목적

진료과정에서 얻어진 개인정보를 안전하게 보호하기 위한 체계를 수립하고, 이를 안정적으로 운영한다.

정의

1. 이 규정에서 사용하는 용어의 정의는 다음과 같다.

가. “개인정보”란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 식별하는 것이 가능한 정보(해당 정보만으로는 특정 개인을 식별할 수 없더라도 다른 정보와 쉽게 결합하여 식별할 수 있는 것을 포함한다.)를 의미한다.

나. "처리"란 개인정보의 수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기, 그 밖에 이와 유사한 행위를 말한다.

다. “정보주체”란 처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람을 말한다.

라. “개인정보처리자”란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다.

마. “개인정보보호 책임자”란 개인정보처리자의 개인정보 처리에 관한 업무를 총괄해서 책임지거나 업무처리를 최종적으로 결정하는 자로서, 개인정보 보호법 제31조에 따른 지위에 해당하는 자를 말한다.

바. “개인정보취급자”란 개인정보처리자의 지휘ㆍ감독을 받아 개인정보를 처리하는 업무를 담당하는 자로서 직접 개인정보에 관한 업무를 담당하는 자와 그 밖에 업무상 필요에 의해 개인정보에 접근하여 처리하는 모든 자를 말한다.

사. “접근통제"란 인가된 사용자에 한하여 전산시스템의 자원에 접근할 수 있도록 제한하는 것을 말한다.

아. “정보시스템"이란 정보기술을 이용하여 업무 처리에 사용되는 정보를 수집·전달·저장·검색·조작 및 표시해 주는 체제를 말한다.

자. “네트워크"란 컴퓨터 상호 간의 정보 교환과 정보 처리를 위한 데이터 통신망을 말한다.

차. “기록매체"란 전자적 저장매체로서 컴퓨터 내의 메모리 하드 드라이브 및 자기 테이프나 디스크, 광디스크 또는 디지털 메모리카드와 같이 분리될 수 있고 이동 가능한 모든 디지털 메모리 매체를 포함한다.

정책

1. 개인정보 보호 및 보안에 관한 규정이 있다.

2. 개인정보 보호 및 정보시스템 보안을 관리하는 적격한 자가 있다.

3. 개인정보 보안체계가 있다.

4. 접근통제구역에 대한 출입을 관리한다.

5. 정보시스템 접근통제 및 접근권한을 관리한다.

6. 정보시스템의 접속기록을 보관하고 관리한다.

절차

1. 개인정보 취급 관리 및 책임

가. 개인정보보호 책임자

1) 개인정보보호 책임자는 개인정보 보호법 시행령 제31조의2에 따라 개인정보 처리 관련 업무를 담당하는 부서의 장으로 되어 있음에 따라 병원장이 업무를 위임한 사무국장으로 지정한다. [별첨 5] 참조

2) 개인정보보호 책임자는 고객의 개인정보보호를 위하여 다음 각 호의 임무를 수행한다.

가) 개인정보보호 계획의 수립 및 시행

나) 개인정보보호 처리 실태 및 관행의 정기적인 조사 및 개선

다) 개인정보 처리와 관련한 불만의 처리 및 피해 구제

라) 개인정보 유출 및 오용, 남용 방지를 위한 내부 통제시스템의 구축

마) 개인정보보호 교육 계획의 수립 및 시행

바) 개인정보파일의 보호 및 관리, 감독

사) 개인정보 보호법 제30조에 따른 개인정보 처리방침의 수립 및 변경 시행

아) 개인정보보호 관련 자료의 관리

자) 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기

3) 개인정보보호 책임자는 개인정보 관련 업무의 효율적 운영을 위하여 개인정보보호 실무 책임자, 개인정보보호 보안 실무담당자를 임명한다.

