접근 권한의 관리
개념
- 개인정보처리시스템에 대한 접근 권한을 업무상 필요한 최소한의 범위로 차등 부여하고, 권한 부여·변경·말소 이력을 관리하는 조치를 말한다.
법령 참조
- 개인정보의 안전성 확보조치 기준 제5조 (시행 2023.09.22.)
주요내용
- 취급자에게만, 업무 수행에 필요한 최소한으로 차등 부여
- 업무 변경 시 지체없이 권한 변경 또는 말소
- 권한 부여·변경·말소 이력은 최소 3년간 보관 (전자/수기 모두 가능)
- 취급자별 개별 계정, 타인과 공유 금지 (1인 1계정)
- 일정 횟수 이상 인증에 실패하면 접근 제한 (보통 5회)
- 가명정보 처리 시 가명정보 담당자와 추가정보 담당자 구분 필수
결함 사례
- 장기 미사용 계정 검토 미흡으로 활성 상태 유지된 경우
- 비밀번호 입력을 5회 이상 실패했으나 접속 제한 조치를 하지 않은 경우
정리
- 비밀번호 주기적 변경은 법적 의무 아님 (알림 제공은 가능, 강제화 불필요)