정보보호 관리

정보 보호 거버넌스 구현 요건

1. 전략적 연계 : 목표(전략)을 위해 사업 전략과 정보 보안은 연계되어야 한다.
2. 위험 관리 : 위험의 완화와 잠재적 영향의 감소를 위해 적합한 측정이 필요하다.
3. 가치 제공 : 비용 효과적인 보안 투자의 최적화가 필요하다.
4. 자원 관리 : 효율적인 인프라와 자원 관리를 달성한다.
5. 성과 관리 : 목표 달성을 위해 정보 보안 프로세스를 평가하고 모니터링 및 보고한다.

정보자산 위험분석

• ALE(연간예상손실) = SLE(단일손실예상액) * ARO(연간발생 빈도)
• SLE(단일손실예상액) = 자산가치 * 노출계수
• 위험(Risk) = 자산가치(A) * 위협(T) * 취약성(V)

위험분석 방법

• 정성적 위험분석 및 평가방법론
  • 델파이법 : 전문가 집단
  • 시나리오법 : 어떤 사건도 기대대로 발생하지 않는다는 사실에 근거
  • 순위결정법 : 상호 비교하여 우선순위 도출
  • 퍼지행렬법 : 정성적인 언어로 표현된 값을 사용하여 수학적으로 계산하는 방법
• 정량적 위험분석 및 평가방법론
  • 수학공식 접근법 : 위협 발생 빈도를 계산하는 식 사용
  • 확률 분포법 : 확률적 편차 이용
  • 과거자료 분석법 : 과거의 자료를 통한 예측
  • 점수법 : 위험 발생 요인에 가중치를 두어 위험 추정
• 기타
  • 기준선(베이스라인) 접근법 : 정보보호대책 세트, 보안 통제 사항이 나열된 체크리스트 형태
  • 비정형화된 접근법 : 경험자/전문가 지식 및 경험 활용
  • 상세 위험분석 접근법 : 모든 정보자산에 대해 상세 위험분석
  • 복합 접근법 : 베이스라인 접근법과 상세 위험분석 조합

위험처리 전략/방안

• 위험 수용 : 위험을 받아들이고 잠재적 손실 비용 감수
• 위험 감소 : 위험을 감소시킬 대책 채택하여 구현
• 위험 전가 : 보험이나 외주 등으로 잠재적 비용을 제3자에게 이전
• 위험 회피 : 위험이 존재하는 프로세스나 사업을 수행하지 않고 포기

ISO 27000 시리즈

• ISO/IEC 27000 : 개관 및 용어
• ISO/IEC 27001 : 정보 보안 관리 체계-요구사항(ISMS 요구사항), BSI에서 제정한 BS 7799 기반
• ISO/IEC 27002 : 정보 보안 관리를 위한 실무 규약
• ISO/IEC 27003 : 정보 보안 관리 체계 이행 가이드라인(ISMS 구현지침)
• ISO/IEC 27004 : 정보 보안 관리-측정
• ISO/IEC 27005 : 정보 보안 위험 관리
• ISO/IEC 27006 : 정보 보안 관리체계를 감사 및 인증하는 기관에 대한 요구사항

PDCA 모델 - ISO/IEC 27001

• Plan : 관리체계 수립
• Do : 관리체계 운영, 계획의 이행
• Check : 모니터링 및 검토, 성과평가
• Act : 유지 및 개선

ISO 27001:2022 평가 항목

테마 (4개)	통제 수	조항 범위	대표 통제
조직적(Organizational)	37	A.5.1~5.37	정책, 접근통제, 공급자관리, 위협인텔리전스
인적(People)	8	A.6.1~6.8	인사보안, 교육·인식, 기밀유지
물리적(Physical)	14	A.7.1~7.14	출입통제, 장비보안, 물리적 모니터링
기술적(Technological)	34	A.8.1~8.34	암호화, 로깅, 악성코드 방어, DLP
합계	93

정보보호 및 개인정보보호 관리체계(ISMS-P 인증)

• ISMS 인증과 PIMS 인증 통합

1. “정보보호 및 개인정보보호 관리체계 인증”이란 인증 신청인의 정보보호 및 개인정보보호를 위한 일련의 조치와 활동이 인증기준에 적합함을 한국인터넷진흥원 또는 인증기관이 증명하는 것을 말한다.
2. “정보보호 관리체계 인증”이란 인증 신청인의 정보보호 관련 일련의 조치와 활동이 인증기준에 적합함을 인터넷진흥원 또는 인증기관이 증명하는 것을 말한다. → 선택적으로 ISMS 인증 가능

• 인증의 유형
  • 정보보호 관리체계 인증(ISMS) : 정보보호 중심으로 인증하는 경우
  • 정보보호 및 개인정보보호 관리체계 인증(ISMS-P) : 개인정보의 흐름과 정보보호 영역을 모두 인증하는 경우
  • 정보보호 관리체계 예비인증 : 가상자산사업자가 실제 서비스 운영 전 임시적으로 시스템을 구축·운영한 경우
• 인증심사 종류
  1. 최초심사 : 유효기간 3년
  2. 사후심사 : 유효기간 중 매년 1회 이상
  3. 갱신심사 : 만료 전 유효기간 갱신심사

 

인증 영역	인증기준	항목 수	ISMS	ISMS-P
1. 관리체계 수립 및 운영 (16개)	1.1 관리체계 기반 마련	6	○	○
	1.2 위험 관리	4	○	○
	1.3 관리체계 운영	3	○	○
	1.4 관리체계 점검 및 개선	3	○	○
2. 보호대책 요구사항 (64개)	2.1 정책, 조직, 자산 관리	3	○	○
	2.2 인적 보안	6	○	○
	2.3 외부자 보안	4	○	○
	2.4 물리 보안	7	○	○
	2.5 인증 및 권한관리	6	○	○
	2.6 접근통제	7	○	○
	2.7 암호화 적용	2	○	○
	2.8 정보시스템 도입 및 개발 보안	6	○	○
	2.9 시스템 및 서비스 운영관리	7	○	○
	2.10 시스템 및 서비스 보안관리	9	○	○
	2.11 사고 예방 및 대응	5	○	○
	2.12 재해 복구	2	○	○
3. 개인정보 처리 단계별 요구사항 (21개)	3.1 개인정보 수집 시 보호조치	7	–	○
	3.2 개인정보 보유 및 이용 시 보호조치	5	–	○
	3.3 개인정보 제공 시 보호조치	4	–	○
	3.4 개인정보 파기 시 보호조치	2	–	○
	3.5 정보주체 권리보호	3	–	○
합계		101	80	101

인증 영역	분류	세부 인증기준
1. 관리체계 수립 및 운영 (16개)	1.1 관리체계 기반 마련	1.1.1 경영진의 참여
		1.1.2 최고책임자의 지정
		1.1.3 조직 구성
		1.1.4 범위 설정
		1.1.5 정책 수립
		1.1.6 자원 할당
	1.2 위험 관리	1.2.1 정보자산 식별
		1.2.2 현황 및 흐름분석
		1.2.3 위험 평가
		1.2.4 보호대책 선정
	1.3 관리체계 운영	1.3.1 보호대책 구현
		1.3.2 보호대책 공유
		1.3.3 운영현황 관리
	1.4 관리체계 점검 및 개선	1.4.1 법적 요구사항 준수 검토
		1.4.2 관리체계 점검
		1.4.3 관리체계 개선
2. 보호대책 요구사항 (64개)	2.1 정책, 조직, 자산 관리	2.1.1 정책의 유지관리
		2.1.2 조직의 유지관리
		2.1.3 정보자산 관리
	2.2 인적 보안	2.2.1 주요 직무자 지정 및 관리
		2.2.2 직무 분리
		2.2.3 보안 서약
		2.2.4 인식제고 및 교육훈련
		2.2.5 퇴직 및 직무변경 관리
		2.2.6 보안 위반 시 조치
	2.3 외부자 보안	2.3.1 외부자 현황 관리
		2.3.2 외부자 계약 시 보안
		2.3.3 외부자 보안 이행 관리
		2.3.4 외부자 계약 변경 및 만료 시 보안
	2.4 물리 보안	2.4.1 보호구역 지정
		2.4.2 출입통제
		2.4.3 정보시스템 보호
		2.4.4 보호설비 운영
		2.4.5 보호구역 내 작업
		2.4.6 반출입 기기 통제
		2.4.7 업무환경 보안
	2.5 인증 및 권한관리	2.5.1 사용자 계정 관리
		2.5.2 사용자 식별
		2.5.3 사용자 인증
		2.5.4 비밀번호 관리
		2.5.5 특수 계정 및 권한 관리
		2.5.6 접근권한 검토
	2.6 접근통제	2.6.1 네트워크 접근
		2.6.2 정보시스템 접근
		2.6.3 응용프로그램 접근
		2.6.4 데이터베이스 접근
		2.6.5 무선 네트워크 접근
		2.6.6 원격접근 통제
		2.6.7 인터넷 접속 통제
	2.7 암호화 적용	2.7.1 암호정책 적용
		2.7.2 암호키 관리
	2.8 정보시스템 도입 및 개발 보안	2.8.1 보안 요구사항 정의
		2.8.2 보안 요구사항 검토 및 시험
		2.8.3 시험과 운영 환경 분리
		2.8.4 시험 데이터 보안
		2.8.5 소스 프로그램 관리
		2.8.6 운영환경 이관
	2.9 시스템 및 서비스 운영관리	2.9.1 변경관리
		2.9.2 성능 및 장애관리
		2.9.3 백업 및 복구관리
		2.9.4 로그 및 접속기록 관리
		2.9.5 로그 및 접속기록 점검
		2.9.6 시간 동기화
		2.9.7 정보자산의 재사용 및 폐기
	2.10 시스템 및 서비스 보안관리	2.10.1 보안시스템 운영
		2.10.2 클라우드 보안
		2.10.3 공개서버 보안
		2.10.4 전자거래 및 핀테크 보안
		2.10.5 정보전송 보안
		2.10.6 업무용 단말기기 보안
		2.10.7 보조저장매체 관리
		2.10.8 패치관리
		2.10.9 악성코드 통제
	2.11 사고 예방 및 대응	2.11.1 사고 예방 및 대응체계 구축
		2.11.2 취약점 점검 및 조치
		2.11.3 이상행위 분석 및 모니터링
		2.11.4 사고 대응 훈련 및 개선
		2.11.5 사고 대응 및 복구
	2.12 재해복구	2.12.1 재해, 재난 대비 안전조치
		2.12.2 재해 복구 시험 및 개선
3. 개인정보 처리단계별 요구사항 (21개)	3.1 개인정보 수집 시 보호조치	3.1.1 개인정보 수집·이용
		3.1.2 개인정보 수집 제한
		3.1.3 주민등록번호 처리 제한
		3.1.4 민감정보 및 고유식별정보의 처리 제한
		3.1.5 개인정보 간접수집
		3.1.6 영상정보처리기기 설치·운영
		3.1.7 홍보 및 마케팅 목적 활용 시 조치
	3.2 개인정보 보유 및 이용 시 보호조치	3.2.1 개인정보 현황관리
		3.2.2 개인정보 품질보장
		3.2.3 이용자 단말기 접근 보호
		3.2.4 개인정보 목적 외 이용 및 제공
		3.2.5 가명정보 처리
	3.3 개인정보 제공 시 보호조치	3.3.1 개인정보 제3자 제공
		3.3.2 개인정보 처리 업무 위탁
		3.3.3 영업의 양도 등에 따른 개인정보 이전
		3.3.4 개인정보의 국외이전
	3.4 개인정보 파기 시 보호조치	3.4.1 개인정보의 파기
		3.4.2 처리목적 달성 후 보유 시 조치
	3.5 정보주체 권리보호	3.5.1 개인정보 처리방침 공개
		3.5.2 정보주체 권리보장
		3.5.3 정보주체에 대한 통지
- 의무대상자
- 인증 의무대상자는 ①정보통신망서비스를 제공하는 자(ISP) ②집적정보통신시설사업자(IDC) ③전년도 매출액 또는 세입 등이 1,500억 원 이상이거나 정보통신서비스 부문의 전년도 매출액이 100억 원 이상 또는 전년도 일일평균 이용자 수 100만 명 이상으로서, 대통령령으로 정하는 기준에 해당하는 자이다.

개인정보 비식별화 조치

1. 가명처리
2. 총계처리
3. 데이터 삭제
4. 데이터 범주화
5. 데이터 마스킹

개인정보의 자기결정권

• 자신에 관한 정보를 보호하기 위하여 자신에 관한 정보를 자율적으로 결정하고 관리할 수 있는 권리.
• 즉, 개인 스스로가 자신의 정보를 어느 범위에서 공개할 것인지를 결정할 수 있음을 의미한다. 또한 공개된 정보가 어떻게 관리 이용될 것인지를 스스로 결정하는 것에서 비롯되어 개인정보자기결정권은 인격권의 구성하는 핵심적인 내용이다.

OECD 프라이버시 8원칙 (1980년 제정)

#	원칙	영문	핵심 내용
1	수집 제한	Collection Limitation	개인정보 수집은 적법·공정한 수단으로, 정보주체의 인지·동의 하에 제한적으로
2	정보 정확성(데이터 품질)	Data Quality	이용 목적에 부합하고, 정확·완전·최신 상태 유지
3	목적 명확화	Purpose Specification	수집 시점에 이용 목적을 명확히 특정
4	이용 제한	Use Limitation	명시된 목적 외 공개·이용 금지 (동의·법률 근거 예외)
5	안전성 확보	Security Safeguards	합리적 안전조치로 분실·불법접근·파괴·수정·누설로부터 보호
6	공개(개방성)	Openness	개인정보 처리 정책·현황을 공개, 처리 사실을 알 수 있게
7	개인 참여	Individual Participation	정보주체의 열람·정정·삭제 요구권 보장
8	책임	Accountability	정보관리자(Controller)가 위 원칙 준수에 대한 책임을 짐

보안 제품 평가 방법 및 기준

보안제품 평가 종류

구분	TCSEC	ITSEC	CC
명칭	Trusted Computer System Evaluation Criteria	Information Technology Security Evaluation	Common Criteria
표준화	미국표준제정기관(NCSC)	영국, 독일, 프랑스, 네덜란드	국제표준기관(ISO/IEC15408)
적용 범위	미국 내 보안표준	유럽	세계공통의 보안표준
등급	A1, B1, B2, B3, C1, C2, D(부적합)	E6 - E1, E0(부적합)	EAL7 - EAL1, EAL0(부적합)

TCSEC(Trusted Computer System Evaluation Criteria)

• Orange Book 이라고 불리는 Rainbow Series라는 미 국방부 문서 중 하나
• 보증 수준
  • A : 검증된 보호(Verified protection)
  • B : 강제적 보호(Mandatory protection)
  • C : 임의적 보호(Discretionary protection)
  • D : 최소 보호(Minimal security)
• 단계별 보안 수준
  1. D – Minimal Protection
  2. C1 – Discretionary Security Protection
  3. C2 – Controlled Access Protection
  4. B1 – Labeled Security Protection
  5. B2 – Structured Protection
  6. B3 – Security Domains
  7. A1 – Verified Design (Verified Protection)
• 레드북(TNI) : Trusted Network Interpretation, 네트워크 및 네트워크 구성요소에 대한 보안 평가 주제

ITSEC(Information Technology Security Evaluation Criteria)

• 유럽형 보안 기준

CC(Common Criteria) - ISO/IEC 15408

• 오렌지북, 레드북 → ITSEC → CC
• 보안 요구조건을 명세화하고 평가 기준을 정의하기 위한 ISO 표준

등급	명칭 (Evaluation Assurance Level)	보안수준	핵심 내용
EAL1	Functionally Tested (기능 시험)	최하	기능 명세 기반 시험, 위협이 심각하지 않은 환경
EAL2	Structurally Tested (구조 시험)	낮음	설계 정보·시험 결과 검토, 개발자 협조 최소
EAL3	Methodically Tested and Checked (방법론적 시험·점검)	중하	개발 단계 보안 통제, 체계적 시험
EAL4	Methodically Designed, Tested and Reviewed (방법론적 설계·시험·검토)	중	상용제품 일반 목표 등급, 개발 보안공학 적용
EAL5	Semiformally Designed and Tested (준정형적 설계·시험)	중상	준정형적 설계, 은닉채널 분석
EAL6	Semiformally Verified Design and Tested (준정형적 검증 설계·시험)	높음	고위험 환경, 준정형적 검증
EAL7	Formally Verified Design and Tested (정형적 검증 설계·시험)	최상	정형적 검증(formal verification), 극고위험 환경
- 구성요소

구성요소	영문	역할
PP	Protection Profile	특정 제품군이 갖춰야 할 공통 보안요구사항 (구현 독립적)
ST	Security Target	특정 제품에 대한 보안요구사항 명세 (구현 종속적, PP 참조)
TOE	Target of Evaluation	실제 평가 대상이 되는 제품·시스템
SFR	Security Functional Requirements	보안 기능 요구사항 (Part 2, 11개 기능 클래스)
SAR	Security Assurance Requirements	보안 보증 요구사항 (Part 3, EAL 산정 근거)
EAL	Evaluation Assurance Level	SAR 충족 정도에 따른 보증등급 (1~7)
패키지		컴포넌트의 집합

정보보호관련법 기출

법률과 소관 기관

개인정보 보호법- 개인정보보호위원회

정보통신망 이용촉진 및 정보보호 등에 관한 법률 - 방송미디어통신위원회, 과학기술정보통신부

정보통신기반 보호법 - 과학기술정보통신부

지능정보화 기본법 - 과학기술정보통신부

전자정부법 - 행정안정부

신용정보의 이용 및 보호에 관한 법률 - 금융위원회

정보통신망 이용촉진 및 정보보호 등에 관한 법률

제1장 총칙

제1조(목적)

제2조(정의)

제3조(정보통신서비스 제공자 및 이용자의 책무)

제4조(정보통신망 이용촉진 및 정보보호등에 관한 시책의 마련)

제4조의2(합성영상등으로 인한 피해 예방을 위한 시책)

제5조(다른 법률과의 관계)

제5조의2(국외행위에 대한 적용)

제2장 정보통신망의 이용촉진

제6조(기술개발의 추진 등)

제7조(기술관련 정보의 관리 및 보급)

제8조(정보통신망의 표준화 및 인증)

제9조(인증기관의 지정 등)

제10조(정보내용물의 개발 지원)

제11조(정보통신망 응용서비스의 개발 촉진 등)

제12조(정보의 공동활용체제 구축)

제13조(정보통신망의 이용촉진 등에 관한 사업)

제14조(인터넷 이용의 확산)

제15조(인터넷 서비스의 품질 개선)

제4장 정보통신서비스의 안전한 이용환경 조성

제22조의2(접근권한에 대한 동의)

제23조의2(주민등록번호의 사용 제한)

제23조의3(본인확인기관의 지정 등)

제23조의4(본인확인업무의 정지 및 지정취소)

제23조의5(연계정보의 생성ㆍ처리 등)

제23조의6(연계정보의 안전조치 의무 등)

제32조의5(국내대리인의 지정)

제5장 정보통신망에서의 이용자 보호 등

제41조(청소년 보호를 위한 시책의 마련 등)

제42조(청소년유해매체물의 표시)

제42조의2(청소년유해매체물의 광고금지)

제42조의3(청소년 보호 책임자의 지정 등)

제43조(영상 또는 음향정보 제공사업자의 보관의무)

제44조(정보통신망에서의 권리보호)

제44조의2(정보의 삭제요청 등)

제44조의3(임의의 임시조치)

제44조의4(자율규제)

제44조의5(게시판 이용자의 본인 확인)

제44조의6(이용자 정보의 제공청구)

제44조의7(불법정보 및 허위조작정보의 유통금지 등)

제44조의8(대화형정보통신서비스에서의 아동 보호)

제44조의9(불법촬영물등 유통방지 책임자)

제44조의10(손해배상)

제44조의11(가중 손해배상 청구 남용에 대한 특칙)

제44조의12(불법정보와 허위조작정보의 신고와 조치, 자율적인 운영정책 등)

제44조의13(신고 남용에 대한 조치)

제44조의14(보고서의 공표 등)

제44조의15(방송미디어통신위원회의 감독)

제44조의16(허위정보등에 대한 사실확인 활동 지원 등)

제44조의17(투명성센터 설치 등)

제44조의18(분쟁조정부)

제44조의19(위원의 제척ㆍ기피ㆍ회피)

제44조의20(분쟁의 조정)

제44조의21(자료요청 등)

제44조의22(조정의 효력)

제44조의23(조정의 거부 및 중지)

제44조의24(불법정보 또는 허위조작정보 유통에 대한 과징금)

제44조의25(의견제출)

제44조의26(과징금의 징수 및 강제징수)

제6장 정보통신망의 안정성 확보 등

제45조(정보통신망의 안정성 확보 등)

제45조의2(정보보호 사전점검)

제45조의3(정보보호 최고책임자의 지정 등)

제45조의3(정보보호 최고책임자의 지정 등)

제45조의4(정보보호위원회)

제45조의5(정보보호수준 평가)

제46조(집적된 정보통신시설의 보호)

제46조의2(집적정보통신시설 사업자의 긴급대응)

제47조(정보보호 관리체계의 인증)

제47조의2(정보보호 관리체계 인증기관 및 정보보호 관리체계 심사기관의 지정취소 등)

제47조의4(이용자의 정보보호)

제47조의5(정보보호 관리등급 부여)

제47조의6(정보보호 취약점 신고자에 대한 포상)

제47조의7(정보보호 관리체계 인증의 특례)

제47조의7(정보보호 관리체계 인증의 차등적용 등)

제48조(정보통신망 침해행위 등의 금지)

제48조의2(침해사고의 대응 등)

제48조의3(침해사고의 신고 등)

제48조의4(침해사고의 원인 분석 등)

제48조의5(정보통신망연결기기등 관련 침해사고의 대응 등)

제48조의6(정보통신망연결기기등에 관한 인증)

제48조의7(이행강제금)

제48조의8(침해사고의 반복적 발생에 대한 과징금의 부과)

제48조의9(침해사고 관리ㆍ대응 매뉴얼)

제48조의10(침해사고로 인한 이용자 피해구제)

제49조(비밀 등의 보호)

제49조의2(속이는 행위에 의한 정보의 수집금지 등)

제49조의3(속이는 행위에 사용된 전화번호의 전기통신역무 제공의 중지 등)

제50조(영리목적의 광고성 정보 전송 제한)

제50조의3(영리목적의 광고성 정보 전송의 위탁 등)

제50조의4(정보 전송 역무 제공 등의 제한)

제50조의5(영리목적의 광고성 프로그램 등의 설치)

제50조의6(영리목적의 광고성 정보 전송차단 소프트웨어의 보급 등)

제50조의7(영리목적의 광고성 정보 게시의 제한)

제50조의8(불법행위를 위한 광고성 정보 전송금지)

제50조의9(광고성 정보 전송 위반에 대한 과징금의 부과)

제50조의10(과징금의 납부기한 연장 및 분할납부)

제51조(중요 정보의 국외유출 제한 등)

제52조(한국인터넷진흥원)

제7장 통신과금서비스

제53조(통신과금서비스제공자의 등록 등)

제54조(등록의 결격사유)

제55조(등록의 취소명령)

제56조(약관의 신고 등)

제57조(통신과금서비스의 안전성 확보 등)

제58조(통신과금서비스이용자의 권리 등)

제58조의2(구매자정보 제공 요청 등)

제59조(분쟁 조정 및 해결 등)

제60조(손해배상 등)

제61조(통신과금서비스의 이용제한)

제8장 국제협력

제62조(국제협력)

제1조(목적) 이 법은 정보통신망의 이용을 촉진하고 정보통신서비스를 이용하는 자를 보호함과 아울러 정보통신망을 건전하고 안전하게 이용할 수 있는 환경을 조성하여 국민생활의 향상과 공공복리의 증진에 이바지함을 목적으로 한다.

제2조(정의)

1. “정보통신망”이란 「전기통신사업법」 제2조제2호에 따른 전기통신설비를 이용하거나 전기통신설비와 컴퓨터 및 컴퓨터의 이용기술을 활용하여 정보를 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송신 또는 수신하는 정보통신체제를 말한다.

2. “정보통신서비스”란 「전기통신사업법」 제2조제6호에 따른 전기통신역무와 이를 이용하여 정보를 제공하거나 정보의 제공을 매개하는 것을 말한다.

3. “정보통신서비스 제공자”란 「전기통신사업법」 제2조제8호에 따른 전기통신사업자와 영리를 목적으로 전기통신사업자의 전기통신역무를 이용하여 정보를 제공하거나 정보의 제공을 매개하는 자를 말한다.

