별첨2)

안전성 확보조치

자체점검 방법 (약국용)

약국 현황 등록

(개인정보보호 종합포털(www.privacy.go.kr) → 고유식별정보 실태조사(기관현황/자체점검)      → 본인인증)

아래의 과정에 따라 본인인증 절차 완료 후 기관현황 등록 페이지로 전환

① 기관구분

: 민간기업에 체크, 중소기업에 체크, 유형2에 체크

② 고유식별정보가 포함된 개인정보처리시스템 보유여부

: 약국의 경우 청구 프로그램(PM2000, Upharm)을 사용하므로 보유에 체크

③ 업종

: G 도매 및 소매업에 선택

④ 기관정보 및 담당자 정보

(약국명)

․1인 약국의 경우 : 약국장

․개인정보 보호책임자가 지정된 경우 : 책임자

①보유기간 경과 개인정보 파기 후

↓

②청구 프로그램의 고객(환자)정보    메뉴에서 전체 고객(환자)수

⑤ 고유식별정보 보유현황

: 약국에서는 처방전을 통해 주민등록번호를 수집하고 있음

⑥ 고유식별정보가 포함된 개인정보처리시스템 현황

약국청구프로그램 : 약국에 방문한 환자(고객) 처방전 처리

⑦ 저장  →  자체 점검 시작

자체 점검 체크리스트 작성 방법

※ 자체점검 세부항목에서의 “개인정보처리시스템”은 고유식별정보(주민등록번호)가 포함된

개인정보처리시스템을 말합니다.

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
1	주민등록번호를 처리(수집․이용․보관 등)함에 있어 법령의 근거가 있는지의 여부	○

▸조치 : 약국은 약사법․국민건강보험법에 근거하여 처방전(주민등록번호)을 수집하고 있음

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
2	여권번호, 운전면허번호, 외국인등록번호를 처리(수집․이용․보관 등)함에 있어 법령의 근거 또는 정보주체의 동의가 있는지 여부			○

￬

▸해당없음 : 약국은 주민등록번호만을 수집하므로 해당 없음

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
3	수집목적이 달성되었고 , 보존기간이 경과한 고유식별정보를 파기하고 있 는지 여부	○

￬

▸조치 : ① 청구프로그램의 조제기록 정보 파기

② 처방전 파기

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
4	개인정보의 안전한 처리를 위한 내부 관리계획을 수립 ․ 시행하고 있는지 여부

☞ 내부 관리계획 수립 기준 : 1만명 이상의 주민등록번호를 보유하고 있는 경우

▸조치 : 1만명 이상의 주민등록번호를 보유하고 있으므로 내부 관리계획 수립․시행해야 함

▸해당없음 : 1만명 미만의 주민등록번호를 보유하고 있으므로 해당 사항 없음

￬

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
5	개인정보처리시스템에 대한 접근권한을 업무수행에 필요한 최소한의 범위 로 업무 담당자에게 차등 부여하고 있는지 여부

☞ 청구 프로그램 업체에서 관련 기능 제공 여부의 확인이 필요함

※pm2000의 경우 해당 기능이 제공되고 있으므로 ‘조치’에 체크

￬

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
6	전보 또는 퇴직 등 개인정보취급자 변경 시, 개인정보처리시스템에 대한 접근 권한을 변경 또는 말소하고 있는지 여부

☞ 청구 프로그램 내 사용자 관리에서 해당 기능의 설정이 가능함

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
7	개인정보처리시스템에 대한 개인정보취급자의 접근권한 부여 변경 말소 내 역을 기록하고 있으며 3년간 보관하고 있는지 여부

￬

☞ 청구 프로그램 업체에서 관련 기능 제공 여부의 확인이 필요함

※pm2000의 경우 해당 기능이 제공되고 있으므로 ‘조치’에 체크

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
8	개인정보취급자별로 개인정보처리시스템에 대한 사용자계정(ID)을 발급하 고 해당 사용자계정을 다른 개인정보취급자 등과 공유하고 있지 않는지 여부

￬

☞ 약국 내 사용자들이 청구프로그램 접속시 동일한 계정을 공유해서 사용하는지 여부를 확인

(1인 1계정 사용)

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
9	개인정보취급자 또는 정보주체가 안전한 비밀번호 작성규칙을 수립하여 이 행 할 수 있도록 비밀번호 작성규칙을 수립하여 적용하고 있는지 여부

☞ 청구 프로그램 업체에서 관련 기능 제공 여부의 확인이 필요함

※pm2000의 경우 해당 기능이 제공되고 있으므로 ‘조치’에 체크

￬

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
10	사용자계정 또는 비밀번호를 일정 횟수이상 잘못 입력한 경우, 개인정보처 리 시스템에 대한 접근을 제한하는 등 필요한 조치를 하고 있는지 여부

