위치정보 관리지침
제1장 총칙
제1조 (목적) 이 지침은 "부산은행“에서 제공하는 ”개인위치정보사업“이 취급하는
위치정보의 누출, 변조, 훼손 등을 방지하기 위하여 취하여야 하는 관리지침을 정하는
것을 목적으로 한다.(2023.07.14 개정)
제2조 (용어의 정의)
이 지침에서 사용되는 용어의 정의는 다음과 같다.
1. “위치정보”라 함은 GPS칩이 내장된 단말기를 통해 수집되는 GPS 정보, Wi-Fi칩이
내장된 전용 단말기 등을 통해 수집되는 WPS 정보 또는 기타 위치를 식별할 수
있는 장치를 통해 수집되는 정보를 말한다.
2. “위치정보의 적용 범위”라 함은 해당 수집된 위치정보는 위치기반서비스
이용약관에 따라 관리ㆍ이용 할 수 있다는 것을 말한다.
3. “개인위치정보”란 특정 개인을 식별할 수 있는 위치정보를 말한다. (2025.02.17
개정)
4. “위치정보주체”란 위치정보의 주체가 되는 개인 또는 법인을 말한다. (2025.02.17
개정)
제3조 (위치정보보호조직 구성 및 운영)
① 조직구성도는 아래와 같다.
② 위치정보관리 책임자 지정한다. (2025.02.17 개정)
- 소속 : 본부장실
- 직급 : 정보보호최고책임자(CISO)
- 연락처 : 051-620-3216
③ 위치정보 관리 책임자의 역할을 규정한다.
1. 위치정보 수집ㆍ이용ㆍ제공ㆍ파기 및 관리에 관한 업무의 총괄에 관한 사항
2. 위치정보사업자 등의 소속 직원 또는 제3자에 의한 위법ㆍ부당한 위치정보 침해
행위에 대한 점검에 관한 사항
3. 개인위치정보주체로부터 제기되는 위치정보에 관한 불만이나 의견의 처리 및
감독에 관한 사항
④ 위치정보 취급자 및 역할을 규정한다.
1. 위치정보관리자 지정 및 역할에 관한 사항
- 소 속 : 정보보호부
- 담당자 : 정보보호부장 (2025.02.17 개정)
- 역 할 : 회사의 위치정보보호 업무 책임, 위치정보보호계획 수립 및 보안규정
검토ㆍ개정, 정보보호 준수에 대한 지원 및 관리 감독, 정보보안
위기관리 대책 수립 및 시행
2. 위치정보취급자 지정 및 역할에 관한 사항은 아래와 같다.
- 소 속 : 디지털사업부, BNK시스템(수탁사) (2025.02.17 개정)
- 담당자 : 디지털사업부 담당자, BNK시스템 담당자 (2025.02.17 개정)
- 역 할 : 시스템/네트워크 보안관리, 정보보호시스템 운영, 서버 해킹 침해
대응훈련, 취약점분석․조치, 제한구역․통제구역에 대한 접근통제 및
관리감독 등 위치정보보호ㆍ위치정보 시스템 활용 기획
<단계별 접근 권한 제한> (2025.02.17 개정)
구 분
수집
이용
제공
파기
관리자
○
○
○
○
취급자
○
○
×
○
<단계별 접근 권한자 지정> (2025.02.17 개정)
구분
성명
관리자
정보보호부장
취급자
디지털사업부 담당자, BNK시스템(수탁사))
제4조 (위치정보 취급 및 관리)
① 위치정보 보호 민원처리
위치정보 취급 및 관리대장은 아래와 같은 양식으로 작성하며, 전자적인 형태로 운영되어야
한다. (2025.02.17 개정)
<위치정보 수집사실 확인자료(6개월간 자동기록보존)> (2025.02.17 개정)
수집자
요청서비스
요청자
수집방법
수집요청시간
수집종료시간
<이용ㆍ제공사실 확인 자료> (2025.02.17 개정)
대상
취득경로
제공서비스
제공받는자
이용일시
<열람ㆍ고지 확인 자료> (2025.02.17 개정)
취급자
요청자
목적
일시
② 위치정보 취급 및 관리대장의 운영ㆍ관리는 다음에 따른다. (2025.02.17 개정)
1. 위치정보 수집ㆍ이용ㆍ제공 확인자료는 위치정보시스템에 6개월 이상 자동으로
기록 보존되어야 한다.