3의2. “대규모 정보통신서비스 제공자”란 정보통신서비스 제공자 중 제4호에 따른 이용자 수, 서비스의 종류 등이 대통령령으로 정하는 기준에 해당하는 자를 말한다.

3의3. “게재자”란 정보통신서비스를 이용하여 정보통신망에 직접 제작하거나 선별한 정보를 게재하여 유통하는 자를 말한다.

4. “이용자”란 정보통신서비스 제공자가 직접 제공하거나 게재자를 통하여 제공되는 정보통신서비스 또는 정보를 이용하는 자를 말한다.

5. “전자문서”란 컴퓨터 등 정보처리능력을 가진 장치에 의하여 전자적인 형태로 작성되어 송수신되거나 저장된 문서형식의 자료로서 표준화된 것을 말한다.

6. 삭제

7. “침해사고”란 다음 각 목의 방법으로 정보통신망 또는 이와 관련된 정보시스템을 공격하는 행위로 인하여 발생한 사태를 말한다.

가. 해킹, 컴퓨터바이러스, 논리폭탄, 메일폭탄, 서비스거부 또는 고출력 전자기파 등의 방법

나. 정보통신망의 정상적인 보호ㆍ인증 절차를 우회하여 정보통신망에 접근할 수 있도록 하는 프로그램이나 기술적 장치 등을 정보통신망 또는 이와 관련된 정보시스템에 설치하는 방법

8. 삭제

9. “게시판”이란 그 명칭과 관계없이 정보통신망을 이용하여 일반에게 공개할 목적으로 부호ㆍ문자ㆍ음성ㆍ음향ㆍ화상ㆍ동영상 등의 정보를 이용자가 게재할 수 있는 컴퓨터 프로그램이나 기술적 장치를 말한다.

10. “통신과금서비스”란 정보통신서비스로서 다음 각 목의 업무를 말한다.

가. 타인이 판매ㆍ제공하는 재화 또는 용역(이하 “재화등”이라 한다)의 대가를 자신이 제공하는 전기통신역무의 요금과 함께 청구ㆍ징수하는 업무

나. 타인이 판매ㆍ제공하는 재화등의 대가가 가목의 업무를 제공하는 자의 전기통신역무의 요금과 함께 청구ㆍ징수되도록 거래정보를 전자적으로 송수신하는 것 또는 그 대가의 정산을 대행하거나 매개하는 업무

11. “통신과금서비스제공자”란 제53조에 따라 등록을 하고 통신과금서비스를 제공하는 자를 말한다.

12. “통신과금서비스이용자”란 통신과금서비스제공자로부터 통신과금서비스를 이용하여 재화등을 구입ㆍ이용하는 자를 말한다.

13. “전자적 전송매체”란 정보통신망을 통하여 부호ㆍ문자ㆍ음성ㆍ화상 또는 영상 등을 수신자에게 전자문서 등의 전자적 형태로 전송하는 매체를 말한다.

제45조의3(정보보호 최고책임자의 지정 등) ① 정보통신서비스 제공자는 정보통신시스템 등에 대한 보안 및 정보의 안전한 관리를 위하여 대통령령으로 정하는 기준에 해당하는 임직원을 정보보호 최고책임자로 지정하고 과학기술정보통신부장관에게 신고하여야 한다. 다만, 자산총액, 매출액 등이 대통령령으로 정하는 기준에 해당하는 정보통신서비스 제공자의 경우에는 정보보호 최고책임자를 신고하지 아니할 수 있다.

제45조(정보통신망의 안정성 확보 등) ① 다음 각 호의 어느 하나에 해당하는 자는 정보통신서비스의 제공에 사용되는 정보통신망의 안정성 및 정보의 신뢰성을 확보하기 위한 보호조치를 하여야 한다.

1. 정보통신서비스 제공자

2. 정보통신망에 연결되어 정보를 송ㆍ수신할 수 있는 기기ㆍ설비ㆍ장비 중 대통령령으로 정하는 기기ㆍ설비ㆍ장비(이하 “정보통신망연결기기등”이라 한다)를 제조하거나 수입하는 자

② 과학기술정보통신부장관은 제1항에 따른 보호조치의 구체적 내용을 정한 정보보호조치에 관한 지침(이하 “정보보호지침”이라 한다)을 정하여 고시하고 제1항 각 호의 어느 하나에 해당하는 자에게 이를 지키도록 권고할 수 있다.

③ 정보보호지침에는 다음 각 호의 사항이 포함되어야 한다.

1. 정당한 권한이 없는 자가 정보통신망에 접근ㆍ침입하는 것을 방지하거나 대응하기 위한 정보보호시스템의 설치ㆍ운영 등 기술적ㆍ물리적 보호조치

2. 정보의 불법 유출ㆍ위조ㆍ변조ㆍ삭제 등을 방지하기 위한 기술적 보호조치

3. 정보통신망의 지속적인 이용이 가능한 상태를 확보하기 위한 기술적ㆍ물리적 보호조치

4. 정보통신망의 안정 및 정보보호를 위한 인력ㆍ조직ㆍ경비의 확보 및 관련 계획수립 등 관리적 보호조치

5. 정보통신망연결기기등의 정보보호를 위한 기술적 보호조치

제22조의2(접근권한에 대한 동의) ① 정보통신서비스 제공자는 해당 서비스를 제공하기 위하여 이용자의 이동통신단말장치 내에 저장되어 있는 정보 및 이동통신단말장치에 설치된 기능에 대하여 접근할 수 있는 권한(이하 “접근권한”이라 한다)이 필요한 경우 다음 각 호의 사항을 이용자가 명확하게 인지할 수 있도록 알리고 이용자의 동의를 받아야 한다.

1. 해당 서비스를 제공하기 위하여 반드시 필요한 접근권한인 경우

가. 접근권한이 필요한 정보 및 기능의 항목

나. 접근권한이 필요한 이유

2. 해당 서비스를 제공하기 위하여 반드시 필요한 접근권한이 아닌 경우

가. 접근권한이 필요한 정보 및 기능의 항목

나. 접근권한이 필요한 이유

다. 접근권한 허용에 대하여 동의하지 아니할 수 있다는 사실

② 정보통신서비스 제공자는 해당 서비스를 제공하기 위하여 반드시 필요하지 아니한 접근권한을 설정하는 데 이용자가 동의하지 아니한다는 이유로 이용자에게 해당 서비스의 제공을 거부하여서는 아니 된다.

③ 이동통신단말장치의 기본 운영체제(이동통신단말장치에서 소프트웨어를 실행할 수 있는 기반 환경을 말한다)를 제작하여 공급하는 자와 이동통신단말장치 제조업자 및 이동통신단말장치의 소프트웨어를 제작하여 공급하는 자는 정보통신서비스 제공자가 이동통신단말장치 내에 저장되어 있는 정보 및 이동통신단말장치에 설치된 기능에 접근하려는 경우 접근권한에 대한 이용자의 동의 및 철회방법을 마련하는 등 이용자 정보 보호에 필요한 조치를 하여야 한다.

④ 방송미디어통신위원회는 해당 서비스의 접근권한의 설정이 제1항부터 제3항까지의 규정에 따라 이루어졌는지 여부에 대하여 실태조사를 실시할 수 있다.

⑤ 제1항에 따른 접근권한의 범위 및 동의의 방법, 제3항에 따른 이용자 정보 보호를 위하여 필요한 조치 및 그 밖에 필요한 사항은 대통령령으로 정한다.

제23조의2(주민등록번호의 사용 제한) ① 정보통신서비스 제공자는 다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 이용자의 주민등록번호를 수집ㆍ이용할 수 없다.

1. 제23조의3에 따라 본인확인기관으로 지정받은 경우

2. 삭제

3. 「전기통신사업법」 제38조제1항에 따라 기간통신사업자로부터 이동통신서비스 등을 제공받아 재판매하는 전기통신사업자가 제23조의3에 따라 본인확인기관으로 지정받은 이동통신사업자의 본인확인업무 수행과 관련하여 이용자의 주민등록번호를 수집ㆍ이용하는 경우

② 제1항제3호에 따라 주민등록번호를 수집ㆍ이용할 수 있는 경우에도 이용자의 주민등록번호를 사용하지 아니하고 본인을 확인하는 방법(이하 “대체수단”이라 한다)을 제공하여야 한다.

제23조의3(본인확인기관의 지정 등) ① 방송미디어통신위원회는 다음 각 호의 사항을 심사하여 대체수단의 개발ㆍ제공ㆍ관리 업무(이하 “본인확인업무”라 한다)를 안전하고 신뢰성 있게 수행할 능력이 있다고 인정되는 자를 본인확인기관으로 지정할 수 있다.

1. 본인확인업무의 안전성 확보를 위한 물리적ㆍ기술적ㆍ관리적 조치계획

2. 본인확인업무의 수행을 위한 기술적ㆍ재정적 능력

3. 본인확인업무 관련 설비규모의 적정성

② 본인확인기관이 본인확인업무의 전부 또는 일부를 휴지하고자 하는 때에는 휴지기간을 정하여 휴지하고자 하는 날의 30일 전까지 이를 이용자에게 통보하고 방송미디어통신위원회에 신고하여야 한다. 이 경우 휴지기간은 6개월을 초과할 수 없다.

③ 본인확인기관이 본인확인업무를 폐지하고자 하는 때에는 폐지하고자 하는 날의 60일 전까지 이를 이용자에게 통보하고 방송미디어통신위원회에 신고하여야 한다.

④ 제1항부터 제3항까지의 규정에 따른 심사사항별 세부 심사기준ㆍ지정절차 및 휴지ㆍ폐지 등에 관하여 필요한 사항은 대통령령으로 정한다.

제23조의4(본인확인업무의 정지 및 지정취소) ① 방송미디어통신위원회는 본인확인기관이 다음 각 호의 어느 하나에 해당하는 때에는 6개월 이내의 기간을 정하여 본인확인업무의 전부 또는 일부의 정지를 명하거나 지정을 취소할 수 있다. 다만, 제1호 또는 제2호에 해당하는 때에는 그 지정을 취소하여야 한다.

1. 거짓이나 그 밖의 부정한 방법으로 본인확인기관의 지정을 받은 경우

2. 본인확인업무의 정지명령을 받은 자가 그 명령을 위반하여 업무를 정지하지 아니한 경우

3. 지정받은 날부터 6개월 이내에 본인확인업무를 개시하지 아니하거나 6개월 이상 계속하여 본인확인업무를 휴지한 경우

4. 제23조의3제4항에 따른 지정기준에 적합하지 아니하게 된 경우

② 제1항에 따른 처분의 기준, 절차 및 그 밖에 필요한 사항은 대통령령으로 정한다.

제47조(정보보호 관리체계의 인증) ① 과학기술정보통신부장관은 정보통신망의 안정성ㆍ신뢰성 확보를 위하여 관리적ㆍ기술적ㆍ물리적 보호조치를 포함한 종합적 관리체계(이하 “정보보호 관리체계”라 한다)를 수립ㆍ운영하고 있는 자에 대하여 제4항에 따른 기준에 적합한지에 관하여 인증을 할 수 있다.

제50조(영리목적의 광고성 정보 전송 제한) ① 누구든지 전자적 전송매체를 이용하여 영리목적의 광고성 정보를 전송하려면 그 수신자의 명시적인 사전 동의를 받아야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 사전 동의를 받지 아니한다.

1. 재화등의 거래관계를 통하여 수신자로부터 직접 연락처를 수집한 자가 대통령령으로 정한 기간 이내에 자신이 처리하고 수신자와 거래한 것과 같은 종류의 재화등에 대한 영리목적의 광고성 정보를 전송하려는 경우

2. 「방문판매 등에 관한 법률」에 따른 전화권유판매자가 육성으로 수신자에게 개인정보의 수집출처를 고지하고 전화권유를 하는 경우

② 전자적 전송매체를 이용하여 영리목적의 광고성 정보를 전송하려는 자는 제1항에도 불구하고 수신자가 수신거부의사를 표시하거나 사전 동의를 철회한 경우에는 영리목적의 광고성 정보를 전송하여서는 아니 된다.

③ 오후 9시부터 그 다음 날 오전 8시까지의 시간에 전자적 전송매체를 이용하여 영리목적의 광고성 정보를 전송하려는 자는 제1항에도 불구하고 그 수신자로부터 별도의 사전 동의를 받아야 한다. 다만, 대통령령으로 정하는 매체의 경우에는 그러하지 아니하다.

④ 전자적 전송매체를 이용하여 영리목적의 광고성 정보를 전송하는 자는 대통령령으로 정하는 바에 따라 다음 각 호의 사항 등을 광고성 정보에 구체적으로 밝혀야 한다.

1. 전송자의 명칭 및 연락처

2. 수신의 거부 또는 수신동의의 철회 의사표시를 쉽게 할 수 있는 조치 및 방법에 관한 사항

⑤ 전자적 전송매체를 이용하여 영리목적의 광고성 정보를 전송하는 자는 다음 각 호의 어느 하나에 해당하는 행위를 하여서는 아니 된다.

1. 광고성 정보 수신자의 수신거부 또는 수신동의의 철회를 회피ㆍ방해하는 행위

2. 숫자ㆍ부호 또는 문자를 조합하여 전화번호ㆍ전자우편주소 등 수신자의 연락처를 자동으로 만들어 내는 행위

3. 영리목적의 광고성 정보를 전송할 목적으로 전화번호 또는 전자우편주소를 자동으로 등록하는 행위

4. 광고성 정보 전송자의 신원이나 광고 전송 출처를 감추기 위한 각종 행위

5. 영리목적의 광고성 정보를 전송할 목적으로 수신자를 기망하여 회신을 유도하는 각종 행위

⑥ 전자적 전송매체를 이용하여 영리목적의 광고성 정보를 전송하는 자는 수신자가 수신거부나 수신동의의 철회를 할 때 발생하는 전화요금 등의 금전적 비용을 수신자가 부담하지 아니하도록 대통령령으로 정하는 바에 따라 필요한 조치를 하여야 한다.

⑦ 전자적 전송매체를 이용하여 영리목적의 광고성 정보를 전송하려는 자는 수신자가 제1항 및 제3항에 따른 수신동의, 제2항에 따른 수신거부 또는 수신동의 철회에 관한 의사를 표시할 때에는 해당 수신자에게 대통령령으로 정하는 바에 따라 수신동의, 수신거부 또는 수신동의 철회에 대한 처리 결과를 알려야 한다.

⑧ 제1항 또는 제3항에 따라 수신동의를 받은 자는 대통령령으로 정하는 바에 따라 정기적으로 광고성 정보 수신자의 수신동의 여부를 확인하여야 한다.

제52조(한국인터넷진흥원) ① 정부는 정보통신망의 고도화(정보통신망의 구축ㆍ개선 및 관리에 관한 사항은 제외한다)와 안전한 이용 촉진 및 방송통신과 관련한 국제협력ㆍ국외진출 지원을 효율적으로 추진하기 위하여 한국인터넷진흥원(이하 “인터넷진흥원”이라 한다)을 설립한다.

정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령

제1장 총칙

제1조(목적)

제2조(윤리강령)

제2조의2(대규모 정보통신서비스 제공자의 범위)

제2장 정보통신망의 이용촉진

제6조(정보의 공동 활용체제 구축 시책 등)

제7조(정보통신망의 이용촉진 등에 관한 사업의 실시)

제4장 정보통신서비스의 안전한 이용환경 조성

제9조의2(접근권한의 범위 등)

제9조의3(심사사항별 세부 심사기준)

제9조의4(본인확인기관의 지정절차)

제9조의5(본인확인기관의 주민등록전산정보자료 확인 요청)

제9조의6(본인확인업무의 휴지ㆍ폐지)

제9조의7(본인확인업무의 정지 및 지정취소)

제10조(연계정보 생성ㆍ처리가 불가피한 정보통신서비스)

제11조(연계정보 생성ㆍ처리 승인 절차)

제12조(승인 심사사항별 세부심사기준)

제13조(본인확인기관의 물리적ㆍ기술적ㆍ관리적 조치 등)

제14조(운영ㆍ관리 실태점검의 대상)

제15조(실태점검의 절차)

제16조(실태점검 전문기관)

제19조(국내대리인 지정 대상자의 범위)

제5장 정보통신망에서의 이용자 보호 등

제23조(청소년보호시책)

제24조(청소년유해매체물의 표시방법)

제25조(청소년보호책임자 지정의무자의 범위)

제26조(청소년보호책임자의 업무)

제27조(청소년보호책임자의 지정기한)

제28조(영상 또는 음향정보의 보관 등)

제31조(청구할 수 있는 이용자 정보의 범위)

제32조(정보제공청구의 절차)

제33조(정보제공의 절차)

제34조(불법정보의 처리제한명령 등의 요청)

제35조(의견제출의 예외사유)

제35조의2(불법정보의 유통 방지를 위한 기술적ㆍ관리적 조치 등)

제35조의3(불법촬영물등 유통방지 책임자)

제35조의4(가중 손해배상 적용 대상 게재자 범위)

제35조의5(공인 등의 범위)

제35조의6(불법정보와 허위조작정보 신고 시 기재사항)

제35조의7(보고서의 공표 방식 등)

제35조의8(허위정보 등에 대한 사실확인 활동 지원 등)

제35조의9(투명성센터의 업무)

제35조의10(분쟁조정부의 설치ㆍ운영 및 분쟁조정 등)

제35조의11(과징금의 부과 대상 및 기준 등)

제35조의12(과징금의 납부기한 연기 및 분할 납부)

제35조의13(과징금 및 가산금의 징수)

제36조(강제징수의 위탁)

제6장 정보통신망의 안정성 확보 등

제36조의2(정보통신망연결기기 등의 범위)

제36조의3(정보보호 사전점검기준)

제36조의4(정보보호 사전점검 권고 대상)

제36조의5(정보보호 사전점검의 방법 및 절차 등)

제36조의6(정보보호 사전점검 수수료)

제36조의7(정보보호 최고책임자의 지정 및 겸직금지 등)

제36조의8(정보보호 최고책임자의 신고 방법 및 절차)

제36조의9(정보보호 최고책임자 협의회의 사업 범위)

제37조(집적정보통신시설 사업자등의 보호조치)

제38조(보험가입)

제39조(보호조치의 이행점검 주기 및 방법)

제40조(집적정보통신시설 사업자등의 서비스 중단 보고 방법)

제41조(집적된 정보통신시설 임차사업자의 조치의무)

제42조(보호조치 및 기술지원 전문기관)

제47조(정보보호 관리체계 인증의 방법ㆍ절차ㆍ범위 등)

제48조(정보보호 관리체계 인증의 수수료)

제49조(정보보호 관리체계 인증 대상자의 범위)

제49조의2(정보보호 관리체계 인증의 특례 대상자의 범위)

제51조(인증의 사후관리)

제52조(인증표시 및 홍보)

제53조(정보보호 관리체계 인증기관 및 정보보호 관리체계 심사기관의 지정기준)

제53조의2(정보보호 관리체계 인증기관 및 정보보호 관리체계 심사기관의 지정절차 등)

제53조의3(정보보호 관리체계 인증기관 및 정보보호 관리체계 심사기관 지정의 유효기간)

제53조의4(정보보호 관리체계 인증기관 및 정보보호 관리체계 심사기관의 사후관리)

제54조(지정취소 등의 기준)

제54조의3(침해사고의 예방 및 확산 방지를 위한 조치 업무의 위탁)

제55조(이용자 보호조치의 요청에 관한 약관사항)

제55조의2(정보보호 관리등급 부여의 심사기준)

제55조의3(정보보호 관리등급 부여의 방법 및 절차)

제55조의4(정보보호 관리등급 부여의 수수료 등)

제55조의5(정보보호 관리등급의 유효기간)

제55조의6(정보보호 취약점 신고자에 대한 포상)

제56조(침해사고 대응조치)

제57조(침해사고 관련정보 제공자)

제58조(침해사고 관련정보의 제공방법)

제58조의2(침해사고 신고의 시기, 방법 및 절차)

제58조의3(침해사고 조치의 이행점검 절차)

제59조(민ㆍ관합동조사단의 구성ㆍ운영)

제60조(침해사고 관련 자료의 보호 및 조사의 방법ㆍ절차)

제60조의2(정보통신망연결기기 등 관련 침해사고 대응 관련 전문기관)

제60조의3(정보보호인증의 절차 등)

제60조의4(정보보호인증의 유효기간 등)

제60조의5(정보보호인증의 수수료)

제60조의6(정보보호인증의 사후관리)

제60조의7(인증시험대행기관의 지정기준 등)

제60조의8(인증시험대행기관의 사후관리 및 지정취소)

제60조의9(정보보호인증에 관한 업무 등의 위탁)

제60조의10(피해 예방 등의 조치에 관한 약관사항)

제60조의11(속이는 행위에 사용된 전화번호의 전기통신역무 제공의 중지 등)

제61조(영리목적의 광고성 정보 전송기준)

제62조(수신거부 또는 수신동의 철회용 무료전화서비스 등의 제공)

제62조의2(수신동의 등 처리 결과의 통지)

제62조의3(수신동의 여부의 확인)

제63조(영리목적의 광고성 프로그램 등의 설치 제한 장치)

제64조(영리목적의 광고성 정보전송차단 소프트웨어 등 개발 지원)

제65조(인터넷진흥원의 운영 등)

제6장의2 통신과금서비스

제66조의2(등록요건)

제66조의3(등록절차)

제66조의4(등록의 결격사유)

제66조의5(행정처분)

제66조의6(통신과금서비스의 안정성ㆍ신뢰성 확보를 위한 필요 조치)

제66조의7(거래기록의 보존기간 및 약관 변경 방법)

제66조의8(구매자정보 제공 요청의 내용 및 절차 등)

제66조의9(이의신청 및 권리구제를 위한 절차)

제6장의3 국제협력

제7장 보칙

제68조(자료제출 등)

제68조의2(시정조치의 명령의 공표방법 등)

제69조(시정명령의 공개)

제70조(권한의 위임 및 업무의 위탁)

제70조의2(고유식별정보의 처리)

제71조(규제의 재검토)

제19조(국내대리인 지정 대상자의 범위) ① 법 제32조의5제1항에서 “대통령령으로 정하는 기준에 해당하는 자”란 다음 각 호의 어느 하나에 해당하는 자를 말한다.

1. 전년도[법인인 경우에는 전(前) 사업연도를 말한다] 매출액이 1조원 이상인 자

2. 정보통신서비스 부문 전년도(법인인 경우에는 전 사업연도를 말한다) 매출액이 100억원 이상인 자

3. 삭제

4. 이 법을 위반하여 정보통신서비스 이용의 안전성을 현저히 해치는 사건ㆍ사고가 발생하였거나 발생할 가능성이 있는 경우로서 법 제64조제1항에 따라 방송미디어통신위원회로부터 관계 물품ㆍ서류 등을 제출하도록 요구받은 자

② 제1항제1호 및 제2호에 따른 매출액은 전년도(법인인 경우에는 전 사업연도를 말한다) 평균환율을 적용하여 원화로 환산한 금액을 기준으로 한다.

