제4조(접근통제)

① 정보통신서비스 제공자등은 개인정보처리시스템에 대한 접근권한을 서비스 제공을 위하여 필요한
    개인정보관리책임자 또는 개인정보취급자에게만 부여한다.

② 정보통신서비스 제공자등은 전보 또는 퇴직 등 인사이동이 발생하여 개인정보취급자가 변경되었을 경우
    지체 없이 개인정보처리시스템의 접근권한을 변경 또는 말소한다.

③ 정보통신서비스 제공자등은 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고,
    그 기록을 최소 5년간 보관한다.

④ 정보통신서비스 제공자등은 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속이
    필요한 경우에는 공인인증서 등 안전한 인증 수단을 적용하여야 한다.

⑤ 정보통신서비스 제공자등은 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 다음 각 호의

   기능을  포함한 시스템을 설치․운영하여야 한다.
    1. 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한
    2. 개인정보처리시스템에 접속한 IP주소 등을 재분석하여 불법적인 개인정보 유출 시도를 탐지

⑥ 정보통신서비스 제공자등은 개인정보처리시스템에서 개인정보를 다운로드 또는 파기할 수 있거나
    개인정보처리시스템에 대한 접근권한을 설정할 수 있는 개인정보취급자의 컴퓨터 등을 물리적 또는

    논리적으로  망분리 하여야 한다.

⑦ 정보통신서비스 제공자등은 이용자가 안전한 비밀번호를 이용할 수 있도록 비밀번호 작성규칙을

    수립하고, 이행한다.

⑧ 정보통신서비스 제공자등은 개인정보취급자를 대상으로 다음 각 호의 사항을 포함하는 비밀번호

    작성규칙을  수립하고, 이를 적용․운용하여야 한다.
    1. 다음 각 목의 문자 종류 중 2종류 이상을 조합하여 최소 10자리 이상 또는 3종류 이상을 조합하여

        최소 8자리  이상의 길이로 구성
        가. 영문 대문자(26개)
        나. 영문 소문자(26개)
        다. 숫자(10개)
        라. 특수문자(32개)
    2. 연속적인 숫자나 생일, 전화번호 등 추측하기 쉬운 개인정보 및 아이디와 비슷한 비밀번호는

       사용하지 않는 것을 권고
    3. 비밀번호에 유효기간을 설정하여 반기별 1회 이상 변경

⑨ 정보통신서비스 제공자등은 취급중인 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여

    열람권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스템 및 개인정보취급자의

    컴퓨터에 조치를  취하여야 한다.


제5조(접속기록의 위․변조방지)

① 정보통신서비스 제공자등은 개인정보취급자가 개인정보처리시스템에 접속한 기록을 월 1회 이상

    정기적으로  확인․감독하여야 하며, 시스템 이상 유무의 확인 등을 위해 최소 6개월 이상 접속기록을

    보존․관리하여야 한다.

② 단, 제1항의 규정에도 불구하고 「전기통신사업법」 제5조의 규정에 따른 기간통신사업자의 경우에는
    보존․관리해야할 최소 기간을 2년으로 한다.
③ 정보통신서비스 제공자등은 개인정보취급자의 접속기록이 위․변조되지 않도록 별도의 물리적인 저장

    장치에 보관하여야 하며 정기적인 백업을 수행하여야 한다.



제6조(개인정보의 암호화)

① 정보통신서비스 제공자등은 비밀번호 및 바이오정보는 복호화 되지 아니하도록 일방향 암호화하여

    저장한다.

② 정보통신서비스 제공자등은 주민등록번호, 신용카드번호 및 계좌번호에 대해서는 안전한 암호알고리듬

    으로 암호화하여 저장한다.

③ 정보통신서비스 제공자등은 정보통신망을 통해 이용자의 개인정보 및 인증정보를 송․수신할 때에는

    안전한 보안서버 구축 등의 조치를 통해 이를 암호화해야 한다.

    보안서버는 다음 각 호 중 하나의 기능을 갖추어야 한다.
    1. 웹서버에 SSL 인증서를 설치하여 전송하는 정보를 암호화하여 송․수신하는 기능
    2. 웹서버에 암호화 응용프로그램을 설치하여 전송하는 정보를 암호화하여 송․수신하는 기능

④ 정보통신서비스 제공자등은 이용자의 개인정보를 개인용컴퓨터에 저장할 때에는 이를 암호화해야 한다.


제7조(악성프로그램 방지)

정보통신서비스 제공자등은 백신 소프트웨어를 월 1회 이상 주기적으로 갱신․점검하고, 악성 프로그램관련

경보가 발령된 경우 및 백신소프트웨어 또는 운영체제 제작업체에서 업데이트 공지가 있는 경우에는 

응용프로그램과 정합성을 고려하여 최신 소프트웨어로 갱신․점검하여야 한다.


제8조(출력․복사시 보호조치)

① 정보통신서비스 제공자등은 개인정보처리시스템에서 개인정보의 출력시(인쇄, 화면표시, 파일생성 등)

    용도를  특정하여야 하며, 용도에 따라 출력 항목을 최소화 한다.

② 정보통신서비스 제공자등은 개인정보가 포함된 종이 인쇄물, 개인정보가 복사된 외부 저장매체 등

    개인정보의  출력․복사물을 안전하게 관리하기 위해 출력․복사 기록 등 필요한 보호조치를 갖추어야 한다


제9조(개인정보 표시 제한 보호조치)

정보통신서비스 제공자 등은 개인정보 업무처리를 목적으로 개인정보의 조회, 출력 등의 업무를 수행하는

과정에서 개인정보보호를 위하여 개인정보를 마스킹하여 표시제한 조치를 취하는 경우에는 다음의 원칙으로

적용할 수 있다.

1. 성명 중 이름의 첫 번째 글자 이상
2. 생년월일
3. 전화번호 또는 휴대폰 전화번호의 국번
4. 주소의 읍․면․동
5. 인터넷주소는 버전 4의 경우 17～24비트 영역, 버전 6의 경우 113～128비트 영역