￬

☞  청구 프로그램 업체에서 관련 기능 제공 여부의 확인이 필요함

※pm2000의 경우 해당 기능이 제공되고 있으므로 ‘조치’에 체크

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
11	정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 개인정보처리 시스템에 대한 접속권한을 IP주소 등으로 제한하고 있는지 여부			○

￬

▸해당없음 : 약국의 경우 해당 없음

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
12	정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 개인정보처리 시스 템에 접속한 IP주소 등을 분석하여 불법적인 유출시도를 탐지 및 대응 여부			○

▸해당없음 : 약국의 경우 해당 사항 없음

￬

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
13	외부에서 개인정보처리시스템에 접속 시, 가상사설망(VPN), 전용선 등 안 전한 접속수단을 적용하거나 안전한 인증수단을 적용하고 있는지 여부			○

▸해당없음 : 약국의 경우 해당 사항 없음

￬

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
14	개인정보가 인터넷 홈페이지, P2P, 공유설정 등으로 유․노출되지 않도록 개인 정보처리시스템, 업무용컴퓨터 등에 접근통제 등에 관한 조치를 하고 있는지 여부			○

▸해당없음 : 약국의 경우 해당 사항 없음

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
15	인터넷 홈페이지를 통해 고유식별정보를 처리하는 경우, 해당 홈페이지에 대해 연 1회 이상 취약점을 점검 및 그에 따른 개선조치를 하고 있는지 여부			○

￬

▸해당없음 : 약국의 경우 해당 사항 없음

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
16	개인정보취급자가 일정시간 이상 업무처리를 하지 않는 경우, 자동으로 개 인 정보처리시스템에 접속을 차단하고 있는지 여부

￬

☞  청구 프로그램 업체에서 관련 기능 제공 여부의 확인이 필요함

※pm2000의 경우 해당 기능이 제공되고 있으므로 ‘조치’에 체크

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
17	고유식별정보를 송신 또는 보조저장매체를 통해 전달하는 경우 안전한 알 고리즘에 의한 암호화 조치를 하고 있는지 여부			○

▸해당없음 : 약국의 경우 해당 사항 없음

￬

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
18	내부망에 고유식별정보를 저장시 안전한 알고리즘으로 암호화 조치를 하고 있는지 여부			○

▸해당없음 : 약국의 경우 해당 사항 없음

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
19	암호화된 개인정보를 안전하게 보관하기 위하여 안전한 암호 키 생성, 이 용, 보관, 배포 및 파기 등에 관한 절차 수립 여부			○

￬

▸해당없음 : 약국의 경우 해당 사항 없음

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
20	업무용 컴퓨터 또는 모바일 기기에 고유식별정보를 저장하는 경우 상용 암 호화 소프트웨어 또는 안전한 암호화 알고리즘을 사용하여 암호화한 후 저 장하는지 여부			○

￬

▸해당없음 : 약국의 경우 해당 사항 없음

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
21	개인정보취급자가 개인정보처리시스템에 접속한 기록을 6개월 이상 보관 관리하고 있는지 여부

☞  청구 프로그램 업체에서 관련 기능 제공 여부의 확인이 필요함

※pm2000의 경우 해당 기능이 제공되고 있으므로 ‘조치’에 체크

￬

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
22	개인정보취급자가 개인정보처리시스템에 접속한 기록에는 사용자 계정, 접 속 일시, 접속자 정보, 수행한 업무내용 등이 포함되어 있는지 여부

￬

☞  청구 프로그램 업체에서 관련 기능 제공 여부의 확인이 필요함

※pm2000의 경우 해당 기능이 제공되고 있으므로 ‘조치’에 체크

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
23	악성프로그램을 방지 치료할 수 있는 백신 소프트웨어 등의 보안 프로그램 을 설치․운영 및 최신의 상태로 유지하고 있는지 여부

￬

☞ 백신 프로그램 사용 여부 및 업데이트 확인이 필요함

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
24	개인정보처리시스템에 직접 접속하는 관리용 단말기에 대해 비인가자가 임 의로 조작하지 못하도록 조치하고 있는지 여부

☞ 청구 프로그램이 설치되어 있는 PC 부팅 시 암호화 설정 여부의 확인이 필요함

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
25	개인정보가 포함된 서류 , 보조저장매체 등을 잠금장치가 있는 장소에 보 관 여부

☞  처방전 보관 시 잠금장치가 있는 서랍, 캐비닛 등에 보관하고 있는지의 확인이 필요함

￬

￬

NO	세부 점검내용	조치 (있음)	미조치 (없음)	해당 없음
26	재해 재난 발생 시, 개인정보의 손실 훼손 등을 방지하기 위하여 개인정보 처리 시스템 보호를 위한 위기대응 매뉴얼 등 대응절차를 마련하고 있는지 여부			○

▸해당없음 : 약국의 경우 해당 사항 없음

☎ 동 조사 시행관련 문의처 :  02-405-4706 또는 4733 (한국인터넷진흥원)