IT 위키 - 사용자 기여 [ko]

ISMS-P 인증 기준 2.6.2.정보시스템 접근

2023-05-13T04:53:41Z

짱갤럽: /* 개요 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.6.접근통제 |2.6.접근통제]]

==개요==
{| class="wikitable"
!항목
!2.6.2.정보시스템 접근
|-
| style="text-align:center" |'''인증기준'''
|서버, 네트워크시스템 등 정보시스템에 접근을 허용하는 사용자, 접근제한 방식, 안전한 접근수단 등을 정의하여 통제하여야 한다.
|-
|'''주요 확인사항'''
|
*서버, 네트워크시스템, 보안시스템 등 정보시스템 별 운영체제(OS)에 접근이 허용되는 사용자, 접근 가능 위치, 접근 수단 등을 정의하여 통제하고 있는가?
*정보시스템에 접속 후 일정시간 업무처리를 하지 않는 경우 자동으로 시스템 접속이 차단되도록 하고 있는가?
*정보시스템의 사용목적과 관계없는 서비스를 제거하고 있는가?
*주요 서비스를 제공하는 정보시스템은 독립된 서버로 운영하고 있는가?
*(가상자산사업자) 월렛관련 서버에 직접 접속(SSH 등)하거나 클라우드 환경에서 해당 서비스를 변경할 수 있는 관리콘솔에 대한 접근통제(접근권한 분리, 망분리, 추가인증, 보안토큰 등) 대책을 마련하고 있는가?
|}

==세부 설명==

==== 정보시스템별 접근 통제 ====
서버, 네트워크시스템, 보안시스템 등 정보시스템별 운영체제(OS)에 접근이 허용되는 사용자, 접근 가능 위치, 접근 수단 등을 정의하여 통제하여야 한다.

*계정 및 권한 신청·승인 절차
*사용자별로 개별 계정 부여 및 공용 계정 사용 제한
*계정 사용 현황에 대한 정기 검토 및 현행화 관리
**장기 미사용 계정, 불필요한 계정 존재 여부 등
*접속 위치 제한
**접속자 IP주소 제한 등
*관리자 등 특수권한에 대한 강화된 인증수단 고려
**인증서, [[OTP]] 등
*안전한 접근수단 적용
**[[SSH]], [[SFTP]]
*동일 네트워크 영역 내 서버 간 접속에 대한 접근통제 조치 등

==== 세션 타임아웃 설정 ====
정보시스템에 접속 후 일정시간 업무처리를 하지 않는 경우 자동으로 시스템 접속이 차단되도록 조치 하여야 한다.

*서버별 특성, 업무 환경, 위험의 크기, 법적 요구사항 등을 고려하여 세션 유지시간 설정

==== 취약한 서비스 및 포트 관리 ====
정보시스템의 사용 목적과 관련이 없거나 침해사고를 유발할 수 있는 서비스 또는 포트를 확인하여 제거 또는 차단하여야 한다.

*안전하지 않은 서비스, 프로토콜, 데몬에 대해서는 추가 보안기능 구현
*Netbios, File-Sharing, Telnet, FTP 등과 같은 안전하지 않은 서비스를 보호하기 위하여 SSH, SFTP, IPSec VPN 등과 같은 안전한 기술 사용

{| class="wikitable"
|'''※ 주요 OS별 서비스 확인 방법(예시)'''
*리눅스: /etc/xinetd.conf 파일의 서비스 목록 확인 또는 /etc/xinetd.d 디렉터리에 서비스 파일 사용 여부 확인
*윈도우: [시작] → [제어판] → [관리 도구] → [서비스]에서 서비스별로 사용 여부 점검
|}

==== 주요 서비스 독립 운영 ====
주요서비스를 제공하는 서버는 독립된 서버로 운영하여야 한다.

*외부에 직접 서비스를 제공하거나 민감한 정보를 보관·처리하고 있는 웹서버, 데이터베이스 서버, 응용 프로그램 등은 공용 장비로 사용하지 않고 독립된 서버 사용

==증거 자료==

*정보시스템 운영체제 계정 목록
*서버 보안 설정
*서버접근제어 정책(SecureOS 관리화면 등)
*서버 및 네트워크 구성도
*정보자산 목록

==결함 사례==

*사무실에서 서버관리자가 IDC에 위치한 윈도우 서버에 접근 시 터미널 서비스를 이용하여 접근하고 있으나, 터미널 서비스에 대한 세션 타임아웃 설정이 되어 있지 않아 장시간 아무런 작업을 하지 않아도 해당 세션이 차단되지 않는 경우
*서버 간 접속이 적절히 제한되지 않아 특정 사용자가 본인에게 인가된 서버에 접속한 후 해당 서버를 경유하여 다른 인가받지 않은 서버에도 접속할 수 있는 경우
*타당한 사유 또는 보완 대책 없이 안전하지 않은 접속 프로토콜(telnet, ftp 등)을 사용하여 접근하고 있으며, 불필요한 서비스 및 포트를 오픈하고 있는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.1.2.조직의 유지관리

2023-05-10T10:49:49Z

짱갤럽: /* 조직별 R&R 확립 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.1.정책, 조직, 자산 관리|2.1.정책, 조직, 자산 관리]]

==개요==
{| class="wikitable"
!항목
!2.1.2.조직의 유지관리
|-
| style="text-align:center" |'''인증기준'''
|조직의 각 구성원에게 정보보호와 개인정보보호 관련 역할 및 책임을 할당하고, 그 활동을 평가할 수 있는 체계와 조직 및 조직의 구성원 간 상호 의사소통할 수 있는 체계를 수립하여 운영하여야 한다.
|-
|'''주요 확인사항'''
|
*정보보호 및 개인정보보호 관련 책임자와 담당자의 역할 및 책임을 명확히 정의하고 있는가?
*정보보호 및 개인정보보호 관련 책임자와 담당자의 활동을 평가할 수 있는 체계를 수립하고 있는가?
*정보보호 및 개인정보보호 관련 조직 및 조직의 구성원간 상호 의사소통할 수 있는 체계 및 절차를 수립‧이행하고 있는가?
|}
==세부 설명==

==== 조직별 R&R 확립 ====

*정보보호 및 개인정보보호 업무 수행과 관련된 조직의 특성을 고려하여 관련 책임자와 담당자의 역할및 책임을 시행문서에 구체적으로 정의하여야 한다.
**[[정보보호 최고책임자]] 및 [[개인정보 보호책임자]]
**정보보호, 개인정보보호 관리자 및 담당자
**부서별 정보보호, 개인정보보호 책임자 및 담당자
**정보보호 및 개인정보보호 관리자, 보호담당자, 보호실무자 등이 정보보호 최고책임자 및 개인정보보호책임자의 관리 업무를 실무적으로 지원·이행할 수 있도록 직무기술서 등을 통하여 책임 및역할을 구체적으로 정의
**정보보호 최고책임자, 개인정보 보호책임자는 법적 요구사항 등을 반영하여 다음과 같은 업무를 수행

{| class="wikitable"
!정보보호 최고책임자
!개인정보 보호책임자
|-
|
*정보보호 관리체계의 수립·시행 및 개선
*정보보호 실태와 관행의 정기적인 감사 및 개선
*정보보호 위험의 식별 평가 및 정보보호 대책 마련
*정보보호 교육과 모의 훈련 계획의 수립 및 시행
*그 밖에 정보통신망법 또는 관계 법령에 따라 정보보호를 위하여 필요한 조치의 이행
|
*개인정보 보호 계획의 수립 및 시행
*개인정보 처리 실태 및 관행의 정기적인 조사 및 개선
*개인정보 처리와 관련한 불만의 처리 및 피해 구제
*개인정보 유출 및 오·남용 방지를 위한 내부 통제시스템의 구축
*개인정보 보호 교육 계획의 수립 및 시행
*개인정보파일의 보호 및 관리·감독
*개인정보 처리방침의 수립·변경 및 시행
*개인정보보호 관련 자료의 관리
*처리목적이 달성되거나 보유기간이 경과한 개인정보의 파기
|}

==== 조직 활동 평가 ====

*정보보호 및 개인정보보호 관련 책임자와 담당자의 활동을 평가할 수 있는 체계를 수립하여야 한다.
**조직 내 [[KPI|핵심성과지표(KPI)]], [[MBO]](Management By Objectives), 인사평가 등 정보보호 및 개인정보보호 활동을 평가할 수 있는 방안을 마련하여 주기적으로 평가

==== 관련 조직 간 의사소통 ====

*정보보호 및 개인정보보호 관련 조직 및 조직의 구성원 간 상호 의사소통할 수 있는 체계 및 절차를수립·이행하여야 한다.
**정보보호 및 개인정보보호 관련 의사소통 관리 계획 수립 및 이행
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">
'''※ 정보보호 및 개인정보보호 관련 의사소통 관리계획(예시)'''

*의사소통 관리 계획 개요 : 목적 및 범위
*의사소통 체계 : 전사 협의체, 실무 협의체, 위원회 등 보고 및 협의체 운영방안, 참여 대상, 참여대상별 역할 및 책임, 주기 등
*의사소통 방법 : 보고 및 회의(월간보고, 주간보고 등), 공지, 이메일, 메신저, 정보보호포털 등
*의사소통 양식 : 유형별 보고서 양식, 회의록 양식 등</div>
==증거 자료==

*정보보호 및 개인정보보호 조직도
*정보보호 및 개인정보보호 조직 직무기술서
*정보보호 및 개인정보보호 업무 분장표
*정보보호 및 개인정보보호 정책·지침, 내부관리계획
*정보보호 및 개인정보보호 의사소통 관리계획
*의사소통 수행 이력(월간보고, 주간보고, 내부공지 등)
*의사소통 채널(정보보호포털, 게시판 등)

==결함 사례==

*내부 지침 및 직무기술서에 정보보호 최고책임자, 개인정보 보호책임자 및 관련 담당자의 역할과 책임을 정의하고 있으나, 실제 운영현황과 일치하지 않는 경우
*정보보호 최고책임자 및 관련 담당자의 활동을 주기적으로 '''평가할 수 있는 목표, 기준, 지표 등의 체계가 마련되어 있지 않은 경우'''
*내부 지침에는 부서별 정보보호 담당자는 정보보호와 관련된 KPI를 설정하여 인사평가시 반영하도록 되어 있으나, 부서별 정보보호 담당자의 KPI에 정보보호와 관련된 사항이 전혀 반영되어 있지 않은 경우
*정보보호 최고책임자 및 개인정보 보호책임자가 지정되어 있으나, 관련 법령에서 요구하는 역할 및 책임이 내부 지침이나 직무기술서 등에 구체적으로 명시되어 있지 않은 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 1.1.2.최고책임자의 지정

2023-05-04T10:16:59Z

짱갤럽: /* 세부 설명 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 1.관리체계 수립 및 운영|1.관리체계 수립 및 운영]]
*'''분류''': [[ISMS-P 인증 기준 1.1.관리체계 기반 마련|1.1.관리체계 기반 마련]]

==개요==
{| class="wikitable"
!항목
!1.1.2.최고책임자의 지정
|-
| style="text-align:center" |'''인증기준'''
|최고경영자는 정보보호 업무를 총괄하는 정보보호 최고책임자와 개인정보보호 업무를 총괄하는 개인정보보호 책임자를 예산·인력 등 자원을 할당할 수 있는 임원급으로 지정하여야 한다.
|-
|'''주요 확인사항'''
|
*최고경영자는 정보보호 및 개인정보보호 처리에 관한 업무를 총괄하여 책임질 최고책임자를 공식적으로 지정하고 있는가?
*정보보호 최고책임자 및 개인정보 보호책임자는 예산, 인력 등 자원을 할당할 수 있는 임원급으로 지정하고 있으며 관련 법령에 따른 자격요건을 충족하고 있는가?
|}
==세부 설명==

==== 인사발령을 통한 공식 지정 ====
최고경영자는 조직 내에서 정보보호 및 개인정보보호 관리 활동을 효과적으로 추진하기 위하여 이를 총괄하여 책임질 수 있는 [[정보보호 최고책임자]] 및 [[개인정보 보호책임자]]를 인사발령 등의 절차를 통하여 공식적으로 지정하여야 한다.

