여 기록하여야 한다.
1. 백업 주기와 백업 방식
2. 백업 데이터의 보관 기간과 보관 위치
3. 복구 목표 시점(RPO)과 복구 목표 시간(RTO)
주요 백업자료는 정기적으로 검증하여 백업자료의 이상 유무를 확인하여야 한다. 검증은 실제 복원을 통해 수행하고, 그 결과를 기록하여야 한다.
데이터베이스 관리자는 재해·재난 상황에 대비하여 다음 각 호를 수행하여야 한다.
1. 위기대응 매뉴얼 등 대응절차를 마련하고 정기적으로 점검
2. 개인정보처리시스템의 백업 및 복구를 위한 계획 마련
백업 데이터에도 제5조의 암호화 요구와 제4조의 접근제어 요구를 동일하게 적용하여야 한다.

제4항은 고시 제11조(재해·재난 대비 안전조치)에 대응한다. 고시는 10만명 이상의 정보주체에 관한 개인정보를 처리하는 대기업, 중견기업, 공공기관 또는 100만명 이상의 정보주체에 관한 개인정보를 처리하는 중소기업, 단체에 이 두 가지를 요구한다. 규모 요건에 미달하면 고시상 이 의무는 걸리지 않는다. 해당 여부는 제14조의 적용 원칙에 따라 확인한다.

백업 주기, 백업 데이터의 보관 기간, 복구 훈련 횟수를 숫자로 정한 법정 요구는 없다. 그래서 제2항은 숫자를 지정하지 않고 대상별로 정해 기록하도록 한다. 제3항의 복원 검증에 대해 이 지침서는 연 1회 이상으로 정한다. 클라우드에서의 구체화는 부칙 A-5 에 있다.

제10조 데이터베이스 파기

데이터베이스에 저장된 개인정보를 파기할 때에는 복원이 불가능하도록 다음 각 호의 어느 하나의 방법으로 하여야 한다.
1. 완전파괴(소각·파쇄 등)
2. 전용 소자장비를 이용한 삭제
3. 데이터가 복원되지 않도록 초기화 또는 덮어쓰기 수행
개인정보의 일부만을 파기하는 것이 제1항의 방법으로 어려운 경우에는 다음 각 호의 조치를 하여야 한다.
1. 전자적 파일 형태인 경우 — 개인정보를 삭제한 후 복구 및 재생되지 않도록 관리·감독
2. 그 밖에 기록물, 인쇄물, 서면 등의 경우 — 해당 부분을 마스킹, 구멍 뚫기 등으로 삭제
기술적 특성으로 제1항 및 제2항의 방법으로 파기하는 것이 현저히 곤란한 경우에는 「개인정보 보호법」 제58조의2 에 해당하는 정보로 처리하여 복원이 불가능하도록 조치하여야 한다.
데이터베이스 관리자는 파기 시 다음 각 호를 기록하고 관리하여야 한다.
1. 파기 대상 — 데이터베이스, 스키마, 오브젝트, 사본의 범위
2. 파기 방법 — 제1항부터 제3항까지 중 적용한 방법과 선택 사유
3. 파기 요청 시점과 파기 완료 시점
4. 수행자와 확인자
데이터베이스 관리자는 데이터베이스 철수 및 폐기 시 시스템 구성과 관련된 설정을 완전히 삭제하고, 폐기 관련 기록을 관리하여야 한다.
파기 대상에는 운영 데이터베이스뿐 아니라 백업, 스냅샷, 복제본, 개발·테스트 환경으로 복원한 사본, 로그에 남은 개인정보가 포함되어야 한다.

제1항부터 제3항까지는 고시 제13조(개인정보의 파기)에 대응한다. 제3항의 「개인정보 보호법」 제58조의2 에 해당하는 정보는 시간, 비용, 기술을 합리적으로 고려할 때 다른 정보를 사용하여도 더 이상 특정 개인을 알아볼 수 없는 정보를 말한다.

제4항 제3호가 이 조문의 실무 핵심이다. 파기 요청 시점과 파기 완료 시점은 같지 않다. 관리형 데이터베이스에서는 삭제를 요청한 뒤에도 사본이 남거나 복구 경로가 열려 있는 구간이 있다. 그 구간의 목록과 확인 방법은 부칙 A-4 에 있다. ISMS-P 인증기준 2.9.7 정보자산의 재사용 및 폐기가 이 조문에 대응한다.