나. 개인정보보호 실무담당자

1) 개인정보보호 실무담당자의 자격 및 교육

가) 개인정보보호 실무담당자는 개인정보 처리 관련 업무를 담당하는 부서의 장으로 되어 있음에 따라 병원장이 업무를 위임한 총무과장으로 지정한다.

나) 개인정보보호 실무담당자는 연 1회 개인정보 관련 교육을 받는다.

2) 개인정보보호 실무담당자의 업무

가) 개인정보보호 수집, 이용, 제공, 파기 등 관리업무

나) 개인정보에 대한 접근 권한 및 규정 관리 업무

다) 개인정보보호 관련 교육 및 홍보에 관한 업무

라) 개인정보취급현황 및 취급자 관리 업무

마) 기타 개인정보 관리적 보호 업무

바) 영상정보관리감독

다. 개인정보보호 보안 실무담당자

1) 개인정보보호 실무담당자는 전산 관리자로 한다.

2)보안 실무담당자의 자격 요건은 전산 관련 전공자 또는 실무경력 5년 이상이거나 개인정보관리사자격증 보유자로 개인정보보호 책임자가 임명한 자로 한다.

3) 개인정보보호 보안 실무담당자의 업무

가) 개인정보시스템을 외부로부터의 침입, 접근 및 해킹 등으로부터 보호하여 개인정보가 유출되지 않도록 하는 업무

나) 개인정보시스템을 관련 법률과 병원의 개인정보보호 규정에 적합하도록 관리하는 업무

다) 정보의 정확성 및 최신성을 확보하기 위한 시스템관리 업무

라) 기타 개인정보 기술적 보호 조치에 관한 업무

마) 개인정보처리 시스템의 사용자 권한설정 등 제반 정보보호 장치에 관한 사항 이행

바) 시스템 로그 파일 등 접속기록의 주기적인 분석 및 오남용 사고예방

사) 개인정보의 기술적, 관리적 보호조치 기준 이행

아) CCTV 등 영상정보의 열람을 관리

라. 개인정보 취급자의 의무와 책임

1) 병원의 개인정보 보호 및 보안관련 정책의 준수 및 이행

2) 개인정보 기술적, 관리적 보호조치 기준 이행

3) 업무상 취득한 개인정보를 제3자에게 제공하지 않음

2. 개인정보보호 정책 및 관련 법률과의 부합성

가. 개인정보보호와 관련한 원내 규정 및 지침은 상위법(의료법, 개인정보 보호법 등)의 규정을 준수하며, 법령 개정 시 이를 반영한다.

1) 의료기관의 관련 규정에서 정한 업무 권한 이외의 환자 정보에 접근하여서는 아니 되며, 업무 권한 범위 내라도 업무 이외의 용도로 환자 정보에 접근하여 그 내용을 탐지하여서는 아니된다.

나. 유관기관(행정안전부, 보건복지부 등)에서 법령을 기준으로 해석한 최신 가이드라인을 기준으로 세부지침을 규정한다.

다. 관련 법률

1) 개인정보 보호법

2) 의료법, 의료급여법 : 진료에 필요한 수집 항목

3) 국민건강보험법 : 요양급여의뢰서 수집

4) 전자금융거래법 : 진료비 수납

5) 보건의료법 : 질병자 또는 질병 의심 대상자 발견 보고, 신고, 통지 등 의무

6) 응급의료에 관한 법률 : 응급환자 이송

라. 개인정보 보호법 및 정보통신망 이용촉진 및 정보보호 등에 관한 법률에 의하여 의료기관의 개인정보는 주체 또는 동의권자의 동의가 있는 경우 목적 내에서 수집, 이용 및 제공할 수 있다.

3. 개인정보보호 교육 훈련 지침

가. 개인정보보호 교육 계획의 수립

1) 개인정보보호 책임자는 다음 각호의 사항을 포함하는 개인정보보호 교육 계획을 매년 수립한다.

가) 교육 목적 및 대상

나) 교육내용

다) 교육 일정 및 방법

2) 교육계획은 아래 지침을 따른다.