*정보보호 최고책임자 및 개인정보 보호책임자는 인사발령 등을 통하여 공식으로 임명하여야 하며, 당연직의 경우 정보보호 및 개인정보보호 정책서에 그 직위를 명시하여야 함.

==== 자격요건을 충족하는 임원급으로 지정 ====
정보보호 최고책임자 및 개인정보 보호책임자는 예산, 인력 등 자원을 할당할 수 있는 임원급으로 지정하고 관련 법령에 따른 자격요건을 충족하여야 한다([[정보통신망법 시행령 제36조의7]] 참고).

*정보보호 최고책임자 및 개인정보 보호책임자는 조직의 정보보호 및 개인정보보호 업무를 실질적으로 총괄할 수 있도록 정보보호 및 개인정보보호 관련 지식 및 소양이 있는 자로서 예산, 인력 등 자원을할당할 수 있는 임원급으로 지정

===정보통신서비스 제공자===
정보통신서비스 제공자는 정보통신시스템 등에 대한 보안 및 정보의 안전한 관리를 위하여 대통령령으로 정하는 기준에 해당하는 임직원을 [[정보보호 최고책임자]]로 지정하고 과학기술정보통신부장관에게 신고. 다만, 대통령령으로 정하는 기준에 해당하는 경우 신고 예외

*정보보호 최고책임자 지정에 대한 법적 요건 준수 필요( ※정보통신망법 제45조의3 참고)
**정보보호 최고책임자는 다음 업무 수행
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">
1. 정보보호 최고책임자는 다음 각 목의 업무를 총괄한다.

*가. 정보보호 계획의 수립·시행 및 개선
*나. 정보보호 실태와 관행의 정기적인 감사 및 개선
*다. 정보보호 위험의 식별 평가 및 정보보호 대책 마련
*라. 정보보호 교육과 모의 훈련 계획의 수립 및 시행
2. 정보보호 최고책임자는 다음 각 목의 업무를 겸할 수 있다.
*가. ｢정보보호산업의 진흥에 관한 법률｣ 제13조에 따른 정보보호 공시에 관한 업무
*나. ｢정보통신기반 보호법｣ 제5조제5항에 따른 정보보호 책임자의 업무
*다. ｢전자금융거래법｣ 제21조의2제4항에 따른 정보보호 최고책임자의 업무
*라. ｢개인정보 보호법｣ 제31조제2항에 따른 개인정보 보호책임자의 업무
*마. 그 밖에 이 법 또는 관계 법령에 따라 정보보호를 위하여 필요한 조치의 이행</div>

===개인정보 처리자===
개인정보 보호책임자 지정에 대한 법적 요건 준수 필요([[개인정보 보호법 시행령 제32조]] 참고)

'''개인정보 보호책임자는 다음 업무 수행'''<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">
*1. 개인정보 보호 계획의 수립 및 시행
*2. 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선
*3. 개인정보 처리와 관련한 불만의 처리 및 피해 구제
*4. 개인정보 유출 및 오·남용 방지를 위한 내부통제시스템 구축
*5. 개인정보 보호 교육 계획의 수립 및 시행
*6. 개인정보파일의 보호 및 관리·감독
*7. 그 밖에 개인정보의 적절한 처리를 위하여 대통령령으로 정한 업무</div>'''개인정보 보호책임자 지정요건(공공기관)'''<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">
*가. 국회, 법원, 헌법재판소, 중앙선거관리위원회의 행정사무를 처리하는 기관 및 중앙행정기관: 고위공무원단에 속하는 공무원(이하 ʻ고위공무원ʼ이라 함.) 또는 그에 상당하는공무원
*나. 가목 외에 정무직공무원을 장(長)으로 하는 국가기관: 3급 이상 공무원(고위공무원을 포함한다.)또는 그에 상당하는 공무원
*다. 가목 및 나목 외에 고위공무원, 3급 공무원 또는 그에 상당하는 공무원 이상의 공무원을 장으로하는 국가기관: 4급 이상 공무원 또는 그에 상당하는 공무원
*라. 가목부터 다목까지의 규정에 따른 국가기관 외의 국가기관(소속 기관을 포함한다.): 해당기관의 개인정보 처리 관련 업무를 담당하는 부서의 장
*마. 시·도 및 시·도 교육청: 3급 이상 공무원 또는 그에 상당하는 공무원
*바. 시·군 및 자치구: 4급 공무원 또는 그에 상당하는 공무원
*사. 제2조제5호에 따른 각급 학교: 해당 학교의 행정사무를 총괄하는 사람
*아. 가목부터 사목까지의 규정에 따른 기관 외의 공공기관: 개인정보 처리 관련 업무를 담당하는부서의 장. 다만 개인정보 처리 관련 업무를 담당하는 부서의 장이 2명 이상인 경우에는 해당공공기관의 장이 지명하는 부서의 장이 된다</div>'''개인정보 보호책임자 지정요건(민간기업)'''<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">② 개인정보처리자는 법 제31조제1항에 따라 개인정보 보호책임자를 지정하려는 경우에는 다음각 호의 구분에 따라 지정한다.

*2. 공공기관 외의 개인정보처리자: 다음 각 목의 어느 하나에 해당하는 사람
**가. 사업주 또는 대표자
**나. 임원(임원이 없는 경우에는 개인정보 처리 관련 업무를 담당하는 부서의 장)

③ 제2항에도 불구하고 개인정보처리자가 ｢소상공인기본법｣ 제2조에 따른 소상공인에 해당하는경우에는 별도의 지정 없이 그 사업주 또는 대표자를 개인정보 보호책임자로 지정한 것으로본다. 다만 개인정보처리자가 별도로 개인정보 보호책임자를 지정한 경우에는 그렇지 않다.
</div>
==증거 자료==

*정보보호 최고책임자 및 개인정보 보호책임자 임명관련 자료(인사명령, 인사카드 등)
*정보보호 및 개인정보보호 조직도
*정보보호 및 개인정보보호 정책·지침
*직무기술서(정보보호 최고책임자 및 개인정보 보호책임자의 역할 및 책임에 관한 사항)
*정보보호 최고책임자 지정 내역
*[[내부 관리계획|내부관리계획]](개인정보 보호책임자 지정에 관한 사항)

==결함 사례==

*정보통신망법에 따른 정보보호 최고책임자 지정 및 신고 의무 대상자임에도 불구하고 정보보호 최고책임자를 지정 및 신고하지 않은 경우
*개인정보 보호법을 적용받는 민간기업이 개인정보 처리업무 관련 임원이 존재함에도 불구하고 부서장을 개인정보 보호책임자로 지정한 경우
*조직도상에 정보보호 최고책임자 및 개인정보 보호책임자를 명시하고 있으나, 인사발령 등의 공식적인 지정절차를 거치지 않은 경우
*ISMS 인증 의무대상자이면서 전년도 말 기준 자산총액이 5천억 원을 초과한 정보통신서비스 제공자이지만 '''정보보호 최고책임자가 CIO를 겸직'''하고 있는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.8.4.시험 데이터 보안

2023-05-01T11:47:21Z

짱갤럽:

[[분류: ISMS-P 인증 기준]]
* '''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
* '''분류''': [[ISMS-P 인증 기준 2.8.정보시스템 도입 및 개발 보안|2.8.정보시스템 도입 및 개발 보안]]
== 개요 ==
{| class="wikitable"
!항목
!2.8.4.시험 데이터 보안
|-
| style="text-align:center"|'''인증기준'''
|시스템 시험 과정에서 운영데이터의 유출을 예방하기 위하여 시험 데이터의 생성과 이용 및 관리, 파기, 기술적 보호조치에 관한 절차를 수립·이행하여야 한다.
|-
|'''주요 확인사항'''
|
* 정보시스템의 개발 및 시험 과정에서 실제 운영 데이터의 사용을 제한하고 있는가?
* 불가피하게 운영데이터를 시험 환경에서 사용할 경우 책임자 승인, 접근 및 유출 모니터링, 시험 후 데이터 삭제 등의 통제 절차를 수립∙이행하고 있는가?
|}
== 세부 설명 ==

* 정보시스템의 개발 및 시험 과정에서 실제 운영데이터의 사용을 제한하여야 한다.
** 개인정보 및 중요 정보가 시스템 시험과정에서 유출되는 것을 방지하기 위하여 시험데이터는 임의의 데이터를 생성하거나 운영데이터를 가공·변환한 후 사용
** 시험데이터 변환 및 사용에 따른 기준·절차 수립·이행
* 불가피하게 운영데이터를 시험 환경에서 사용할 경우 책임자 승인, 접근 및 유출 모니터링, 시험 후 데이터 삭제 등의 통제 절차를 수립·이행하여야 한다.
** 운영데이터 사용 승인 절차 마련 : 데이터 중요도에 따른 보고 및 승인체계 정의 등
** 시험 기한 만료 후 데이터 폐기절차 마련 및 이행
** 운영데이터 사용에 대한 시험환경에서의 접근통제 대책 적용
** 운영데이터 복제·사용에 대한 모니터링 및 정기검토 수행 등
== 증거 자료 ==
* 시험데이터 현황
* 시험데이터 생성 규칙
* 운영데이터를 시험환경에 사용한 경우, 관련 승인 이력
* 개발 서버에서 사용할 시험 데이터 생성에 대한 구체적 기준 및 절차가 수립되어 있지 않은 경우
== 결함 사례 ==
* 개발 서버에서 사용할 시험 데이터 생성에 대한 구체적 기준 및 절차가 수립되어 있지 않은 경우
* 타당한 사유 및 책임자 승인 없이 실 운영데이터를 가공하지 않고 시험 데이터로 사용하고 있는 경우
* 불가피한 사유로 사전 승인을 받아 실 운영데이터를 시험 용도로 사용하면서, 테스트 데이터 베이스에 대하여 운영 데이터베이스와 동일한 수준의 접근통제를 적용하고 있지 않은 경우
* 실 운영데이터를 테스트 용도로 사용한 후 테스트가 완료되었음에도 실 운영데이터를 테스트 데이터베이스에서 삭제하지 않은 경우
== 같이 보기 ==
* [[정보보호 및 개인정보보호관리체계 인증]]
* [[ISMS-P 인증 기준]]
* [[ISMS-P 인증 기준 세부 점검 항목]]
== 참고 문헌 ==
* 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 3.2.5.개인정보 목적 외 이용 및 제공

2023-04-09T13:43:48Z

짱갤럽: /* 개인정보 목적 외 이용 금지 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 3.개인정보 처리단계별 요구사항|3.개인정보 처리단계별 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 3.2.개인정보 보유 및 이용 시 보호조치|3.2.개인정보 보유 및 이용 시 보호조치]]

==개요==
{| class="wikitable"
!항목
!3.2.5.개인정보 목적 외 이용 및 제공
|-
| style="text-align:center" |'''인증기준'''
|개인정보는 수집 시의 정보주체(이용자)에게 고지·동의를 받은 목적 또는 법령에 근거한 범위 내에서만 이용 또는 제공하여야 하며, 이를 초과하여 이용·제공하려는 때에는 정보주체(이용자)의 추가 동의를 받거나 관계 법령에 따른 적법한 경우인지 확인하고 적절한 보호대책을 수립·이행하여야 한다.
|-
|'''주요 확인사항'''
|
*개인정보는 최초 수집 시 정보주체(이용자)로부터 동의 받은 목적 또는 법령에 근거한 범위 내에서만 이용‧제공하고 있는가?
*개인정보를 수집 목적 또는 범위를 초과하여 이용하거나 제공하는 경우 정보주체(이용자)로부터 별도의 동의를 받거나 법적 근거가 있는 경우로 제한하고 있는가?
*개인정보를 목적 외의 용도로 제3자에게 제공하는 경우 제공받는 자에게 이용목적‧방법 등을 제한하거나 안전성 확보를 위해 필요한 조치를 마련하도록 요청하고 있는가?
*공공기관이 개인정보를 목적 외의 용도로 이용하거나 제3자에게 제공하는 경우 그 이용 또는 제공의 법적 근거, 목적 및 범위 등에 관하여 필요한 사항을 관보 또는 인터넷 홈페이지 등에 게재하고 있는가?
*공공기관이 개인정보를 목적 외의 용도로 이용하거나 제3자에게 제공하는 경우 목적 외 이용 및 제3자 제공대장에 기록∙관리하고 있는가?
|}
==세부 설명==

==== 개인정보 목적 외 이용 금지 ====
개인정보는 최초 수집 시 정보주체(이용자)로부터 동의받은 목적 또는 법령에 근거한 범위 내에서만 이용 또는 제공하여야 한다.