2. 위치정보 취급대장에는 위치정보 취급대장에 개인위치정보주체의 직접적인
식별이 가능한 정보를 최소한으로 관리하여야 한다.
3. 자동기록ㆍ보관된 자료가 누출ㆍ변조ㆍ훼손되지 않도록 적절한 기술적 조치를
취해야 한다.
4. 취급대장의 내용은 위치정보 수집ㆍ이용ㆍ제공을 확인할 수 있는 수준으로
작성해야 한다.
③ 위치정보주체의 이력 열람 (2025.02.17 개정)
1. 개인위치정보주체가 본인의 위치정보 이용ㆍ제공 사실의 열람을 요구할 경우
이에 대응할 수 있는 기술적 조치를 마련하도록 한다.
2. 위치정보의 수집사실 확인자료에 대한 열람ㆍ정정요구 등 해당 위치정보사업과
관련한 고객 요구 및 이의ㆍ불만에 대한 대응하기 위해 위치정보 이용제공사실
확인 및 열람 확인 대장을 운영ㆍ관리하여야 한다.
④ 위치정보를 제3자에게 제공하는 경우에는 개인위치정보주체의 동의를 얻어 ①항에
명시한 위치정보 취급 및 관리 대장으로 작성하여야 하며 제공사실에 대한 즉시
통보 절차를 마련하도록 한다. (2025.02.17 개정)
제5조 (교육)
① 목적
위치정보보호 교육을 통해 위치정보보호의 중요성과 위치정보 관리지침을
이해하고 올바르게 시행하기 위함이다.
② 교육내용
3. 위치정보 보호의 중요성과 위치정보 보호 관련 법률
4. 위치정보 위험 및 대책이 포함된 조직 보안정책, 보안 지침, 지시사항, 위험관리
전략
5. 위치정보시스템 하드웨어 및 소프트웨어를 포함한 시스템의 정확한 사용방법
6. 위치정보보호업무의 절차, 책임, 작업 설명
7. 위치정보취급자 등이 업무상 금지 해야할 항목
③ 교육일정은 연1회 정기적으로 위치정보보호 교육을 실시하여야 하며
교육대상으로는 위치정보책임자, 관리자 및 취급자가 되어야 한다
제6조 (정기적인 내부 보안 감사)
① 감사 주기는 연 1회 이상으로 위치정보 보호조치 이행실태를 점검하고
위치정보관리 책임자에게 보고하여야 한다. 이에 따라 발견된 위치정보 관리
운영상 문제점을 개선해야 한다. (2025.02.17 개정)
② 감사 대상은 연 1회 당사가 운영하는 위치기반서비스에 대하여 개인신용정보
활용 관리 실태에 대한 점검을 통해 일괄 점검하여야 한다.
③ 감사 항목은 다음 각 호 1에 의한다.
1. 위치정보의 관리적ㆍ기술적 보호조치 등
2. 위치정보 취급, 관리 지침의 이행
제7조 (위치정보의 기술적 보호 지침)
① 위치정보시스템에 대한 접근권한자의 식별 및 인증을 실시하여 비인가 자의 접근을
차단하도록 한다.
② 비인가 자의 불법적인 접근을 차단하기 위해 패스워드 정책을 다음과 같이 정한다.
1. 주기적으로 변경하여야 한다.
2. 8자리이상(영문자+숫자+특수문자) 복잡도를 적용하여야 한다.
3. 쉽게 유추 가능한 연속 번호, 동일 숫자 등 차단하여야 한다.
