외부자 보안지침

단국대학교병원	외부자보안지침

목적(Purpose)

단국대학교 의과대학 부속병원(이하 "병원"이라 함)의 전산업무 및 업무 전반을 협력직원, 수탁업체 직원에게 위탁 시 발생 가능한 정보침해 위험을 방지하기 위함이다.

정책(Policy)

외주용역업체의 인력이 병원정보처리시설을 점검,관리하는 과정에서 접하게 되는 개인정보를 보호한다

적용범위(Scope)

병원과 계약에 의해 용역 및 서비스를 제공하는 외부 전문가 및 외주용역업체로 한다,

절차

용어 정의

외주용역업체는 “용역업체직원 ”과 “유지보수업체”을 의미한다.

용역업체 직원 과 유지보수업체 직원

“용역업체 직원” 과 “유지보수업체 직원 ”이라 함은 병원의 정보자산을 이용하여 서비스와 기타 업무를 처리하는 자를 말하며, 그 예는 아래와 같다.

컨설턴트

하드웨어와 소프트웨어의 개발, 유지보수 및 운영을 담당하고 지원하는 외부 업체 직원

수탁업체

“수탁업체”이라 함은 병원의 정보처리시설 및 정보자산을 직접적으로 사용하지 않고 외부업체 소유의 정보처리시설 및 물리적 환경을 이용하여 서비스와 기타 업무를 대행하는 것을 말한다.

역할 및 책임

기술 보안관리자(전산팀장) 및 물리 보안관리자 (총무팀장)

업무 담당부서로부터 외주용역업체의 계약서에 포함된 정보보안 요구사항을 준수하고 있는지 주기적(연 2회)으로 점검한다.

정보보안 요구사항을 준수하고 있는지 검토 후 정보보안총괄책임자(병원장)에게 주기적으로 보고한다.

외주용역업체에 정보보안 요구사항 및 사고 시 보고절차를 공지한다.

업무 담당부서

업체대표로부터 개인정보처리 위탁계약서 및 개인정보 처리위탁(제공)계약보안서약서, 담당자에게는 보안서약서를 받는다

각해당부서는 담당부서에서는 “용역업체직원 ”과 “유지보수업체”로부터 정보보안에 대한 교육을 실시한 자료를 제공받는다

각해당부서는 “용역업체직원 ”과 “유지보수업체”의 직원이 정보시스템접근 및 개인정보를 이용하고자 할때는 용역업체 및 유지보수업체 개인정보 이용신청 절차에 따라 접근권한 신청 협조전을 받는다.

외주용역업체가 제공하는 서비스의 품질 수준을 평가한다.

외주용역업체가 보안준수사항을 준수하고 있는지 주기적으로 평가 후 정보자산총괄책임자에게 보고한다.

계약종료 시 병원의 정보자산을 회수한다.

계약 시 정보보안 요구사항

외주용역업체와의 계약서에는 정보보안을 위한 다음과 같은 요구조건을 포함하거나 관련사항이 언급된 문서가 명시되어야 하며, 계약은 정보시스템 접근을 허가하기 전에 공식 체결되어야 한다.

법적 요구사항의 충족 방법

정보보안 규정 및 지침에 대한 준수 의무

정보의 무결성 및 비밀성 유지

전산매체에 저장된 데이터의 보호 및 소유권

중요 정보 사용권한이 없는 자의 접근제한에 관한 사항

재해 발생 시 서비스의 가용성 유지 방법

외주용역업체 장비에 대한 물리적 보안 허용 수준

자료 제출 및 감사 권한

서비스수준협약의 정의

위험 요인 별 책임과 의무

손해배상에 대한 수준 정의

개인정보 처리위탁(제공) 계약 보안 서약서 (별첨서식 4)

외부위탁 업체 관리 책임자가 임명되어 서비스에 대한 성능 뿐만 아니라 보안요구사항 준수에 대해서도 지속적으로 파악하게 하고 이를 정기적으로 보고를 받아야 하며 필요 시 수시 감사를 수행할 수 있도록 이를 계약서 상에 명시하여야 한다.

