정보 보안 방침
디지털하츠 서울 정보보안 규정
시행일: 2026년 9월 1일
최종개정일: 2026년 9월 1일
작성 부서: 경영지원부
제1조 목적
본 규정은 디지털하츠 서울(이하 "회사")이 보유·처리하는 개인정보 및 중요 정보 자산을 분실·도난·유출·위조·변조·훼손으로부터 보호하고, 「개인정보 보호법」 및 관련 법령에서 요구하는 안전성 확보조치를 이행하기 위하여 필요한 사항을 정함을 목적으로 합니다.
제2조 적용 범위
본 규정은 회사의 임직원, 파견직, 용역직, 인턴 등 회사의 지휘·감독 하에 업무를 수행하는 모든 자와 회사로부터 개인정보 처리업무를 위탁받은 수탁자에게 적용됩니다.
제3조 정의
본 규정에서 사용하는 용어의 의미는 다음과 같습니다.
1. "개인정보"란 살아 있는 개인에 관한 정보로서 해당 정보만으로 또는 다른 정보와 결합하여 개인을 알아볼 수 있는 정보를 말합니다.
2. "개인정보처리시스템"이란 개인정보를 처리할 수 있도록 체계적으로 구성한 데이터베이스 시스템을 말합니다.
3. "개인정보 취급자"란 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 임직원, 파견직원, 시간제근로자 등을 말합니다.
4. "정보 자산"이란 회사가 보유·관리하는 정보 및 그 정보를 저장·처리·전송하는 시스템, 장비, 소프트웨어 등을 말합니다.
제4조 개인정보 보호책임자 및 역할
1. 회사는 개인정보 보호에 관한 업무를 총괄하는 개인정보 보호책임자(CPO)를 지정하며, 현재 담당자는 개인정보처리방침에 기재된 바에 따릅니다.
2. 개인정보 보호책임자는 다음 사항을 수행합니다.
- 본 규정의 수립·시행·개정 및 준수 여부 감독
- 연 1회 이상 개인정보 보호 교육 실시
- 개인정보 처리 현황 점검 및 개선조치 이행
- 개인정보 유출 사고 발생 시 신속한 대응 및 신고
제5조 접근 권한 관리
1. 개인정보처리시스템에 대한 접근 권한은 업무 수행에 필요한 최소한의 범위로 제한하여 부여합니다.
2. 접근 권한의 부여·변경·말소는 개인정보 보호책임자의 승인을 거쳐야 하며, 해당 내역을 기록·관리합니다.
3. 퇴직, 부서 이동 등 인사 변동 발생 시 즉시 관련 권한을 말소 또는 변경합니다.
4. 외부 수탁업체 직원에게 접근 권한을 부여하는 경우, 계약서에 업무 범위와 접근 가능한 개인정보의 범위를 명확히 규정합니다.
제6조 비밀번호 관리
1. 개인정보처리시스템에 접속하는 비밀번호는 8자 이상의 영문·숫자·특수문자 조합 또는 10자 이상의 영문·숫자 조합으로 설정합니다.
2. 비밀번호는 다음 각 호의 경우에 변경합니다.
- 최초 로그인 시(임시 비밀번호가 부여된 경우)
- 비밀번호가 유출되었거나 유출이 의심되는 경우
- 개인정보 취급자가 직무를 변경하거나 퇴직한 경우
3. 비밀번호를 업무 수행과 무관한 제3자와 공유하는 행위는 금지됩니다.
제7조 접속 기록 보관 및 점검
1. 개인정보처리시스템에 대한 접속 기록(접속 일시, 처리 내역 등)을 최소 1년 이상 보관합니다. 다만, 5만 명 이상의 정보주체 개인정보를 처리하거나 민감정보 또는 고유식별정보를 처리하는 시스템의 경우 2년 이상 보관합니다.
2. 개인정보 보호책임자는 월 1회 이상 접속 기록을 검토하여 비정상적 접근을 탐지하고 필요한 조치를 취합니다.
제8조 악성 소프트웨어 방지
1. 개인정보처리시스템 및 업무용 컴퓨터에는 최신 버전의 악성 소프트웨어 방지 프로그램(백신 소프트웨어)을 설치·운용합니다.
2. 악성 소프트웨어 방지 프로그램의 업데이트를 정기적으로 수행합니다.
3. 출처가 불분명한 이메일 첨부파일 및 외부 저장매체의 사용 전 바이러스 검사를 실시합니다.