가) 교육방법은 온라인 교육, 오프라인 교육 등이 모두 가능하다.

나) 전 직원은 매년 1회 정기적인 교육을 받도록 한다.

다) 개인정보보호의 새로운 변화 및 중대한 문제가 발생할 때 수시로 교육을 받을 수 있다.

나. 교육 내용

1) 교육은 신입직원과 기존직원으로 구분하여 실시하되 각 직급별, 업무 성격에 따라 교육 내용을 달리할 수 있다.

2) 교육은 다음 각호의 사항을 포함하며 교육내용은 상황에 따라 조정될 수 있다.

가) 개인정보보호의 일반 사항

나) 개인정보보호 관련 법령 및 정책

다) 병원의 개인정보보호 관련 규정 및 정책 등 직원 준수 사항

라) 환자 정보의 공개에 따른 원칙 및 준수사항

마) 기타 정보 보호와 관련하여 필요한 사항

다. 교육 실시

1) 개인정보보호 책임자는 정보주체 정보보호에 대한 직원들의 인식제고를 위해 노력해야하며, 개인정보의 오/남용 또는 유출 등을 적극 예방하기 위해 임직원을 대상으로 매년 정기적으로 연 1회 이상의 개인정보보호 교육을 실시한다.

2) 교육방법은 조직의 환경을 고려하여 집체 교육, 온라인교육, 그룹웨어교육, 회람 등 다양한 방법을 활용하여 실시하도록 하고, 필요한 경우 외부 전문기관이나 전문인력에 위탁하여 실시할 수 있다.

4. 개인정보보호 및 보안감사

가. 자체감사 주기 및 절차

1) 개인정보보호 실무담당자는 개인정보보호를 위한 내부관리계획 및 관련법령에서 정하는 개인정보 보호지침을 성실히 이행하는지를 주기적으로 감사 또는 점검하여야 한다.

2) 자체검사는 연 1회 실시하며, 개인정보포털[개인정보보호 자율점검]을 참고하여, 진행한다.

나. 자체감사 결과 반영

1) 개인정보보호 실무담당자는 개인정보보호를 위한 자체감사 실시결과, 개인정보의 관리, 운영상의 문제점을 발견하거나 관련 직원이 본 계획의 내용을 위반할 때에는 시정, 개선 등 필요한 조치를 취하여야 한다.

2) 개인정보보호 실무책임자는 개인정보 위반사실에 대한 시정, 개선조치가 이행되지 않거나, 개인정보보호에 심각한 영향이 발생할 수 있는 우려가 되는 경우 개인정보취급자 등에 대하여 병원 인사규정에 따라 제재 조치를 시행할 수 있다.

5. 개인정보 외부위탁관리 지침

가. 외부수탁기관의 관리

1) 환자 개인정보 처리업무를 위탁하는 경우 아래 사항이 포함된 표준 개인정보처리위탁 계약서 및 정보 보호 서약서를 작성한다. [별첨 7], [별첨 8]

가) 개인정보의 기술적, 관리적 보호조치에 관한 사항

나) 위탁업무의 목적 및 범위

다) 재위탁 제한에 관한 사항

라) 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항

마) 위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항

바) 개인정보 보호법 제26조 제2항에 따른 수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항

나. 위탁업무 등의 공개

1) 개인정보처리업무를 위탁받아 처리하는 수탁자를 정보주체가 확인할 수 있도록 공개해야 한다

2) 정보의 공개 방법은 다음 중 한 가지 이상을 적용한다.

가) 병원 홈페이지

나) 병원 외래환자 대기 공간

다. 수탁자 교육 및 감독

1) 수탁자에 의해 개인정보 분실, 도난, 유출, 변조, 훼손되지 않도록 관리한다.

2) 수탁자는 개인정보 보호법, 보건복지부 개인정보 보호 기본지침을 준수해야 한다.