서비스수준협약(SLA)을 위한 보안 서비스 측정항목은 다음 항목을 고려한다.

보안서약서

보안사고대응 응대시간, 보고절차

보안시스템 가동률

보안시스템 장애 발생 건수

보안시스템 장애 발생 시 응대시간

보안점검

보상기준

비밀유지 서약

외주용역업체 관리책임자 및 구성원은 해당 업무의 비밀 보장을 위해 계약 전 동의를 구하고 서약서를 작성하도록 한다.

외주용역업체 구성원의 신규 채용이나 교체 시에도 서약서를 작성하도록 한다.

업무상 또는 기관의 요구로 인하여 외주용역업체의 구성원 교체 요구 시 이를 수용하여야 한다.

외주용역업체의 의무

병원과 계약관계에 있는 외주용역업체의 직원은 내부직원과 동일한 정보보안 책임과 의무를 가진다.

업무담당부서는 외주용역업체에게 정보보안 요구사항 및 사고 시 보고 절차 등을 명확히 공지하고, 외주용역업체 직원들은 이를 숙지하여야 한다.

외주용역업체는 업무상 취득한 정보에 대하여 기밀을 엄수하여야 하며, 관련된 정보 및 자산에 대하여 일체 소유할 수 없다.

외주용역 관리

업무 담당부서는 외주용역업체 직원들이 정보보안 요구사항을 준수하는지 수시로 관리, 감독 한다.

제10조(업무 담당부서의 사용자관리 및 접근통제)

사용자 관리

외주용역업체에서 실시하는 각종 통제 및 관리 상태를 점검하고 이와 관련된 개선안 등을 외주용역업체에게 요구한다.

접근통제

외주용역업체 직원들이 직무에 필요한 정보만 접근할 수 있도록 하여야 한다.

정보를 보호하기 위해 일정시간이 경과하면 프로그램 접속이 차단될 수 있도록 한다.

외주용역 인력의 보안준수

병원의 정보자산(서류, 전자파일, 저장매체, 전산인프라 등)을 업무 이외에 개인 목적으로 사용하지 않고, 제반 보안관련 규정/지침/기준을 성실히 이행하여야 한다.

병원의 정보시스템 및 교직원 PC에 불법 접근하여 시스템을 변경 하거나 파괴하는 행위, 정보를 획득하거나 유출하는 행위를 하지 않아야 한다.

휴대용 저장매체의 반입을 금지하며 이를 사용하여야 할 경우 병원 담당자로부터 사전에 승인받은 후 사용하고, 점검 및 검열에 응하여야 한다.

병원에 반입되는 PC는 사용 전에 기관의 PC관련 보안 솔루션을 설치하고 Windows 로그 패스워드, 화면 보호기 패스워드, 공유폴더 패스워드를 설정하여야 한다.

병원에서 수행한 산출물을 직접 사용하거나 제3자에게 공개하지 않아야 한다.

용역 완료 후 철수 시에 PC에 저장되어 있는 병원 정보를 삭제하고, 기관의 업무담당자에게 정보의 삭제 여부를 확인 받아야 한다.

위배사항의 처리

업무 담당부서는 계약상의 정보보안 요구사항과 관련하여 외주용역업체의 위배사항이 발생할 경우 기술적•물리적 보안관리자와 협조 대응하도록 하고 정보보안총괄책임자에게 보고 하도록 한다. 이때 총괄책임자는 정보보호위원회를 소집하도록 한다.

정보보호위원회에서는 다음의 대응책을 강구한다.

제도적, 법적 대응책을 강구.

경미한 위배사항일 경우, 외주용역업체와 협의를 통해 피해 구제.

중요한 위배사항일 경우, 산업기술의 유출방지 및 보호에 관한 법률, 부정경쟁방지 및 영업비밀보호에 관한 법률 등에 따라 피해보상 강구.