* 개인정보를 수집 목적 또는 범위를 초과하여 이용하거나 제공하는 경우 정보주체(이용자)로부터 별도의 동의를 받거나 법적 근거가 있는 경우로 제한하여야 한다.

*개인정보를 목적 외의 용도로 이용·제공 가능한 경우(다만 정보통신서비스 제공자는 제1호, 제2호의 경우로 한정)

{| class="wikitable"
!No
!목적 외 이용·제공이 가능한 경우
!공공기관
!공공기관 외
|-
|1
|
* 정보주체(이용자)로부터 별도의 동의를 받는 경우
|O
|O
|-
|2
|
* 다른 법률에 특별한 규정이 있는 경우
|O
|O
|-
|3
|
* 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 <br>명백히 정보주체 또는 제3자의 급박한 생명·신체·재산의 이익을 위하여 필요하다고 인정되는 경우
|O
|O
|-
|4
|
* 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 않으면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 <br>개인정보보호위원회의 심의·의결을 거친 경우
|O
| -
|-
|5
|
* 조약, 그 밖의 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하기 위하여 필요한 경우
|O
| -
|-
|6
|
* 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우
|O
| -
|-
|7
|
* 법원의 재판업무 수행을 위하여 필요한 경우
|O
| -
|-
|8
|
* 형(刑) 및 감호, 보호처분의 집행을 위하여 필요한 경우
|O
| -
|}

==== 개인정보 목적 외 용도로 제3자 제공 ====

*개인정보를 목적 외의 용도로 제3자에게 제공하는 경우 제공받는 자에게 이용목적∙방법 등을 제한하거나 안전성 확보를 위하여 필요한 조치를 마련하도록 요청하여야 한다.
**개인정보를 제공받는 자에게 이용 목적, 이용 방법, 이용 기간, 이용 형태 등을 제한
**개인정보의 안전성 확보를 위하여 필요한 구체적인 조치를 마련하도록 문서(전자 문서 포함)로 요청
**해당 개인정보를 받는 자와 개인정보의 안전성 확보조치에 관한 책임관계 명확화

==== 공공기관의 개인정보 목적 외 이용·제공 시 공개 ====
공공기관이 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하는 경우 그 이용 또는 제공의 법적 근거, 목적 및 범위 등에 관하여 필요한 사항을 관보 또는 인터넷 홈페이지 등에 게재하여야 한다.

*목적 외 이용·제공 시 관보 또는 인터넷 홈페이지에 게재하지 않아도 되는 경우(예외 사항)
**1. 정보주체(이용자)의 동의를 근거로 목적 외 이용·제공 시
**2. 범죄의 수사와 공소의 제기 및 유지를 위하여 목적 외 이용·제공 시
*관보 또는 인터넷 홈페이지 게재 사항
**1. 목적 외 이용 등을 한 날짜
**2. 목적 외 이용 등의 법적 근거
**3. 목적 외 이용 등의 목적
**4. 목적 외 이용 등을 한 개인정보의 항목
*관보 또는 인터넷 홈페이지 게재 시점 및 기간
**1. 게재 시점 : 목적 외 이용·제공한 날로부터 30일 이내
**2. 게재 기간 : 인터넷 홈페이지에 게재하는 경우 10일 이상

==== 공공기관의 개인정보 목적 외 이용·제공대장 기록·관리 ====
공공기관이 개인정보를 목적 외의 용도로 이용하거나 목적 외의 용도로 제3자에게 제공하는 경우 ʻ개인 정보 목적 외 이용 및 제3자 제공대장ʼ에 기록·관리하여야 한다.

*ʻ개인정보 목적 외 이용 및 제3자 제공대장ʼ에 기록·관리하여야 하는 사항
**1. 이용하거나 제공하는 개인정보 또는 개인정보파일의 명칭
**2. 이용기관 또는 제공받는 기관의 명칭
**3. 이용 목적 또는 제공받는 목적
**4. 이용 또는 제공의 법적 근거
**5. 이용하거나 제공하는 개인정보의 항목
**6. 이용 또는 제공의 날짜, 주기 또는 기간
**7. 이용하거나 제공하는 형태
**8. 개인정보 보호를 위하여 제한을 하거나 필요한 조치를 마련할 것을 요청한 경우에는 그 내용

※ ｢개인정보 처리 방법에 관한 고시｣ 별지 1호 서식 이용

==증거 자료==

*개인정보 목적 외 이용 및 제3자 제공 내역(요청서 등 관련 증적 포함)
*개인정보 목적 외 이용 및 제3자 제공 대장(공공기관인 경우)
*홈페이지 또는 관보 게재 내역(공공기관인 경우)

==결함 사례==

*상품배송을 목적으로 수집한 개인정보를 사전에 동의받지 않은 자사 상품의 통신판매 광고에 이용한 경우
*고객 만족도 조사, 경품 행사에 응모하기 위하여 수집한 개인정보를 자사의 할인판매행사 안내용 광고 발송에 이용한 경우
*공공기관이 다른 법률에 근거하여 민원인의 개인정보를 목적 외로 타 기관에 제공하면서 관련 사항을 관보 또는 인터넷 홈페이지에 게시하지 않은 경우
*공공기관이 범죄 수사의 목적으로 경찰서에 개인정보를 제공하면서 ʻ개인정보 목적 외 이용 및 제3자 제공 대장ʼ에 관련 사항을 기록하지 않은 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 3.2.5.개인정보 목적 외 이용 및 제공

2023-04-09T13:43:12Z

짱갤럽: /* 개인정보 목적 외 이용 금지 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 3.개인정보 처리단계별 요구사항|3.개인정보 처리단계별 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 3.2.개인정보 보유 및 이용 시 보호조치|3.2.개인정보 보유 및 이용 시 보호조치]]

==개요==
{| class="wikitable"
!항목
!3.2.5.개인정보 목적 외 이용 및 제공
|-
| style="text-align:center" |'''인증기준'''
|개인정보는 수집 시의 정보주체(이용자)에게 고지·동의를 받은 목적 또는 법령에 근거한 범위 내에서만 이용 또는 제공하여야 하며, 이를 초과하여 이용·제공하려는 때에는 정보주체(이용자)의 추가 동의를 받거나 관계 법령에 따른 적법한 경우인지 확인하고 적절한 보호대책을 수립·이행하여야 한다.
|-
|'''주요 확인사항'''
|
*개인정보는 최초 수집 시 정보주체(이용자)로부터 동의 받은 목적 또는 법령에 근거한 범위 내에서만 이용‧제공하고 있는가?
*개인정보를 수집 목적 또는 범위를 초과하여 이용하거나 제공하는 경우 정보주체(이용자)로부터 별도의 동의를 받거나 법적 근거가 있는 경우로 제한하고 있는가?
*개인정보를 목적 외의 용도로 제3자에게 제공하는 경우 제공받는 자에게 이용목적‧방법 등을 제한하거나 안전성 확보를 위해 필요한 조치를 마련하도록 요청하고 있는가?
*공공기관이 개인정보를 목적 외의 용도로 이용하거나 제3자에게 제공하는 경우 그 이용 또는 제공의 법적 근거, 목적 및 범위 등에 관하여 필요한 사항을 관보 또는 인터넷 홈페이지 등에 게재하고 있는가?
*공공기관이 개인정보를 목적 외의 용도로 이용하거나 제3자에게 제공하는 경우 목적 외 이용 및 제3자 제공대장에 기록∙관리하고 있는가?
|}
==세부 설명==

==== 개인정보 목적 외 이용 금지 ====
개인정보는 최초 수집 시 정보주체(이용자)로부터 동의받은 목적 또는 법령에 근거한 범위 내에서만 이용 또는 제공하여야 한다.

* 개인정보를 수집 목적 또는 범위를 초과하여 이용하거나 제공하는 경우 정보주체(이용자)로부터 별도의 동의를 받거나 법적 근거가 있는 경우로 제한하여야 한다.

*개인정보를 목적 외의 용도로 이용·제공 가능한 경우(다만 정보통신서비스 제공자는 제1호, 제2호의 경우로 한정)

{| class="wikitable"
!No
!목적 외 이용·제공이 가능한 경우
!공공기관
!공공기관 외
|-
|1
|
* 정보주체(이용자)로부터 별도의 동의를 받는 경우
|O
|O
|-
|2
|
* 다른 법률에 특별한 규정이 있는 경우
|O
|O
|-
|3
|
* 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명·신체·재산의 이익을 위하여 필요하다고 인정되는 경우
|O
|O
|-
|4
|
* 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 않으면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서 개인정보보호위원회의 심의·의결을 거친 경우
|O
| -
|-
|5
|
* 조약, 그 밖의 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하기 위하여 필요한 경우
|O
| -
|-
|6
|
* 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우
|O
| -
|-
|7
|
* 법원의 재판업무 수행을 위하여 필요한 경우
|O
| -
|-
|8
|
* 형(刑) 및 감호, 보호처분의 집행을 위하여 필요한 경우
|O
| -
|}

==== 개인정보 목적 외 용도로 제3자 제공 ====

*개인정보를 목적 외의 용도로 제3자에게 제공하는 경우 제공받는 자에게 이용목적∙방법 등을 제한하거나 안전성 확보를 위하여 필요한 조치를 마련하도록 요청하여야 한다.
**개인정보를 제공받는 자에게 이용 목적, 이용 방법, 이용 기간, 이용 형태 등을 제한
**개인정보의 안전성 확보를 위하여 필요한 구체적인 조치를 마련하도록 문서(전자 문서 포함)로 요청
**해당 개인정보를 받는 자와 개인정보의 안전성 확보조치에 관한 책임관계 명확화

==== 공공기관의 개인정보 목적 외 이용·제공 시 공개 ====
공공기관이 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하는 경우 그 이용 또는 제공의 법적 근거, 목적 및 범위 등에 관하여 필요한 사항을 관보 또는 인터넷 홈페이지 등에 게재하여야 한다.