3) 수탁자가 위탁받은 업무와 관련하여 개인정보 처리과정에서 개인정보보호법을 위반하여 발생한 손해배상 책임에 대해서는 수탁자를 의료기관 소속 직원으로 간주한다.

6. 정보자산관리 지침

가. 정보자산의 조사

1) 병원의 모든 중요 정보자산은 그 현황이 파악되어야 하며 명세를 작성하여야 한다.

2) 해당 정보자산은 개인정보를 처리하는 등급별로 분류하고 정기적으로 재검토되어야 한다.

나. 정보자산관리 책임

1) 정보자산에 대한 관리책임은 1차적으로 개인정보 취급자에게 있고, 2차적으로 개인정보보호 책임자에게 있다.

2) 단, 개인정보보호 책임자에 의해 정보 보안 사고를 야기하게 되는 것과 같은 중대한 실수나 고의로 인한 사고 발생 시 개인정보보호 책임자가 1차 책임을 진다.

다. 정보자산의 분류

1) 전자정보: 전자적인 형태로 저장되는 자산으로 데이터베이스나 데이터 파일 내의 업무 관련 정보, 인사정보, 통계자료, 각종 문서, 매뉴얼 등을 포함

2) 시스템 자산 : 전산 업무 처리를 위해 사용되는 서버 등의 하드웨어와 이와 관련된 OS로 윈도우 서버 등을 포함

3) 네트워크 자산 : 네트워크 관련 장비로 라우터, 스위치 등을 포함

4) 보안시스템: 침입차단시스템, 침입탐지시스템 등 정보자산을 보호하기 위한 각종 소프트웨어 및 하드웨어 등을 포함

5) 영상정보처리기기 : 일정한 공간에 지속적으로 설치되어 사람 또는 사물의 영상 등을 촬영하거나 이를 유·무선망을 통하여 전송하는 일체의 장치로서 개인정보 보호법 시행령 제3조에 따른 폐쇄회로TV(CCTV) 및 네트워크 카메라 등을 포함한다.

라. 정보자산의 이동 통제

1) 정보자산은 개인정보보호 책임자의 허가 없이 이동을 불허한다

2) 정보자산은 이동 시 기밀성, 무결성, 가용성이 유지되도록 적절한 방법에 의해 통제되어야 한다.

가) 기밀성(Confidentiality) : 정보자산 또는 데이터가 전송, 백업, 보관 중에 허가되지 않은 사람에게 노출되지 않음

나) 무결성(Integrity) : 비인가된 방법을 통해 정보를 변경 또는 파괴하지 못하도록 함

다) 가용성(Availability) : 권한을 가진 개체의 요구에 따라 정보자산에 지속적으로 접근하고 사용이 가능

마. 정보자산의 처분 관리

1) 정보자산의 처분이 필요한 경우 개인정보 관련 위반사항이 발생할 소지에 대해 개인정보보호 책임자의 심의를 거쳐 진행한다.

2) 정보자산의 처분 시 개인정보 보호를 위해 다음과 같이 정보 삭제를 한다.

가) 하드디스크 : 완전 포맷(Low Format) 수행 및 분해/분쇄

나) 광디스크(CD, DVD 등) : 완전파괴(분쇄 또는 소각)

다) Flash Memory(SSD, USB 등) : 완전파괴(분쇄 또는 소각)

라) 종이 차트 등 문서류 : 전문기관에 위탁 처리 또는 파쇄

7. 물리적 보안지침

가. 물리적 보안 대책

1) 병원의 모든 정보 자산 및 관련 시설은 가능한 보호구역으로 분류하여 보호하여야 한다.

2) 통제구역은 허가된 인원만 출입할 수 있도록 출입을 통제하고, 출입 권한을 수시로 검토 및 갱신하여야 한다.

3) 제한구역 : 전산실(서버실)(5층), 의무기록 보관실(2층)

4) 전산실(서버실)의 출입은 전산실(서버실) 직원의 통제에 따라 출입이 가능하며 출입대장 [별첨 6]에 출입서명 후 작업을 한다.