개인정보 보호법

제1장 총칙

제1조(목적)

제2조(정의)

제3조(개인정보 보호 원칙)

제4조(정보주체의 권리)

제5조(국가 등의 책무)

제6조(다른 법률과의 관계)

제2장 개인정보 보호정책의 수립 등

제7조(개인정보 보호위원회)

제7조의2(보호위원회의 구성 등)

제7조의3(위원장)

제7조의4(위원의 임기)

제7조의5(위원의 신분보장)

제7조의6(겸직금지 등)

제7조의7(결격사유)

제7조의8(보호위원회의 소관 사무)

제7조의9(보호위원회의 심의ㆍ의결 사항 등)

제7조의10(회의)

제7조의11(위원의 제척ㆍ기피ㆍ회피)

제7조의12(소위원회)

제7조의13(사무처)

제7조의14(운영 등)

제8조의2(개인정보 침해요인 평가)

제9조(기본계획)

제10조(시행계획)

제11조(자료제출 요구 등)

제11조의2(개인정보 보호수준 평가)

제12조(개인정보 보호지침)

제13조(자율규제의 촉진 및 지원)

제13조의2(개인정보 보호의 날)

제14조(국제협력)

제3장 개인정보의 처리

제1절 개인정보의 수집, 이용, 제공 등

제15조(개인정보의 수집ㆍ이용)

제16조(개인정보의 수집 제한)

제17조(개인정보의 제공)

제18조(개인정보의 목적 외 이용ㆍ제공 제한)

제19조(개인정보를 제공받은 자의 이용ㆍ제공 제한)

제20조(정보주체 이외로부터 수집한 개인정보의 수집 출처 등 통지)

제20조의2(개인정보 이용ㆍ제공 내역의 통지)

제21조(개인정보의 파기)

제22조(동의를 받는 방법)

제22조의2(아동의 개인정보 보호)

제2절 개인정보의 처리 제한

제23조(민감정보의 처리 제한)

제24조(고유식별정보의 처리 제한)

제24조의2(주민등록번호 처리의 제한)

제25조(고정형 영상정보처리기기의 설치ㆍ운영 제한)

제25조의2(이동형 영상정보처리기기의 운영 제한)

제26조(업무위탁에 따른 개인정보의 처리 제한)

제27조(영업양도 등에 따른 개인정보의 이전 제한)

제28조(개인정보취급자에 대한 감독)

제3절 가명정보의 처리에 관한 특례

제28조의2(가명정보의 처리 등)

제28조의3(가명정보의 결합 제한)

제28조의4(가명정보에 대한 안전조치의무 등)

제28조의5(가명정보 처리 시 금지의무 등)

제28조의7(적용범위)

제4절 개인정보의 국외 이전

제28조의8(개인정보의 국외 이전)

제28조의9(개인정보의 국외 이전 중지 명령)

제28조의10(상호주의)

제28조의11(준용규정)

제4장 개인정보의 안전한 관리

제29조(안전조치의무)

제30조(개인정보 처리방침의 수립 및 공개)

제30조의2(개인정보 처리방침의 평가 및 개선권고)

제30조의3(사업주 또는 대표자의 책임)

제31조(개인정보 보호책임자의 지정 등)

제31조의2(국내대리인의 지정)

제32조(개인정보파일의 등록 및 공개)

제32조의2(개인정보 보호 인증)

제33조(개인정보 영향평가)

제34조(개인정보 유출 등의 통지ㆍ신고)

제34조의2(노출된 개인정보의 삭제ㆍ차단)

제5장 정보주체의 권리 보장

제35조(개인정보의 열람)

제35조의2(개인정보의 전송 요구)

제35조의3(개인정보관리 전문기관)

제35조의4(개인정보 전송 관리 및 지원)

제36조(개인정보의 정정ㆍ삭제)

제37조(개인정보의 처리정지 등)

제37조의2(자동화된 결정에 대한 정보주체의 권리 등)

제38조(권리행사의 방법 및 절차)

제39조(손해배상책임)

제39조의2(법정손해배상의 청구)

제6장 삭제

제39조의3(자료의 제출)

제39조의4(비밀유지명령)

제39조의5(비밀유지명령의 취소)

제39조의6(소송기록 열람 등의 청구 통지 등)

제39조의7(손해배상의 보장)

제7장 개인정보 분쟁조정위원회

제40조(설치 및 구성)

제41조(위원의 신분보장)

제42조(위원의 제척ㆍ기피ㆍ회피)

제43조(조정의 신청 등)

제44조(처리기간)

제45조(자료의 요청 및 사실조사 등)

제45조의2(진술의 원용 제한)

제46조(조정 전 합의 권고)

제47조(분쟁의 조정)

제48조(조정의 거부 및 중지)

제49조(집단분쟁조정)

제50조(조정절차 등)

제50조의2(개선의견의 통보)

제8장 개인정보 단체소송

제51조(단체소송의 대상 등)

제52조(전속관할)

제53조(소송대리인의 선임)

제54조(소송허가신청)

제55조(소송허가요건 등)

제56조(확정판결의 효력)

제57조(「민사소송법」의 적용 등)

제9장 보칙

제58조(적용의 일부 제외)

제58조의2(적용제외)

제59조(금지행위)

제60조(비밀유지 등)

제61조(의견제시 및 개선권고)

제62조(침해 사실의 신고 등)

제63조(자료제출 요구 및 검사)

제63조의2(사전 실태점검)

제64조(시정조치 등)

제64조의2(과징금의 부과)

제65조(고발 및 징계권고)

제66조(결과의 공표)

제67조(연차보고)

제68조(권한의 위임ㆍ위탁)

제69조(벌칙 적용 시의 공무원 의제)

제1조(목적) 이 법은 개인정보의 처리 및 보호에 관한 사항을 정함으로써 개인의 자유와 권리를 보호하고, 나아가 개인의 존엄과 가치를 구현함을 목적으로 한다.

제2조(정의) 이 법에서 사용하는 용어의 뜻은 다음과 같다.

1. “개인정보”란 살아 있는 개인에 관한 정보로서 다음 각 목의 어느 하나에 해당하는 정보를 말한다.

가. 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보

나. 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보. 이 경우 쉽게 결합할 수 있는지 여부는 다른 정보의 입수 가능성 등 개인을 알아보는 데 소요되는 시간, 비용, 기술 등을 합리적으로 고려하여야 한다.

다. 가목 또는 나목을 제1호의2에 따라 가명처리함으로써 원래의 상태로 복원하기 위한 추가 정보의 사용ㆍ결합 없이는 특정 개인을 알아볼 수 없는 정보(이하 “가명정보”라 한다)

1의2. “가명처리”란 개인정보의 일부를 삭제하거나 일부 또는 전부를 대체하는 등의 방법으로 추가 정보가 없이는 특정 개인을 알아볼 수 없도록 처리하는 것을 말한다.

2. “처리”란 개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위를 말한다.

3. “정보주체”란 처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람을 말한다.

4. “개인정보파일”이란 개인정보를 쉽게 검색할 수 있도록 일정한 규칙에 따라 체계적으로 배열하거나 구성한 개인정보의 집합물(集合物)을 말한다.

5. “개인정보처리자”란 업무를 목적으로 개인정보파일을 운용하기 위하여 스스로 또는 다른 사람을 통하여 개인정보를 처리하는 공공기관, 법인, 단체 및 개인 등을 말한다.

6. “공공기관”이란 다음 각 목의 기관을 말한다.

가. 국회, 법원, 헌법재판소, 중앙선거관리위원회의 행정사무를 처리하는 기관, 중앙행정기관(대통령 소속 기관과 국무총리 소속 기관을 포함한다) 및 그 소속 기관, 지방자치단체

나. 그 밖의 국가기관 및 공공단체 중 대통령령으로 정하는 기관

7. “고정형 영상정보처리기기”란 일정한 공간에 설치되어 지속적 또는 주기적으로 사람 또는 사물의 영상 등을 촬영하거나 이를 유ㆍ무선망을 통하여 전송하는 장치로서 대통령령으로 정하는 장치를 말한다.

7의2. “이동형 영상정보처리기기”란 사람이 신체에 착용 또는 휴대하거나 이동 가능한 물체에 부착 또는 거치(据置)하여 사람 또는 사물의 영상 등을 촬영하거나 이를 유ㆍ무선망을 통하여 전송하는 장치로서 대통령령으로 정하는 장치를 말한다.

8. “과학적 연구”란 기술의 개발과 실증, 기초연구, 응용연구 및 민간 투자 연구 등 과학적 방법을 적용하는 연구를 말한다.

제3조(개인정보 보호 원칙) ① 개인정보처리자는 개인정보의 처리 목적을 명확하게 하여야 하고 그 목적에 필요한 범위에서 최소한의 개인정보만을 적법하고 정당하게 수집하여야 한다.

② 개인정보처리자는 개인정보의 처리 목적에 필요한 범위에서 적합하게 개인정보를 처리하여야 하며, 그 목적 외의 용도로 활용하여서는 아니 된다.

③ 개인정보처리자는 개인정보의 처리 목적에 필요한 범위에서 개인정보의 정확성, 완전성 및 최신성이 보장되도록 하여야 한다.

④ 개인정보처리자는 개인정보의 처리 방법 및 종류 등에 따라 정보주체의 권리가 침해받을 가능성과 그 위험 정도를 고려하여 개인정보를 안전하게 관리하여야 한다.

⑤ 개인정보처리자는 제30조에 따른 개인정보 처리방침 등 개인정보의 처리에 관한 사항을 공개하여야 하며, 열람청구권 등 정보주체의 권리를 보장하여야 한다.<개정 2023. 3. 14.>

⑥ 개인정보처리자는 정보주체의 사생활 침해를 최소화하는 방법으로 개인정보를 처리하여야 한다.

⑦ 개인정보처리자는 개인정보를 익명 또는 가명으로 처리하여도 개인정보 수집목적을 달성할 수 있는 경우 익명처리가 가능한 경우에는 익명에 의하여, 익명처리로 목적을 달성할 수 없는 경우에는 가명에 의하여 처리될 수 있도록 하여야 한다.

제4조(정보주체의 권리) 정보주체는 자신의 개인정보 처리와 관련하여 다음 각 호의 권리를 가진다.

1. 개인정보의 처리에 관한 정보를 제공받을 권리

2. 개인정보의 처리에 관한 동의 여부, 동의 범위 등을 선택하고 결정할 권리

3. 개인정보의 처리 여부를 확인하고 개인정보에 대한 열람(사본의 발급을 포함한다. 이하 같다) 및 전송을 요구할 권리

4. 개인정보의 처리 정지, 정정ㆍ삭제 및 파기를 요구할 권리

5. 개인정보의 처리로 인하여 발생한 피해를 신속하고 공정한 절차에 따라 구제받을 권리

6. 완전히 자동화된 개인정보 처리에 따른 결정을 거부하거나 그에 대한 설명 등을 요구할 권리

제7조(개인정보 보호위원회) ① 개인정보 보호에 관한 사무를 독립적으로 수행하기 위하여 국무총리 소속으로 개인정보 보호위원회(이하 “보호위원회”라 한다)를 둔다.

② 보호위원회는 「정부조직법」 제2조에 따른 중앙행정기관으로 본다. 다만, 다음 각 호의 사항에 대하여는 「정부조직법」 제18조를 적용하지 아니한다.

제7조의2(보호위원회의 구성 등) ① 보호위원회는 상임위원 2명(위원장 1명, 부위원장 1명)을 포함한 9명의 위원으로 구성한다.

② 보호위원회의 위원은 개인정보 보호에 관한 경력과 전문지식이 풍부한 다음 각 호의 사람 중에서 위원장과 부위원장은 국무총리의 제청으로, 그 외 위원 중 2명은 위원장의 제청으로, 2명은 대통령이 소속되거나 소속되었던 정당의 교섭단체 추천으로, 3명은 그 외의 교섭단체 추천으로 대통령이 임명 또는 위촉한다.

1. 개인정보 보호 업무를 담당하는 3급 이상 공무원(고위공무원단에 속하는 공무원을 포함한다)의 직에 있거나 있었던 사람

2. 판사ㆍ검사ㆍ변호사의 직에 10년 이상 있거나 있었던 사람

3. 공공기관 또는 단체(개인정보처리자로 구성된 단체를 포함한다)에 3년 이상 임원으로 재직하였거나 이들 기관 또는 단체로부터 추천받은 사람으로서 개인정보 보호 업무를 3년 이상 담당하였던 사람

4. 개인정보 관련 분야에 전문지식이 있고 「고등교육법」 제2조제1호에 따른 학교에서 부교수 이상으로 5년 이상 재직하고 있거나 재직하였던 사람

③ 위원장과 부위원장은 정무직 공무원으로 임명한다.

④ 위원장, 부위원장, 제7조의13에 따른 사무처의 장은 「정부조직법」 제10조에도 불구하고 정부위원이 된다.

제7조의8(보호위원회의 소관 사무) 보호위원회는 다음 각 호의 소관 사무를 수행한다.

1. 개인정보의 보호와 관련된 법령의 개선에 관한 사항

2. 개인정보 보호와 관련된 정책ㆍ제도ㆍ계획 수립ㆍ집행에 관한 사항

3. 정보주체의 권리침해에 대한 조사 및 이에 따른 처분에 관한 사항

4. 개인정보의 처리와 관련한 고충처리ㆍ권리구제 및 개인정보에 관한 분쟁의 조정

5. 개인정보 보호를 위한 국제기구 및 외국의 개인정보 보호기구와의 교류ㆍ협력

6. 개인정보 보호에 관한 법령ㆍ정책ㆍ제도ㆍ실태 등의 조사ㆍ연구, 교육 및 홍보에 관한 사항

7. 개인정보 보호에 관한 기술개발의 지원ㆍ보급, 기술의 표준화 및 전문인력의 양성에 관한 사항

8. 이 법 및 다른 법령에 따라 보호위원회의 사무로 규정된 사항

제9조(기본계획) ① 보호위원회는 개인정보의 보호와 정보주체의 권익 보장을 위하여 3년마다 개인정보 보호 기본계획(이하 “기본계획”이라 한다)을 관계 중앙행정기관의 장과 협의하여 수립한다.

② 기본계획에는 다음 각 호의 사항이 포함되어야 한다.

1. 개인정보 보호의 기본목표와 추진방향

2. 개인정보 보호와 관련된 제도 및 법령의 개선

3. 개인정보 침해 방지를 위한 대책

4. 개인정보 보호 자율규제의 활성화

5. 개인정보 보호 교육ㆍ홍보의 활성화

6. 개인정보 보호를 위한 전문인력의 양성

7. 그 밖에 개인정보 보호를 위하여 필요한 사항

③ 국회, 법원, 헌법재판소, 중앙선거관리위원회는 해당 기관(그 소속 기관을 포함한다)의 개인정보 보호를 위한 기본계획을 수립ㆍ시행할 수 있다.

제15조(개인정보의 수집ㆍ이용) ① 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 개인정보를 수집할 수 있으며 그 수집 목적의 범위에서 이용할 수 있다. → 동의 필요없음

1. 정보주체의 동의를 받은 경우

2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우

3. 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우

4. 정보주체와 체결한 계약을 이행하거나 계약을 체결하는 과정에서 정보주체의 요청에 따른 조치를 이행하기 위하여 필요한 경우

5. 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우

6. 개인정보처리자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우. 이 경우 개인정보처리자의 정당한 이익과 상당한 관련이 있고 합리적인 범위를 초과하지 아니하는 경우에 한한다.

7. 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우

② 개인정보처리자는 제1항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다.

1. 개인정보의 수집ㆍ이용 목적

2. 수집하려는 개인정보의 항목

3. 개인정보의 보유 및 이용 기간

4. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

③ 개인정보처리자는 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 이용할 수 있다.

제16조(개인정보의 수집 제한) ① 개인정보처리자는 제15조제1항 각 호의 어느 하나에 해당하여 개인정보를 수집하는 경우에는 그 목적에 필요한 최소한의 개인정보를 수집하여야 한다. 이 경우 최소한의 개인정보 수집이라는 입증책임은 개인정보처리자가 부담한다.

② 개인정보처리자는 정보주체의 동의를 받아 개인정보를 수집하는 경우 필요한 최소한의 정보 외의 개인정보 수집에는 동의하지 아니할 수 있다는 사실을 구체적으로 알리고 개인정보를 수집하여야 한다.

③ 개인정보처리자는 정보주체가 필요한 최소한의 정보 외의 개인정보 수집에 동의하지 아니한다는 이유로 정보주체에게 재화 또는 서비스의 제공을 거부하여서는 아니 된다.

제17조(개인정보의 제공) ① 개인정보처리자는 다음 각 호의 어느 하나에 해당되는 경우에는 정보주체의 개인정보를 제3자에게 제공(공유를 포함한다. 이하 같다)할 수 있다.

1. 정보주체의 동의를 받은 경우

2. 제15조제1항제2호, 제3호 및 제5호부터 제7호까지에 따라 개인정보를 수집한 목적 범위에서 개인정보를 제공하는 경우

② 개인정보처리자는 제1항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다.

1. 개인정보를 제공받는 자

2. 개인정보를 제공받는 자의 개인정보 이용 목적

3. 제공하는 개인정보의 항목

4. 개인정보를 제공받는 자의 개인정보 보유 및 이용 기간

5. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

③ 삭제

④ 개인정보처리자는 당초 수집 목적과 합리적으로 관련된 범위에서 정보주체에게 불이익이 발생하는지 여부, 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부 등을 고려하여 대통령령으로 정하는 바에 따라 정보주체의 동의 없이 개인정보를 제공할 수 있다.

제18조(개인정보의 목적 외 이용ㆍ제공 제한) ① 개인정보처리자는 개인정보를 제15조제1항에 따른 범위를 초과하여 이용하거나 제17조제1항 및 제28조의8제1항에 따른 범위를 초과하여 제3자에게 제공하여서는 아니 된다.

② 제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우에는 정보주체 또는 제3자의 이익을 부당하게 침해할 우려가 있을 때를 제외하고는 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공할 수 있다. 다만, 제5호부터 제9호까지에 따른 경우는 공공기관의 경우로 한정한다.

1. 정보주체로부터 별도의 동의를 받은 경우

2. 다른 법률에 특별한 규정이 있는 경우

3. 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우

4. 삭제

5. 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 아니하면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 보호위원회의 심의ㆍ의결을 거친 경우 → 주민번호가 아님

6. 조약, 그 밖의 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하기 위하여 필요한 경우

7. 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우

8. 법원의 재판업무 수행을 위하여 필요한 경우

9. 형(刑) 및 감호, 보호처분의 집행을 위하여 필요한 경우

10. 공중위생 등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우

③ 개인정보처리자는 제2항제1호에 따른 동의를 받을 때에는 다음 각 호의 사항을 정보주체에게 알려야 한다. 다음 각 호의 어느 하나의 사항을 변경하는 경우에도 이를 알리고 동의를 받아야 한다.

1. 개인정보를 제공받는 자

2. 개인정보의 이용 목적(제공 시에는 제공받는 자의 이용 목적을 말한다)

3. 이용 또는 제공하는 개인정보의 항목

4. 개인정보의 보유 및 이용 기간(제공 시에는 제공받는 자의 보유 및 이용 기간을 말한다)

5. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

④ 공공기관은 제2항제2호부터 제6호까지, 제8호부터 제10호까지에 따라 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하는 경우에는 그 이용 또는 제공의 법적 근거, 목적 및 범위 등에 관하여 필요한 사항을 보호위원회가 고시로 정하는 바에 따라 관보 또는 인터넷 홈페이지 등에 게재하여야 한다.

⑤ 개인정보처리자는 제2항 각 호의 어느 하나의 경우에 해당하여 개인정보를 목적 외의 용도로 제3자에게 제공하는 경우에는 개인정보를 제공받는 자에게 이용 목적, 이용 방법, 그 밖에 필요한 사항에 대하여 제한을 하거나, 개인정보의 안전성 확보를 위하여 필요한 조치를 마련하도록 요청하여야 한다. 이 경우 요청을 받은 자는 개인정보의 안전성 확보를 위하여 필요한 조치를 하여야 한다.

제19조(개인정보를 제공받은 자의 이용ㆍ제공 제한) 개인정보처리자로부터 개인정보를 제공받은 자는 다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 개인정보를 제공받은 목적 외의 용도로 이용하거나 이를 제3자에게 제공하여서는 아니 된다.

1. 정보주체로부터 별도의 동의를 받은 경우

2. 다른 법률에 특별한 규정이 있는 경우

제21조(개인정보의 파기) ① 개인정보처리자는 보유기간의 경과, 개인정보의 처리 목적 달성, 가명정보의 처리 기간 경과 등 그 개인정보가 불필요하게 되었을 때에는 지체 없이 그 개인정보를 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다.

제23조(민감정보의 처리 제한) ①개인정보처리자는 사상ㆍ신념, 노동조합ㆍ정당의 가입ㆍ탈퇴, 정치적 견해, 건강, 성생활 등에 관한 정보, 그 밖에 정보주체의 사생활을 현저히 침해할 우려가 있는 개인정보로서 대통령령으로 정하는 정보(이하 “민감정보”라 한다)를 처리하여서는 아니 된다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 그러하지 아니하다. → 주민번호는 민감정보가 아니다

1. 정보주체에게 제15조제2항 각 호 또는 제17조제2항 각 호의 사항을 알리고 다른 개인정보의 처리에 대한 동의와 별도로 동의를 받은 경우

2. 법령에서 민감정보의 처리를 요구하거나 허용하는 경우

② 개인정보처리자가 제1항 각 호에 따라 민감정보를 처리하는 경우에는 그 민감정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 제29조에 따른 안전성 확보에 필요한 조치를 하여야 한다.

③ 개인정보처리자는 재화 또는 서비스를 제공하는 과정에서 공개되는 정보에 정보주체의 민감정보가 포함됨으로써 사생활 침해의 위험성이 있다고 판단하는 때에는 재화 또는 서비스의 제공 전에 민감정보의 공개 가능성 및 비공개를 선택하는 방법을 정보주체가 알아보기 쉽게 알려야 한다.

제24조의2(주민등록번호 처리의 제한) ① 제24조제1항에도 불구하고 개인정보처리자는 다음 각 호의 어느 하나에 해당하는 경우를 제외하고는 주민등록번호를 처리할 수 없다.

1. 법률ㆍ대통령령ㆍ국회규칙ㆍ대법원규칙ㆍ헌법재판소규칙ㆍ중앙선거관리위원회규칙 및 감사원규칙에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우

2. 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우

3. 제1호 및 제2호에 준하여 주민등록번호 처리가 불가피한 경우로서 보호위원회가 고시로 정하는 경우

② 개인정보처리자는 제24조제3항에도 불구하고 주민등록번호가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 암호화 조치를 통하여 안전하게 보관하여야 한다. 이 경우 암호화 적용 대상 및 대상별 적용 시기 등에 관하여 필요한 사항은 개인정보의 처리 규모와 유출 시 영향 등을 고려하여 대통령령으로 정한다.

③ 개인정보처리자는 제1항 각 호에 따라 주민등록번호를 처리하는 경우에도 정보주체가 인터넷 홈페이지를 통하여 회원으로 가입하는 단계에서는 주민등록번호를 사용하지 아니하고도 회원으로 가입할 수 있는 방법을 제공하여야 한다.

④ 보호위원회는 개인정보처리자가 제3항에 따른 방법을 제공할 수 있도록 관계 법령의 정비, 계획의 수립, 필요한 시설 및 시스템의 구축 등 제반 조치를 마련ㆍ지원할 수 있다.

제25조(고정형 영상정보처리기기의 설치ㆍ운영 제한) ① 누구든지 다음 각 호의 경우를 제외하고는 공개된 장소에 고정형 영상정보처리기기를 설치ㆍ운영하여서는 아니 된다.

1. 법령에서 구체적으로 허용하고 있는 경우

2. 범죄의 예방 및 수사를 위하여 필요한 경우

3. 시설의 안전 및 관리, 화재 예방을 위하여 정당한 권한을 가진 자가 설치ㆍ운영하는 경우

4. 교통단속을 위하여 정당한 권한을 가진 자가 설치ㆍ운영하는 경우

5. 교통정보의 수집ㆍ분석 및 제공을 위하여 정당한 권한을 가진 자가 설치ㆍ운영하는 경우

6. 촬영된 영상정보를 저장하지 아니하는 경우로서 대통령령으로 정하는 경우

② 누구든지 불특정 다수가 이용하는 목욕실, 화장실, 발한실(發汗室), 탈의실 등 개인의 사생활을 현저히 침해할 우려가 있는 장소의 내부를 볼 수 있도록 고정형 영상정보처리기기를 설치ㆍ운영하여서는 아니 된다. 다만, 교도소, 정신보건 시설 등 법령에 근거하여 사람을 구금하거나 보호하는 시설로서 대통령령으로 정하는 시설에 대하여는 그러하지 아니하다.

③ 제1항 각 호에 따라 고정형 영상정보처리기기를 설치ㆍ운영하려는 공공기관의 장과 제2항 단서에 따라 고정형 영상정보처리기기를 설치ㆍ운영하려는 자는 공청회ㆍ설명회의 개최 등 대통령령으로 정하는 절차를 거쳐 관계 전문가 및 이해관계인의 의견을 수렴하여야 한다.

④ 제1항 각 호에 따라 고정형 영상정보처리기기를 설치ㆍ운영하는 자(이하 “고정형영상정보처리기기운영자”라 한다)는 정보주체가 쉽게 인식할 수 있도록 다음 각 호의 사항이 포함된 안내판을 설치하는 등 필요한 조치를 하여야 한다. 다만, 「군사기지 및 군사시설 보호법」 제2조제2호에 따른 군사시설, 「통합방위법」 제2조제13호에 따른 국가중요시설, 그 밖에 대통령령으로 정하는 시설의 경우에는 그러하지 아니하다.

1. 설치 목적 및 장소

2. 촬영 범위 및 시간

3. 관리책임자의 연락처

4. 그 밖에 대통령령으로 정하는 사항

⑤ 고정형영상정보처리기기운영자는 고정형 영상정보처리기기의 설치 목적과 다른 목적으로 고정형 영상정보처리기기를 임의로 조작하거나 다른 곳을 비춰서는 아니 되며, 녹음기능은 사용할 수 없다.