*목적 외 이용·제공 시 관보 또는 인터넷 홈페이지에 게재하지 않아도 되는 경우(예외 사항)
**1. 정보주체(이용자)의 동의를 근거로 목적 외 이용·제공 시
**2. 범죄의 수사와 공소의 제기 및 유지를 위하여 목적 외 이용·제공 시
*관보 또는 인터넷 홈페이지 게재 사항
**1. 목적 외 이용 등을 한 날짜
**2. 목적 외 이용 등의 법적 근거
**3. 목적 외 이용 등의 목적
**4. 목적 외 이용 등을 한 개인정보의 항목
*관보 또는 인터넷 홈페이지 게재 시점 및 기간
**1. 게재 시점 : 목적 외 이용·제공한 날로부터 30일 이내
**2. 게재 기간 : 인터넷 홈페이지에 게재하는 경우 10일 이상

==== 공공기관의 개인정보 목적 외 이용·제공대장 기록·관리 ====
공공기관이 개인정보를 목적 외의 용도로 이용하거나 목적 외의 용도로 제3자에게 제공하는 경우 ʻ개인 정보 목적 외 이용 및 제3자 제공대장ʼ에 기록·관리하여야 한다.

*ʻ개인정보 목적 외 이용 및 제3자 제공대장ʼ에 기록·관리하여야 하는 사항
**1. 이용하거나 제공하는 개인정보 또는 개인정보파일의 명칭
**2. 이용기관 또는 제공받는 기관의 명칭
**3. 이용 목적 또는 제공받는 목적
**4. 이용 또는 제공의 법적 근거
**5. 이용하거나 제공하는 개인정보의 항목
**6. 이용 또는 제공의 날짜, 주기 또는 기간
**7. 이용하거나 제공하는 형태
**8. 개인정보 보호를 위하여 제한을 하거나 필요한 조치를 마련할 것을 요청한 경우에는 그 내용

※ ｢개인정보 처리 방법에 관한 고시｣ 별지 1호 서식 이용

==증거 자료==

*개인정보 목적 외 이용 및 제3자 제공 내역(요청서 등 관련 증적 포함)
*개인정보 목적 외 이용 및 제3자 제공 대장(공공기관인 경우)
*홈페이지 또는 관보 게재 내역(공공기관인 경우)

==결함 사례==

*상품배송을 목적으로 수집한 개인정보를 사전에 동의받지 않은 자사 상품의 통신판매 광고에 이용한 경우
*고객 만족도 조사, 경품 행사에 응모하기 위하여 수집한 개인정보를 자사의 할인판매행사 안내용 광고 발송에 이용한 경우
*공공기관이 다른 법률에 근거하여 민원인의 개인정보를 목적 외로 타 기관에 제공하면서 관련 사항을 관보 또는 인터넷 홈페이지에 게시하지 않은 경우
*공공기관이 범죄 수사의 목적으로 경찰서에 개인정보를 제공하면서 ʻ개인정보 목적 외 이용 및 제3자 제공 대장ʼ에 관련 사항을 기록하지 않은 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 3.2.5.개인정보 목적 외 이용 및 제공

2023-04-09T13:42:18Z

짱갤럽: /* 공공기관의 개인정보 목적 외 이용·제공 시 공개 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 3.개인정보 처리단계별 요구사항|3.개인정보 처리단계별 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 3.2.개인정보 보유 및 이용 시 보호조치|3.2.개인정보 보유 및 이용 시 보호조치]]

==개요==
{| class="wikitable"
!항목
!3.2.5.개인정보 목적 외 이용 및 제공
|-
| style="text-align:center" |'''인증기준'''
|개인정보는 수집 시의 정보주체(이용자)에게 고지·동의를 받은 목적 또는 법령에 근거한 범위 내에서만 이용 또는 제공하여야 하며, 이를 초과하여 이용·제공하려는 때에는 정보주체(이용자)의 추가 동의를 받거나 관계 법령에 따른 적법한 경우인지 확인하고 적절한 보호대책을 수립·이행하여야 한다.
|-
|'''주요 확인사항'''
|
*개인정보는 최초 수집 시 정보주체(이용자)로부터 동의 받은 목적 또는 법령에 근거한 범위 내에서만 이용‧제공하고 있는가?
*개인정보를 수집 목적 또는 범위를 초과하여 이용하거나 제공하는 경우 정보주체(이용자)로부터 별도의 동의를 받거나 법적 근거가 있는 경우로 제한하고 있는가?
*개인정보를 목적 외의 용도로 제3자에게 제공하는 경우 제공받는 자에게 이용목적‧방법 등을 제한하거나 안전성 확보를 위해 필요한 조치를 마련하도록 요청하고 있는가?
*공공기관이 개인정보를 목적 외의 용도로 이용하거나 제3자에게 제공하는 경우 그 이용 또는 제공의 법적 근거, 목적 및 범위 등에 관하여 필요한 사항을 관보 또는 인터넷 홈페이지 등에 게재하고 있는가?
*공공기관이 개인정보를 목적 외의 용도로 이용하거나 제3자에게 제공하는 경우 목적 외 이용 및 제3자 제공대장에 기록∙관리하고 있는가?
|}
==세부 설명==

==== 개인정보 목적 외 이용 금지 ====
개인정보는 최초 수집 시 정보주체(이용자)로부터 동의받은 목적 또는 법령에 근거한 범위 내에서만 이용 또는 제공하여야 한다.

* 개인정보를 수집 목적 또는 범위를 초과하여 이용하거나 제공하는 경우 정보주체(이용자)로부터 별도의 동의를 받거나 법적 근거가 있는 경우로 제한하여야 한다.

*개인정보를 목적 외의 용도로 이용·제공 가능한 경우(다만 정보통신서비스 제공자는 제1호, 제2호의 경우로 한정)

{| class="wikitable"
!No
!목적 외 이용·제공이 가능한 경우
!공공기관
!공공기관 외
|-
|1
|
* 정보주체(이용자)로부터 별도의 동의를 받는 경우
|O
|O
|-
|2
|
* 다른 법률에 특별한 규정이 있는 경우
|O
|O
|-
|3
|
* 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 주소불명 등으로 사전 동의를 받을 수 없는 경우로서
** 명백히 정보주체 또는 제3자의 급박한 생명·신체·재산의 이익을 위하여 필요하다고 인정되는 경우
|O
|O
|-
|4
|
* 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하지 않으면 다른 법률에서 정하는 소관 업무를 수행할 수 없는 경우로서
** 개인정보보호위원회의 심의·의결을 거친 경우
|O
| -
|-
|5
|
* 조약, 그 밖의 국제협정의 이행을 위하여 외국정부 또는 국제기구에 제공하기 위하여 필요한 경우
|O
| -
|-
|6
|
* 범죄의 수사와 공소의 제기 및 유지를 위하여 필요한 경우
|O
| -
|-
|7
|
* 법원의 재판업무 수행을 위하여 필요한 경우
|O
| -
|-
|8
|
* 형(刑) 및 감호, 보호처분의 집행을 위하여 필요한 경우
|O
| -
|}

==== 개인정보 목적 외 용도로 제3자 제공 ====

*개인정보를 목적 외의 용도로 제3자에게 제공하는 경우 제공받는 자에게 이용목적∙방법 등을 제한하거나 안전성 확보를 위하여 필요한 조치를 마련하도록 요청하여야 한다.
**개인정보를 제공받는 자에게 이용 목적, 이용 방법, 이용 기간, 이용 형태 등을 제한
**개인정보의 안전성 확보를 위하여 필요한 구체적인 조치를 마련하도록 문서(전자 문서 포함)로 요청
**해당 개인정보를 받는 자와 개인정보의 안전성 확보조치에 관한 책임관계 명확화

==== 공공기관의 개인정보 목적 외 이용·제공 시 공개 ====
공공기관이 개인정보를 목적 외의 용도로 이용하거나 이를 제3자에게 제공하는 경우 그 이용 또는 제공의 법적 근거, 목적 및 범위 등에 관하여 필요한 사항을 관보 또는 인터넷 홈페이지 등에 게재하여야 한다.

*목적 외 이용·제공 시 관보 또는 인터넷 홈페이지에 게재하지 않아도 되는 경우(예외 사항)
**1. 정보주체(이용자)의 동의를 근거로 목적 외 이용·제공 시
**2. 범죄의 수사와 공소의 제기 및 유지를 위하여 목적 외 이용·제공 시
*관보 또는 인터넷 홈페이지 게재 사항
**1. 목적 외 이용 등을 한 날짜
**2. 목적 외 이용 등의 법적 근거
**3. 목적 외 이용 등의 목적
**4. 목적 외 이용 등을 한 개인정보의 항목
*관보 또는 인터넷 홈페이지 게재 시점 및 기간
**1. 게재 시점 : 목적 외 이용·제공한 날로부터 30일 이내
**2. 게재 기간 : 인터넷 홈페이지에 게재하는 경우 10일 이상

==== 공공기관의 개인정보 목적 외 이용·제공대장 기록·관리 ====
공공기관이 개인정보를 목적 외의 용도로 이용하거나 목적 외의 용도로 제3자에게 제공하는 경우 ʻ개인 정보 목적 외 이용 및 제3자 제공대장ʼ에 기록·관리하여야 한다.

*ʻ개인정보 목적 외 이용 및 제3자 제공대장ʼ에 기록·관리하여야 하는 사항
**1. 이용하거나 제공하는 개인정보 또는 개인정보파일의 명칭
**2. 이용기관 또는 제공받는 기관의 명칭
**3. 이용 목적 또는 제공받는 목적
**4. 이용 또는 제공의 법적 근거
**5. 이용하거나 제공하는 개인정보의 항목
**6. 이용 또는 제공의 날짜, 주기 또는 기간
**7. 이용하거나 제공하는 형태
**8. 개인정보 보호를 위하여 제한을 하거나 필요한 조치를 마련할 것을 요청한 경우에는 그 내용

※ ｢개인정보 처리 방법에 관한 고시｣ 별지 1호 서식 이용

==증거 자료==

*개인정보 목적 외 이용 및 제3자 제공 내역(요청서 등 관련 증적 포함)
*개인정보 목적 외 이용 및 제3자 제공 대장(공공기관인 경우)
*홈페이지 또는 관보 게재 내역(공공기관인 경우)

==결함 사례==

*상품배송을 목적으로 수집한 개인정보를 사전에 동의받지 않은 자사 상품의 통신판매 광고에 이용한 경우
*고객 만족도 조사, 경품 행사에 응모하기 위하여 수집한 개인정보를 자사의 할인판매행사 안내용 광고 발송에 이용한 경우
*공공기관이 다른 법률에 근거하여 민원인의 개인정보를 목적 외로 타 기관에 제공하면서 관련 사항을 관보 또는 인터넷 홈페이지에 게시하지 않은 경우
*공공기관이 범죄 수사의 목적으로 경찰서에 개인정보를 제공하면서 ʻ개인정보 목적 외 이용 및 제3자 제공 대장ʼ에 관련 사항을 기록하지 않은 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 1.1.5.정책 수립

2023-04-04T05:57:31Z

짱갤럽: /* 세부 지침·절차 등 하위 실행 문서 수립 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 1.관리체계 수립 및 운영|1.관리체계 수립 및 운영]]
*'''분류''': [[ISMS-P 인증 기준 1.1.관리체계 기반 마련|1.1.관리체계 기반 마련]]

==개요==
{| class="wikitable"
!항목
!1.1.5.정책 수립
|-
| style="text-align:center" |'''인증기준'''
|정보보호와 개인정보보호 정책 및 시행문서를 수립·작성하며, 이때 조직의 정보보호와 개인정보보호 방침 및 방향을 명확하게 제시하여야 한다. 또한 정책과 시행문서는 경영진 승인을 받고, 임직원 및 관련자에게 이해하기 쉬운 형태로 전달하여야 한다.
|-
|'''주요 확인사항'''
|
*조직이 수행하는 모든 정보보호 및 개인정보보호 활동의 근거를 포함하는 최상위 수준의 [[정보보호 정책|정보보호 및 개인정보보호 정책]]을 수립하고 있는가?
*정보보호 및 개인정보보호 정책의 시행을 위하여 필요한 세부적인 방법, 절차, 주기 등을 규정한 지침, 절차, 매뉴얼 등을 수립하고 있는가?
**'''(가상자산 사업자)''' 가상자산 거래 서비스를 안전하게 제공/관리하기 위하여 취급업소의 주요 자산분류 및 작업에 대한 보안요구사항이 정책, 매뉴얼, 지침 등에 포함되어 있는가?
*정보보호 및 개인정보보호 정책∙시행문서의 제∙개정 시 최고경영자 또는 최고경영자로부터 권한을 위임받은 자의 승인을 받고 있는가?
*정보보호 및 개인정보보호 정책∙시행문서의 최신본을 관련 임직원에게 접근하기 쉬운 형태로 제공하고 있는가?
**'''(가산자산 사업자)''' 핫/콜드월렛 관련 주요 작업 지침 및 절차는 비밀로 관리하고 업무상 열람이 필요한 인원으로 배포를 제한하고 있는가?
|}
==세부 설명==

====최상위 수준의 정보보호·개인정보보호 정책 수립====
조직이 수행하는 모든 정보보호 및 개인정보보호 활동의 근거를 포함하는 최상위 수준의 정보보호 및 개인정보보호 정책은 다음 내용을 포함하여 수립하여야 한다.