5) 의무기록 보관실의 출입은 보건의료정보관리사의 통제에 따라 출입이 가능하며 출입대장에 출입서명을 하여야 한다. [별첨 6]

나. 물리적 장비 보호

1) 중요시설의 출입구역에는 출입자 및 건물 내 중요시설의 이상 유무를 감시하여 사고를 방지하기 위해 폐쇄회로TV(CCTV), 출입통제시스템, 잠금장치 등을 설치하여야 한다.

2) 전산실(서버실)에는 안정적인 전원공급을 위해 무정전 전원설비(UPS) 및 자가발전 전원이 공급되어야 한다.

8. 시스템 개발 보안 지침

가. 정보시스템에 보관된 개인정보는 허가되지 않은 접근, 수정, 노출, 훼손, 파괴 등으로부터 위협받지 않도록 적절한 보호시스템을 운영해야 한다.

나. 개인정보보호 책임자는 정보시스템의 개발 또는 기존 시스템의 업그레이드를 수행할 경우 시스템 요구 분석 및 설계단계에서 개인정보 보호 기능에 관한 요건을 정하고 이를 바탕으로 업무가 진행되도록 관리해야 한다.

다. 시스템 개발 과정에서 외부 기관 또는 외부 인력에 의해 정보시스템 접근이 필요한 경우 본 규정의 개인정보 외부위탁관리지침을 준용한다.

9. 접근통제관리 지침

가. 정보시스템 접근 통제

1) 방화벽 또는 침입방지 시스템

가) 인터넷망과 접속 시 방화벽 또는 침입방지시스템(IPS)을 설치하여 접근통제를 수행해야하며, 필요시 침입탐지시스템 등을 활용하여 접근에 대한 모니터링을 하여야 한다.

나) 인가된 사용자만 네트워크에 접근할 수 있으며 업무상 불필요한 사이트 등은 차단한다.

다) 원칙적으로 인터넷 등 외부망을 통해 내부 시스템을 관리하는 것을 금지하고 있으나 시스템 유지보수 등 부득이한 경우 개인정보보호 실무책임자의 승인을 받아 처리한다.

라) 개인정보보호 실무책임자는 유지보수업체가 개인정보에 권한 없이 접근하지 못하도록 하며 원격 접속 시 업무 과정을 관리감독 하며, [별첨 1] 원격 접속 관리 대장을 통한 이력관리를 한다.

2) 보안프로그램의 설치 및 운영

가) 개인정보보안 실무책임자는 바이러스 등의 악성프로그램으로부터 정보시스템을 보호하기 위해 백신 소프트웨어 등 보안프로그램을 설치 및 운영한다.

나) 보안프로그램은 자동 업데이트 기능을 설정하여 운영한다.

3) 네트워크 사용 관리

가) 정보시스템은 유선 네트워크를 사용함을 원칙으로 한다.

나) 고객 편의를 위해 제공하는 무선 네트워크는 내부 업무망과 분리 운영한다.

나. 정보시스템 접근권한 관리

1) 의무기록 접근권한 관리

가) 정보시스템 접근 권한은 개인정보보호 책임자에 의해 관리된다.

나) 직종별 접근권한 범위

좌우로 움직여보세요!

2) 개인정보처리시스템에 대한 접근권한은 업무 수행을 위한 최소한의 범위로 업무 담당자에 따라 차등 부여한다.

3) 의료정보에 대한 접근 권한에 관한 세부사항은 규정 [12.1 의료정보/의무기록 관리]에 따른다.

4) 정보시스템 접근권한 내역은 매월 말 정기적으로 기록한다. [별첨 4] 접근권한 이력관리

10. PC 및 개인용 휴대 단말기 관리 지침

가. PC 관리

1) 업무용 PC는 지정된 장소에서 사용해야 하며, 사용 위치 변경 시에는 사전에 개인정보보호책임자에게 승인을 얻어야 한다.