⑥ 고정형영상정보처리기기운영자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 제29조에 따라 안전성 확보에 필요한 조치를 하여야 한다.

⑦ 고정형영상정보처리기기운영자는 대통령령으로 정하는 바에 따라 고정형 영상정보처리기기 운영ㆍ관리 방침을 마련하여야 한다. 다만, 제30조에 따른 개인정보 처리방침을 정할 때 고정형 영상정보처리기기 운영ㆍ관리에 관한 사항을 포함시킨 경우에는 고정형 영상정보처리기기 운영ㆍ관리 방침을 마련하지 아니할 수 있다.

⑧ 고정형영상정보처리기기운영자는 고정형 영상정보처리기기의 설치ㆍ운영에 관한 사무를 위탁할 수 있다. 다만, 공공기관이 고정형 영상정보처리기기 설치ㆍ운영에 관한 사무를 위탁하는 경우에는 대통령령으로 정하는 절차 및 요건에 따라야 한다.

제26조(업무위탁에 따른 개인정보의 처리 제한) ① 개인정보처리자가 제3자에게 개인정보의 처리 업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서로 하여야 한다.

1. 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항

2. 개인정보의 기술적ㆍ관리적 보호조치에 관한 사항

3. 그 밖에 개인정보의 안전한 관리를 위하여 대통령령으로 정한 사항

② 제1항에 따라 개인정보의 처리 업무를 위탁하는 개인정보처리자(이하 “위탁자”라 한다)는 위탁하는 업무의 내용과 개인정보 처리 업무를 위탁받아 처리하는 자(개인정보 처리 업무를 위탁받아 처리하는 자로부터 위탁받은 업무를 다시 위탁받은 제3자를 포함하며, 이하 “수탁자”라 한다)를 정보주체가 언제든지 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다.

③ 위탁자가 재화 또는 서비스를 홍보하거나 판매를 권유하는 업무를 위탁하는 경우에는 대통령령으로 정하는 방법에 따라 위탁하는 업무의 내용과 수탁자를 정보주체에게 알려야 한다. 위탁하는 업무의 내용이나 수탁자가 변경된 경우에도 또한 같다.

④ 위탁자는 업무 위탁으로 인하여 정보주체의 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 수탁자를 교육하고, 처리 현황 점검 등 대통령령으로 정하는 바에 따라 수탁자가 개인정보를 안전하게 처리하는지를 감독하여야 한다.

⑤ 수탁자는 개인정보처리자로부터 위탁받은 해당 업무 범위를 초과하여 개인정보를 이용하거나 제3자에게 제공하여서는 아니 된다.

⑥ 수탁자는 위탁받은 개인정보의 처리 업무를 제3자에게 다시 위탁하려는 경우에는 위탁자의 동의를 받아야 한다.

⑦ 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 이 법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 개인정보처리자의 소속 직원으로 본다.

⑧ 수탁자에 관하여는 제15조부터 제18조까지, 제21조, 제22조, 제22조의2, 제23조, 제24조, 제24조의2, 제25조, 제25조의2, 제27조, 제28조, 제28조의2부터 제28조의5까지, 제28조의7부터 제28조의11까지, 제29조, 제30조, 제30조의2, 제31조, 제33조, 제34조, 제34조의2, 제35조, 제35조의2, 제36조, 제37조, 제37조의2, 제38조, 제59조, 제63조, 제63조의2 및 제64조의2를 준용한다. 이 경우 “개인정보처리자”는 “수탁자”로 본다.

제27조(영업양도 등에 따른 개인정보의 이전 제한) ① 개인정보처리자는 영업의 전부 또는 일부의 양도ㆍ합병 등으로 개인정보를 다른 사람에게 이전하는 경우에는 미리 다음 각 호의 사항을 대통령령으로 정하는 방법에 따라 해당 정보주체에게 알려야 한다.

1. 개인정보를 이전하려는 사실

2. 개인정보를 이전받는 자(이하 “영업양수자등”이라 한다)의 성명(법인의 경우에는 법인의 명칭을 말한다), 주소, 전화번호 및 그 밖의 연락처

3. 정보주체가 개인정보의 이전을 원하지 아니하는 경우 조치할 수 있는 방법 및 절차

② 영업양수자등은 개인정보를 이전받았을 때에는 지체 없이 그 사실을 대통령령으로 정하는 방법에 따라 정보주체에게 알려야 한다. 다만, 개인정보처리자가 제1항에 따라 그 이전 사실을 이미 알린 경우에는 그러하지 아니하다.

③ 영업양수자등은 영업의 양도ㆍ합병 등으로 개인정보를 이전받은 경우에는 이전 당시의 본래 목적으로만 개인정보를 이용하거나 제3자에게 제공할 수 있다. 이 경우 영업양수자등은 개인정보처리자로 본다.

제3절 가명정보의 처리에 관한 특례

제28조의2(가명정보의 처리 등) ① 개인정보처리자는 통계작성, 과학적 연구, 공익적 기록보존 등을 위하여 정보주체의 동의 없이 가명정보를 처리할 수 있다.

② 개인정보처리자는 제1항에 따라 가명정보를 제3자에게 제공하는 경우에는 특정 개인을 알아보기 위하여 사용될 수 있는 정보를 포함해서는 아니 된다.

제28조의3(가명정보의 결합 제한) ① 제28조의2에도 불구하고 통계작성, 과학적 연구, 공익적 기록보존 등을 위한 서로 다른 개인정보처리자 간의 가명정보의 결합은 보호위원회 또는 관계 중앙행정기관의 장이 지정하는 전문기관이 수행한다.

② 결합을 수행한 기관 외부로 결합된 정보를 반출하려는 개인정보처리자는 가명정보 또는 제58조의2에 해당하는 정보로 처리한 뒤 전문기관의 장의 승인을 받아야 한다.

③ 제1항에 따른 결합 절차와 방법, 전문기관의 지정과 지정 취소 기준ㆍ절차, 관리ㆍ감독, 제2항에 따른 반출 및 승인 기준ㆍ절차 등 필요한 사항은 대통령령으로 정한다.

제28조의4(가명정보에 대한 안전조치의무 등) ① 개인정보처리자는 제28조의2 또는 제28조의3에 따라 가명정보를 처리하는 경우에는 원래의 상태로 복원하기 위한 추가 정보를 별도로 분리하여 보관ㆍ관리하는 등 해당 정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 않도록 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.

② 개인정보처리자는 제28조의2 또는 제28조의3에 따라 가명정보를 처리하는 경우 처리목적 등을 고려하여 가명정보의 처리 기간을 별도로 정할 수 있다.

③ 개인정보처리자는 제28조의2 또는 제28조의3에 따라 가명정보를 처리하고자 하는 경우에는 가명정보의 처리 목적, 제3자 제공 시 제공받는 자, 가명정보의 처리 기간(제2항에 따라 처리 기간을 별도로 정한 경우에 한한다) 등 가명정보의 처리 내용을 관리하기 위하여 대통령령으로 정하는 사항에 대한 관련 기록을 작성하여 보관하여야 하며, 가명정보를 파기한 경우에는 파기한 날부터 3년 이상 보관하여야 한다.

제28조의5(가명정보 처리 시 금지의무 등) ① 제28조의2 또는 제28조의3에 따라 가명정보를 처리하는 자는 특정 개인을 알아보기 위한 목적으로 가명정보를 처리해서는 아니 된다.

② 개인정보처리자는 제28조의2 또는 제28조의3에 따라 가명정보를 처리하는 과정에서 특정 개인을 알아볼 수 있는 정보가 생성된 경우에는 즉시 해당 정보의 처리를 중지하고, 지체 없이 회수ㆍ파기하여야 한다.

제30조(개인정보 처리방침의 수립 및 공개) ① 개인정보처리자는 다음 각 호의 사항이 포함된 개인정보의 처리 방침(이하 “개인정보 처리방침”이라 한다)을 정하여야 한다. 이 경우 공공기관은 제32조에 따라 등록대상이 되는 개인정보파일에 대하여 개인정보 처리방침을 정한다.

1. 개인정보의 처리 목적

2. 개인정보의 처리 및 보유 기간

3. 개인정보의 제3자 제공에 관한 사항(해당되는 경우에만 정한다)

3의2. 개인정보의 파기절차 및 파기방법(제21조제1항 단서에 따라 개인정보를 보존하여야 하는 경우에는 그 보존근거와 보존하는 개인정보 항목을 포함한다)

3의3. 제23조제3항에 따른 민감정보의 공개 가능성 및 비공개를 선택하는 방법(해당되는 경우에만 정한다)

4. 개인정보처리의 위탁에 관한 사항(해당되는 경우에만 정한다)

4의2. 제28조의2 및 제28조의3에 따른 가명정보의 처리 등에 관한 사항(해당되는 경우에만 정한다)

5. 정보주체와 법정대리인의 권리ㆍ의무 및 그 행사방법에 관한 사항

6. 제31조에 따른 개인정보 보호책임자의 성명 또는 개인정보 보호업무 및 관련 고충사항을 처리하는 부서의 명칭과 전화번호 등 연락처

7. 인터넷 접속정보파일 등 개인정보를 자동으로 수집하는 장치의 설치ㆍ운영 및 그 거부에 관한 사항(해당하는 경우에만 정한다)

8. 그 밖에 개인정보의 처리에 관하여 대통령령으로 정한 사항

② 개인정보처리자가 개인정보 처리방침을 수립하거나 변경하는 경우에는 정보주체가 쉽게 확인할 수 있도록 대통령령으로 정하는 방법에 따라 공개하여야 한다.

③ 개인정보 처리방침의 내용과 개인정보처리자와 정보주체 간에 체결한 계약의 내용이 다른 경우에는 정보주체에게 유리한 것을 적용한다.

④ 보호위원회는 개인정보 처리방침의 작성지침을 정하여 개인정보처리자에게 그 준수를 권장할 수 있다.

제31조(개인정보 보호책임자의 지정 등) ① 개인정보처리자는 개인정보의 처리에 관한 업무를 총괄해서 책임질 개인정보 보호책임자를 지정하여야 한다. 다만, 종업원 수, 매출액 등이 대통령령으로 정하는 기준에 해당하는 개인정보처리자의 경우에는 지정하지 아니할 수 있다.

② 제1항 단서에 따라 개인정보 보호책임자를 지정하지 아니하는 경우에는 개인정보처리자의 사업주 또는 대표자가 개인정보 보호책임자가 된다.

③ 개인정보 보호책임자는 다음 각 호의 업무를 수행한다.

1. 개인정보 보호 계획의 수립 및 시행

2. 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선

3. 개인정보 처리와 관련한 불만의 처리 및 피해 구제

4. 개인정보 유출 및 오용ㆍ남용 방지를 위한 내부통제시스템의 구축

5. 개인정보 보호 교육 계획의 수립 및 시행

6. 개인정보파일의 보호 및 관리ㆍ감독

7. 그 밖에 개인정보의 적절한 처리를 위하여 대통령령으로 정한 업무

④ 개인정보 보호책임자는 제3항 각 호의 업무를 수행함에 있어서 필요한 경우 개인정보의 처리 현황, 처리 체계 등에 대하여 수시로 조사하거나 관계 당사자로부터 보고를 받을 수 있다.

⑤ 개인정보 보호책임자는 개인정보 보호와 관련하여 이 법 및 다른 관계 법령의 위반 사실을 알게 된 경우에는 즉시 개선조치를 하여야 하며, 필요하면 소속 기관 또는 단체의 장에게 개선조치를 보고하여야 한다.

⑥ 개인정보처리자는 개인정보 보호책임자가 제3항 각 호의 업무를 수행함에 있어서 정당한 이유 없이 불이익을 주거나 받게 하여서는 아니 되며, 개인정보 보호책임자가 업무를 독립적으로 수행할 수 있도록 보장하여야 한다.

⑦ 개인정보처리자는 개인정보의 안전한 처리 및 보호, 정보의 교류, 그 밖에 대통령령으로 정하는 공동의 사업을 수행하기 위하여 제1항에 따른 개인정보 보호책임자를 구성원으로 하는 개인정보 보호책임자 협의회를 구성ㆍ운영할 수 있다.

⑧ 보호위원회는 제7항에 따른 개인정보 보호책임자 협의회의 활동에 필요한 지원을 할 수 있다.

⑨ 제1항에 따른 개인정보 보호책임자의 자격요건, 제3항에 따른 업무 및 제6항에 따른 독립성 보장 등에 필요한 사항은 매출액, 개인정보의 보유 규모 등을 고려하여 대통령령으로 정한다.

제32조의2(개인정보 보호 인증) ① 보호위원회는 개인정보처리자의 개인정보 처리 및 보호와 관련한 일련의 조치가 이 법에 부합하는지 등에 관하여 인증할 수 있다.

② 제1항에 따른 인증의 유효기간은 3년으로 한다.

③ 보호위원회는 다음 각 호의 어느 하나에 해당하는 경우에는 대통령령으로 정하는 바에 따라 제1항에 따른 인증을 취소할 수 있다. 다만, 제1호에 해당하는 경우에는 취소하여야 한다.

1. 거짓이나 그 밖의 부정한 방법으로 개인정보 보호 인증을 받은 경우

2. 제4항에 따른 사후관리를 거부 또는 방해한 경우

3. 제8항에 따른 인증기준에 미달하게 된 경우

4. 개인정보 보호 관련 법령을 위반하고 그 위반사유가 중대한 경우

④ 보호위원회는 개인정보 보호 인증의 실효성 유지를 위하여 연 1회 이상 사후관리를 실시하여야 한다.

⑤ 보호위원회는 대통령령으로 정하는 전문기관으로 하여금 제1항에 따른 인증, 제3항에 따른 인증 취소, 제4항에 따른 사후관리 및 제7항에 따른 인증 심사원 관리 업무를 수행하게 할 수 있다.

⑥ 제1항에 따른 인증을 받은 자는 대통령령으로 정하는 바에 따라 인증의 내용을 표시하거나 홍보할 수 있다.

⑦ 제1항에 따른 인증을 위하여 필요한 심사를 수행할 심사원의 자격 및 자격 취소 요건 등에 관하여는 전문성과 경력 및 그 밖에 필요한 사항을 고려하여 대통령령으로 정한다.

⑧ 그 밖에 개인정보 관리체계, 정보주체 권리보장, 안전성 확보조치가 이 법에 부합하는지 여부 등 제1항에 따른 인증의 기준ㆍ방법ㆍ절차 등 필요한 사항은 대통령령으로 정한다.

제33조(개인정보 영향평가) ① 공공기관의 장은 대통령령으로 정하는 기준에 해당하는 개인정보파일의 운용으로 인하여 정보주체의 개인정보 침해가 우려되는 경우에는 그 위험요인의 분석과 개선 사항 도출을 위한 평가(이하 “영향평가”라 한다)를 하고 그 결과를 보호위원회에 제출하여야 한다.

② 보호위원회는 대통령령으로 정하는 인력ㆍ설비 및 그 밖에 필요한 요건을 갖춘 자를 영향평가를 수행하는 기관(이하 “평가기관”이라 한다)으로 지정할 수 있으며, 공공기관의 장은 영향평가를 평가기관에 의뢰하여야 한다.

③ 영향평가를 하는 경우에는 다음 각 호의 사항을 고려하여야 한다.

1. 처리하는 개인정보의 수

2. 개인정보의 제3자 제공 여부

3. 정보주체의 권리를 해할 가능성 및 그 위험 정도

4. 그 밖에 대통령령으로 정한 사항

④ 보호위원회는 제1항에 따라 제출받은 영향평가 결과에 대하여 의견을 제시할 수 있다.

⑤ 공공기관의 장은 제1항에 따라 영향평가를 한 개인정보파일을 제32조제1항에 따라 등록할 때에는 영향평가 결과를 함께 첨부하여야 한다.

⑥ 보호위원회는 영향평가의 활성화를 위하여 관계 전문가의 육성, 영향평가 기준의 개발ㆍ보급 등 필요한 조치를 마련하여야 한다.

⑦ 보호위원회는 제2항에 따라 지정된 평가기관이 다음 각 호의 어느 하나에 해당하는 경우에는 평가기관의 지정을 취소할 수 있다. 다만, 제1호 또는 제2호에 해당하는 경우에는 평가기관의 지정을 취소하여야 한다.

1. 거짓이나 그 밖의 부정한 방법으로 지정을 받은 경우

2. 지정된 평가기관 스스로 지정취소를 원하거나 폐업한 경우

3. 제2항에 따른 지정요건을 충족하지 못하게 된 경우

4. 고의 또는 중대한 과실로 영향평가업무를 부실하게 수행하여 그 업무를 적정하게 수행할 수 없다고 인정되는 경우

5. 그 밖에 대통령령으로 정하는 사유에 해당하는 경우

⑧ 보호위원회는 제7항에 따라 지정을 취소하는 경우에는 「행정절차법」에 따른 청문을 실시하여야 한다.

⑨ 제1항에 따른 영향평가의 기준ㆍ방법ㆍ절차 등에 관하여 필요한 사항은 대통령령으로 정한다.

⑩ 국회, 법원, 헌법재판소, 중앙선거관리위원회(그 소속 기관을 포함한다)의 영향평가에 관한 사항은 국회규칙, 대법원규칙, 헌법재판소규칙 및 중앙선거관리위원회규칙으로 정하는 바에 따른다.

⑪ 공공기관 외의 개인정보처리자는 개인정보파일 운용으로 인하여 정보주체의 개인정보 침해가 우려되는 경우에는 영향평가를 하기 위하여 적극 노력하여야 한다.

제34조(개인정보 유출 등의 통지ㆍ신고) ① 개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출(이하 이 조에서 “유출등”이라 한다)되었음을 알게 되었을 때에는 지체 없이 해당 정보주체에게 다음 각 호의 사항을 알려야 한다. 다만, 정보주체의 연락처를 알 수 없는 경우 등 정당한 사유가 있는 경우에는 대통령령으로 정하는 바에 따라 통지를 갈음하는 조치를 취할 수 있다.

1. 유출등이 된 개인정보의 항목

2. 유출등이 된 시점과 그 경위

3. 유출등으로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보

4. 개인정보처리자의 대응조치 및 피해 구제절차

5. 정보주체에게 피해가 발생한 경우 신고 등을 접수할 수 있는 담당부서 및 연락처

② 개인정보처리자는 개인정보가 유출등이 된 경우 그 피해를 최소화하기 위한 대책을 마련하고 필요한 조치를 하여야 한다.

③ 개인정보처리자는 개인정보의 유출등이 있음을 알게 되었을 때에는 개인정보의 유형, 유출등의 경로 및 규모 등을 고려하여 대통령령으로 정하는 바에 따라 제1항 각 호의 사항을 지체 없이 보호위원회 또는 대통령령으로 정하는 전문기관에 신고하여야 한다. 이 경우 보호위원회 또는 대통령령으로 정하는 전문기관은 피해 확산방지, 피해 복구 등을 위한 기술을 지원할 수 있다.

④ 제1항에 따른 유출등의 통지 및 제3항에 따른 유출등의 신고의 시기, 방법, 절차 등에 필요한 사항은 대통령령으로 정한다.

제40조(설치 및 구성) ① 개인정보에 관한 분쟁의 조정(調停)을 위하여 개인정보 분쟁조정위원회(이하 “분쟁조정위원회”라 한다)를 둔다.

② 분쟁조정위원회는 위원장 1명을 포함한 30명 이내의 위원으로 구성하며, 위원은 당연직위원과 위촉위원으로 구성한다.

③ 위촉위원은 다음 각 호의 어느 하나에 해당하는 사람 중에서 보호위원회 위원장이 위촉하고, 대통령령으로 정하는 국가기관 소속 공무원은 당연직위원이 된다.

1. 개인정보 보호업무를 관장하는 중앙행정기관의 고위공무원단에 속하는 공무원으로 재직하였던 사람 또는 이에 상당하는 공공부문 및 관련 단체의 직에 재직하고 있거나 재직하였던 사람으로서 개인정보 보호업무의 경험이 있는 사람

2. 대학이나 공인된 연구기관에서 부교수 이상 또는 이에 상당하는 직에 재직하고 있거나 재직하였던 사람

3. 판사ㆍ검사 또는 변호사로 재직하고 있거나 재직하였던 사람

4. 개인정보 보호와 관련된 시민사회단체 또는 소비자단체로부터 추천을 받은 사람

5. 개인정보처리자로 구성된 사업자단체의 임원으로 재직하고 있거나 재직하였던 사람

④ 위원장은 위원 중에서 공무원이 아닌 사람으로 보호위원회 위원장이 위촉한다.

⑤ 위원장과 위촉위원의 임기는 2년으로 하되, 1차에 한하여 연임할 수 있다.

⑥ 분쟁조정위원회는 분쟁조정 업무를 효율적으로 수행하기 위하여 필요하면 대통령령으로 정하는 바에 따라 조정사건의 분야별로 5명 이내의 위원으로 구성되는 조정부를 둘 수 있다. 이 경우 조정부가 분쟁조정위원회에서 위임받아 의결한 사항은 분쟁조정위원회에서 의결한 것으로 본다.

⑦ 분쟁조정위원회 또는 조정부는 재적위원 과반수의 출석으로 개의하며 출석위원 과반수의 찬성으로 의결한다.

⑧ 보호위원회는 분쟁조정 접수, 사실 확인 등 분쟁조정에 필요한 사무를 처리할 수 있다.

⑨ 이 법에서 정한 사항 외에 분쟁조정위원회 운영에 필요한 사항은 대통령령으로 정한다.

제41조(위원의 신분보장) 위원은 자격정지 이상의 형을 선고받거나 심신상의 장애로 직무를 수행할 수 없는 경우를 제외하고는 그의 의사에 반하여 면직되거나 해촉되지 아니한다.

개인정보보호법 시행령

제13조(자료제출 요구 등의 범위와 방법) ① 보호위원회는 법 제11조제1항에 따라 개인정보처리자에게 다음 각 호의 사항에 관한 자료의 제출이나 의견의 진술 등을 요구할 수 있다.

1. 해당 개인정보처리자가 처리하는 개인정보 및 개인정보파일의 관리와 고정형 영상정보처리기기 또는 이동형 영상정보처리기기의 설치ㆍ운영에 관한 사항

2. 법 제31조에 따른 개인정보 보호책임자의 지정 여부에 관한 사항

3. 개인정보의 안전성 확보를 위한 기술적ㆍ관리적ㆍ물리적 조치에 관한 사항

4. 정보주체의 열람, 개인정보의 정정ㆍ삭제ㆍ처리정지의 요구 및 조치 현황에 관한 사항

5. 그 밖에 법 및 이 영의 준수에 관한 사항 등 기본계획의 수립ㆍ추진을 위하여 필요한 사항

② 보호위원회는 제1항에 따라 자료의 제출이나 의견의 진술 등을 요구할 때에는 기본계획을 효율적으로 수립ㆍ추진하기 위하여 필요한 최소한의 범위로 한정하여 요구하여야 한다.

③ 법 제11조제3항에 따라 중앙행정기관의 장이 소관 분야의 개인정보처리자에게 자료의 제출 등을 요구하는 경우에는 제1항과 제2항을 준용한다. 이 경우 “보호위원회”는 “중앙행정기관의 장”으로, “법 제11조제1항”은 “법 제11조제3항”으로 본다.

제14조의2(개인정보의 추가적인 이용ㆍ제공의 기준 등) ① 개인정보처리자는 법 제15조제3항 또는 제17조제4항에 따라 정보주체의 동의 없이 개인정보를 이용 또는 제공(이하 “개인정보의 추가적인 이용 또는 제공”이라 한다)하려는 경우에는 다음 각 호의 사항을 고려해야 한다.

1. 당초 수집 목적과 관련성이 있는지 여부

2. 개인정보를 수집한 정황 또는 처리 관행에 비추어 볼 때 개인정보의 추가적인 이용 또는 제공에 대한 예측 가능성이 있는지 여부

3. 정보주체의 이익을 부당하게 침해하는지 여부

4. 가명처리 또는 암호화 등 안전성 확보에 필요한 조치를 하였는지 여부

② 개인정보처리자는 개인정보의 추가적인 이용 또는 제공이 지속적으로 발생하는 경우에는 제1항 각 호의 고려사항에 대한 판단 기준을 법 제30조제1항에 따른 개인정보 처리방침에 공개하고, 법 제31조제1항에 따른 개인정보 보호책임자가 해당 기준에 따라 개인정보의 추가적인 이용 또는 제공을 하고 있는지 여부를 점검해야 한다.

제15조(개인정보의 목적 외 이용 또는 제3자 제공의 관리) 공공기관은 법 제18조제2항에 따라 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하는 경우에는 다음 각 호의 사항을 보호위원회가 정하여 고시하는 개인정보의 목적 외 이용 및 제3자 제공 대장에 기록하고 관리해야 한다.