*조직의 정보보호 및 개인정보보호에 대한 최고경영자의 등 경영진의 의지 및 방향
*조직의 정보보호 및 개인정보보호를 위한 역할과 책임 및 대상과 범위
*조직이 수행하는 관리적·기술적·물리적 정보보호 및 개인정보보호 활동의 근거

====세부 지침·절차 등 하위 실행 문서 수립====
정보보호 및 개인정보보호 정책에 명시된 정보보호 및 개인정보보호 사항을 구체적으로 시행하기 위하여필요한 세부 방법, 절차, 주기, 수행주체 등을 규정하는 지침, 절차, 매뉴얼, 가이드 등의 하위 실행 문서를 조직의 특성에 맞게 수립하여야 한다.

*하위 실행 문서는 조직이 수행하는 모든 정보보호 및 개인정보보호 활동의 근거를 구체적으로제시할 수 있어야 하며, 보호 대상 관점 또는 수행주체 관점 등 다양한 관점에서 조직 특성에 맞게수립
*'''하위 실행 문서(예시)'''

{| class="wikitable"
!보호대상 관점
!수행주체 관점
|-
|
*서버보안 지침
*네트워크보안 지침
*데이터베이스보안 지침
*애플리케이션보안 지침
*웹서비스 보안 지침
*클라우드 보안 지침
|
*임직원보안 지침
*개발자보안 지침
*운영자보안 지침 등
|}

*정책 및 시행문서(지침, 절차 등)는 조직이 제공하고 있는 서비스, 사업 등에 관련된 개인정보 보호관련 법적 요구사항(법률, 시행령, 시행규칙, 하위 고시, 가이드 등)을 반영
*개인정보를 처리하는 경우 개인정보 보호법에 따른 [[내부 관리계획]]을 관련 법규에서 요구하는 사항을모두 포함하여 수립
*개인정보 보호법에 따라 내부관리계획에 포함되어야 하는 사항

{| class="wikitable"
!개인정보처리자
!정보통신서비스 제공자
|-
|
*1. 개인정보 보호책임자의 지정에 관한 사항
*2. 개인정보 보호책임자 및 개인정보취급자의역할 및 책임에 관한 사항
*3. 개인정보취급자에 대한 교육에 관한 사항
*4. 접근 권한의 관리에 관한 사항
*5. 접근 통제에 관한 사항
*6. 개인정보의 암호화 조치에 관한 사항
*7. 접속기록 보관 및 점검에 관한 사항
*8. 악성프로그램 등 방지에 관한 사항
*9. 물리적 안전조치에 관한 사항
*10. 개인정보 보호조직에 관한 구성 및 운영에 관한 사항
*11. 개인정보 유출사고 대응 계획 수립·시행에 관한 사항
*12. 위험도 분석 및 대응방안 마련에 관한 사항
*13. 재해 ․ 재난 대비 개인정보처리시스템의 물리적 안전조치에 관한 사항
*14. 개인정보 처리업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항
*15. 그 밖에 개인정보 보호를 위하여 필요한 사항

※ 다만 개인정보처리자 유형 및 규모에 따라 필수 사항이 상이함(개인정보의 안전성 확보 조치 기준 별표 참조).
|
*1. 개인정보 보호책임자의 자격요건 및 지정에 관한 사항
*2. 개인정보 보호책임자와 개인정보취급자의 역할 및 책임에 관한 사항
*3. 개인정보 내부관리계획의 수립 및 승인에 관한 사항
*4. 개인정보의 기술적 ․ 관리적 보호조치 이행 여부의 내부 점검에 관한 사항
*5. 개인정보 처리업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항
*6. 개인정보의 분실․ 도난․ 누출․ 변조․ 훼손 등이 발생한 경우의 대응절차 및 방법에 관한 사항
*7. 개인정보보호 교육에 관한 사항(교육목적 및 대상, 교육내용, 교육 일정 및 방법)
*8. 개인정보의 기술적 ․ 관리적 보호조치에 관한 사항(접근통제, 접속기록의 위 ․ 변조방지, 개인정보의 암호화, 악성프로그램 방지 등)
*9. 그 밖에 개인정보 보호를 위하여 필요한 사항
|}

====정책 제·개정 시 최고경영자 승인====

*정보보호 및 개인정보보호 정책·시행문서 제·개정 시 최고경영자 또는 최고경영자로부터 권한을위임받은 자의 승인을 받아야 한다.
**정책서와 시행문서를 제·개정하는 경우 이해관계자와 해당 내용을 충분히 협의·검토
**정책서 및 시행문서 변경으로 인한 조직 업무 및 서비스 영향도, 법적 준거성 등을 고려
**회의록 등 검토 사항에 대한 기록을 남기고 정책·지침 등에 관련 사항 반영
**검토가 완료된 정책서 및 시행문서를 경영진에게 보고하고 승인

====임직원에서 최신화된 정책 배포====

*정보보호 및 개인정보보호 정책·시행문서의 제·개정 시 최신본을 관련 임직원에게 이해하기 쉬운형태로 제공하여야 한다.
**임직원 및 외부자가 용이하게 참고할 수 있는 형태(전자게시판, 책자, 교육자료, 매뉴얼 등)로 제공
**정책서 및 시행문서는 제·개정사항이 발생하면 즉시 공표하고 최신본을 유지

==증거 자료==

*정보보호 및 개인정보보호 정책/지침/절차서(제·개정 내역 포함)
*정보보호 및 개인정보보호 정책/지침절차서 제·개정 시 이해관계자 검토 회의록
*개인정보 내부관리계획
*정보보호 및 개인정보보호 정책/지침 제·개정 공지내역(그룹웨어, 사내게시판 등)
*정보보호 및 개인정보보호위원회 회의록

==결함 사례==

*내부 규정에 따르면 정보보호 및 개인정보보호 정책서 제·개정 시에는 정보보호 및 개인 정보보호위원회의 의결을 거치도록 하고 있으나, 최근 정책서 개정 시 위원회에 안건으로 상정하지 않고 정보보호 최고책임자 및 개인정보 보호책임자의 승인을 근거로만 개정한 경우
*정보보호 및 개인정보보호 정책 및 지침서가 최근에 개정되었으나, 해당 사항이 관련 부서 및 임직원에게 공유·전달되지 않아 일부 부서에서는 구버전의 지침서를 기준으로 업무를 수행하고 있는 경우
*정보보호 및 개인정보보호 정책 및 지침서를 보안부서에서만 관리하고 있고, 임직원이 열람할 수 있도록 게시판, 문서 등의 방법으로 제공하지 않는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 1.1.5.정책 수립

2023-04-04T05:55:02Z

짱갤럽: /* 세부 지침·절차 등 하위 실행 문서 수립 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 1.관리체계 수립 및 운영|1.관리체계 수립 및 운영]]
*'''분류''': [[ISMS-P 인증 기준 1.1.관리체계 기반 마련|1.1.관리체계 기반 마련]]

==개요==
{| class="wikitable"
!항목
!1.1.5.정책 수립
|-
| style="text-align:center" |'''인증기준'''
|정보보호와 개인정보보호 정책 및 시행문서를 수립·작성하며, 이때 조직의 정보보호와 개인정보보호 방침 및 방향을 명확하게 제시하여야 한다. 또한 정책과 시행문서는 경영진 승인을 받고, 임직원 및 관련자에게 이해하기 쉬운 형태로 전달하여야 한다.
|-
|'''주요 확인사항'''
|
*조직이 수행하는 모든 정보보호 및 개인정보보호 활동의 근거를 포함하는 최상위 수준의 [[정보보호 정책|정보보호 및 개인정보보호 정책]]을 수립하고 있는가?
*정보보호 및 개인정보보호 정책의 시행을 위하여 필요한 세부적인 방법, 절차, 주기 등을 규정한 지침, 절차, 매뉴얼 등을 수립하고 있는가?
**'''(가상자산 사업자)''' 가상자산 거래 서비스를 안전하게 제공/관리하기 위하여 취급업소의 주요 자산분류 및 작업에 대한 보안요구사항이 정책, 매뉴얼, 지침 등에 포함되어 있는가?
*정보보호 및 개인정보보호 정책∙시행문서의 제∙개정 시 최고경영자 또는 최고경영자로부터 권한을 위임받은 자의 승인을 받고 있는가?
*정보보호 및 개인정보보호 정책∙시행문서의 최신본을 관련 임직원에게 접근하기 쉬운 형태로 제공하고 있는가?
**'''(가산자산 사업자)''' 핫/콜드월렛 관련 주요 작업 지침 및 절차는 비밀로 관리하고 업무상 열람이 필요한 인원으로 배포를 제한하고 있는가?
|}
==세부 설명==

====최상위 수준의 정보보호·개인정보보호 정책 수립====
조직이 수행하는 모든 정보보호 및 개인정보보호 활동의 근거를 포함하는 최상위 수준의 정보보호 및 개인정보보호 정책은 다음 내용을 포함하여 수립하여야 한다.

*조직의 정보보호 및 개인정보보호에 대한 최고경영자의 등 경영진의 의지 및 방향
*조직의 정보보호 및 개인정보보호를 위한 역할과 책임 및 대상과 범위
*조직이 수행하는 관리적·기술적·물리적 정보보호 및 개인정보보호 활동의 근거

====세부 지침·절차 등 하위 실행 문서 수립====
정보보호 및 개인정보보호 정책에 명시된 정보보호 및 개인정보보호 사항을 구체적으로 시행하기 위하여필요한 세부 방법, 절차, 주기, 수행주체 등을 규정하는 지침, 절차, 매뉴얼, 가이드 등의 하위 실행 문서를 조직의 특성에 맞게 수립하여야 한다.