부  칙

1. 시행일 이 지침은 2013년1    월1 일부로 시행한다.

[별첨1호 서식] - 개인정보처리 위탁계약서

[별첨2호 서식] – 개인정보 처리위탁(제공)계약 보안서약서

[별첨3호 서식] - 보안서약서

[별첨4호 서식] - 용역업체 및 유지보수업체 개인정보 이용신청 절차

[별첨5호 서식] – 자원봉사자용 보안서약서

[별첨6호 서식] – 외부인력 출입대장

[별첨1호 서식] - 개인정보처리 위탁계약서

개인정보처리위탁 계약서

단국대학교병원(이하 “갑”이라 한다)과               (이하 “을”이라 한다)는 “갑”의 개인정보 처리업무를  “을”에게 위탁함에 있어 다음과 같은 내용으로 본 업무위탁계약을 체결한다.

제1조 (목적) 이 계약은 “갑”이 개인정보처리업무를 “을”에게 위탁하고, “을”은 이를 승낙하여 “을”의 책임아래 성실하게 업무를 완성하도록 하는데 필요한 사항을 정함을 목적으로 한다.

제2조 (용어의 정의) 본 계약에서 별도로 정의되지 아니한 용어는 개인정보보호법, 동법 시행령 및 시행규칙, 「표준 개인정보 보호지침」(행정안전부 예규 제25호)에서 정의된 바에 따른다.

제3조 (위탁업무의 목적 및 범위) “을”은 계약이 정하는 바에 따라 (                   ) 목적으로 다음과 같은 개인정보 처리 업무를 수행한다.

각호의 업무 예시 : 영상정보, 출입자정보, 환자식 이용자정보, 장례식장 이용객 정보, 검사결과정보,정보시스템․저장매체․수기문서 등 소각 및 파기 계약, 홈페이지 웹호스팅 등 개인정보 처리 위탁 업무 내용

1.검진자 결과데이터

2.

제4조 (재위탁 제한) ① “을”은 “갑”의 사전 승낙을 얻은 경우를 제외하고 “갑”과의 계약상의 권리와 의무의 전부 또는 일부를 제3자에게 양도하거나 재위탁할 수 없다.

② “을”이 재위탁받은 수탁회사를 선임한 경우 “을”은 당해 재위탁계약서와 함께 그 사실을 즉시 “갑”에 통보하여야 한다.

제5조 (개인정보의 안전성 확보조치) “을”은 개인정보보호법 제29조, 동법 시행령 제30조 및 개인정보의 안전성 확보조치 기준 고시(행정안전부 고시 제2011-43호)에 따라 개인정보의 안전성 확보에 필요한 관리적․기술적 조치를 취하여야 한다.

제6조 (개인정보의 처리제한) ① “을”은 계약기간은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 안 된다.

② “을”은 계약이 해지되거나 또는 위탁받은 업무 처리가 완료되면 지체없이 위탁업무와 관련하여 보유하고 있는 개인정보를 「개인정보보호법」시행령 제16조에 따라 즉시 파기하거나 “갑”에게 반납하여야 한다.

③ 제2항에 따라 “을”이 개인정보를 파기한 경우 지체없이 “갑”에게 그 결과를 통보하여야 한다.

제7조 (수탁자에 대한 관리·감독 등) ① “갑”은 “을”에 대하여 다음 각 호의 사항을 관리하도록 요구할 수 있으며, “을”은 특별한 사유가 없는 한 이에 응하여야 한다.

1. 개인정보의 처리 현황

2. 개인정보의 접근 또는 접속현황

3. 개인정보 접근 또는 접속 대상자

4. 목적 외 이용․제공 및 재위탁 금지 준수여부
5. 암호화 등 안전성 확보조치 이행여부
6. 그 밖에 개인정보의 보호를 위하여 필요한 사항

② “갑”은 “을”에 대하여 제1항 각 호의 사항에 대한 실태를 점검하여 시정을 요구할 수 있으며, “을”은 특별한 사유가 없는 한 이행하여야 한다.