제18조(민감정보의 범위) 법 제23조제1항 각 호 외의 부분 본문에서 “대통령령으로 정하는 정보”란 다음 각 호의 어느 하나에 해당하는 정보를 말한다. 다만, 공공기관이 법 제18조제2항제5호부터 제9호까지의 규정에 따라 다음 각 호의 어느 하나에 해당하는 정보를 처리하는 경우의 해당 정보는 제외한다.

1. 유전자검사 등의 결과로 얻어진 유전정보

2. 「형의 실효 등에 관한 법률」 제2조제5호에 따른 범죄경력자료에 해당하는 정보

3. 개인의 신체적, 생리적, 행동적 특징에 관한 정보로서 특정 개인을 알아볼 목적으로 일정한 기술적 수단을 통해 생성한 정보

4. 인종이나 민족에 관한 정보

제19조(고유식별정보의 범위) 법 제24조제1항 각 호 외의 부분에서 “대통령령으로 정하는 정보”란 다음 각 호의 어느 하나에 해당하는 정보를 말한다. 다만, 공공기관이 법 제18조제2항제5호부터 제9호까지의 규정에 따라 다음 각 호의 어느 하나에 해당하는 정보를 처리하는 경우의 해당 정보는 제외한다.

1. 「주민등록법」 제7조의2제1항에 따른 주민등록번호

2. 「여권법」 제7조제1항제1호에 따른 여권번호

3. 「도로교통법」 제80조에 따른 운전면허의 면허번호

4. 「출입국관리법」 제31조제5항에 따른 외국인등록번호

제26조(공공기관의 고정형 영상정보처리기기 설치ㆍ운영 사무의 위탁) ① 법 제25조제8항 단서에 따라 공공기관이 고정형 영상정보처리기기의 설치ㆍ운영에 관한 사무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서로 하여야 한다.

1. 위탁하는 사무의 목적 및 범위

2. 재위탁 제한에 관한 사항 → 재위탁 할 수 있음

3. 영상정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항

4. 영상정보의 관리 현황 점검에 관한 사항

5. 위탁받는 자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항

② 제1항에 따라 사무를 위탁한 경우에는 제24조제1항부터 제3항까지의 규정에 따른 안내판 등에 위탁받는 자의 명칭 및 연락처를 포함시켜야 한다.

제29조(영업양도 등에 따른 개인정보 이전의 통지) ① 법 제27조제1항 각 호 외의 부분과 같은 조 제2항 본문에서 “대통령령으로 정하는 방법”이란 서면등의 방법을 말한다.

② 법 제27조제1항에 따라 개인정보를 이전하려는 자(이하 이 항에서 “영업양도자등”이라 한다)가 과실 없이 제1항에 따른 방법으로 법 제27조제1항 각 호의 사항을 정보주체에게 알릴 수 없는 경우에는 해당 사항을 인터넷 홈페이지에 30일 이상 게재하여야 한다. 다만, 인터넷 홈페이지에 게재할 수 없는 정당한 사유가 있는 경우에는 다음 각 호의 어느 하나의 방법으로 법 제27조제1항 각 호의 사항을 정보주체에게 알릴 수 있다.

1. 영업양도자등의 사업장등의 보기 쉬운 장소에 30일 이상 게시하는 방법

2. 영업양도자등의 사업장등이 있는 시ㆍ도 이상의 지역을 주된 보급지역으로 하는 「신문 등의 진흥에 관한 법률」 제2조제1호가목ㆍ다목 또는 같은 조 제2호에 따른 일반일간신문ㆍ일반주간신문 또는 인터넷신문에 싣는 방법

제30조(개인정보의 안전성 확보 조치) ① 개인정보처리자는 법 제29조에 따라 다음 각 호의 안전성 확보 조치를 해야 한다.

1. 개인정보의 안전한 처리를 위한 다음 각 목의 내용을 포함하는 내부 관리계획의 수립ㆍ시행 및 점검

2. 개인정보에 대한 접근 권한을 제한하기 위한 다음 각 목의 조치

3. 개인정보에 대한 접근을 통제하기 위한 다음 각 목의 조치

4. 개인정보를 안전하게 저장ㆍ전송하는데 필요한 다음 각 목의 조치

5. 개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조ㆍ변조 방지를 위한 다음 각 목의 조치

6. 개인정보처리시스템 및 개인정보취급자가 개인정보 처리에 이용하는 정보기기에 대해 컴퓨터바이러스, 스파이웨어, 랜섬웨어 등 악성프로그램의 침투 여부를 항시 점검ㆍ치료할 수 있도록 하는 등의 기능이 포함된 프로그램의 설치ㆍ운영과 주기적 갱신ㆍ점검 조치

7. 개인정보의 안전한 보관을 위한 보관시설의 마련 또는 잠금장치의 설치 등 물리적 조치

8. 그 밖에 개인정보의 안전성 확보를 위하여 필요한 조치

② 보호위원회는 개인정보처리자가 제1항에 따른 안전성 확보 조치를 하도록 시스템을 구축하는 등 필요한 지원을 할 수 있다.

③ 제1항에 따른 안전성 확보 조치에 관한 세부 기준은 보호위원회가 정하여 고시한다.

제35조(개인정보 영향평가의 대상) 법 제33조제1항에서 “대통령령으로 정하는 기준에 해당하는 개인정보파일”이란 개인정보를 전자적으로 처리할 수 있는 개인정보파일로서 다음 각 호의 어느 하나에 해당하는 개인정보파일을 말한다.

1. 구축ㆍ운용 또는 변경하려는 개인정보파일로서 5만명 이상의 정보주체에 관한 민감정보 또는 고유식별정보의 처리가 수반되는 개인정보파일

2. 구축ㆍ운용하고 있는 개인정보파일을 해당 공공기관 내부 또는 외부에서 구축ㆍ운용하고 있는 다른 개인정보파일과 연계하려는 경우로서 연계 결과 50만명 이상의 정보주체에 관한 개인정보가 포함되는 개인정보파일

3. 구축ㆍ운용 또는 변경하려는 개인정보파일로서 100만명 이상의 정보주체에 관한 개인정보파일

4. 법 제33조제1항에 따른 개인정보 영향평가(이하 “영향평가”라 한다)를 받은 후에 개인정보 검색체계 등 개인정보파일의 운용체계를 변경하려는 경우 그 개인정보파일. 이 경우 영향평가 대상은 변경된 부분으로 한정한다.

개인정보 영향평가에 관한 고시

제2조(용어의 정의) 이 고시에서 사용하는 용어의 정의는 다음과 각 호와 같다.

1. "개인정보 영향평가(이하 "영향평가"라 한다)"란 법 제33조제1항에 따라 공공기관의 장이 영 제35조에 해당하는 개인정보파일의 운용으로 인하여 정보주체의 개인정보 침해가 우려되는 경우에 그 위험요인의 분석과 개선 사항 도출을 위한 평가를 말한다.

2. "대상기관"이란 영 제35조에 해당하는 개인정보파일을 구축ㆍ운용, 변경 또는 연계하려는 공공기관을 말한다.

3. "개인정보 영향평가기관(이하 "평가기관"이라 한다)"이란 영 제36조제1항 각 호의 요건을 모두 갖춘 법인으로서 공공기관의 영향평가를 수행하기 위하여 개인정보 보호위원회(이하 "보호위원회"라 한다)가 지정한 기관을 말한다.

4. "대상시스템"이란 영 제35조에 해당하는 개인정보파일을 구축ㆍ운용, 변경 또는 연계하려는 정보시스템을 말한다.

5. "개인정보 영향평가 관련 분야 수행실적(이하 "영향평가 관련 분야 수행실적"이라 한다)"이란 영 제36조제1항제1호에 따른 영향평가 업무 또는 이와 유사한 업무, 정보보호 컨설팅 업무 등을 수행한 실적을 말한다.

제10조(평가영역 및 평가분야) 영 제38조제1항의 영향평가기준에 따른 평가영역은 별표 5와 같다. 다만, 대상기관이 1년 이내에 다른 정보시스템의 영향평가를 받은 경우에는 대상기관의 개인정보 보호 관리체계에 대한 평가는 생략할 수 있다.

평가 영역	평가 분야	세부 분야
I. 대상기관 개인정보보호 관리체계	1. 개인정보 보호 조직	개인정보보호책임자의 지정
I. 대상기관 개인정보보호 관리체계	1. 개인정보 보호 조직	개인정보보호책임자 역할수행
I. 대상기관 개인정보보호 관리체계	2. 개인정보 보호 계획	내부관리계획 수립
I. 대상기관 개인정보보호 관리체계	2. 개인정보 보호 계획	개인정보보호 연간계획 수립
I. 대상기관 개인정보보호 관리체계	3. 개인정보 침해대응	침해사고 신고 방법 안내
I. 대상기관 개인정보보호 관리체계	3. 개인정보 침해대응	유출사고 대응
I. 대상기관 개인정보보호 관리체계	4. 정보주체권리보장	정보주체 권리보장 절차 수립
I. 대상기관 개인정보보호 관리체계	4. 정보주체권리보장	정보주체 권리보장 방법 안내
II. 대상시스템의 개인정보보호 관리체계	5. 개인정보취급자 관리	개인정보취급자 지정
II. 대상시스템의 개인정보보호 관리체계	5. 개인정보취급자 관리	개인정보취급자 관리ㆍ감독
II. 대상시스템의 개인정보보호 관리체계	6. 개인정보파일 관리	개인정보파일대장 관리
II. 대상시스템의 개인정보보호 관리체계	6. 개인정보파일 관리	개인정보파일 등록
II. 대상시스템의 개인정보보호 관리체계	7. 개인정보처리방침	개인정보처리방침의 공개
II. 대상시스템의 개인정보보호 관리체계	7. 개인정보처리방침	개인정보처리방침의 작성
III. 개인정보처리 단계별 보호조치	8. 수집	개인정보 수집의 적합성
III. 개인정보처리 단계별 보호조치	8. 수집	동의 받는 방법의 적절성
III. 개인정보처리 단계별 보호조치	9. 보유	보유기간 산정
III. 개인정보처리 단계별 보호조치	10. 이용ㆍ제공	개인정보 제공의 적합성
III. 개인정보처리 단계별 보호조치	10. 이용ㆍ제공	목적 외 이용ㆍ제공 제한
III. 개인정보처리 단계별 보호조치	10. 이용ㆍ제공	제공시 안전성 확보
III. 개인정보처리 단계별 보호조치	11. 위탁	위탁사실 공개
III. 개인정보처리 단계별 보호조치	11. 위탁	위탁 계약
III. 개인정보처리 단계별 보호조치	11. 위탁	수탁사 관리ㆍ감독
III. 개인정보처리 단계별 보호조치	12. 파기	파기 계획 수립
III. 개인정보처리 단계별 보호조치	12. 파기	분리보관 계획 수립
III. 개인정보처리 단계별 보호조치	12. 파기	파기대장 작성
IV. 대상시스템의 기술적 보호조치	13. 접근권한 관리	계정 관리
IV. 대상시스템의 기술적 보호조치	13. 접근권한 관리	인증 관리
IV. 대상시스템의 기술적 보호조치	13. 접근권한 관리	권한 관리
IV. 대상시스템의 기술적 보호조치	14. 접근통제	접근통제 조치
IV. 대상시스템의 기술적 보호조치	14. 접근통제	인터넷 홈페이지 보호조치
IV. 대상시스템의 기술적 보호조치	14. 접근통제	업무용 모바일기기 보호조치
IV. 대상시스템의 기술적 보호조치	15. 개인정보의 암호화	저장시 암호화
IV. 대상시스템의 기술적 보호조치	15. 개인정보의 암호화	전송시 암호화
IV. 대상시스템의 기술적 보호조치	16. 접속기록의 보관 및 점검	접속기록 보관
IV. 대상시스템의 기술적 보호조치	16. 접속기록의 보관 및 점검	접속기록 점검
IV. 대상시스템의 기술적 보호조치	16. 접속기록의 보관 및 점검	접속기록 보관 및 백업
IV. 대상시스템의 기술적 보호조치	17. 악성프로그램 등 방지	백신 설치 및 운영
IV. 대상시스템의 기술적 보호조치	17. 악성프로그램 등 방지	보안업데이트 적용
IV. 대상시스템의 기술적 보호조치	18. 물리적 접근방지	출입통제 절차 수립
IV. 대상시스템의 기술적 보호조치	18. 물리적 접근방지	반출ㆍ입 통제 절차 수립
IV. 대상시스템의 기술적 보호조치	19. 개인정보의 파기	안전한 파기
IV. 대상시스템의 기술적 보호조치	20. 기타 기술적 보호조치	개발 환경 통제
IV. 대상시스템의 기술적 보호조치	20. 기타 기술적 보호조치	개인정보처리화면 보안
IV. 대상시스템의 기술적 보호조치	20. 기타 기술적 보호조치	출력시 보호조치
IV. 대상시스템의 기술적 보호조치	21. 개인정보처리구역보호	보호구역지정
V. 특정 IT기술 활용시 개인정보 보호	22. 고정형 영상정보 처리기기	고정형 영상정보 처리기기 설치 운영계획 수립
V. 특정 IT기술 활용시 개인정보 보호	22. 고정형 영상정보 처리기기	고정형 영상정보 처리기기 설치시 의견수렴
V. 특정 IT기술 활용시 개인정보 보호	22. 고정형 영상정보 처리기기	고정형 영상정보 처리기기 설치 안내
V. 특정 IT기술 활용시 개인정보 보호	22. 고정형 영상정보 처리기기	고정형 영상정보 처리기기 사용 제한
V. 특정 IT기술 활용시 개인정보 보호	22. 고정형 영상정보 처리기기	고정형 영상정보 처리기기 설치 및 관리에 대한 위탁
V. 특정 IT기술 활용시 개인정보 보호	23. RFID	RFID 이용자 안내
V. 특정 IT기술 활용시 개인정보 보호	23. RFID	RFID 태그부착 및 제거
V. 특정 IT기술 활용시 개인정보 보호	24. 생체인식정보	원본정보 보관시 보호조치
V. 특정 IT기술 활용시 개인정보 보호	25. 위치정보	개인위치정보 수집 동의
V. 특정 IT기술 활용시 개인정보 보호	25. 위치정보	개인위치정보 제공시 안내사항
V. 특정 IT기술 활용시 개인정보 보호	26. 가명정보	가명정보의 처리
V. 특정 IT기술 활용시 개인정보 보호	26. 가명정보	가명정보의 안전조치의무 등
V. 특정 IT기술 활용시 개인정보 보호	27. 이동형 영상정보 처리기기	영상정보 촬영 및 안내
V. 특정 IT기술 활용시 개인정보 보호	27. 이동형 영상정보 처리기기	영상정보 촬영 사용제한
V. 특정 IT기술 활용시 개인정보 보호	27. 이동형 영상정보 처리기기	영상정보 촬영 및 관리에 대한 위탁
V. 특정 IT기술 활용시 개인정보 보호	28. 자동화된 결정	자동화된 결정에 대한 정보주체의 권리 등

개인정보의 안전성 확보조치 기준

제5조(접근 권한의 관리) ① 개인정보처리자는 개인정보처리시스템에 대한 접근 권한을 업무 수행에 필요한 최소한의 범위로 차등 부여하여야 한다.

② 개인정보처리자는 개인정보취급자 또는 개인정보취급자의 업무가 변경되었을 경우 지체 없이 개인정보처리시스템의 접근 권한을 변경 또는 말소하여야 한다.

③ 개인정보처리자는 제1항 및 제2항에 의한 권한 부여, 변경 또는 말소에 대한 내역을 기록하고, 그 기록을 최소 3년간 보관하여야 한다.

④ 개인정보처리자는 개인정보처리시스템에 접근할 수 있는 계정을 발급하는 경우 정당한 사유가 없는 한 개인정보취급자 별로 계정을 발급하고 다른 개인정보취급자와 공유되지 않도록 하여야 한다.

⑤ 개인정보처리자는 개인정보취급자 또는 정보주체의 인증수단을 안전하게 적용하고 관리하여야 한다.

⑥ 개인정보처리자는 정당한 권한을 가진 자만이 개인정보처리시스템에 접근할 수 있도록 일정 횟수 이상 인증에 실패한 경우 개인정보처리시스템에 대한 접근을 제한하는 등 필요한 조치를 하여야 한다.

제7조(개인정보의 암호화) ① 개인정보처리자는 비밀번호, 생체인식정보 등 인증정보를 저장 또는 정보통신망을 통하여 송ㆍ수신하는 경우에 이를 안전한 암호 알고리즘으로 암호화하여야 한다. 다만, 비밀번호를 저장하는 경우에는 복호화되지 아니하도록 일방향 암호화하여 저장하여야 한다.

② 개인정보처리자는 다음 각 호의 해당하는 이용자의 개인정보에 대해서는 안전한 암호 알고리즘으로 암호화하여 저장하여야 한다.

1. 주민등록번호

2. 여권번호

3. 운전면허번호

4. 외국인등록번호

5. 신용카드번호

6. 계좌번호

7. 생체인식정보

③ 개인정보처리자는 이용자가 아닌 정보주체의 개인정보를 다음 각 호와 같이 저장하는 경우에는 암호화하여야 한다.

1. 인터넷망 구간 및 인터넷망 구간과 내부망의 중간 지점(DMZ : Demilitarized Zone)에 고유식별정보를 저장하는 경우

2. 내부망에 고유식별정보를 저장하는 경우(다만, 주민등록번호 외의 고유식별정보를 저장하는 경우에는 다음 각 목의 기준에 따라 암호화의 적용여부 및 적용범위를 정하여 시행할 수 있다)

가. 법 제33조에 따른 개인정보 영향평가의 대상이 되는 공공기관의 경우에는 해당 개인정보 영향평가의 결과

나. 암호화 미적용시 위험도 분석에 따른 결과

④ 개인정보처리자는 개인정보를 정보통신망을 통하여 인터넷망 구간으로 송ㆍ수신하는 경우에는 이를 안전한 암호 알고리즘으로 암호화하여야 한다.

⑤ 개인정보처리자는 이용자의 개인정보 또는 이용자가 아닌 정보주체의 고유식별정보, 생체인식정보를 개인정보취급자의 컴퓨터, 모바일 기기 및 보조저장매체 등에 저장할 때에는 안전한 암호 알고리즘을 사용하여 암호화한 후 저장하여야 한다.

⑥ 10만명 이상의 정보주체에 관하여 개인정보를 처리하는 대기업ㆍ중견기업ㆍ공공기관 또는 100만명 이상의 정보주체에 관하여 개인정보를 처리하는 중소기업ㆍ단체에 해당하는 개인정보처리자는 암호화된 개인정보를 안전하게 보관하기 위하여 안전한 암호 키 생성, 이용, 보관, 배포 및 파기 등에 관한 절차를 수립ㆍ시행하여야 한다.

제8조(접속기록의 보관 및 점검) ① 개인정보처리자는 개인정보처리시스템에 접속한 자(다만, 정보주체는 제외한다)의 접속기록을 1년 이상 보관ㆍ관리하여야 한다. 다만, 다음 각 호의 어느 하나에 해당하는 경우에는 2년 이상 보관ㆍ관리하여야 한다.

1. 5만명 이상의 정보주체에 관한 개인정보를 처리하는 개인정보처리시스템에 해당하는 경우

2. 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템에 해당하는 경우

3. 개인정보처리자로서「전기통신사업법」제6조제1항에 따라 등록을 하거나 같은 항 단서에 따라 신고한 기간통신사업자에 해당하는 경우

② 개인정보처리자는 개인정보의 오ㆍ남용, 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등에 대응하기 위하여 개인정보취급자의 개인정보처리시스템에 대한 접속기록 및 개인정보 다운로드 상황을 확인하고 점검하는 주기ㆍ방법ㆍ사후조치절차 등을 내부 관리계획으로 정하고 이행하여야 한다.

③ 개인정보처리자는 접속기록이 위ㆍ변조 및 도난, 분실되지 않도록 해당 접속기록을 안전하게 보관하기 위한 조치를 하여야 한다.

정보통신기반 보호법

제1장 총칙

제1조(목적)

제2조(정의)

제2장 주요정보통신기반시설의 보호체계

제3조(정보통신기반보호위원회)

제4조(위원회의 기능)

제5조(주요정보통신기반시설보호대책의 수립 등)

제5조의2(주요정보통신기반시설보호대책 이행 여부의 확인)

제6조(주요정보통신기반시설보호계획의 수립 등)

제7조(주요정보통신기반시설의 보호지원)

제3장 주요정보통신기반시설의 지정 및 취약점 분석

제8조(주요정보통신기반시설의 지정 등)

제8조의2(주요정보통신기반시설의 지정 권고)

제9조(취약점의 분석ㆍ평가)

제4장 주요정보통신기반시설의 보호 및 침해사고의 대응

제10조(보호지침)

제11조(보호조치 명령)

제12조(주요정보통신기반시설 침해행위 등의 금지)

제13조(침해사고의 통지)

제14조(복구조치)

제15조(대책본부의 구성등)

제16조(정보공유ㆍ분석센터)

제6장 기술지원 및 민간협력 등

제24조(기술개발 등)

제25조(관리기관에 대한 지원)

제26조(국제협력)

제27조(비밀유지의무)

제2조(정의) 이 법에서 사용하는 용어의 정의는 다음과 같다.

1. “정보통신기반시설”이라 함은 국가안전보장ㆍ행정ㆍ국방ㆍ치안ㆍ금융ㆍ통신ㆍ운송ㆍ에너지 등의 업무와 관련된 전자적 제어ㆍ관리시스템 및 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제1항제1호에 따른 정보통신망을 말한다.

2. “전자적 침해행위”란 다음 각 목의 방법으로 정보통신기반시설을 공격하는 행위를 말한다.

가. 해킹, 컴퓨터바이러스, 논리ㆍ메일폭탄, 서비스거부 또는 고출력 전자기파 등의 방법

나. 정상적인 보호ㆍ인증 절차를 우회하여 정보통신기반시설에 접근할 수 있도록 하는 프로그램이나 기술적 장치 등을 정보통신기반시설에 설치하는 방법

3. “침해사고”란 전자적 침해행위로 인하여 발생한 사태를 말한다.

제3조(정보통신기반보호위원회) ①제8조에 따라 지정된 주요정보통신기반시설(이하 “주요정보통신기반시설”이라 한다)의 보호에 관한 사항을 심의하기 위하여 국무총리 소속하에 정보통신기반보호위원회(이하 “위원회”라 한다)를 둔다.

②위원회의 위원은 위원장 1인을 포함한 25인 이내의 위원으로 구성한다.

③위원회의 위원장은 국무조정실장이 되고, 위원회의 위원은 대통령령으로 정하는 중앙행정기관의 차관급 공무원과 위원장이 위촉하는 사람으로 한다.

④위원회의 효율적인 운영을 위하여 위원회에 공공분야와 민간분야를 각각 담당하는 실무위원회를 둔다.

⑤위원회 및 실무위원회의 구성ㆍ운영 등에 관하여 필요한 사항은 대통령령으로 정한다.

제4조(위원회의 기능) 위원회는 다음 각호의 사항을 심의한다.

1. 주요정보통신기반시설 보호정책의 조정에 관한 사항

2. 제6조제1항에 따른 주요정보통신기반시설에 관한 보호계획의 종합ㆍ조정에 관한 사항

3. 제6조제1항에 따른 주요정보통신기반시설에 관한 보호계획의 추진 실적에 관한 사항

4. 주요정보통신기반시설 보호와 관련된 제도의 개선에 관한 사항

4의2. 제8조제5항에 따른 주요정보통신기반시설의 지정 및 지정 취소에 관한 사항

4의3. 제8조의2제1항 후단에 따른 주요정보통신기반시설의 지정 여부에 관한 사항

5. 그 밖에 주요정보통신기반시설 보호와 관련된 주요 정책사항으로서 위원장이 회의에 부치는 사항

제7조(주요정보통신기반시설의 보호지원) ①관리기관의 장이 필요하다고 인정하거나 위원회의 위원장이 특정 관리기관의 주요정보통신기반시설보호대책의 미흡으로 국가안전보장이나 경제사회전반에 피해가 우려된다고 판단하여 그 보완을 명하는 경우 해당 관리기관의 장은 과학기술정보통신부장관과 국가정보원장등 또는 필요한 경우 대통령령으로 정하는 전문기관의 장에게 다음 각 호의 업무에 대한 기술적 지원을 요청할 수 있다.