*하위 실행 문서는 조직이 수행하는 모든 정보보호 및 개인정보보호 활동의 근거를 구체적으로제시할 수 있어야 하며, 보호 대상 관점 또는 수행주체 관점 등 다양한 관점에서 조직 특성에 맞게수립
*'''하위 실행 문서(예시)'''

{| class="wikitable"
!보호대상 관점
!수행주체 관점
|-
|
*서버보안 지침
*네트워크보안 지침
*데이터베이스보안 지침
*애플리케이션보안 지침
*웹서비스 보안 지침
*클라우드 보안 지침
|
*임직원보안 지침
*개발자보안 지침
*운영자보안 지침 등
|}

*정책 및 시행문서(지침, 절차 등)는 조직이 제공하고 있는 서비스, 사업 등에 관련된 개인정보 보호관련 법적 요구사항(법률, 시행령, 시행규칙, 하위 고시, 가이드 등)을 반영
*개인정보를 처리하는 경우 개인정보 보호법에 따른 [[내부 관리계획]]을 관련 법규에서 요구하는 사항을모두 포함하여 수립
*개인정보 보호법에 따라 내부관리계획에 포함되어야 하는 사항

{| class="wikitable"
!개인정보처리자
!정보통신서비스 제공자
|-
|
*1. 개인정보 보호책임자의 지정에 관한 사항
*2. 개인정보 보호책임자 및 개인정보취급자의역할 및 책임에 관한 사항
*3. 개인정보취급자에 대한 교육에 관한 사항
*4. 접근 권한의 관리에 관한 사항
*5. 접근 통제에 관한 사항
*6. 개인정보의 암호화 조치에 관한 사항
*7. 접속기록 보관 및 점검에 관한 사항
*8. 악성프로그램 등 방지에 관한 사항
*9. 물리적 안전조치에 관한 사항
*10. 개인정보 보호조직에 관한 구성 및 운영에 관한 사항
**1. 개인정보 유출사고 대응 계획 수립·시행에 관한 사항
**2. 위험도 분석 및 대응방안 마련에 관한 사항
**3. 재해 ․ 재난 대비 개인정보처리시스템의 물리적 안전조치에 관한 사항
**4. 개인정보 처리업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항
**5. 그 밖에 개인정보 보호를 위하여 필요한 사항

※ 다만 개인정보처리자 유형 및 규모에 따라 필수 사항이 상이함(개인정보의 안전성 확보 조치 기준 별표 참조).
|
*1. 개인정보 보호책임자의 자격요건 및 지정에 관한 사항
*2. 개인정보 보호책임자와 개인정보취급자의 역할 및 책임에 관한 사항
*3. 개인정보 내부관리계획의 수립 및 승인에 관한 사항
*4. 개인정보의 기술적 ․ 관리적 보호조치 이행 여부의 내부 점검에 관한 사항
*5. 개인정보 처리업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항
*6. 개인정보의 분실․ 도난․ 누출․ 변조․ 훼손 등이 발생한 경우의 대응절차 및 방법에 관한 사항
*7. 개인정보보호 교육에 관한 사항(교육목적 및 대상, 교육내용, 교육 일정 및 방법)
*8. 개인정보의 기술적 ․ 관리적 보호조치에 관한 사항(접근통제, 접속기록의 위 ․ 변조방지, 개인정보의 암호화, 악성프로그램 방지 등)
*9. 그 밖에 개인정보 보호를 위하여 필요한 사항
|}

====정책 제·개정 시 최고경영자 승인====

*정보보호 및 개인정보보호 정책·시행문서 제·개정 시 최고경영자 또는 최고경영자로부터 권한을위임받은 자의 승인을 받아야 한다.
**정책서와 시행문서를 제·개정하는 경우 이해관계자와 해당 내용을 충분히 협의·검토
**정책서 및 시행문서 변경으로 인한 조직 업무 및 서비스 영향도, 법적 준거성 등을 고려
**회의록 등 검토 사항에 대한 기록을 남기고 정책·지침 등에 관련 사항 반영
**검토가 완료된 정책서 및 시행문서를 경영진에게 보고하고 승인

====임직원에서 최신화된 정책 배포====

*정보보호 및 개인정보보호 정책·시행문서의 제·개정 시 최신본을 관련 임직원에게 이해하기 쉬운형태로 제공하여야 한다.
**임직원 및 외부자가 용이하게 참고할 수 있는 형태(전자게시판, 책자, 교육자료, 매뉴얼 등)로 제공
**정책서 및 시행문서는 제·개정사항이 발생하면 즉시 공표하고 최신본을 유지

==증거 자료==

*정보보호 및 개인정보보호 정책/지침/절차서(제·개정 내역 포함)
*정보보호 및 개인정보보호 정책/지침절차서 제·개정 시 이해관계자 검토 회의록
*개인정보 내부관리계획
*정보보호 및 개인정보보호 정책/지침 제·개정 공지내역(그룹웨어, 사내게시판 등)
*정보보호 및 개인정보보호위원회 회의록

==결함 사례==

*내부 규정에 따르면 정보보호 및 개인정보보호 정책서 제·개정 시에는 정보보호 및 개인 정보보호위원회의 의결을 거치도록 하고 있으나, 최근 정책서 개정 시 위원회에 안건으로 상정하지 않고 정보보호 최고책임자 및 개인정보 보호책임자의 승인을 근거로만 개정한 경우
*정보보호 및 개인정보보호 정책 및 지침서가 최근에 개정되었으나, 해당 사항이 관련 부서 및 임직원에게 공유·전달되지 않아 일부 부서에서는 구버전의 지침서를 기준으로 업무를 수행하고 있는 경우
*정보보호 및 개인정보보호 정책 및 지침서를 보안부서에서만 관리하고 있고, 임직원이 열람할 수 있도록 게시판, 문서 등의 방법으로 제공하지 않는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 1.4.3.관리체계 개선

2023-04-04T04:18:34Z

짱갤럽: /* 개선 결과확인을 위한 기준·절차 수립 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 1.관리체계 수립 및 운영|1.관리체계 수립 및 운영]]
*'''분류''': [[ISMS-P 인증 기준 1.4.관리체계 점검 및 개선|1.4.관리체계 점검 및 개선]]

==개요==
{| class="wikitable"
!항목
!1.4.3.관리체계 개선
|-
| style="text-align:center" |'''인증기준'''
|법적 요구사항 준수검토 및 관리체계 점검을 통해 식별된 관리체계상의 문제점에 대한 원인을 분석하고 재발방지 대책을 수립·이행하여야 하며, 경영진은 개선 결과의 정확성과 효과성 여부를 확인하여야 한다.
|-
|'''주요 확인사항'''
|
*법적 요구사항 준수검토 및 관리체계 점검을 통해 식별된 관리체계 상의 문제점에 대한 근본 원인을 분석하여 재발방지 및 개선 대책을 수립‧이행하고 있는가?
*재발방지 및 개선 결과의 정확성 및 효과성 여부를 확인하기 위한 기준과 절차를 마련하고 있는가?
|}
==세부 설명==

==== 근본 원인 분석 및 개선 대책 수립·이행 ====
법적 요구사항 준수검토 및 관리체계 점검을 통하여 식별된 관리체계상의 문제점에 대한 근본 원인을 분석하여 재발방지 및 개선 대책을 수립·이행하여야 한다.
*식별된 관리체계상의 문제점 및 결함사항에 대한 근본 원인 분석
*근본원인 분석결과를 바탕으로 발견된 문제점의 재발방지 및 개선을 위한 대책의 수립·이행
*수립된 재발방지 대책에 대하여 관련자들에게 공유 및 교육 실시
<blockquote style="width:70%;">'''※ 재발방지 대책(예시)'''
*정보보호 및 개인정보보호 정책·지침·절차 개정
*임직원 및 외부자에 대한 교육 강화 또는 개선
*이상행위 등에 대한 모니터링 강화
*정보보호 및 개인정보보호 운영 자동화(계정관리 등)
*정보보호 및 개인정보보호 관련 검토·승인 절차 개선
*내부점검 체크리스트 또는 방식 개선 등
</blockquote>

==== 개선 결과확인을 위한 기준·절차 수립 ====
재발방지 및 개선 결과의 정확성 및 효과성 여부를 확인하기 위한 기준과 절차를 마련하여야 한다.
*재발방지 및 개선조치의 정확성 및 효과성을 측정하기 위하여 관리체계 측면에서의 핵심성과지표(보안성과지표) 도출
*핵심성과지표(보안성과지표)에 대한 측정 및 모니터링 절차 수립·이행
*재발방지 및 개선조치의 정확성·효과성에 대한 확인 및 측정 결과는 경영진에게 보고
<blockquote style="width:70%">'''※ 재발방지 및 개선조치 관련 보안성과지표(예시)'''
*보안 정책·지침 위반율(외부 전송규정 위반율, 보안우회 시도율 등)
*보안 예외 승인 건수
*보안 프로그램 설치율
*악성프로그램 감염률
*자가점검 수행률 등
</blockquote>

==증거 자료==

*내부점검 결과보고서
*재발방지 대책
*효과성 측정 지표 및 측정 결과(경영진 보고 포함)

==결함 사례==

*내부점검을 통하여 발견된 정보보호 및 개인정보보호 관리체계 운영상 문제점이 매번 '''동일하게 반복되어 발생'''되는 경우
*내부 규정에는 내부점검 시 발견된 문제점에 대해서는 근본원인에 대한 분석 및 재발방지 대책을 수립하도록 되어 있으나, 최근에 수행된 내부점검에서는 발견된 문제점에 대하여 근본원인 분석 및 재발방지 대책이 수립되지 않은 경우
*관리체계상 문제점에 대한 재발방지 대책을 수립하고 핵심성과지표를 마련하여 주기적으로 측정하고 있으나, 그 결과에 대하여 경영진 보고가 장기간 이루어지지 않은 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 1.4.3.관리체계 개선

2023-04-04T04:18:13Z

짱갤럽: /* 근본 원인 분석 및 개선 대책 수립·이행 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 1.관리체계 수립 및 운영|1.관리체계 수립 및 운영]]
*'''분류''': [[ISMS-P 인증 기준 1.4.관리체계 점검 및 개선|1.4.관리체계 점검 및 개선]]

==개요==
{| class="wikitable"
!항목
!1.4.3.관리체계 개선
|-
| style="text-align:center" |'''인증기준'''
|법적 요구사항 준수검토 및 관리체계 점검을 통해 식별된 관리체계상의 문제점에 대한 원인을 분석하고 재발방지 대책을 수립·이행하여야 하며, 경영진은 개선 결과의 정확성과 효과성 여부를 확인하여야 한다.
|-
|'''주요 확인사항'''
|
*법적 요구사항 준수검토 및 관리체계 점검을 통해 식별된 관리체계 상의 문제점에 대한 근본 원인을 분석하여 재발방지 및 개선 대책을 수립‧이행하고 있는가?
*재발방지 및 개선 결과의 정확성 및 효과성 여부를 확인하기 위한 기준과 절차를 마련하고 있는가?
|}
==세부 설명==

==== 근본 원인 분석 및 개선 대책 수립·이행 ====
법적 요구사항 준수검토 및 관리체계 점검을 통하여 식별된 관리체계상의 문제점에 대한 근본 원인을 분석하여 재발방지 및 개선 대책을 수립·이행하여야 한다.
*식별된 관리체계상의 문제점 및 결함사항에 대한 근본 원인 분석
*근본원인 분석결과를 바탕으로 발견된 문제점의 재발방지 및 개선을 위한 대책의 수립·이행
*수립된 재발방지 대책에 대하여 관련자들에게 공유 및 교육 실시
<blockquote style="width:70%;">'''※ 재발방지 대책(예시)'''
*정보보호 및 개인정보보호 정책·지침·절차 개정
*임직원 및 외부자에 대한 교육 강화 또는 개선
*이상행위 등에 대한 모니터링 강화
*정보보호 및 개인정보보호 운영 자동화(계정관리 등)
*정보보호 및 개인정보보호 관련 검토·승인 절차 개선
*내부점검 체크리스트 또는 방식 개선 등
</blockquote>

==== 개선 결과확인을 위한 기준·절차 수립 ====
재발방지 및 개선 결과의 정확성 및 효과성 여부를 확인하기 위한 기준과 절차를 마련하여야 한다.
*재발방지 및 개선조치의 정확성 및 효과성을 측정하기 위하여 관리체계 측면에서의 핵심성과지표(보안성과지표) 도출
*핵심성과지표(보안성과지표)에 대한 측정 및 모니터링 절차 수립·이행
*재발방지 및 개선조치의 정확성·효과성에 대한 확인 및 측정 결과는 경영진에게 보고
<blockquote>'''※ 재발방지 및 개선조치 관련 보안성과지표(예시)'''
*보안 정책·지침 위반율(외부 전송규정 위반율, 보안우회 시도율 등)
*보안 예외 승인 건수
*보안 프로그램 설치율
*악성프로그램 감염률
*자가점검 수행률 등
</blockquote>