③ “갑”은 처리위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 1년에 ( 2 )회 “을”을 교육할 수 있으며, “을”은 이에 응하여야 한다.

「개인정보 안전성 확보조치 기준 고시」(행정안전부 고시 제2011-43호) 에 따라 개인정보처리자 및 취급자는 1년에 1회 이상 개인정보보호에 관한 교육을 의무적으로 시행하여야 한다.

④ 제1항에 따른 교육의 시기와 방법 등에 대해서는 “갑”은 “을”과 협의하여 시행한다.

제8조 (손해배상) ① “을” 또는 “을”의 임직원 기타 “을”의 수탁자가 이 계약에 의하여 위탁 또는 재위탁받은 업무를 수행함에 있어 이 계약에 따른 의무를 위반하거나 “을” 또는 “을”의 임직원 기타 “을”의 수탁자의 귀책사유로 인하여 이 계약이 해지되어 “갑” 또는 개인정보주체 기타 제3자에게 손해가 발생한 경우 “을”은 그 손해를 배상하여야 한다.

② 제1항과 관련하여 개인정보주체 기타 제3자에게 발생한 손해에 대하여 “갑”이 전부 또는 일부를 배상한 때에는 “갑”은 이를 “을”에게 구상할 수 있다.

본 계약의 내용을 증명하기 위하여 계약서 2부를 작성하고, “갑”과 “을”이 서명 또는 날인한 후 각 1부씩 보관한다.

갑 단국대학병원 충남 천안시 동남구 망향로 201번지 성 명 : 박 우 성 (인)	을

[별첨2호 서식] – 업체 대표 보안서약서

개인정보 처리위탁(제공) 계약 보안 서약서

_______진메디칼_________(이하 "을"이라 한다)는 단국대학교 의과대학 부속병원(이하 "갑"이라 한다)내의 개인정보 처리위탁 업무수행에 따른 개인정보의 안전한 보호를 위해 아래 각 호의 사항을 준수한다.

1. 을은 갑의 정보보호 규정을 준수하며 갑이 처리 위탁한 개인정보(정보 및 정보시스템)를 안전하게 사용·관리하며, 개인 정보의 보호를 위해 다음의 사항을 준수한다.

1) 갑의 정보보호 규정 및 개인정보보호 관련 법규의 준수

2) 업무상 알게 된 개인정보에 관한 비밀 유지

3) 제공받은 목적 외 제공 금지

4) 제공받거나 허가 받은 개인정보 처리업무 및 처리권한의 제3자 공유 금지

5) 처리업무의 종료 시의 파기 등 의무사항의 이행

6) 갑의 규정 및 관련 법규의 미 준수 또는 관리소홀로 인해 발생한 개인정보 사고에 대한 책임 부담

2. 을은 갑의 업무 수행을 위해 담당하는 직원에 대하여 책임을 진다.

3. 을은 갑의 사전 승인을 받지 못한 프로그램 및 정보기기는 갑의 업무와 관련하여 사용하지 않는다.

4. 을은 갑의 정보보호 정책과 반하는 행위로 야기되는 문제에 대해 민·형사상 책임을 진다.

상기사항을 숙지하고 이를 성실히 준수할 것을 서약함

201 6년    월     일

수탁업체  대표 :              (인)

[별첨3호 서식] - 담당자 보안서약서

보 안 서 약 서 (업무수행자)
본인은 년 월 일부로, 방문 ,(원격)근무를 수행함에 있어 다음 사항을 준수할 것을 엄숙히 서약합니다.
1. 나는 부여받은 인증 관련 정보 및 매체를 타인에게 유출하지 아니한다.
2. 나는 (방문,원격)근무 중 작성·저장·열람·출력한 문서는 업무 목적에만 활용하고 타인에게 유출하지 아니한다.
3. 나는 (방문,원격)근무용 소프트웨어 및 전산장비를 업무목적에만 활용하며 바이러스 백신 프로그램 및 기타 보안 프로그램을 설치하여 최신 상태로 유지한다.
4. 나는 여타 보안사항들을 성실히 준수하며 위반 시 관련 규정에 따라 처벌도 감수한다.
년 월 일
서 약 자	업 체 명 : 직 위(급) : 성 명 : (서명)
서약집행자	소 속 : 직 위(급) : 성 명 : (서명)