제11조 위탁 및 수탁자 관리

데이터베이스 운영·관리 업무의 일부 또는 전부를 외부에 위탁하는 경우, 위탁 업무의 범위와 수탁자가 접근하는 데이터의 범위를 문서로 정하여야 한다.
수탁자에게 부여하는 접근 권한은 위탁 업무 수행에 필요한 최소한의 범위로 한정하고, 부여·변경·말소 내역은 제3조에 따라 기록·보관하여야 한다.
수탁자 소속 인력에게도 제3조의 1인 1계정 원칙과 제4조의 접근제어를 동일하게 적용하여야 한다. 수탁자가 공용 계정을 사용하여서는 아니 된다.
수탁자의 접속기록은 제8조에 따라 수집·보관하고, 제3조 제5항의 점검 대상에 포함하여야 한다. 점검 결과는 수탁자와 공유하고 사후조치 완료 여부를 확인하여야 한다.
데이터베이스 관리자는 수탁자의 안전조치 이행 여부를 점검하고 그 결과를 기록하여야 한다. 점검 항목에는 접근 권한 현황, 접속기록 보관 상태, 암호화 적용 여부, 교육 및 서약 이행이 포함되어야 한다.
위탁 계약이 종료되거나 위탁 업무가 변경되는 경우, 해당 수탁자의 접근 권한을 지체 없이 말소하고 수탁자가 보유한 데이터의 반환 또는 파기를 확인하여야 한다. 파기 방법과 기록은 제10조에 따른다.
위탁 계약에는 위탁 업무의 범위, 안전조치 의무, 점검 수용 의무, 사고 발생 시 통지 의무, 계약 종료 시 데이터 반환·파기 의무가 포함되어야 한다.

고시 제4조제1항 제16호는 수탁자 관리·감독을 내부 관리계획에 포함할 항목으로 든다. ISMS-P 인증기준에서는 2.3 외부자 보안 분야의 네 개 항목이 이 조문에 대응한다.

제5항의 점검 주기는 고시가 숫자로 정하지 않는다. 이 지침서는 연 1회 이상으로 정한다. 관리형 데이터베이스를 사용하는 것 자체에서 발생하는 책임 경계는 위탁 관리와 별개의 문제이며, 부칙 A-1 에서 다룬다.

제12조 출력 및 다운로드 통제

개인정보를 조회, 출력, 다운로드하는 업무는 목적과 범위를 정하고 필요한 최소한의 항목만 처리하도록 하여야 한다.
출력, 복사, 다운로드 기능은 제4조 제2항의 롤 구분에 따라 차등 부여하여야 한다.
다음 각 호의 경우에는 정보보안담당자의 사전 승인을 받아야 한다.
1. 정해진 건수 또는 항목 범위를 초과하는 조회 및 다운로드
2. 개인정보가 포함된 결과를 파일로 내보내는 작업
3. 운영 데이터를 개발·테스트 환경으로 복제하는 작업
출력물 및 내보낸 파일에는 목적, 대상, 처리자, 일시를 식별할 수 있는 표시 또는 기록을 남겨야 한다.
개인정보 다운로드 상황은 제3조 제5항의 점검 대상에 포함하며, 점검 결과 목적을 벗어난 처리가 확인되면 사유를 소명하게 하고 조치 내역을 기록하여야 한다.
운영 데이터를 개발·테스트 환경에서 사용하는 경우에는 가명처리, 마스킹 등으로 변환하여야 한다. 원본을 사용하는 것이 불가피한 경우 정보보안담당자의 승인을 받고 사용 기간과 파기 시점을 기록하여야 하며, 파기는 제10조에 따른다.
승인 없이 개인정보를 내보낼 수 있는 경로가 남아 있는지 주기적으로 확인하고, 발견된 경로는 차단하거나 기록이 남도록 조치하여야 한다.

고시 제12조는 출력·복사 시 안전조치를 규정하고, 제8조제2항은 접속기록과 함께 개인정보 다운로드 상황을 확인·점검하도록 요구한다. 두 조항이 이 조문의 근거다. 데이터베이스 운영에서 가장 현실적인 유출 경로가 대량 조회와 결과 내보내기이므로, 제7항의 경로 확인을 형식적으로 넘기지 않는다. 경로를 열거하는 방법은 부칙 A-2 에 있다.

제13조 침해사고 대응

데이터베이스와 관련하여 개인정보의 유출, 훼손, 오용, 남용 등이 발생하거나 발생한 것으로 의심되는 경우, 데이터베이스 관리자는 즉시 정보보안담당자에게 보고하여야 한다.
데이터베이스 측 사고 대응 절차에는 다음 각 호가 포함되어야 한다.
1. 초기 탐지와 보고 경로, 비상 연락 체계
2. 영향 범위 산정 방법 — 대상 데이터베이스, 오브젝트, 정보주체의 범위
3. 접속기록과 감사 로그의 보존 조치
4. 긴급 차단, 권한 회수, 비밀번호 및 암호 키 교체의 판단 기준
5. 복구 조치와 재발 방지 대책
6. 대외 통지 및 신고가 필요한 경우의 처리 창구
사고 대응 과정에서 접속기록을 삭제하거나 변경하여서는 아니 되며, 보존 조치의 내역을 기록하여야 한다.
관리형 데이터베이스를 사용하는 경우에는 클라우드 서비스 제공자와 이용자 사이의 사고 대응 책임 경계를 사전에 문서로 정하여야 한다. 경계에는 탐지, 통지, 조사 협조, 증거 제공의 주체와 연락 창구가 포함되어야 한다.
제2항의 절차는 제9조의 백업 및 복구 계획, 그리고 내부 관리계획의 개인정보 유출사고 대응 계획과 연계하여야 한다.
사고 종료 후에는 원인, 조치 내역, 재발 방지 대책의 이행 여부를 기록하고 제3조 제5항의 점검 시 확인하여야 한다.