1. 주요정보통신기반시설보호대책의 수립

2. 주요정보통신기반시설의 침해사고 예방 및 복구

3. 제11조에 따른 보호조치 명령의 이행

②국가안전보장에 중대한 영향을 미치는 다음 각 호의 주요정보통신기반시설에 대한 관리기관의 장이 제1항에 따라 기술적 지원을 요청하는 경우 국가정보원장에게 우선적으로 그 지원을 요청하여야 한다. 다만, 국가안전보장에 현저하고 급박한 위험이 있고, 관리기관의 장이 요청할 때까지 기다릴 경우 그 피해를 회복할 수 없을 때에는 국가정보원장은 관계중앙행정기관의 장과 협의하여 그 지원을 할 수 있다.

1. 도로ㆍ철도ㆍ지하철ㆍ공항ㆍ항만 등 주요 교통시설

2. 전력, 가스, 석유 등 에너지ㆍ수자원 시설

3. 방송중계ㆍ국가지도통신망 시설

4. 원자력ㆍ국방과학ㆍ첨단방위산업관련 정부출연연구기관의 연구시설

③국가정보원장은 제1항 및 제2항에도 불구하고 금융 정보통신기반시설 등 개인정보가 저장된 모든 정보통신기반시설에 대하여 기술적 지원을 수행하여서는 아니된다.

제8조(주요정보통신기반시설의 지정 등) ①중앙행정기관의 장은 소관분야의 정보통신기반시설중 다음 각호의 사항을 고려하여 전자적 침해행위로부터의 보호가 필요하다고 인정되는 정보통신기반시설을 주요정보통신기반시설로 지정할 수 있다.

1. 해당 정보통신기반시설을 관리하는 기관이 수행하는 업무의 국가사회적 중요성

2. 제1호에 따른 기관이 수행하는 업무의 정보통신기반시설에 대한 의존도

3. 다른 정보통신기반시설과의 상호연계성

4. 침해사고가 발생할 경우 국가안전보장과 경제사회에 미치는 피해규모 및 범위

5. 침해사고의 발생가능성 또는 그 복구의 용이성

②중앙행정기관의 장은 제1항에 따른 지정 여부를 결정하기 위하여 필요한 자료의 제출을 해당 관리기관에 요구할 수 있다.

③관계중앙행정기관의 장은 관리기관이 해당 업무를 폐지ㆍ정지 또는 변경하는 경우에는 직권 또는 해당 관리기관의 신청에 의하여 주요정보통신기반시설의 지정을 취소할 수 있다.

④지방자치단체의 장이 관리ㆍ감독하는 기관의 정보통신기반시설에 대하여는 행정안전부장관이 지방자치단체의 장과 협의하여 주요정보통신기반시설로 지정하거나 그 지정을 취소할 수 있다.

⑤중앙행정기관의 장이 제1항 및 제3항에 따라 지정 또는 지정 취소를 하고자 하는 경우에는 위원회의 심의를 받아야 한다. 이 경우 위원회는 제1항 및 제3항에 따라 지정 또는 지정취소의 대상이 되는 관리기관의 장을 위원회에 출석하게 하여 그 의견을 들을 수 있다.

⑥중앙행정기관의 장은 제1항 및 제3항에 따라 주요정보통신기반시설을 지정 또는 지정 취소한 때에는 이를 고시하여야 한다. 다만, 국가안전보장을 위하여 필요한 경우에는 위원회의 심의를 받아 이를 고시하지 아니할 수 있다.

⑦주요정보통신기반시설의 지정 및 지정취소 등에 관하여 필요한 사항은 이를 대통령령으로 정한다.

제8조의2(주요정보통신기반시설의 지정 권고) ① 과학기술정보통신부장관과 국가정보원장등은 특정한 정보통신기반시설을 주요정보통신기반시설로 지정할 필요가 있다고 판단되는 경우에는 중앙행정기관의 장에게 해당 정보통신기반시설을 주요정보통신기반시설로 지정하도록 권고할 수 있다. 이 경우 지정 권고를 받은 중앙행정기관의 장은 위원회의 심의를 거쳐 지정 여부를 결정하여야 한다.

② 과학기술정보통신부장관과 국가정보원장등은 제1항에 따른 권고를 위하여 필요한 경우에는 중앙행정기관의 장에게 해당 정보통신기반시설에 관한 자료를 요청할 수 있다.

③ 제1항에 따른 주요정보통신기반시설의 지정 권고 절차, 그 밖에 필요한 사항은 대통령령으로 정한다.

제9조(취약점의 분석ㆍ평가) ①관리기관의 장은 대통령령으로 정하는 바에 따라 정기적으로 소관 주요정보통신기반시설의 취약점을 분석ㆍ평가하여야 한다.

② 중앙행정기관의 장은 다음 각 호의 어느 하나에 해당하는 경우 해당 관리기관의 장에게 주요정보통신기반시설의 취약점을 분석ㆍ평가하도록 명령할 수 있다.

1. 새로운 형태의 전자적 침해행위로부터 주요정보통신기반시설을 보호하기 위하여 필요한 경우

2. 주요정보통신기반시설에 중대한 변화가 발생하여 별도의 취약점 분석ㆍ평가가 필요한 경우

③관리기관의 장은 제1항 또는 제2항에 따라 취약점을 분석ㆍ평가하고자 하는 경우에는 대통령령이 정하는 바에 따라 취약점을 분석ㆍ평가하는 전담반을 구성하여야 한다.

④관리기관의 장은 제1항 또는 제2항에 따라 취약점을 분석ㆍ평가하고자 하는 경우에는 다음 각호의 1에 해당하는 기관으로 하여금 소관 주요정보통신기반시설의 취약점을 분석ㆍ평가하게 할 수 있다. 다만, 이 경우 제3항에 따른 전담반을 구성하지 아니할 수 있다.

1. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제52조의 규정에 의한 한국인터넷진흥원(이하 “인터넷진흥원”이라 한다)

2. 제16조의 규정에 의한 정보공유ㆍ분석센터(대통령령이 정하는 기준을 충족하는 정보공유ㆍ분석센터에 한한다)

3. 「정보보호산업의 진흥에 관한 법률」 제23조에 따라 지정된 정보보호 전문서비스 기업

4. 「정부출연연구기관 등의 설립ㆍ운영 및 육성에 관한 법률」 제8조의 규정에 의한 한국전자통신연구원

⑤과학기술정보통신부장관은 관계중앙행정기관의 장 및 국가정보원장과 협의하여 제1항 및 제2항에 따른 취약점 분석ㆍ평가에 관한 기준을 정하고 이를 관계중앙행정기관의 장에게 통보하여야 한다.

⑥주요정보통신기반시설의 취약점 분석ㆍ평가의 방법 및 절차 등에 관하여 필요한 사항은 대통령령으로 정한다.

(시행령)제17조(취약점 분석ㆍ평가의 시기) ①관리기관의 장은 소관 정보통신기반시설이 주요정보통신기반시설로 지정된 때에는 지정 후 6월 이내에 법 제9조제1항의 규정에 의한 취약점의 분석ㆍ평가를 실시하여야 한다. 다만, 관리기관의 장은 소관 주요정보통신기반시설 지정 후 6월 이내에 동 시설에 대한 취약점의 분석ㆍ평가를 시행하지 못할 특별한 사유가 있다고 판단되는 경우에는 관할 중앙행정기관의 장의 승인을 얻어 지정 후 9월 이내에 이를 실시하여야 한다.

②관리기관의 장은 제1항에 따라 소관 주요정보통신기반시설이 지정된 후 당해 주요정보통신기반시설에 대한 최초의 취약점 분석ㆍ평가를 한 후에는 매년 취약점의 분석ㆍ평가를 실시한다. 다만, 소관 주요정보통신기반시설에 중대한 변화가 발생하였거나 관리기관의 장이 취약점 분석ㆍ평가가 필요하다고 판단하는 경우에는 1년이 되지 아니한 때에도 취약점의 분석ㆍ평가를 실시할 수 있다.

③ 관리기관의 장은 법 제9조제2항에 따라 중앙행정기관의 장으로부터 주요정보통신기반시설의 취약점을 분석ㆍ평가하도록 명령을 받은 경우에는 그 명령을 받은 날부터 6개월 이내에 해당 시설의 취약점 분석ㆍ평가를 실시해야 한다.

제10조(보호지침) ①관계중앙행정기관의 장은 소관분야의 주요정보통신기반시설에 대하여 보호지침을 제정하고 해당분야의 관리기관의 장에게 이를 지키도록 명령할 수 있다.

② 제1항에 따른 명령을 받은 관리기관의 장은 이를 이행하여야 한다.

③관계중앙행정기관의 장은 기술의 발전 등을 고려하여 제1항에 따른 보호지침을 주기적으로 수정ㆍ보완하여야 한다.

제12조(주요정보통신기반시설 침해행위 등의 금지) 누구든지 다음 각 호의 어느 하나에 해당하는 행위를 하여서는 아니된다.

1. 접근권한을 가지지 아니하는 자가 주요정보통신기반시설에 접근하거나 접근권한을 가진 자가 그 권한을 초과하여 저장된 데이터를 조작ㆍ파괴ㆍ은닉 또는 유출하는 행위

2. 주요정보통신기반시설에 대하여 데이터를 파괴하거나 주요정보통신기반시설의 운영을 방해할 목적으로 컴퓨터바이러스ㆍ논리폭탄 등의 프로그램을 투입하는 행위

3. 주요정보통신기반시설의 운영을 방해할 목적으로 일시에 대량의 신호를 보내거나 부정한 명령을 처리하도록 하는 등의 방법으로 정보처리에 오류를 발생하게 하는 행위

제13조(침해사고의 통지) ①관리기관의 장은 침해사고가 발생하여 소관 주요정보통신기반시설이 교란ㆍ마비 또는 파괴된 사실을 인지한 때에는 관계 행정기관, 수사기관 또는 인터넷진흥원(이하 “관계기관등”이라 한다)에 그 사실을 통지하여야 한다. 이 경우 관계기관등은 침해사고의 피해확산 방지와 신속한 대응을 위하여 필요한 조치를 취하여야 한다.

②정부는 제1항에 따라 침해사고를 통지함으로써 피해확산의 방지에 기여한 관리기관에 예산의 범위안에서 복구비 등 재정적 지원을 할 수 있다.

제24조(기술개발 등) ①정부는 정보통신기반시설을 보호하기 위하여 필요한 기술의 개발 및 전문인력 양성에 관한 시책을 강구할 수 있다.

②정부는 정보통신기반시설의 보호에 필요한 기술개발을 효율적으로 추진하기 위하여 필요한 때에는 정보보호 기술개발과 관련된 연구기관 및 민간단체로 하여금 이를 대행하게 할 수 있다. 이 경우 이에 소요되는 비용의 전부 또는 일부를 지원할 수 있다.

정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시

제2조(정의) 이 고시에서 사용하는 용어의 뜻은 다음 각 호와 같다.

1. "정보보호 및 개인정보보호 관리체계 인증"이란 인증 신청인의 정보보호 및 개인정보보호를 위한 일련의 조치와 활동이 인증기준에 적합함을 한국인터넷진흥원(이하 "인터넷진흥원"이라 한다) 또는 인증기관이 증명하는 것을 말한다.

2. "정보보호 관리체계 인증"이란 인증 신청인의 정보보호 관련 일련의 조치와 활동이 인증기준에 적합함을 인터넷진흥원 또는 인증기관이 증명하는 것을 말한다.

3. "인증기관"이란 인증에 관한 업무를 수행할 수 있도록 정보통신망법 제47조제6항, 「개인정보 보호법 시행령」제34조의6제1항제2호 및 제2항에 따라 과학기술정보통신부장관과 개인정보 보호위원회(이하 "보호위원회"라 한다)가 지정하는 기관을 말한다.

4. "심사기관"이란 인증심사 업무를 수행할 수 있도록 정보통신망법 제47조제7항, 「개인정보 보호법 시행령」제34조의6제1항제2호 및 제2항에 따라 과학기술정보통신부장관과 보호위원회가 지정하는 기관을 말한다.

5. "업무수행 요건ㆍ능력 심사"란 인증기관 또는 심사기관으로 지정받고자 신청한 법인 또는 단체의 업무수행 요건ㆍ능력을 심사하는 것을 말한다.

6. "인증심사"란 신청기관이 수립하여 운영하는 관리체계가 인증기준에 적합한지의 여부를 인터넷진흥원ㆍ인증기관 또는 심사기관(이하 "심사수행기관"이라 한다)이 서면심사 및 현장심사의 방법으로 확인하는 것을 말한다.

7. "인증위원회"란 인터넷진흥원 또는 인증기관의 장이 인증심사 결과 등을 심의ㆍ의결하기 위해 설치ㆍ운영하는 기구로서 위원장과 위원으로 구성된다.

8. "인증심사원"이란 인터넷진흥원으로부터 인증심사를 수행할 수 있는 자격을 부여받고 인증심사를 수행하는 자를 말한다.

8의2. "심사팀장"이란 인증심사를 수행하기 위해 구성한 팀의 책임자를 말한다.

9. "최초심사"란 처음으로 인증을 신청하거나 인증범위에 중요한 변경이 있어서 다시 인증을 신청한 때 실시하는 인증심사를 말한다.

10. "사후심사"란 인증(인증이 갱신된 경우를 포함한다)을 받고난 후 매년 사후관리를 위하여 실시하는 인증심사를 말한다.

11. "갱신심사"란 유효기간 만료로 유효기간 갱신을 위해 실시하는 인증심사를 말한다.

지능정보화 기본법

제1장 총칙

제1조(목적)

제2조(정의)

제3조(지능정보사회 기본원칙)

제4조(국가ㆍ지방자치단체 등의 책무)

제5조(다른 법률과의 관계)

제2장 지능정보사회 정책의 수립 및 추진체계

제6조(지능정보사회 종합계획의 수립)

제7조(지능정보사회 실행계획의 수립)

제8조(지능정보화책임관)

제9조(지능정보화책임관 협의회)

제10조(지능정보화 정책 등의 조정)

제11조(지능정보화계획의 반영)

제12조(한국지능정보사회진흥원의 설립)

제3장 분야별 지능정보화의 추진

제13조(부문별 추진계획의 수립)

제14조(공공지능정보화의 추진)

제15조(지역지능정보화의 추진)

제16조(민간 분야 지능정보화의 지원)

제17조(민간기관 등과의 협력)

제18조(지능정보화의 민간 확산)

제19조(지식재산 및 지식재산권의 보호)

제4장 지능정보기술의 고도화 및 지능정보서비스의 이용촉진

제20조(지능정보기술의 개발)

제21조(기술기준)

제22조(지능정보기술의 표준화)

제23조(전문인력의 양성)

제24조(교육공무원 등의 휴직 허용)

제25조(교육공무원등의 겸임 또는 겸직에 관한 특례)

제26조(기술개발의 실용화ㆍ사업화 지원)

제27조(지능정보기술 관련 지식재산권 등의 관리ㆍ유통)

제28조(중소기업에 대한 지원)

제29조(유통구조의 개선과 보급 촉진)

제30조(지능정보서비스의 이용촉진)

제31조(규제 개선 등)

제32조(선도사업의 추진과 지원)

제33조(선도사업 거점지구의 지정 등)

제5장 지능정보화의 기반 구축

제34조(초연결지능정보통신기반 시책의 마련 등)

제35조(국가지능망의 관리)

제36조(초연결지능연구개발망의 구축ㆍ관리)

제37조(초연결지능정보통신망 확충을 위한 협조)

제38조(초연결지능정보통신망의 상호연동 등)

제39조(전담기관의 지정ㆍ운영)

제40조(데이터센터의 구축 및 운영 활성화)

제41조(인터넷주소자원의 이용)

제42조(데이터 관련 시책의 마련)

제43조(데이터의 유통ㆍ활용)

제6장 지능정보사회의 기반 조성

제1절 정보문화의 창달ㆍ확산 및 사회변화 대응

제44조(정보문화의 창달과 확산)

제45조(정보격차 해소 시책의 마련)

제50조(정보격차해소교육의 시행)

제51조(지능정보서비스 과의존의 예방 및 해소 계획 수립)

제52조(지능정보서비스 과의존 대응센터)

제53조(지능정보서비스 과의존 관련 전문인력 양성)

제54조(지능정보서비스 과의존 관련 교육)

제55조(일자리ㆍ노동환경 변화 대응)

제56조(지능정보서비스 등의 사회적 영향평가)

제2절 지능정보기술 및 지능정보서비스 이용의 안전성 및 신뢰성 보장

제57조(정보보호 시책의 마련 등)

제58조(정보보호시스템에 관한 기준 고시 등)

제59조(초연결지능정보통신기반의 안전성 등)

제60조(안전성 보호조치)

제61조(사생활 보호 설계 등)

제62조(지능정보사회윤리)

제63조(이용자의 권익보호)

제6조(지능정보사회 종합계획의 수립) ① 정부는 지능정보사회 정책의 효율적ㆍ체계적 추진을 위하여 지능정보사회 종합계획(이하 “종합계획”이라 한다)을 3년 단위로 수립하여야 한다.

② 종합계획은 과학기술정보통신부장관이 관계 중앙행정기관(대통령 소속 기관 및 국무총리 소속 기관을 포함한다. 이하 같다)의 장 및 지방자치단체의 장의 의견을 들어 수립하며, 「정보통신 진흥 및 융합 활성화 등에 관한 특별법」 제7조에 따른 정보통신 전략위원회(이하 “전략위원회”라 한다)의 심의를 거쳐 수립ㆍ확정한다. 종합계획을 변경하는 경우에도 또한 같다.

③ 과학기술정보통신부장관이 중앙행정기관의 장 및 지방자치단체의 장에게 종합계획의 수립에 필요한 자료를 요청하는 경우 해당 기관의 장은 특별한 사정이 없으면 이에 응하여야 한다.

④ 종합계획에는 다음 각 호의 사항이 포함되어야 한다.

1. 지능정보사회 정책의 기본방향 및 중장기 발전방향

2. 공공ㆍ민간ㆍ지역 등 분야별 지능정보화

3. 지능정보기술의 고도화 및 지능정보서비스의 이용촉진과 관련 과학기술 발전 지원

4. 전 산업의 지능정보화 추진, 지능정보기술 관련 산업의 육성, 규제개선 및 공정한 경쟁환경 조성 등을 통한 신산업ㆍ신서비스 창업생태계 조성

5. 정보의 공동활용ㆍ표준화 및 초연결지능정보통신망의 구축

6. 지능정보사회 관련 법ㆍ제도 개선

7. 지능정보화 및 지능정보사회 관련 교육ㆍ홍보ㆍ인력양성 및 국제협력

8. 건전한 정보문화 창달 및 지능정보사회윤리의 확립

9. 정보보호, 정보격차 해소, 제51조에 따른 기본계획의 수립에 관한 사항 등 역기능 해소, 이용자의 권익보호 및 지식재산권의 보호

10. 지능정보사회 구현을 위한 시책 추진에 필요한 재원의 조달ㆍ운용 및 인력확보 방안

11. 그 밖에 지능정보사회 구현을 위하여 필요한 사항

⑤ 중앙행정기관의 장과 지방자치단체의 장은 소관 주요 정책을 수립하고 집행을 할 때 제4항 각 호의 사항을 우선적으로 고려하여야 한다.

⑥ 과학기술정보통신부장관은 매년 종합계획의 주요 시책에 대한 추진 실적을 점검ㆍ분석하여 그 결과를 전략위원회에 보고하여야 한다.

제58조(정보보호시스템에 관한 기준 고시 등) ① 과학기술정보통신부장관은 관계 기관의 장과 협의하여 정보보호시스템의 성능과 신뢰도에 관한 기준을 정하여 고시하고, 정보보호시스템을 제조하거나 수입하는 자에게 그 기준을 지킬 것을 권고할 수 있다.

정보보호산업의 진흥에 관한 법률

제6조(구매수요정보의 제공) ① 「전자정부법」 제2조제2호에 따른 행정기관 또는 공공기관(이하 “공공기관등”이라 한다)의 장은 소관 기관ㆍ시설의 정보보호 수준을 강화하기 위하여 매년 정보보호기술등에 대한 구매수요 정보(이하 이 조에서 “구매수요정보”라 한다)를 과학기술정보통신부장관에게 제출하여야 한다.

② 과학기술정보통신부장관은 제1항에 따라 제출된 구매수요정보를 정보보호기업에 제공할 수 있다.

③ 과학기술정보통신부장관은 제2항에 따라 구매수요정보를 정보보호기업에 제공하는 경우 과학기술정보통신부 내에 별도의 심의위원회를 개최하여 국가안전 및 공공의 이익에 중대한 영향을 미치는 내용이 정보보호기업에 제공되지 아니하도록 하여야 한다.

④ 제1항 및 제2항에 따른 구매수요정보 제출 및 제공의 구체적인 횟수ㆍ시기ㆍ방법ㆍ절차 등에 필요한 사항은 대통령령으로 정한다.

클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률

제25조(침해사고 등의 통지 등) ① 클라우드컴퓨팅서비스 제공자는 다음 각 호의 어느 하나에 해당하는 경우에는 지체 없이 그 사실을 해당 이용자에게 알려야 한다.

1. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제7호에 따른 침해사고(이하 “침해사고”라 한다)가 발생한 때

2. 이용자 정보가 유출된 때

3. 사전예고 없이 대통령령으로 정하는 기간(당사자 간 계약으로 기간을 정하였을 경우에는 그 기간을 말한다) 이상 서비스 중단이 발생한 때

② 클라우드컴퓨팅서비스 제공자는 제1항제2호에 해당하는 경우에는 즉시 그 사실을 과학기술정보통신부장관에게 알려야 한다.

③ 과학기술정보통신부장관은 제2항에 따른 통지를 받거나 해당 사실을 알게 되면 피해 확산 및 재발의 방지와 복구 등을 위하여 필요한 조치를 할 수 있다.

④ 제1항부터 제3항까지의 규정에 따른 통지 및 조치에 필요한 사항은 대통령령으로 정한다.

제26조(이용자 보호 등을 위한 정보 공개) ① 이용자는 클라우드컴퓨팅서비스 제공자에게 이용자 정보가 저장되는 국가의 명칭을 알려 줄 것을 요구할 수 있다.

② 정보통신서비스(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제2호에 따른 정보통신서비스를 말한다. 이하 제3항에서 같다)를 이용하는 자는 정보통신서비스 제공자(「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제2조제3호에 따른 정보통신서비스 제공자를 말한다. 이하 제3항에서 같다)에게 클라우드컴퓨팅서비스 이용 여부와 자신의 정보가 저장되는 국가의 명칭을 알려 줄 것을 요구할 수 있다.

③ 과학기술정보통신부장관은 이용자 또는 정보통신서비스 이용자의 보호를 위하여 필요하다고 인정하는 경우에는 클라우드컴퓨팅서비스 제공자 또는 정보통신서비스 제공자에게 제1항 및 제2항에 따른 정보를 공개하도록 권고할 수 있다.

④ 과학기술정보통신부장관이 제3항에 따라 정보를 공개하도록 권고하려는 경우에는 미리 방송미디어통신위원회의 의견을 들어야 한다.

제27조(이용자 정보의 보호) ① 클라우드컴퓨팅서비스 제공자는 법원의 제출명령이나 법관이 발부한 영장에 의하지 아니하고는 이용자의 동의 없이 이용자 정보를 제3자에게 제공하거나 서비스 제공 목적 외의 용도로 이용할 수 없다. 클라우드컴퓨팅서비스 제공자로부터 이용자 정보를 제공받은 제3자도 또한 같다.

② 클라우드컴퓨팅서비스 제공자는 이용자 정보를 제3자에게 제공하거나 서비스 제공 목적 외의 용도로 이용할 경우에는 다음 각 호의 사항을 이용자에게 알리고 동의를 받아야 한다. 다음 각 호의 어느 하나의 사항이 변경되는 경우에도 또한 같다.

1. 이용자 정보를 제공받는 자

2. 이용자 정보의 이용 목적(제공 시에는 제공받는 자의 이용 목적을 말한다)

3. 이용 또는 제공하는 이용자 정보의 항목

4. 이용자 정보의 보유 및 이용 기간(제공 시에는 제공받는 자의 보유 및 이용 기간을 말한다)

5. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용

③ 클라우드컴퓨팅서비스 제공자는 이용자와의 계약이 종료되었을 때에는 이용자에게 이용자 정보를 반환하여야 하고 클라우드컴퓨팅서비스 제공자가 보유하고 있는 이용자 정보를 파기하여야 한다. 다만, 이용자가 반환받지 아니하거나 반환을 원하지 아니하는 등의 이유로 사실상 반환이 불가능한 경우에는 이용자 정보를 파기하여야 한다.