==증거 자료==

*내부점검 결과보고서
*재발방지 대책
*효과성 측정 지표 및 측정 결과(경영진 보고 포함)

==결함 사례==

*내부점검을 통하여 발견된 정보보호 및 개인정보보호 관리체계 운영상 문제점이 매번 '''동일하게 반복되어 발생'''되는 경우
*내부 규정에는 내부점검 시 발견된 문제점에 대해서는 근본원인에 대한 분석 및 재발방지 대책을 수립하도록 되어 있으나, 최근에 수행된 내부점검에서는 발견된 문제점에 대하여 근본원인 분석 및 재발방지 대책이 수립되지 않은 경우
*관리체계상 문제점에 대한 재발방지 대책을 수립하고 핵심성과지표를 마련하여 주기적으로 측정하고 있으나, 그 결과에 대하여 경영진 보고가 장기간 이루어지지 않은 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 1.4.3.관리체계 개선

2023-04-04T04:17:50Z

짱갤럽: /* 근본 원인 분석 및 개선 대책 수립·이행 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 1.관리체계 수립 및 운영|1.관리체계 수립 및 운영]]
*'''분류''': [[ISMS-P 인증 기준 1.4.관리체계 점검 및 개선|1.4.관리체계 점검 및 개선]]

==개요==
{| class="wikitable"
!항목
!1.4.3.관리체계 개선
|-
| style="text-align:center" |'''인증기준'''
|법적 요구사항 준수검토 및 관리체계 점검을 통해 식별된 관리체계상의 문제점에 대한 원인을 분석하고 재발방지 대책을 수립·이행하여야 하며, 경영진은 개선 결과의 정확성과 효과성 여부를 확인하여야 한다.
|-
|'''주요 확인사항'''
|
*법적 요구사항 준수검토 및 관리체계 점검을 통해 식별된 관리체계 상의 문제점에 대한 근본 원인을 분석하여 재발방지 및 개선 대책을 수립‧이행하고 있는가?
*재발방지 및 개선 결과의 정확성 및 효과성 여부를 확인하기 위한 기준과 절차를 마련하고 있는가?
|}
==세부 설명==

==== 근본 원인 분석 및 개선 대책 수립·이행 ====
법적 요구사항 준수검토 및 관리체계 점검을 통하여 식별된 관리체계상의 문제점에 대한 근본 원인을 분석하여 재발방지 및 개선 대책을 수립·이행하여야 한다.
*식별된 관리체계상의 문제점 및 결함사항에 대한 근본 원인 분석
*근본원인 분석결과를 바탕으로 발견된 문제점의 재발방지 및 개선을 위한 대책의 수립·이행
*수립된 재발방지 대책에 대하여 관련자들에게 공유 및 교육 실시
<blockquote style="width:70%;margin:0 auto;">'''※ 재발방지 대책(예시)'''
*정보보호 및 개인정보보호 정책·지침·절차 개정
*임직원 및 외부자에 대한 교육 강화 또는 개선
*이상행위 등에 대한 모니터링 강화
*정보보호 및 개인정보보호 운영 자동화(계정관리 등)
*정보보호 및 개인정보보호 관련 검토·승인 절차 개선
*내부점검 체크리스트 또는 방식 개선 등
</blockquote>

==== 개선 결과확인을 위한 기준·절차 수립 ====
재발방지 및 개선 결과의 정확성 및 효과성 여부를 확인하기 위한 기준과 절차를 마련하여야 한다.
*재발방지 및 개선조치의 정확성 및 효과성을 측정하기 위하여 관리체계 측면에서의 핵심성과지표(보안성과지표) 도출
*핵심성과지표(보안성과지표)에 대한 측정 및 모니터링 절차 수립·이행
*재발방지 및 개선조치의 정확성·효과성에 대한 확인 및 측정 결과는 경영진에게 보고
<blockquote>'''※ 재발방지 및 개선조치 관련 보안성과지표(예시)'''
*보안 정책·지침 위반율(외부 전송규정 위반율, 보안우회 시도율 등)
*보안 예외 승인 건수
*보안 프로그램 설치율
*악성프로그램 감염률
*자가점검 수행률 등
</blockquote>

==증거 자료==

*내부점검 결과보고서
*재발방지 대책
*효과성 측정 지표 및 측정 결과(경영진 보고 포함)

==결함 사례==

*내부점검을 통하여 발견된 정보보호 및 개인정보보호 관리체계 운영상 문제점이 매번 '''동일하게 반복되어 발생'''되는 경우
*내부 규정에는 내부점검 시 발견된 문제점에 대해서는 근본원인에 대한 분석 및 재발방지 대책을 수립하도록 되어 있으나, 최근에 수행된 내부점검에서는 발견된 문제점에 대하여 근본원인 분석 및 재발방지 대책이 수립되지 않은 경우
*관리체계상 문제점에 대한 재발방지 대책을 수립하고 핵심성과지표를 마련하여 주기적으로 측정하고 있으나, 그 결과에 대하여 경영진 보고가 장기간 이루어지지 않은 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 3.1.3.주민등록번호 처리 제한

2023-04-02T05:17:28Z

짱갤럽: /* 법적 근거 없는 주민등록번호 수집 금지 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 3.개인정보 처리단계별 요구사항|3.개인정보 처리단계별 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 3.1.개인정보 수집 시 보호조치|3.1.개인정보 수집 시 보호조치]]

==개요==
{| class="wikitable"
!항목
!3.1.3.주민등록번호 처리 제한
|-
| style="text-align:center" |'''인증기준'''
|주민등록번호는 '''법적 근거가 있는 경우를 제외하고는 수집·이용 등 처리할 수 없으며''', 주민등록번호의 처리가 허용된 경우라 하더라도 인터넷 홈페이지 등에서 '''대체수단을 제공'''하여야 한다.
|-
|'''주요 확인사항'''
|
*주민등록번호는 명확한 법적 근거가 있는 경우에만 처리하고 있는가?
*주민등록번호의 수집 근거가 되는 법조항을 구체적으로 식별하고 있는가?
*법적 근거에 따라 정보주체(이용자)의 주민등록번호 수집이 가능한 경우에도 아이핀, 휴대폰 인증 등 주민등록번호를 대체하는 수단을 제공하고 있는가?
|}
==세부 설명==

==== 법적 근거 없는 주민등록번호 수집 금지 ====

*주민등록번호는 다음과 같이 법적 근거가 있는 경우를 제외하고는 수집 등 처리할 수 없다.
**주민등록번호 수집 등 처리가 가능한 경우
**'''동의에 근거한 수집은 불가'''

{| class="wikitable"
!개인정보 보호법
!정보통신망법
|-
|
* 1. 법률·대통령령·국회규칙·대법원규칙·헌법재판소 규칙·중앙선거관리위원회규칙 및 감사원규칙에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우
* 2. 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우
* 3. 주민등록번호 처리가 불가피한 경우로서 개인 정보보호위원회가 고시로 정하는 경우 <br/>※ 시행규칙, 조례, 훈령 등에 근거한 주민등록번호 처리는 불가함
|
* 1. 본인확인기관으로 지정받은 경우
* 2. ｢전기통신사업법｣ 제38조제1항에 따라 기간 통신사업자로부터 이동통신서비스 등을 제공받아 재판매하는 전기통신사업자가 제23조의3에 따라 본인확인기관으로 지정받은 이동통신사업자의 본인확인업무 수행과 관련하여 이용자의 주민 등록번호를 수집·이용하는 경우
|}

*주민등록번호를 처리하는 경우에는 해당 처리의 근거가 되는 법조항을 구체적으로 식별하여 입증할 수 있어야 한다.
**ʻ법령에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우ʼ라 함은 법률 또는 대통령령, 총리령, 부령에 개인정보처리자로 하여금 주민등록번호의 처리를 요구·허용하도록 하는 구체적인 근거규정이 마련되어 있는 것을 의미함
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">
'''※ 법령에 근거한 주민등록번호 수집(예시)'''

*각급 행정기관의 훈령·예규·고시 및 지방자치단체의 조례·규칙 등은 주민등록번호 수집의 근거가 될 수 없음.
*법령에서 단순히 신원확인 또는 연령확인 등의 의무만을 규정하고 있다면 이는 주민등록번호에 대한 처리근거를 구체적으로 규정한 것에 해당하지 않음.
*주민등록번호 전체가 아니라 뒤 7자리만 수집·이용하는 것은 주민등록번호의 부여 체계를 활용하여 주민등록번호의 고유한 특성, 즉 유일성과 식별성을 이용하는 행위이므로 이는 주민등록번호 전체를 수집·이용하는 것으로 볼 수 있음(뒤 7자리 중 일부만 처리하는 경우에도 마찬가지임).</div>

==== 주민등록번호 대체 수단 제공 ====

*법적 근거에 따라 주민등록번호 수집·이용이 가능한 경우에도 홈페이지 회원가입 단계 또는 본인확인 절차상 주민등록번호를 대체하는 수단을 제공하여야 한다.
**대체수단이란 아이핀, 휴대폰 인증 등을 의미함.
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">
'''※ 대체수단을 이용한 인증값(예시)'''

*CI(Connection Information, 연계 정보) : 본인확인기관에서 대체수단을 통한 본인확인의 경우 생성되는 일방향 암호화된 88byte 문자열, 외부 연계정보로만 활용되어야 하며, 내부 식별용으로는 사용하지 않는 것이 바람직함.
*DI(Duplication Information, 중복가입정보) : 본인확인기관에서 대체수단을 통한 본인확인의 경우에 생성되는 일방향 암호화된 64byte 문자열, 사이트 내 이용자의 중복 계정 생성을 제한하기 위하여 사용함.</div>
==증거 자료==

*온라인 개인정보 수집 양식(홈페이지 회원가입 화면, 이벤트 참여 등)
*온라인 개인정보 수집 양식(본인확인 등 대체수단 제공 화면)
*오프라인 개인정보 수집 양식(회원가입신청서 등)
*개인정보 처리방침

==결함 사례==

*홈페이지 가입과 관련하여 실명확인, 단순 회원관리 목적을 위하여 정보주체(이용자)의 동의에 근거하여 주민등록번호를 수집한 경우
*정보주체의 주민등록번호를 시행규칙이나 지방자치단체의 조례에 근거하여 수집한 경우
*비밀번호 분실 시 본인확인 등의 목적으로 주민등록번호 뒤 6자리를 수집하지만, 관련된 법적 근거가 없는 경우
*채용전형 진행단계에서 법적 근거 없이 입사지원자의 주민등록번호를 수집한 경우
*콜센터에 상품, 서비스 관련 문의 시 본인확인을 위하여 주민등록번호를 수집한 경우
*주민등록번호 수집 법정주의 시행 이전에 수집하여 저장하고 있던 주민등록번호를 현재 법적 근거가 없음에도 파기하지 않고 보관하고 있는 경우
*주민등록번호 수집의 법적 근거가 있다는 사유로 홈페이지 회원가입 단계에서 대체수단을 제공하지 않고 주민등록번호를 입력받는 본인확인 및 회원가입 방법만을 제공한 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 3.1.3.주민등록번호 처리 제한

2023-04-02T05:16:45Z

짱갤럽: /* 법적 근거 없는 주민등록번호 수집 금지 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 3.개인정보 처리단계별 요구사항|3.개인정보 처리단계별 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 3.1.개인정보 수집 시 보호조치|3.1.개인정보 수집 시 보호조치]]