제9조 암호화
1. 비밀번호, 고유식별정보(주민등록번호 등) 및 바이오정보는 암호화하여 저장합니다.
2. 개인정보를 정보통신망을 통해 전송하거나 보조저장매체를 통해 전달하는 경우 암호화합니다.
3. 일본 그룹사에 개인정보를 이전하는 경우, 전송 구간의 암호화(TLS/SSL 적용 등)를 적용합니다.
제10조 물리적 보안
1. 개인정보가 저장된 서버, 저장장치 등은 잠금장치가 설치된 공간에 보관합니다.
2. 개인정보가 기록된 종이 문서는 담당자 외 열람이 불가능한 잠금 보관함에 보관하며, 파기 시 분쇄기 또는 소각으로 복구 불가능한 방법을 사용합니다.
3. 개인정보를 저장한 이동식 저장매체(USB, 외장하드 등)는 분실 방지를 위한 관리 대장에 등록하고 담당자 외 반출을 금지합니다.
제11조 국외 이전 관련 보안 조치
1. 일본 소재 그룹사(주식회사 디지털하츠 홀딩스, 주식회사 디지털하츠, 주식회사 GameWith)에 개인정보를 이전하는 경우, 이전 전 수신 법인의 개인정보 보호 수준이 국내 법령이 요구하는 수준에 상응하는지 확인합니다.
2. 각 수신 법인과 체결된 계약서 또는 그룹 내 내부 규정에는 다음 사항이 포함되어야 합니다.
- 이전된 개인정보의 처리 목적 및 범위 제한
- 재이전 시 회사의 사전 승인 요건
- 수신 법인의 개인정보 보호조치 의무
- 이전 종료 또는 계약 만료 후 개인정보 파기 의무
- 보안 사고 발생 시 즉시 통보 의무
제12조 수탁업체 관리
1. 회사가 외부 업체에 개인정보 처리업무를 위탁하는 경우, 위탁 전 수탁업체의 개인정보 보호 수준을 사전 검토합니다.
2. 위탁 계약서에는 개인정보보호위원회 개인정보보호지침 제22조 (개인정보보호위원회개인정보보호지침_제22조(위탁에 따른 개인정보 보호 조치의무))에서 정한 7가지 사항이 포함되어야 합니다.
3. 연 1회 이상 수탁업체의 개인정보 처리 현황을 점검하고, 문제 발견 시 시정을 요구합니다.
제13조 보안 교육
1. 개인정보 취급자를 대상으로 연 1회 이상 개인정보 보호 교육을 실시합니다.
2. 교육 내용에는 다음 사항을 포함합니다.
- 개인정보 보호법 및 관련 법령의 주요 내용
- 개인정보 유출 사고 사례 및 예방 방법
- 본 규정의 주요 내용 및 의무사항
- 비밀번호 관리, 피싱 대응 등 보안 실무
3. 교육 실시 내역(일시, 참석자, 교육 내용)을 기록하고 3년간 보관합니다.
제14조 개인정보 유출 대응
1. 개인정보 유출이 발생하였거나 유출이 의심되는 경우, 발견한 임직원은 즉시 개인정보 보호책임자에게 보고합니다.
2. 개인정보 보호책임자는 보고 수령 즉시 유출 경위를 파악하고, 추가 유출 방지 조치를 이행합니다.
3. 유출된 개인정보가 1천 명 이상의 정보주체에 해당하는 경우, 또는 민감정보나 고유식별정보가 포함된 경우, 개인정보보호법 제 34조에 따라 72시간 이내에 개인정보보호위원회에 신고합니다.
4. 유출 사실을 인지한 때로부터 지체 없이 정보주체에게 유출된 개인정보의 항목, 유출 경위, 피해 최소화 방법, 회사의 조치 내용을 통지합니다.
제15조 규정 위반 시 조치
본 규정을 위반한 임직원에 대하여는 취업규칙 및 관련 사내 규정에 따른 징계 절차를 밟을 수 있으며, 위반 행위가 관련 법령을 위반한 경우 민·형사상 책임이 수반될 수 있습니다.
제16조 규정의 제·개정
본 규정은 관련 법령의 변경, 기술 환경의 변화, 그룹 내 정책 변경 등을 반영하기 위하여 필요시 개정하며, 개정 시 시행 30일 전에 전 임직원에게 고지합니다.
[부칙]
본 규정은 2026년 9월 1일부터 시행합니다.