고시 제4조제1항 제14호는 개인정보 유출사고 대응 계획의 수립·시행을 내부 관리계획에 포함할 항목으로 든다. ISMS-P 인증기준에서는 2.11 사고 예방 및 대응 분야의 다섯 개 항목이 이 조문에 대응한다.

제4항을 따로 둔 이유가 있다. Google Cloud 는 책임 공유 모델 문서에서 사고 관리 책임이 자주 간과되고 정의하기 쉽지 않다고 지적한다. 경계를 사고가 난 뒤에 정하려 하면 탐지 시점과 통지 시점 사이가 비어 버린다.

제14조 내부 관리계획과의 관계

이 지침서는 「개인정보 보호법」 제29조 및 고시 제4조에 따른 내부 관리계획의 하위 지침으로서, 데이터베이스 영역의 이행 방법을 정한다.
이 지침서의 조문과 내부 관리계획이 어긋나는 경우에는 내부 관리계획을 따르고, 이 지침서를 지체 없이 수정하여야 한다.
이 지침서의 중요한 변경 사항은 즉시 반영하여 수정하고, 수정 이력을 관리하여야 한다.
개인정보 보호책임자는 내부 관리계획의 이행 실태를 연 1회 이상 점검·관리하여야 한다. 데이터베이스 관리자는 이 지침서의 조문별 이행 현황을 점검에 제출하여야 한다.
데이터베이스 관리자와 개인정보취급자에 대한 교육은 내부 관리계획이 정한 교육목적, 대상, 내용, 일정, 방법에 따라 정기적으로 실시하여야 한다.
이 지침서의 조문과 근거 조항의 대응 관계는 다음 표에 따른다.

이 지침서	고시	ISMS-P 인증기준
제1조 데이터베이스 관리자	제4조제1항	2.1.1~2.1.3
제2조 데이터베이스 도입	제2조(정의)	2.9.1 변경관리
제3조 사용자관리	제5조, 제8조제2항	2.5 인증 및 권한관리
제4조 접근제어	제6조	2.6.4 데이터베이스 접근, 2.6.1~2.6.3, 2.6.6
제5조 암호화	제7조제1항·제2항	2.7.1 암호정책 적용
제6조 암호화 기술 및 대상	제7조	2.7.1 암호정책 적용
제7조 암호화 키 관리	제7조제6항	2.7.2 암호키 관리
제8조 운영관리	제2조(정의), 제8조	2.9.2, 2.9.4, 2.9.5, 2.9.6, 2.10.8
제9조 백업관리	제11조	2.9.3, 2.12.1, 2.12.2
제10조 파기	제13조	2.9.7 정보자산의 재사용 및 폐기
제11조 위탁 및 수탁자 관리	제4조제1항 제16호	2.3 외부자 보안
제12조 출력 및 다운로드 통제	제12조, 제8조제2항	—
제13조 침해사고 대응	제4조제1항 제14호	2.11 사고 예방 및 대응
제14조 내부 관리계획과의 관계	제3조, 제4조	1.1~1.4 관리체계 수립 및 운영
부칙 A 클라우드 환경 적용	—	2.10.2 클라우드 보안
부칙 B 공공시스템운영기관 특례	제14조~제18조	—

표의 ISMS-P 칼럼에서 번호만 적은 칸은 분야 단위 대응이다. 개별 항목명까지 인용할 때는 인용 시점의 인증기준 별표에서 항목명을 확인한다.

「개인정보 보호법」 제29조는 개인정보처리자가 개인정보가 유출등이 되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 조치를 하여야 한다고 정한다. 고시 제4조는 그 세부 사항으로, 내부 관리계획을 내부 의사결정 절차를 통해 수립·시행하도록 하고 포함 항목을 제1호부터 제18호까지 정한다. 그중 접근 권한 관리, 접근통제, 암호화 조치, 접속기록 보관 및 점검, 파기, 수탁자 관리·감독이 이 지침서의 조문과 대응한다. 위 조문 중 제3항은 고시 제4조제3항, 제4항은 제4조제4항, 제5항은 제4조제2항에 대응한다.

1만명 미만의 정보주체에 관한 개인정보를 처리하는 소상공인, 개인, 단체는 내부 관리계획 수립을 생략할 수 있다(고시 제4조제1항). 생략하는 경우 이 지침서는 상위 문서 없이 단독으로 적용되며, 제2항의 우선순위 규정은 적용되지 않는다.