4. 5회 이내 범위에서 비밀번호 입력 오류 시 거래를 중지하고 본인 확인 등 적정한
절차를 거친 후 비밀번호 재부여 및 거래를 재개한다.
5. 단 방향 암호 사용을 하여야 한다.
③ 위치정보의 저장 시 암호화 알고리즘을 적용하여 비인가 자에 의한 불법적인 접근에
의해 정보 유ㆍ누출 및 훼손 되지 않도록 예방하는 조치를 취한다.
④ 위치정보 등 전송 시 이용자의 단말기를 통해 서비스 이용 시 전송되는 정보를
암호화하여 서버에 전송함으로 데이터 가로채기 및 위ㆍ변조 등을 방지하도록
구간 암호화를 적용한다.
⑤ 방화벽 등 접근통제장치를 설치ㆍ운영하여 취약점 방어, 우회 공격 방어, 시스템
명령어 실행 공격 방어, 버퍼 오버플로어 공격 방어, 익스플로러, 악성코드 업로드
등을 방어할 수 있도록 위치 정보시스템에 적용하고 주기적인 취약점 분석 후
미흡한 사항을 조치해야 한다.
⑥ 위치정보시스템의 운영 체제 별 보안프로그램(백신 등)을 설치ㆍ운영하고
백신프로그램은 최신 버전으로 업데이트함과 동시에 보안패치 관리대장을
운영ㆍ관리한다.
제8조 (침해사고 등의 대응 방법 및 절차)
① 개인위치정보의 침해사고 등의 발생에 따른 대응을 위해 대응계획 수립 및 조직 구성,
모니터링 시스템을 설치운영하도록 한다.
② 위치정보 유출 사실을 발견하거나 의심스러운 정황 발견 시 즉시 위치정보관리
담당자에게 신고한다. (2025.02.17 개정)
③ 신고를 받은 위치정보관리 담당자는 즉시 관계인에게 유출 규모, 경로 등 유출 사실
여부 확인 요청하고, 위치정보관리 책임자에게 유출 사실 및 피해 규모 대응 상황 등을
신속히 보고한다. (2025.02.17 개정)
④ 위치정보관리 책임자는 유관부서가 유기적으로 대응하도록 지원하고 유출 대응에 대한
방향성 제시 등의 의사 결정을 진행한다. (2025.02.17 개정)
제9조 (침해사고 대응 조직)
침해사고 대응 조직은 모든 IT전산자원에 대한 침해사고의 예방, 탐지, 접수 및 처리를
담당하는 조직을 말한다. 침해사고 대응 조직의 구성원은 아래와 같다.
(그림) 침해사고 대응 조직의 구성원
제10조 (침해사고 대응 조직과 역할)
침해사고 대응 조직의 역할은 침해사고 예방, 침해사고 접수, 모니터링 등 업무 영역의
대응 조직의 역할은 아래와 같이 구분할 수 있다.
(그림) 침해사고 대응 절차도
제11조 (위치정보의 파기) (2025.02.17 개정)
① 개인위치정보 보유기간의 경과, 처리 목적 달성 등 개인위치정보가 불필요하게 되었을
경우 지체없이 해당 개인위치정보를 파기한다.
② 정보주체로부터 동의 받은 개인위치정보 보유기간이 경과하거나 처리 목적이
달성되었음에도 불구하고 개인위치정보를 계속 보존하여야 하는 경우 해당
개인위치정보를 별도의 보관장소에 분리보관한다.
③ 위치정보 파기 시 파기 사유가 발생한 개인위치정보를 선정하고, 위치정보관리
책임자의 승인을 받아 개인위치정보를 파기한다.
④ 종이에 출력된 개인위치정보는 문서파쇄기로 분쇄하여 폐기하여야 하며, 전자적 파일
형태의 정보는 기록을 재생할 수 없는 기술적 방법을 사용한다.
부 칙
제 1(시행일) 이 지침은 2023. 03. 31 부터 시행한다.