④ 클라우드컴퓨팅서비스 제공자는 사업을 종료하려는 경우에는 그 이용자에게 사업 종료 사실을 알리고 사업 종료일 전까지 이용자 정보를 반환하여야 하며 클라우드컴퓨팅서비스 제공자가 보유하고 있는 이용자 정보를 파기하여야 한다. 다만, 이용자가 사업 종료일 전까지 반환받지 아니하거나 반환을 원하지 아니하는 등의 이유로 사실상 반환이 불가능한 경우에는 이용자 정보를 파기하여야 한다.

⑤ 제3항 및 제4항에도 불구하고 클라우드컴퓨팅서비스 제공자와 이용자 간의 계약으로 특별히 다르게 정한 경우에는 그에 따른다.

⑥ 제3항 및 제4항에 따른 이용자 정보의 반환 및 파기의 방법ㆍ시기, 계약 종료 및 사업 종료 사실의 통지 방법 등에 필요한 사항은 대통령령으로 정한다

1. 전송과 교환의 개념을 설명하시오

• 교환(Switching)은 전달 경로가 둘 이상일 때 라우터에서 데이터를 어느 방향으로 전달할지를 선택하는 기능이다. 올바른 경로를 선택하기 위해 교환 기능을 수행하는 호스트는 경로 선택과 관련된 정보를 관리한다.
• 전송(Transmission)은 특정한 물리 매체에 의하여 일대일로 직접 연결된 두 시스템 간의 신뢰성 있는 데이터 전송을 보장하기 위한 것. 즉, 전송에는 라우팅 개념이 포함되지 않는다. 즉, 두 호스트를 전송 매체로 직접 연결해 송신 호스트가 전송한 데이터가 수신 호스트에 직접 도착하도록 해야 한다.

2. 점대점 방식과 브로드캐스팅 방식을 차이점 위주로 비교하여 설명하시오.

• 점대점(Point-to-Point) 방식에서는 호스트 간의 데이터 전달 과정에서 송신 호스트가 중개 호스트와 일대일로 연결되므로 다른 호스트에는 데이터가 전달되지 않는다. 이때 각 호스트는 데이터를 송수신하는 호스트일 수도 있고, 중간에 있는 교환 호스트일 수도 있다. 원거리에 있는 시스템 사이의 통신 방식으로, WAN 환경에서 주로 사용한다.
• 브로드캐스팅 방식에서는 공유 전송 매체 하나에 여러 호스트를 연결하기 때문에 네트워크에 연결된 모든 호스트에 데이터가 전송된다. 따라서, 데이터 전달 과정에는 별도의 교환 기능이 필요없다. 대신, 자신을 목적지로 하지 않은 데이터를 수신 호스트가 버리고, 목적지 호스트만 데이터를 수신하도록 설계해야 한다. LAN처럼 지리적으로 가까운 호스트 사이의 통신에서 주로 사용한다.

3. 멀티포인트 유니캐스팅 방식과 멀티캐스팅 방식을 비교하여 설명하시오.

• 멀티포인트 유니캐스팅은 일대일 통신을 지원하는 유니캐스팅 방식을 이용해 일대다 통신을 하는 방식이다. 송신 호스트가 여러 개의 수신 호스트와 개별적으로 연결 설정이 되어야 한다. 데이터 전성 과정에서도 개별 수신 호스트에 별도로 각각 전송하므로 데이터를 여러 번 전송한다. 응답 기능 및 재전송 기능 등을 구현하기 좋지만 수신 호스트가 많아지면 성능 면에서 문제가 나타날 수 있다.
• 멀티캐스팅은 프로토콜 자체에서 일대다 전송 기능을 구현하여 통신 환경을 설정 요구 한 번으로 지원할 수 있다. 멀티캐스팅에서는 송신 호스트의 전송 요구 한 번으로 모든 수신 호스트에 데이터를 전달할 수 있다. 비디오, 오디오, 화상통화 등의 서비스와 같이 등록된 다수 고객을 대상으로 하는 데이터 서비스에 쓰인다. 따라서, 멀티캐스팅을 구현하려면 멀티캐스트 그룹을 생성하고 관리하는 기능이 필요하다.

4. 데이터 링크 계층에서 전송 오류 문제를 해결하기 위해 필요한 응답 프레임, 타임아웃, 순서 번호 등의 기능을 설명하시오.

• 데이터 링크 계층의 프레임 전송 오류에는 데이터가 깨져서 도착하는 프레임 변형과 데이터가 목적지에 도착하지 못하는 프레임 분실이 있다. 이 오류를 감지하면 복구하는 과정이 진행되는데, 일반적으로 데이터를 재전송하는 기법을 사용한다.
• 응답 프레임 : 송신 호스트가 전송한 데이터 프레임의 일부가 깨지는 프레임 변형 오류를 확인한 수신 호스트는 송신 호스트에 응답 프레임을 전송해 원래의 데이터 프레임을 재전송하도록 요구할 수 있다. 이 때 정상이면 긍정 응답 프레임(Positive Acknowledgement), 비정상이면 **부정 응답 프레임(Negative Acknowledgement)**으로 응답하여 송신 호스트에게 재전송을 요청할 수 있다.
• 타임 아웃 : 송신 호스트가 보낸 프레임이 도착하지 못하면 프레임 분실 오류이다. 이 때 수신 호스트는 어떤 응답도 하지 않으므로 송신 호스트는 데이터 프레임 전송 후 일정 시간 이내 응답 프레임이 오지 않으면 타임아웃 기능을 동작하여 데이터 프레임을 재전송한다.
• 순서 번호 : 타임아웃 등으로 송신 호스트가 같은 데이터 프레임을 중복으로 보내는 경우에 수신 호스트가 중복 데이터 프레임을 가려내려면 각 프레임 내부에 **순서 번호(Sequence Number)**를 기록해야 한다.

*흐름 제어(Flow Control) : 송신 호스트가 수신 호스트가 감당할 수 있을 정도의 전송 속도를 유지하면서 데이터 프레임을 전송하기 위한 기능. 수신 호스트가 송신 호스트에 다음 전송 시점을 통지하는 방식. 대표 프로토콜로는 슬라이딩 윈도우 프로토콜이 있다.

5. 데이터 프레임이 전송되었을 때 발생 가능한 오류의 종류와 이를 해결하기 위한 방안을 설명하시오.

4번에서 같이 설명

6. 데이터 프레임의 정보 중에서 순서 번호가 제공되지 않았을 때 문제점을 순서 번호가 있는 경우와 비교해서 설명하시오.

4번에서 같이 설명

7. 문자 프레임에서 문자 스터핑의 필요성과 원리를 설명하시오.

• 데이터 링크 계층에서는 전송 데이터를 프레임이라는 작은 단위로 나누어 처리한다. 상위 계층에서 보낸 전송 데이터의 오류를 확인하기 위한 체크섬(Checksum), 송수신 호스트의 주소, 기타 제어 코드 같은 정보가 포함된다.
• 문자 프레임(Character Frame)은 프레임 내용이 문자로 구성되므로 문자 데이터를 전송할 때 사용한다. 문자 프레임 방식은 8비트 단위(또는 ASCII 문자 코드)의 고정 크기로 동작한다.
• 각 프레임의 시작 위치에 DLE·STX 문자를 추가하는 끝나느 위치에 DLE·STX를 추가해 프레임의 다른 정보와 구분할 수 있도록 한다.
• 문자 프레임 내부에 DLE 문자가 포함되면 수신 호스트에서 혼란이 발생할 수 있다. 이 때 전송 데이터가 DLE를 포함하면 DLE 문자 하나를 강제로 추가하여 수신 호스트가 연속된 DLE를 발견하면 임의 추가된 문자로 판단할 수 있도록 한다. 이를 문자 스터핑(Character Stuffing)이라고 한다. 즉, 문자 프레임의 전송 과정에서 제어 문자를 추가하는 기능을 문자 스터핑이라고 한다.

8. 비트 프레임에서 비트 스터핑의 필요성과 원리를 설명하시오.

• 비트 프레임은 문자 단위가 아닌 임의의 비트 패턴 데이터를 전송하는 방식이다. 프레임의 시작과 끝 위치에 Flag라는 특수 비트 패턴(01111110)을 사용해 프레임 단위를 구분한다.
• 비트 프레임 방식에서는 비트 데이터 중에 1인 패턴이 연속해서 5번 발생하면 강제로 0을 추가하는 조작을 한다. 이러면 1이 연속으로 6번 나오는 패턴을 발견하는 경우 이를 플래그라고 판단할 수가 있게 된다. 이렇게 0을 추가하여 수신 호스트가 특수 비트 패턴을 판단하도록 유도하는 기법을 비트 스터핑이라고 한다.

9. 패리티 비트의 목적과 사용 방법을 설명하시오.

• 패리티 비트는 8비트 구조에서 7비트의 ASCII 코드를 제외한 나머지 1비트를 말한다. 이는 전송 과정에서 1비트의 오류가 발생하는 것을 검출하기 위한 것으로 패리티 비트를 포함에 1의 개수가 짝수(Even Parity)가 되거나 홀수(Odd Parity) 개가 되도록 한다.

10. 다항 코드 1001011을 사용하는 프로토콜에서 데이터 101101001을 전송할 때의 체크섬 값을 구하고, 송수신 호스트가 오류 제어 기능을 수행하는 방법을 설명하시오.

• CRC(Cyclic Redundancy Code)라고도 알려진 다항 코드(Polynomial Code)방식은 현재 통신 프로토콜에서 가장 많이 사용되는 오류 검출 기법이다.
• 데이터를 다항코드로 나누어 체크섬을 계산한다. 이 때는 모듈러-2 방식으로 한다. 덧셈의 자리 올림이나 밸셈의 자리 빌림 과정없이 배타적 논리합(Exclusive OR) 연산과 동일한 결과를 얻는다.
• 데이터 뒤에 다항코드의 다항식 최대 차수 + 1 만큼을 0으로 채우고 다항코드로 나누어 나머지를 얻는다. 여기서는 6개의 0을 추가해 101101001000000을 1001011로 나누는 것.
• 계산된 체크섬은 101001 이며, 송신할 최종 데이터는 1001011101001 가 된다.

1. 교환 시스템의 종류인 회선 교환 방식과 패킷 교환 방식을 차이점 위주로 설명하시오.

• 회선 교환 방식
  • 데이터 전송 전 미리 연결 경로 설정
  • 고정 대역의 전송 선로 할당받음. 이 때문에 전송 선로 독점으로 인한 비효율 발생
  • 안정적인 데이터 전송률
• 패킷 교환 방식
  • 패킷이라는 단위로 데이터를 전송
  • 동적 방식으로 전송 대역을 공유하여 전송 선로의 효율 극대화. 보내는 패킷마다 경로가 달라 전송에 걸리는 시간이 일정치 않음
  • 고정 대역 할당이 없으므로 이론상 호스트를 무한히 수용 가능. 하지만, 호스트가 늘면 혼잡도가 높아져 패킷 전송 지연 심화.
  • 패킷에 전송 우선순위를 부여하여 전송할 수 있음.
  • 회선 교환 방식에 비해 더 많은 지연 발생. 예를 들어, 라우터 내부 버퍼에 패킷 보관하는 과정에서의 지연, 대기 큐를 거치는 과정에서의 지연 등으로 가변적인 지연이 발생한다. 이런 가변적인 전송 지연의 분포를 지터(jitter)라고 함.

2. 패킷 교환 시스템에서 제공하는 가상 회선 방식과 데이터그램 방식을 설명하시오.

• 가상 회선 방식 : 연결형 서비스를 지원하기 위한 기능으로 가상의 논리적 통신 매체(파이프)를 설정하는 것. 동일 경로로 패킷이 전달되므로 보낸 순서와 도착 순서가 같다.
• 데이터그램 방식 : 전송할 정보의 양이 적거나 신뢰성이 중요하지 않은 비연결형 서비스의 경우 사용하는 방식. 미리 경로를 설정하지 않고 패킷들이 독립적인 경로로 전달된다. 따라서 출발한 순서와 도착한 순서가 다를 수 있다. 각 전송 경로의 속도는 네트워크 혼잡도에 따라 가변적이다.

3. 프레임 릴레이에서 전송 효율을 높이는 원리를 설명하시오.

• 프레임 릴레이(Frame Relay) 방식은 데이터링크 계층에서 동작하며, 기존 패킷 교환 방식보다 단순한 방식으로 동작하여 전송 효율을 높인다.
• 기존 패킷 교환 방식은 각 홉(라우터)마다 흐름 제어와 오류 제어를 수행하며, 이를 위해 매번 응답(ACK) 프레임을 회신해야 하므로 전체 트래픽이 증가한다.
• 반면, 프레임 릴레이는 중간 노드(라우터)는 프레임을 단순히 중계(relay)하는 역할만 수행하며, 오류 제어나 흐름 제어는 송·수신 호스트 간 종단 간(end-to-end)에서만 처리한다.
• 이로 인해 중간 노드에서의 제어 오버헤드가 줄어들고, 전체 네트워크를 흐르는 제어용 트래픽이 감소하여 전송 효율이 향상된다.

4. 버스형과 링형의 구조를 설명하고, 충돌 문제를 해결하는 방안을 비교하시오.

• 공통 : 둘 다 공유 통신 매체(버스, 링)를 사용하며, 여러 호스트가 하나의 통신 매체(버스, 링)를 사용하여 데이터를 전송한다.
• 버스형 구조
  • 구성: 하나의 공유 버스에 여러 호스트가 직접 연결된다.
  • 전송 방식: 브로드캐스트 방식으로, 모든 호스트에게 데이터가 전달된다.
  • 데이터 처리: 목적지 호스트만 수신, 나머지는 폐기.
  • 충돌 문제:
    • 문제점: 두 호스트가 동시에 전송하면 충돌(Collision) 발생.
    • 해결 방식:
      • 사후 해결 방식 사용.
      • 대표적 프로토콜: CSMA/CD (Ethernet)
      • 충돌 발생 → 대기 후 재전송 (랜덤 백오프)
• 링형
  • 구성: 각 호스트가 순환 구조로 연결되어 있고, 데이터는 한 방향으로 순환.
  • 전송 방식: 한 호스트가 보낸 데이터는 링을 타고 순환하며 전달됨.
  • 데이터 처리:
    • 각 호스트는 경유하되, 목적지 호스트만 수신
    • 전송 호스트는 자신에게 되돌아온 데이터는 회수해야 함.
  • 충돌 문제:
    • 해결 방식: 사전 제어 방식
    • 토큰 패싱(Token Passing) 기법 사용
    • 네트워크 내에 하나의 토큰만 존재 → 전송 권한을 분산 제어하여 충돌 방지

5. 네트워크 연동을 위한 게이트웨이의 역할을 설명하시오.

게이트웨이는 서로 다른 네트워크 간 데이터 통신을 중계하고, 필요 시 프로토콜 변환을 수행하는 장비이다. 일반적으로 하나의 네트워크가 외부 네트워크와 통신할 수 있도록 해주는 출입구 역할을 하며, 이기종 네트워크 연동, 주소 변환, 보안 통제 등의 역할도 함께 수행할 수 있다.

6. 브리지의 역할을 헤더 정보를 중심으로 설명하시오.

브리지는 OSI 모델의 데이터 링크 계층에서 동작하는 네트워크 장비로, 서로 다른 LAN을 연결하여 통신을 가능하게 한다. 예를 들어 LAN1과 LAN2가 각각 이더넷과 토큰링을 사용한다고 가정할 때, 브리지는 LAN1로부터 수신한 데이터 프레임의 MAC 계층 헤더를 해석하고 제거한 후 LAN2로 전송할 때 토큰링 형식에 맞는 MAC 헤더를 재구성한다. 따라서, 브리지는 연결된 LAN의 종류만큼 MAC 계층과 물리 계층을 해석할 수 있어야 하며, 프레임 포맷 변환 기능을 수행한다.

또한, 동작 방식에 따라 다음과 같이 분류된다.

• 트랜스페런트 브리지 : 목적지 MAC 주소를 학습하고, 해당 MAC 주소가 있는 포트로만 프레임을 전달하여 불필요한 브로드캐스트를 줄이는 방식
• 소스 라우팅 브리지 : 프레임을 전소할 때 발신 측에서 경로를 지정하여 해당 경로를 따라 전달하는 방식. 주로 토큰링 네트워크에서 사용한다.

 

7. 트랜스페런트 브리지에서 데이터를 중개하는 방식을 설명하시오.

브리지가 가진 라우팅 테이블의 정보를 이용하여, 송신 호스트와 수신 호스트가 같은 방향이라면 데이터 프레임은 중개하지 않고 폐기하고, 다른 LAN으로 가야할 경우 수신 호스트가 있는 방향의 포트로 프레임을 중개한다.

호스트와 LAN의 매핑 정보를 보유하기 위해서 플러딩 알고리즘을 이용한다. 플러딩 알고리즘이란 입력된 프레임을 모든 포트 방향으로 전달하여 수신 받는 위치에 호스트가 있음을 인지하고 라우팅 테이블에 MAC주소와 수신 포트를 기록하는 방식이다.

8. 역방향 학습 알고리즘을 설명하고, 이 방식의 문제점과 해결 방안을 제시하시오.

1. 역방향 알고리즘이란 트랜스페런트 브리지가 사용하는 프레임 전달 방식이다. 수신된 프레임의 출발지 MAC 주소와 수신 포트 정보를 학습하여 라우팅 테이블을 자동 구성한다. 이 때, 테이블에 정보가 없다면, 모든 포트로 프레임을 전송하는 플러딩(Flooding)을 수행한다.
2. 이 방식에서 이중 경로 존재로 순환 구조가 불가피하게 만들어지면 브리지로 연결된 네트워크에서 프레임이 무한히 반복 전송되는 문제가 발생한다.
3. 이를 해결하기 위해 비순환 형태로 간주하도록 스패닝 트리 프로토콜(STP)을 사용하여 비순환 구조를 구성한다.
   1. 스패닝 트리 알고리즘은 고유 번호가 가장 낮은 브리지를 트리 구조의 최상위 브리지인 루트로 지정한다.
   2. 각 브리지는 루트 브리지까지 도달하는 최단 경로를 계산한다
   3. 루프를 유발할 수 있는 포트는 차단 상태(blocked)로 전환하여 순환 구조를 제거한다.

9. 인터넷 라우팅의 원리를 예를 들어 설명하시오.

라우터의 역할은 수신된 IP 데이터그램을 적절한 경로로 전달하는 것이다. 대표적인 라우팅 방식은 고정 경로 배정과 적응 경로 배정이 있다.

• 고정 경로 배정(Fixed Routing)

송수신 호스트 사이에 영구불변의 경로를 배정한다. 단점은 전송 경로가 고정되므로 트래픽 변화에 따른 동적 경로 배정이 불가능하다는 점이다. 그러나 송수신 호스트 사이의 트래픽을 미리 측정하여 고정 경로를 적절히 배정하면 간단하고 효율적인 라우팅이 가능하다.

• 적응 경로 배정(Adaptive Routing)

인터넷에서 사용되는 라우터는 적응 경로 배정 방식을 채택한다. 인터넷 연결 상태가 변하면 이를 데이터그램의 전달 경로에 반영한다. 이 때 결정에 영향을 주는 2가지 요소가 있다. 하나는 특정 네트워크나 라우터가 정상적으로 동작하지 않는 경우, 다른 하나는 네트워크의 특정 위치에서 혼잡이 발생하는 경우이다.

네트워크의 변화 발생을 정보 불일치성을 해소하기 위해 라우터 사이의 정보교환이 빠르게 자주 이뤄지게 되면, 이는 트래픽을 증가시켜 라우터의 부담을 늘리는 단점이 있다.

10. 자율 시스템이 연동하는 원리를 간단히 설명하시오.

자율 시스템은 공통의 프로토콜을 사용하여 정보를 교환하는 라우터들의 논리적인 단일 구성체로 볼 수 있다. 자율 시스템 내부에서는 내부 라우팅 프로토콜(Inerior Routing Protocol)을 사용하여 라우터 간 정보를 교환한다. 외부 자율 시스템과의 통신을 위해서는 외부 라우팅 프로토콜(Exterior Routing Protocol)을 사용한다. IRP에는 RIP, OSPF 등이 있고, ERP에는 BGP 등이 있다.

11. 대표적인 QoS 매개변수를 나열하고, 각각을 설명하시오.

• 연결 설정 지연(Connection Establishment Delay) : request 프리미티브 발생과 confirm 프리미티브 도착 사이의 경과 시간
• 연결 설정 실패 확률(Connection Establishment Failure Probability) : 임의의 최대 연결 설정 지연 시간을 기준으로 연결 설정이 이루어지지 않을 확률
• 전송률(Throughput) : 초당 전송할 수 있는 바이트 수
• 전송 지연(Transit Delay) : 송신 호스트가 전송한 데이터가 수신 호스트에 도착할 때까지 경과한 시간
• 전송 오류율(Residual Error Rate) : 전송된 총 데이터 수와 오류 발생 데이터 수의 비율
• 우선순위(Priority) : 다른 연결보다 먼저 처리함을 의미. 우선순위가 높은 연결은 더 좋은 서비스를 제공받음.

문제 : Function Module 수정 후 FTP 테스트가 잘 진행이 안 되었음. 이상하게 다른 Function module은 잘 테스트가 되었는데 특정 FM만 안되어서 문제가 뭔지 찬찬히 뜯어봄.

 

결론 : 원인은 아래 SAPFTP 의 설정이 "Start on Front-End Work Station" 으로 되어 있던 것. 문제가 없던 FM은 SAPFTPA를 사용했고 SAPFTPA는 "Start on Application Server"로 되어 있었기 때문에 문제가 없었던 것이었음.

 

설명

- Start on frontend workstation : SAP GUI를 실행한 사용자의 PC에서 FTP 프로그램(SAPFTP)을 실행하겠다는 뜻

- SAP GUI가 깔린 사용자의 컴퓨터에 SAP GUI 설치 디렉토리로 가면 sapftp.exe(C:\Program Files (x86)\SAP\FrontEnd\SAPgui 경로에 있음) 프로그램이 있다. 즉, 이 로컬 프로그램을 실행하여 FTP 기능을 사용한다는 것

- SAP 어플리케이션 서버가 아닌 로컬 PC로 FTP를 하려던 것이 문제. 당연히 내 로컬 PC는 상대방 호스트와 방화벽이 해제가 안 되어 있었기 때문에 연결이 안되었을 것이다. 

 

또 다른 의문. 그런데 연결 에러가 발생하지 않았다

- 결론적으로 연결 에러가 발생하지 않은 이유는, 연결 에러 발생 전 put 명렁어 실행을 위해 put aaa/bbb/ccc/ddd/eee/test.txt 라는 명령어를 날릴 때 문법 에러가 먼저 발생했기 때문이다. 유닉스 계열 운영체제는 슬래시(/)를 사용하지만 윈도우의 디렉터리 주소는 백슬래시(\)를 이용해 표시한다. 

- 따라서 리눅스의 디렉터리 주소 표현 형식으로 윈도우에 명령어를 내렸기 때문에 경로 문법 오류로 상대방 호스트에 연결하기도 전에 에러가 발생한 것이다. ( errno 22  Invalid argument 발생 )

 

SAP의 FTP 실행 흐름

 

- FTP_CONNECT function은 말그대로 FTP를 사용하기 위한 주로 SAP Application Server가 FTP 실행파일(즉, FTP 클라이언트)과의 연결을 위한 세션 설정(상대 호스트, 로그인 정보는 이 때 미리 등록) 

- FTP_COMMAND function으로 실제 put 명령어를 실행하면 그 때 상대방 호스트로 TCP 연결 후 파일 전송. 이 때, put 실행 전 open, user 명령어 먼저 내부적으로 실행되어 연결 시도 후 put을 실행하게 됨.

 

CALL FUNCTION 'FTP_CONNECT'
  EXPORTING
    user     = 'ftpuser'
    password = 'secret'
    host     = '192.168.1.100'
  IMPORTING
    handle   = lv_handle.

CALL FUNCTION 'FTP_COMMAND'
  EXPORTING
    handle  = lv_handle
    command = 'put /usr/sap/tmp/test.txt'.

 

 

참고할 만한 글, 해당 글에서는 SAPFTP는 보통 local 용 FTP라고 한다.(내가 일하는 환경에서 SAPFTP도 운영에서는 SAP Application Server가 사용하도록 설정해둔 듯)

https://community.sap.com/t5/enterprise-resource-planning-blog-posts-by-members/sap-ftp-connection/ba-p/13440361

• SAPFTP uses frontend/Local computer internet to access the FTP server.
• SAPFTPA uses backend/SAP server internet to access the FTP server.