[별첨4호 서식] - 용역업체 및 유지보수업체 개인정보 이용신청 절차

용역업체 및 유지보수업체 개인정보 이용신청절차

□ 구비서류

관련부서에서는 정보시스템 접근 및 개인정보를 이용하기 위하여 용역업체 직원은 해당하는 서류를 구비하여 주관부서에 제출한다.(단, 개인정보 접근이 불필요한 용역업체에 대해서는 네트워크 환경을 제공하지 않는다.)

▪ 개인정보보호 서약서(용역업체 직원용)

▪ 진료정보 접근권한 신청서(용역업체 직원용)

▪ 신분증 사본

▪ 재직증명서

□ 신청 및 접근권한 부여절차

▶ 원내 주관부서

▪ 정보시스템을 통한 개인정보의 접근이 필요한 용역업체 직원에게 해당구비서류를 제출받는다.

▪ 제출서류를 확인한 후 ‘접근권한 신청 협조전’을 의료정보팀과 전산팀으로 발송한다.

▪ 협조전 발송시 제출받은 서류를 스캔하여 협조전에 첨부한다.

▪ 협조전은 반드시 임상과장(또는 부서장)의 결재를 받는다.

▪ 제출서류의 원본을 관련 법률이 정하는 기간 동안 보관한다.

▪ 용역업체 직윈의 퇴직 등으로 신청자의 자격변경시 의료정보팀과 전산팀으로 협조전을 발송하여 접근권한이 차단 될 수 있도록 한다.

▶ 의료정보팀 / 전산팀

▪ 의료정보팀에서 협조전 내용 및 제출서류를 확인한다.

▪ 협조전 내용 및 제출서류의 확인 후 전산팀은 ‘접근통제지침’에 따라 접근권한 신청자의 계정 및 초기 패스워드를 부여하고 의료정보팀과 주관부서에게 발급내역을 공지한다.

▪ 신청자의 자격변경에 관한 협조전을 받은 경우, 즉시 해당 직원의 접근권한이 차단될 수 있도록 조치를 취한다.

▪ 관련 협조전은 관련 법률이 정하는 기간 동안 각 부서에서 보관한다.

▪ 의료정보팀에서는 필요시 주관 부서와 협의하여 용역업체직원의 재직여부에 관한 감사를 시행하도록 한다.

▪ 전산팀에서는 용역업체 직윈의 계정관리 대장을 관리하도록 한다.

▪ 용역업체의 개인정보 이용지침에 관한 변경사항이 발생한 경우, 의료정보위원회의 협의를 거쳐 변경할 수 있다.

첨부) 접근권한 신청 협조전

접근권한 신청 협조전

의료정보팀
담당	팀장

전산팀
담당	팀장

□ 주관부서 :

□ 용역업체명 :

□ 용역업체 직원명 :

용역업체의 직원에게 정보시스템에 접근할 수 있도록 권한을 신청하오니 승인하여 주시기 바랍니다.

신청일 : 20     .      .        .

주관부서 담당자/부서장 :           (서명)/           (서명)

■ 구비서류

▪ 개인정보보호 서약서(용역업체 직원용)

▪ 진료정보 접근권한 신청서(용역업체 직원용)

▪ 신분증 사본

▪ 재직증명서

[

[별첨6호 서식]-외부자출입대장

외부인력출입 및 보안교육대장

순번	출입일자	출입시간	소속	이름	연락처	출입사유	확인자