2) 사용자가 자리를 비울 시(3분 이상) 화면보호기 작동과 로그오프되도록 설정한다.

3) 업무용 PC를 사용하여 원내 전산프로그램 접속 시 본인에게 인가된 사용자 계정으로 접근해야 하며 사용자 변경 시 반드시 로그아웃한다.

나. 이동 컴퓨터 관리

1) 휴대용 PC, 노트북 등의 이동 컴퓨터를 이용하여 내부 네트워크에 연결하고자 할 때에는 개인정보보호 책임자에게 승인을 얻어야 한다.

2) 내부 네트워크의 보호를 위하여 고정된 IP를 부여받아 사용할 수 있다.

다. 보안 관리

1) 모든 병원 내 업무용 PC는 백신 프로그램을 설치하고 최신 업데이트 되도록 수시로 관리한다.

2) 개인정보 취급자는 업무용 PC에 허가되지 않은 소프트웨어를 설치하여서는 안 된다.

11. 전산운영 관리지침

가. 전산운영 관리

1) 개인정보보안 실무담당자는 시스템이 상시 양호한 상태로 유지될 수 있도록 계획을 수립하여 관리한다.

나. 개발 및 유지보수

1) 개발 및 전산화

가) 이용부서의 요청을 검토 후 필요에 따라 유지보수 업체에 의뢰한다.

나) 개발에 따른 별도의 투자가 필요시 개인정보보호 책임자의 승인 후 진행한다.

2) 장애발생 처리

가) 이용자는 장애가 발생하였을 때에 즉시 개인정보보안 실무담당자에 보고한다.

나) 개인정보보호 실무책임자는 장애발생을 확인하고 적절한 조치를 취한다.

다) 필요에 따라 유지보수업체에 통보 후 보수토록 한다.

다. 비밀번호 관리

1) 개인정보보호 보안실무 담당자는 개인정보 취급자가 안전한 비밀번호를 설정할 수 있도록 교육한다.

2) 안전한 비밀번호 적용을 위한 규칙은 다음과 같다.

가) 비밀번호 최소 길이 : 영문과 숫자, 특수문자를 조합하며 두 가지 조합은 최소 10자리, 세 가지 조합은 최소 8자리 이상

나) 비밀번호의 주기적인 변경 : 비밀번호는 최소 6개월 마다 변경하도록 한다.

3) 비밀번호를 분실한 경우 전산관리자에게 정보확인을 요청할 수 있다.

가) 개인정보보호 보안 실무담당자는 직원 본인의 신분을 확인한 후 비밀번호를 초기화하여 재설정 할 수있도록 한다.

라. 정보시스템 접속이력 관리 및 위∙변조 방지

1) 접속이력의 기록 요소는 사용자 ID, 날짜 및 시간, 접근권한 등이며 비정상적인 접근기록 (허용된 권한 외의 접근, 비정상적으로 많은 데이터 다운로드 등)도 관리한다.

2) 접속기록에 대한 정기적인 점검 및 분석 등을 토대로 개인정보 취급자에 의한 개인정보 오남용 방지 및 불법적인 접근 방지를 위한 대책 마련을 한다.

3) 정보시스템에 접속한 기록이 위·변조 및 도난, 분실되지 않도록 해당 접속기록을 안전하게 보관하여야 한다.

4) 개인정보보호 보안 실무담당자는 접속기록에 대한 월 1회 모니터링을 실행한다. [별첨 9] 접근제어 관리대장

5) 규정 위반 및 접속이력 관련 위반 사례 발생 시 위반자에 대해서 교육을 별도 시행하며, 2차 위반 시 인사위원회에 안건을 상정하여 처리한다.