 

1. 모듈화된 계층 구조 프로토콜의 장점을 설명하시오.

• 기능별로 작게 분류하여 간단하고 작은 시스템으로 재구성할 수 있다. 이는 전체 시스템을 이해하기 쉽고, 설계하고 구현하기에도 편리하게 해준다.
• 분할된 모듈이 연동할 수 있는 표준 인터페이스를 제공한다. 각 모듈이 분할되어 독립성을 가지게 되면 전체 시스템 구조가 단순해진다.
• 전송 매체 양단에 있는 호스트가 사용하는 프로토콜은 좌우 대칭구조이다. 따라서, 동일 계층 사이의 프로토콜을 단순화할 수 있다.
• 각 계층의 기능 오류를 수정하거나 개선해야 하는 경우에 해당 계층의 모듈만 수정하면 된다. 계층 간의 인터페이스를 유지하면 특정 계층 모듈 내부의 변경이 다른 모듈의 동작에 영향을 미치지 않게 된다.

2. 계층 구조의 네트워크 프로토콜을 설계할 때 고려할 사항을 나열하시오.

주소 표현 방법, 오류 제어, 흐름 제어, 데이터 전달 방식 등

• 주소 표현 방법 : 호스트(시스템)을 구분하여 지칭하기 위한 주소체계
• 오류 제어(Error Control) : 데이터 변형 오류와 데이터 분실 오류를 해결하는 오류제어 기능. 데이터 링크 계층이 물리적인 전송 오류를 해결하고, 상위 계층이 논리적인 전송 오류를 해결한다.
  • 데이터가 변형되어 수신 호스트에게 도착하는 데이터 변형 오류는 수신 호스트가 오류를 검출하고, 데이터가 도착하지 않는 데이터 분실 오류는 송신 호스트가 재전송을 통해 해결한다.
• 흐름 제어(Flow Control) : 수신 호스트의 버퍼 처리 속도보다 송신 호스트의 전송 속도가 빠르면 논리적인 데이터 분실 오류가 발생할 수 있다. 수신 호스트가 송신 호스트에게 전송 허가를 내주는 방식으로 흐름을 제어하는 방식으로 오류를 해결할 수 있다.
• 데이터 전달 방식 : 단방향(Simplex), 전이중(Full Duplex), 반이중(Half Duplex) 방식이 있다. 일반적인 프로토콜은 전이중 방식을 지원한다.

3. 임의의 송신 호스트가 수신 호스트에 데이터를 전송했을 때 발생할 수 있는 오류에는 무엇이 있는가?

전송 오류에는 데이터가 깨져서 도착하는 데이터 변형 오류와 데이터가 도착하지 못하는 데이터 분실 오류가 있다.

• 데이터 변형 오류는 수신 호스트가 주로 오류 검출 기법을 통해 감지
• 데이터 분실 오류는 수신 호스트의 감지가 힘들어 보통 송신 호스트에서 오류를 감지하는 방법을 사용
• 이러한 전송 오류들은 보통 데이터를 재전송하여 해소한다.

4. 흐름 제어 기능을 설명하시오.

수신 호스트의 버퍼 처리 속도보다 송신 호스트의 데이터를 전송하는 속도가 빠르면 수신 호스트가 버퍼에 수신한 데이터를 담지 못해 오류가 발생할 수 있다. 이를 해결하기 위해 흐름 제어 기능이 필요하다.

단순한 형태로는 송신 호스트가 수신 호스트로부터 명시적인 전송 허가를 받았을 때 데이터 전송을 하는 방식이다. 흐름 제어 기능은 보통 이렇게 수신 호스트에 의해 이루어진다.

5. 서비스 프리미티브에서 Request, Indication, Response, Confirm의 기능을 설명하시오.

• 서비스 피리미티브란 OSI 7 Layer 및 TCP/IP의 상위 계층과 하위 계층의 서비스 요구, 지시, 응답, 확인 통한 계층 간 통신 기능을 논리적으로 표현한 모델링(실제 물리적 흐름과는 다름)
• Request : 클라이언트가 서버에 서비스를 요청. N+1 → N 계층 간 통신
• Indication : 서버에 서비스 요청이 도착했음을 통지. N → N+1 계층 간 통신
• Response : 서버가 클라이언트 서비스 응답을 회신. N+1 → N 계층 간 통신
• Confirm : 클라이언트에 응답이 도착했음을 통지. N → N+1 계층 간 통신

예시) 응용 계층(HTTP) ↔ 전송 계층(TCP) 통신 시 서비스 프리미티브

• Request : 클라이언트 호스트의 웹브라우저(HTTP 계층)가 자신의 OS(TCP 계층)에게,(예: 사용자가 주소창에 URL 입력하고 Enter)
• 상대 서버 호스트로 연결을 요청하는 서비스 요청을 보냄. (TCP 소켓 연결 요청)
• Indication : 요청 패킷이 서버에 도달하면, 서버 호스트의 OS(TCP 계층)가 이를 받고,
• 서버 응용 계층인 웹 서버(예: nginx)에게 “요청 들어왔음”이라고 전달함.
• Response : 서버의 웹 서버(nginx)가 해당 요청을 처리하고,“이 응답을 클라이언트에게 보내” 라고 요청함.
• 응답 메시지를 작성하여 서버의 OS(TCP 계층)에게
• Confirm : 응답 메시지를 받은 클라이언트 OS(TCP 계층)가,“서버 응답 도착했어”라고 알려줌.
• 클라이언트 웹브라우저(HTTP 계층)에게

6. OSI 7계층 모델에서 각 계층의 역할을 설명하시오

• 물리 계층
  • 전송 매체의 물리적 인터페이스에 관한 사항을 기술. 즉, 개별 정보의 비트 교환 문제를 다룸.
  • 물리계층에서 다루는 전송 매체의 특성은 데이터 전송 속도, 호스트 사이의 클록 동기화 방법, 물리적 연결 형태 등이 있음.

*클록 동기화란 호스트 간 동일한 시간 기준을 갖도록 클록 신호를 일치시키는 과정

• 데이터 링크 계층
  • 물리 계층을 통해 전송되는 데이터의 물리적 전송 오류를 해결.
  • 이 계층을 통해 전송되는 데이터 단위를 프레임이라고 부름.
  • 프레임 헤더에는 송수신 호스트의 LAN카드에 내장된 MAC 주소가 기록된다.
  • 호스트 간 전송 속도 차이를 고려한 흐름 제어 기능도 지원 가능.
• 네트워크 계층
  • 송신 호스트가 전송한 데이터가 어떤 경로를 통해 수신 호스트에 전달되는지를 결정하는 라우팅 문제를 처리.
  • 이 계층을 통해 전송되는 데이터 단위는 패킷(packet).
  • 라우팅 과정에서 경로 선택의 기준이 되는 호스트 주소가 필요하며, 인터넷에서는 IP 프로토콜이 이 기능을 수행한다.
  • 네트워크 트래픽이 과도하게 증가하는 문제를 조절하는 혼잡 제어(Congestion Control) 기능도 담당.
• 전송 계층
  • 송신 프로세스와 수신 프로세스를 직접 연결하는 단대단(End-to-End) 통신 기능 제공
  • 전송 계층 아래 하위 계층은 호스트 간 데이터 전송의 문제들을 처리하는 반면, 전송 계층은 호스트 내부의 통신 당사자인 프로세스 사이의 통신 문제를 다룸
  • 전송 오류율, 전송 속도 등을 고려하고, 흐름 제어 기능도 제공
• 세션 계층
  • 전송 계층과 유사하지만, 파일 전송이나 로그인 등과 같은 상위적 연결 개념인 세션 기능 제공.
  • 토큰 제어, 동기화 기능 등을 제공
  • 토큰은 통신 양단에서 세션 연결을 관리하고 제어하기 위해 사용되는 특수한 메시지
  • ex) 동기 토큰을 사용하여 전송 중 오류 발생 시 복구 지점을 설정
• 표현 계층
  • 데이터의 의미(semantic)와 표현 방법(syntax)을 처리. 즉, 데이터를 코딩하는 문제를 다룸.
  • 데이터 암호화 기술과 데이터 크기를 줄이는 암축도 표현 계층의 주요 기능
• 응용 계층
  • 응용 환경에서 공통으로 필요한 기능. 인터넷에서 많이 사용하는 서비스는 FTP(File Transfer Protocol)의 파일 공유 서비스, Telnet이 제공하는 가상 터미널, 전자 메일 등이 그 예.

7. TCP/IP 모델의 구현 환경을 설명하시오.

• 시스템 공간(OS, 커널)과 사용자 공간(응용 프로그램)으로 나눌 수 있다.
• 시스템 공간
  • 인터넷 환경에서 사용하는 TCP/IP 모델은 LAN 카드 드라이버 루틴(물리 계층 인터페이스)부터 전송 계층(TCP, UDP)까지의 기능이 운영체제의 커널 공간에 구현되어 있다. TCP와 UDP는 커널 내부에 구현된 전송 계층 프로토콜로, 사용자 프로그램은 이를 사용하기 위해 소켓(socket) 이라는 전송 계층의 프리미티브를 시스템 콜 형태로 호출한다.
  • TCP는 연결형 서비스, UDP는 비연결형 서비스를 제공하며 IP는 네트워크 계층에서 동작하며, 전송 패킷의 경로 선택 및 전달 기능을 수행한다.
• 사용자 공간
  • 세션 계층부터 응용 계층까지의 기능은 사용자 영역의 응용 프로그램에서 직접 구현된다. 응용 프로그램은 소켓을 통해 TCP/UDP 기능을 사용하며, 이때 소켓에는 포트 번호가 부여된다. IP 주소와 포트 번호의 조합은 각 인터넷 응용 프로그램의 고유 주소가 되며, 이를 통해 텔넷, FTP, 웹 브라우저 등 다양한 서비스가 통신할 수 있다.

 

8. ARP, RARP의 필요성을 설명하시오.

• TCP/IP 모델에서 사용하는 주소는 데이터 링크 계층의 MAC주소, 네트워크 계층의 IP주소, 전송 계층의 포트 번호이다. 데이터 링크 계층 프로토콜을 이용해 데이터를 전송하려면 목적지의 MAC주소가 필요하다. IP주소는 응용 프로그램에서 입력되지만 MAC주소를 얻을 수 없기 때문에 상대방 호스트의 IP주소를 이용해 MAC 주소를 구하는 기능인 ARP가 필요하다.
• 예시) www.naver.com에 접속할 때의 흐름에서 ARP 사용.
  • DNS로부터 알아낸 IP를 223.130.200.104 라고 한다.
  • PC는 자신이 속한 LAN에 해당 IP가 없어 게이트웨이에게 보내야 함. 이 때, 게이트웨이의 MAC주소를 모르니 ARP 브로드캐스트로 게이트웨이를 찾는다.
  • 게이트웨이의 MAC 주소를 받아서 이더넷 프레임이 완성되면, dest MAC = 게이트웨이 MAC, src MAC = 내 PC가 된다.
  • 게이트웨이는 다음 라우터로 패킷을 보내고 다음 홉이 같은 네트워크에 있으면 ARP로 해당 홉 라우터의 MAC 주소를 얻고 MAC 헤더만 바꿔서 보내고 이 과정을 반복하여 네이버 서버로 도달. 즉, 각 홉마다 ARP로 MAC을 얻어서 프레임 헤더를 바꿔가며 최종적으로 IP 패킷이 네이버 서버까지 도달.
• RARP는 과거에 사용된 프로토콜. 자신의 MAC주소는 LAN 카드에 보관되어 있지만 IP는 자신의 시스템에 없을 때, 브로드캐스트로 RARP 요청을 같은 LAN의 RARP 서버에 보내 자신의 IP를 획득한다. 이 IP주소를 가지고 네트워크에 연결한다. RARP의 기능이 단순하고 확장성도 없기 때문에 현재에는 DHCP라는 기술을 사용한다.
• DHCP : 부팅 시 MAC 주소 기반으로 IP 주소, 서브넷 마스크, 게이트웨이, DNS 까지 통째로 받아오는 방식, 대부분의 네트워크 환경이 사용한다.

9. ICMP의 역할에 대하여 설명하시오.

• ICMP(Internet Control Message Protocol)는 사용자의 데이터 전송과정에서 발생한 오류에 알리기 위해 오류 메시지를 전송하는 기능을 담당하는 프로토콜. IP 패킷의 payload에 ICMP 메시지를 담아서 송신자에게 회신한다.
• 예시) 라우터가 중간에 TTL 다 쓴 경우, 해당 라우터가 ICMP “Time Exceeded” 메시지로 알려준다. 중간 라우터가 라우팅 경로를 못 찾을 때 ICMP “Destination Unreachable” 메시지를 담아 송신자에게 회신한다.
• 대표적인 예로는 명령어 ping, traceroute 등이 있다.
• (TTL : Time To Live의 약자로, 네트워크에서 데이터 패킷 데이터가 유효한 시간)

1장 네트워크 관련 기초 용어

1. 다음 용어를 설명하시오
   • 시스템, 인터페이스, 전송 매체, 프로토콜, 네트워크, 인터넷

• 시스템이란 내부 규칙에 따라 능동적으로 동작하는 물리적인 대상이나 논리적인 대상
• 인터페이스란 시스템과 시스템을 연결하기 위한 방법을 뜻함. 상호 간의 데이터 교환을 위한 논리적인 규격이나 물리적인 규격을 포함하는 개념.
• 전송 매체(Transmission Media)란 시스템끼리 정해진 인터페이스를 연동해 데이터를 전달하기 위해 사용하는 물리적인 전송 수단. 예) 동축 케이블, 무선 신호
• 프로토콜이란 상호 연동되는 시스템이 전송 매체를 통해 데이터를 교환할 때 따르는 표준화된 규칙. 프로토콜은 주고받는 정보의 형식과 그 과정에서 발생하는 절차적 순서에 무게를 둠.
• 네트워크란 통신용 매체를 공유하는 여러 시스템이 프로토콜을 사용하여 데이터를 주고 받을 때, 이 시스템들을 하나의 단위로 묶어 표현하는 개념. 네트워크 간에는 라우터라는 중개 장비를 사용한다.
• 인터넷이란 전 세계의 모든 네트워크가 유기적으로 연결되어 동작하는 통합 네트워크를 뜻함.

1. 다음 용어의 차이점을 비교하여 설명하시오.
   • 노드, 호스트
   • 클라이언트, 서버

• 노드는 인터넷에 연결되어 데이터를 주고받을 수 있는 모든 시스템을 통칭하는 용어. 호스트는 일반적으로 컴퓨팅 기능이 있는 시스템을 뜻함. 일반사용자가 네트워크에 접속하기 위해 사용하는 응용 프로그램이 실행되는 시스템을 호스트라고 부름.
• 호스트를 세분화하여 호스트 사이에 제공되는 서비스를 기준으로 서비스를 이용하는 시스템을 클라이언트라고 하며, 서비스를 제공하는 시스템을 서버라고 한다.

1. OSI 7계층 모델의 각 기능을 설명하시오.

• 물리 계층(Physical Layer) : 호스트를 전송 매체와 연결하기 위한 인터페이스 규칙과 전송 매체의 특성을 다룸.
• 데이터 링크 계층(Data Link Layer) : 물리적 전송 오류를 감지하는 기능 제공하여 호스트가 오류를 인지할 수 있도록 한다. 대표적인 물리적 오류에는 데이터 분실과 데이터 변형이 있다. 송신자는 오류를 재전송(Retransmission)하는 방식으로 주로 처리.
• 네트워크 계층(Network Layer) : 데이터가 여러 개의 중개 시스템을 거치며 올바른 경로를 선택할 수 있도록 지원하는 계층. 중개 기능은 보통 라우터(Router)라는 장비가 수행. 네트워크에 부하가 높을 시 혼잡 제어(Congestion)를 담당하는 계층.
• 전송 계층(Transport Layer) : 송신 프로세스와 수신 프로세스 간의 연결 기능을 제공. 프로세스 사이의 안전한 데이터 전송 지원.
• 세션 계층(Session Layer) : 세션 연결 지원. 응용 환경에서 사용자 간의 대화 개념의 연결로 사용.
• 표현 계층(Presentation Layer) : 전송되는 데이터의 의미(Semantic)를 잃지 않도록 표현(Syntax)하는 방법을 다룸. 데이터를 인식하는 표준화된 방법을 다룸. 압축(Compression)과 암호화 기능도 다룸.
• 응용 계층(Application Layer) : 사용자를 위한 다양한 네트워크 응용 환경 지원

1. 계층 구조 모델에서 프로토콜과 인터페이스의 차이를 설명하시오.

통신 양단의 한 쪽 호스트의 특정 계층 모듈과 상대 호스트의 특정 계층 모듈이 통신할 때 사용하는 규칙을 프로토콜이라고 하며, 한 호스트 안 에서 계층 간의 통신을 위한 규칙을 인터페이스라고 함. 이 떄 하위 계층이 상위 계층에 제공하는 인터페이스를 서비스라고 함

1. 인터넷 환경에서 계층 구조 프로토콜을 구현하는 모델을 운영체제와 사용자 프로그램 환경으로 구분하여 설명하시오.

OSI 7계층 중 5~7계층(세션, 표현, 응용 계층)은 응용 프로그램과 같은 사용자 프로그램 환경에서 합쳐져서 구현되며, 1~4계층(물리, 데이터 링크, 네트워크, 전송)의 기능은 주로 운영체제에서 구현된다. 이 기능은 일반적으로 시스템 콜 형태로 상위 계층에 제공된다.

1. 네트워크 연동을 위한 인터네트워킹 기능을 수행하는 장비의 종류를 나열하고, 각각에 대해 설명하시오.

인터네트워킹 기능을 수행하는 시스템을 게이트웨이라고 부른다.

• 리피터(Repeater) : 물리 계층 기능 지원. 신호를 물리적으로 증폭하여 다른 쪽으로 중개하는 역할
• 브리지(Bridge) : 리피터 기능에 데이터 링크 계층의 기능이 추가됨. 물리 계층에서 발생한 오류 해결
• 라우터(Router) : 물리 계층, 데이터 링크 계층, 네트워크 계층의 기능을 지원한다. 네트워크 계층 기능을 지원하므로 경로 선택 기능 제공한다. 즉, 라우터는 특정 경로 사용 가능 여부와 빠른 데이터 전송 경로를 판단한다. 자신과 연결된 네트워크와 호스트들의 정보를 일반적으로 라우팅 테이블에 보관하여 관리한다.

1. 호스트를 구분하는 구분자의 특징을 나열하시오.

유일성, 확장성, 판단성, 정보의 함축

1. 32비트의 IP주소를 4개의 십진수로 축약하여 표현하는 방법을 설명하시오.

32비트의 이진수를 8비트씩 나누고 각각을 십진수로 변환한 후 점으로 구분한다.

예를 들면, 32비트 이진수 11010011 11011111 11001001 00011110을 211.223.201.30 으로 표기할 수 있다.

1. 호스트 이름의 필요성과 이름의 구조를 설명하시오.

인터넷에서 특정 호스트에 연결하려면 해당 호스트의 IP 주소를 알아야 한다. IP 주소는 기억하기 힘드므로 의미 파악이 쉬운 문자로 된 이름을 사용하는 것이 일반적이다.

호스트 이름의 구조는 주로 국가 도메인, 단체 종류, 단체 이름, 호스트라는 4개의 계층 구조로 나누고 점으로 구분해서 표기한다. ‘zebra.korea.co.kr’은 ‘호스트.단체 이름.단체종류.국가 도메인’으로 의미를 나눌 수 있다. ‘www.naver.com’ 은 ‘호스트.단체이름.최상위도메인(TLD)’로 나눌 수 있다.

1. 호스트 이름을 IP주소로 변환하는 DNS 시스템의 필요성을 설명하시오.

호스트 이름을 IP주소로 변환하는 방법에는 시스템 내부에서 직접 관리하는 방법이 있다. 하지만 이는 간단하지만 인터넷처럼 전 세계 컴퓨터가 연결된 네트워크 환경에서는 호스트 파일에 의한 주소와 이름의 변환 작업이 사실상 불가능하기 때문에 DNS라는 주소와 이름을 자동으로 유지하고 관리하는 분산 데이터베이스 시스템이 필요하다.

호스트 주소와 이름 정보는 DNS 시스템의 네임 서버라는 특정한 관리 호스트가 유지하고 주소 변환 작업이 필요한 클라이언트는 네임 서버에 요청해서 IP 주소를 얻는 방식으로 DNS 시스템이 동작한다.

1. 네트워크에서 사용하는 MAC 주소, IP 주소, 호스트 주소, 포트 주소의 고유한 특징을 설명하시오.

• MAC 주소 : 데이터 링크 계층에서 사용되는 네트워크 장치의 고유 식별 주소. 각 네트워크 인터페이스 카드(NIC)(LAN카드)에 할당된다.
• IP 주소 : 네트워크 계층의 기능을 수행하는 IP 프로토콜에서 사용. IP 패킷이 지나가는 경로를 결정하는 라우팅의 기준이 된다.
• 호스트 주소 : IP 주소 중에서 네트워크 안의 개별 장비를 식별하는 부분. 서브넷 내에서 고유한 장비를 구분하는 데 사용. 예) 192.168.1.15/24 → 15가 호스트 주소.
• PORT 주소 : 전송 계층에서 사용. 호스트의 OS에서 실행 중인 프로세스를 식별하는 주소(번호). TCP와 UDP가 독립적으로 포트 주소 관리. 예) HTTP(80), HTTPS(443), SSH(22), DB(3306)

• 2의 보수법은 음수를 0과 1만으로 표현하면서도 덧셈/뺄셈 연산을 단순하게 해주는 이진수 방식이다.
• 보수(補數) : 어떤 수를 기준으로, 더했을 때 특정 값이 되도록 만들어진 짝수
• 즉, "이 숫자랑 더하면 딱 기준값 되는 숫자" = 보수
• 2의 보수법을 사용하는 컴퓨터는 "맨 앞 비트(MSB)"를 부호 판단용으로 사용한다.

  이진수	MSB	해석 방식 (2의 보수 기준)	결과
  01111111	0	양수	+127
  00000001	0	양수	+1
  10000000	1	음수	-128
  11111111	1	음수	-1

• MSB = 0 → 양수, MSB = 1 → 음수

예시

기준값: 10

• 3의 10의 보수는? → 7 (3 + 7 = 10)
• 6의 10의 보수는? → 4
• 0의 10의 보수는? → 10

2의 보수는?

• 기준값이 2가 아니다.
  • ‘2진수에서의 보수’라는 뜻 → 즉, 기준값은 2ⁿ (4비트면 기준은 2⁴ = 16) 다시 말해, 어떤 이진수 A에 대해, A + A의 2의 보수 = 0 (모듈로 2ⁿ 기준) 되는 숫자

  구분	설명	만드는 법
  1의 보수	모든 비트를 반전 (0↔1)	~A (비트 반전)
  2의 보수	1의 보수 + 1	~A + 1

예제1) 2의 보수로 -5 표현(8비트 기준)

1단계 : 양의 정수 5를 이진수로 바꾸기 5 → 00000101

2단계 : 1의 보수 (비트 반전) → 11111010

3단계 : 더하기 1 → 11111011

예제2) 5 + (-3) 계산하기

1단계 : 5 = 00000101

2단계 : -3 = 양수 3 = 00000011 → 1의 보수 취하기 = 11111100 → 2의 보수 11111101

3단계 : 두 수를 더하기

0	0	0	0	1	0	1
1	1	1	1	1	0	1
0	0	0	0	0	1	0

→ 정답 : 00000010

 

오버플로우(Overflow)란?

• 컴퓨터가 표현할 수 있는 수의 범위를 넘었을 때 발생하는 현상.

예제1) 8비트 오버플로우

   0111 1111 = 127

+ 0000 0001 = 1

= 1000 0000 = -128 → 오버플로우

• 원인 : 정해 진 비트 수로 인해 더 큰 숫자를 담을 공간이 없어서 MSB가 뒤집어지는 현상이 발생

4비트, 16비트의 경우

예제1) 4비트

   0011 = 3

+ 1111 = -1

= 0010 → = 2

16진수, 16비트

0x란? 16진수 숫자라는 표기 방식임.

0x5 = 5

16진수	2진수 (16비트)	10진수 (2의 보수)
0x0001	0000 0000 0000 0001	+1
0xFFFF	1111 1111 1111 1111	-1
0xFFFE	1111 1111 1111 1110	-2
0x8000	1000 0000 0000 0000	-32,768
0x7FFF	0111 1111 1111 1111	+32,767

예제2) 16비트

0000 0000 0000 0011 (3)

1111 1111 1111 1101 (-3)

----------------------------

0000 0000 0000 0000 → 0