마. 전자서명 공인인증

1) 전자의무기록과 관련된 사항은 의료법 제23조(전자의무기록) 및 전자서명법에 의거 전자 공인인증서를 활용하기 위하여 공인인증서를 공인인증기관에 등록 및 폐지한다.

2) 인증서 발급대상

가) 의사, 간호사

나) 이 외 의무기록 내용을 입력하여 저장하여야 하는 경우 발생 시

4) 공인인증서 발급 및 폐기 내역을 정기적으로 확인한다. [별첨 4] 접근권한 이력관리

5) 전자인증이 들어간 기록 및 서식의 서명 값은 암호화시켜 보관하며 보유기간은 의료법 기준에 준하며 정기적으로 백업시킨다.

바. 데이터 보존 및 관리

1) 전산화된 자료가 효율적으로 활용되도록 프로그램 및 데이터베이스를 유지하고 유사시 복구 가능하도록 계획을 수립하여 월 1회 이상 점검한다.

2) 백업은 별도의 시스템이나 저장매체에 담아 안전한 장소에 보관한다. 또한 [별첨 2] 전산 자료 보관대장을 통한 이력관리를 한다.

사. 전산망 관리

1) 개인정보보호 보안 실무담당자는 다음 각호의 상황 발생 시 개인정보보호책임자의 승인을 얻어 전산망 사용을 예고 없이 제한할 수 있다.

가) 바이러스 감염 또는 불법적이고 악의적인 해킹을 시도하는 경우

나) 알 수 없는 네트워크 부하(트래픽)가 감지되는 경우

다) 업무와 관련 없는 특정(증권, 게임, 영화, 메신저, P2P 등) 인터넷 사이트에 접속하는 경우

라) 랜섬웨어(Ransomware) 등, 기타 전산망의 정상적인 운영에 지장을 초래하는 경우

아. 영상정보처리기기 운영 관리

1) 의료기관은 다음의 경우에 한하여 영상정보처리기기를 설치, 운영한다.

가) 의료기관이 환자안전관리, 범죄예방, 증거 확보 등을 위하여 필요한 경우1

나) 시설안전 및 화재 예방을 위하여 필요한 경우

2) 영상정보처리기기의 설치 목적과 다른 목적으로 기기를 임의로 조작하거나 다른 곳을 비추지 않아야 하며, 녹음 기능은 사용하지 않아야 한다.

3) 영상정보처리기기가 설치된 곳에 아래의 내용을 포함한 안내판을 설치한다.

가) 설치 목적 및 장소

나) 촬영 범위 및 시간

다) 관리책임자 직책 및 연락처

12. 침해사고관리 지침 등

가. 사고 인지 및 접수

1) 개인정보의 침해, 변조, 유출 등 보안사고 발생 시 개인정보보호 책임자에게 보고한다.

나. 확인조사

1) 침해, 유출사고 내용(원인, 규모 등) 세부조사를 실시

2) 확인 조사를 위한 과실 여부 및 증빙 자료를 취합

다. 피해확산 여부 확인 및 조치

1) 확인 조사 결과에 따른 분석을 통해 피해 여부 확산 및 추가 유출 가능성 확인

2) 필요에 따른 접속경로 차단, 취약점 점검 보안 등의 조치

라. 유출 통지 및 신고

1) 개인정보 유출 시 유출사고 발생 후 5일 이내에 정보주체에 통지한다.

2) 1만 명 이상의 정보주체에 관한 개인정보 유출 시 홈페이지 등에 유출 사실을 공개한다.

3) 필요시 행정안전부 또는 전문기관에 신고하여 유출확산 방지에 따른 조치를 한다.

마. 사후 분석 및 시스템 보완

1) 보안사고 발생 시 사고일자 및 사고내용과 사고처리 등의 내용을 상세히 작성하여 문서화하여 관리, 보관한다. [별첨 3] 개인정보 유출 신고서를 통한 이력관리를 한다.

2) 유사 사례가 발생하지 않도록 보안시스템 점검 강화 등의 조치를 취한다.