==개요==
{| class="wikitable"
!항목
!3.1.3.주민등록번호 처리 제한
|-
| style="text-align:center" |'''인증기준'''
|주민등록번호는 '''법적 근거가 있는 경우를 제외하고는 수집·이용 등 처리할 수 없으며''', 주민등록번호의 처리가 허용된 경우라 하더라도 인터넷 홈페이지 등에서 '''대체수단을 제공'''하여야 한다.
|-
|'''주요 확인사항'''
|
*주민등록번호는 명확한 법적 근거가 있는 경우에만 처리하고 있는가?
*주민등록번호의 수집 근거가 되는 법조항을 구체적으로 식별하고 있는가?
*법적 근거에 따라 정보주체(이용자)의 주민등록번호 수집이 가능한 경우에도 아이핀, 휴대폰 인증 등 주민등록번호를 대체하는 수단을 제공하고 있는가?
|}
==세부 설명==

==== 법적 근거 없는 주민등록번호 수집 금지 ====

*주민등록번호는 다음과 같이 법적 근거가 있는 경우를 제외하고는 수집 등 처리할 수 없다.
**주민등록번호 수집 등 처리가 가능한 경우
**'''동의에 근거한 수집은 불가'''

{| class="wikitable"
!개인정보 보호법
!정보통신망법
|-
|
* 1. 법률·대통령령·국회규칙·대법원규칙·헌법재판소 규칙·중앙선거관리위원회규칙 및 감사원규칙에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우
* 2. 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 명백히 필요하다고 인정되는 경우
* 3. 주민등록번호 처리가 불가피한 경우로서 개인 정보보호위원회가 고시로 정하는 경우 ※ 시행규칙, 조례, 훈령 등에 근거한 주민등록번호 처리는 불가함
|
* 1. 본인확인기관으로 지정받은 경우
* 2. ｢전기통신사업법｣ 제38조제1항에 따라 기간 통신사업자로부터 이동통신서비스 등을 제공받아 재판매하는 전기통신사업자가 제23조의3에 따라 본인확인기관으로 지정받은 이동통신사업자의 본인확인업무 수행과 관련하여 이용자의 주민 등록번호를 수집·이용하는 경우
|}

*주민등록번호를 처리하는 경우에는 해당 처리의 근거가 되는 법조항을 구체적으로 식별하여 입증할 수 있어야 한다.
**ʻ법령에서 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우ʼ라 함은 법률 또는 대통령령, 총리령, 부령에 개인정보처리자로 하여금 주민등록번호의 처리를 요구·허용하도록 하는 구체적인 근거규정이 마련되어 있는 것을 의미함
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">
'''※ 법령에 근거한 주민등록번호 수집(예시)'''

*각급 행정기관의 훈령·예규·고시 및 지방자치단체의 조례·규칙 등은 주민등록번호 수집의 근거가 될 수 없음.
*법령에서 단순히 신원확인 또는 연령확인 등의 의무만을 규정하고 있다면 이는 주민등록번호에 대한 처리근거를 구체적으로 규정한 것에 해당하지 않음.
*주민등록번호 전체가 아니라 뒤 7자리만 수집·이용하는 것은 주민등록번호의 부여 체계를 활용하여 주민등록번호의 고유한 특성, 즉 유일성과 식별성을 이용하는 행위이므로 이는 주민등록번호 전체를 수집·이용하는 것으로 볼 수 있음(뒤 7자리 중 일부만 처리하는 경우에도 마찬가지임).</div>

==== 주민등록번호 대체 수단 제공 ====

*법적 근거에 따라 주민등록번호 수집·이용이 가능한 경우에도 홈페이지 회원가입 단계 또는 본인확인 절차상 주민등록번호를 대체하는 수단을 제공하여야 한다.
**대체수단이란 아이핀, 휴대폰 인증 등을 의미함.
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">
'''※ 대체수단을 이용한 인증값(예시)'''

*CI(Connection Information, 연계 정보) : 본인확인기관에서 대체수단을 통한 본인확인의 경우 생성되는 일방향 암호화된 88byte 문자열, 외부 연계정보로만 활용되어야 하며, 내부 식별용으로는 사용하지 않는 것이 바람직함.
*DI(Duplication Information, 중복가입정보) : 본인확인기관에서 대체수단을 통한 본인확인의 경우에 생성되는 일방향 암호화된 64byte 문자열, 사이트 내 이용자의 중복 계정 생성을 제한하기 위하여 사용함.</div>
==증거 자료==

*온라인 개인정보 수집 양식(홈페이지 회원가입 화면, 이벤트 참여 등)
*온라인 개인정보 수집 양식(본인확인 등 대체수단 제공 화면)
*오프라인 개인정보 수집 양식(회원가입신청서 등)
*개인정보 처리방침

==결함 사례==

*홈페이지 가입과 관련하여 실명확인, 단순 회원관리 목적을 위하여 정보주체(이용자)의 동의에 근거하여 주민등록번호를 수집한 경우
*정보주체의 주민등록번호를 시행규칙이나 지방자치단체의 조례에 근거하여 수집한 경우
*비밀번호 분실 시 본인확인 등의 목적으로 주민등록번호 뒤 6자리를 수집하지만, 관련된 법적 근거가 없는 경우
*채용전형 진행단계에서 법적 근거 없이 입사지원자의 주민등록번호를 수집한 경우
*콜센터에 상품, 서비스 관련 문의 시 본인확인을 위하여 주민등록번호를 수집한 경우
*주민등록번호 수집 법정주의 시행 이전에 수집하여 저장하고 있던 주민등록번호를 현재 법적 근거가 없음에도 파기하지 않고 보관하고 있는 경우
*주민등록번호 수집의 법적 근거가 있다는 사유로 홈페이지 회원가입 단계에서 대체수단을 제공하지 않고 주민등록번호를 입력받는 본인확인 및 회원가입 방법만을 제공한 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 3.1.2.개인정보의 수집 동의

2023-04-02T04:50:57Z

짱갤럽: /* 미성년자의 개인정보 수집 동의를 받는 방법 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 3.개인정보 처리단계별 요구사항|3.개인정보 처리단계별 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 3.1.개인정보 수집 시 보호조치|3.1.개인정보 수집 시 보호조치]]

==개요==
{| class="wikitable"
!항목
!3.1.2.개인정보의 수집 동의
|-
| style="text-align:center" |'''인증기준'''
|개인정보는 정보주체(이용자)의 동의를 받거나 관계 법령에 따라 적법하게 수집하여야 하며, 만 14세 미만 아동의 개인정보를 수집하려는 경우에는 법정대리인의 동의를 받아야 한다.
|-
|'''주요 확인사항'''
|
*개인정보 수집 시 법령에 특별한 규정이 있는 경우를 제외하고는 정보주체(이용자)에게 관련 내용을 명확하게 고지하고 동의를 받고 있는가?
*정보주체(이용자)에게 동의를 받는 방법 및 시점은 적절하게 되어 있는가?
*정보주체(이용자)에게 동의를 서면(전자문서 포함)으로 받는 경우 법령에서 정한 중요한 내용에 대해 명확히 표시하여 알아보기 쉽게 하고 있는가?
*만 14세 미만 아동의 개인정보에 대해 수집‧이용‧제공 등의 동의를 받는 경우 법정대리인에게 필요한 사항에 대하여 고지하고 동의를 받고 있는가?
*법정대리인의 동의를 받기 위하여 필요한 최소한의 개인정보만을 수집하고 있으며, 법정대리인이 자격 요건을 갖추고 있는지 확인하는 절차와 방법을 마련하고 있는가?
*정보주체(이용자) 및 법정대리인에게 동의를 받은 기록을 보관하고 있는가?
|}
==세부 설명==

==== 개인정보 수집 동의를 받는 방법 ====

*개인정보를 수집할 때에는 법령에 특별한 규정이 있는 경우를 제외하고는 정보주체(이용자)에게 관련 내용을 명확하게 고지하고 동의를 받아야 한다.
**개인정보의 수집·이용이 가능한 경우
***개인정보처리자<br />1. 정보주체의 동의를 받은 경우<br />2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우<br />3. 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우<br />4. 정보주체와의 계약 체결 및 이행을 위하여 불가피한 경우<br />5. 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 사전동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우<br />6. 개인정보처리지자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우
***정보통신서비스 제공자<br />1. 이용자의 동의를 받은 경우<br /> 2. 정보통신서비스의 제공에 관한 계약을 이행하기 위하여 필요한 개인정보로서 경제적·기술적인 사유로 통상적인 동의를 받는 것이 뚜렷하게 곤란한 경우<br /> 3. 정보통신서비스의 제공에 따른 요금정산을 위하여 필요한 경우<br /> 4. 다른 법률에 특별한 규정이 있는 경우
**개인정보의 수집·이용 동의 시 고지 사항
***개인정보처리자 <br />1. 개인정보의 수집·이용 목적<br />2. 수집하려는 개인정보의 항목 <br />3. 개인정보의 보유 및 이용 기간<br /> 4. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우 그 불이익의 내용
***정보통신서비스 제공자 <br /> 1. 개인정보의 수집·이용 목적 <br /> 2. 수집하려는 개인정보의 항목 <br /> 3. 개인정보의 보유·이용 기간

*개인정보 수집매체의 특성을 반영하여 적절한 방법으로 정보주체(이용자)의 동의를 받아야 하며, 해당 정보가 필요한 시점에 수집하여야 한다.
**회원가입 또는 계약체결 단계에서 개인정보를 미리 포괄적으로 수집하지 말아야 하며, 해당 정보가 필요한 시점에 수집하여야 함.
***서비스 개시를 위하여 필요한 개인정보에 한하여 수집·이용 동의를 받아야 하며, 이후에 제공되는 서비스의 경우 해당 서비스 제공시점에 동의를 받아야 함.
***웹사이트 회원가입 시 웹사이트 내 특정 서비스 이용에만 필요한 개인정보는 해당 서비스 이용시점에 수집
***다만 반복적인 서비스의 경우로서 최초 서비스 이용 시점에 선택 동의 항목으로 분류하여 동의를 받는 경우에는 수집·이용 가능
*정보주체(이용자)에게 동의를 서면(전자문서 포함)으로 받는 경우 법령에서 정한 중요한 내용에 대하여 명확히 표시하여 알아보기 쉽게 하여야 한다.
**개인정보 보호법 제22조(동의를 받는 방법)제2항에 따라 개인정보 처리에 대한 동의를 서면(전자문서 및 전자거래기본법 제2조제1호에 따른 전자문서를 포함)으로 받을 때에는 다음과 같이 중요한 내용을 명확히 표시하여 알아보기 쉽게 하여야 함.
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">'''※ 명확히 표시하여야 하는 중요한 내용(개인정보 보호법 시행령 제17조 제2항)'''
*개인정보의 수집·이용 목적 중 재화나 서비스의 홍보 또는 판매 권유 등을 위하여 해당 개인정보를 이용하여 정보주체에게 연락할 수 있다는 사실
*처리하는 개인정보 항목 중 민감정보, 여권번호, 운전면허번호, 외국인등록번호
*개인정보의 보유 및 이용 기간(제공 시에는 제공받는 자의 보유 및 이용 기간)
*개인정보를 제공받는 자 및 개인정보를 제공받는 자의 개인정보 이용 목적</div>
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">'''※ 중요한 내용의 표시 방법(개인정보 처리 방법에 관한 고시 제4조)'''
*글씨크기는 최소 9포인트 이상으로 다른 내용보다 20퍼센트 이상 크게 하여 알아보기 쉽게 할 것
*글씨의 색깔, 굵기 또는 밑줄 등을 통하여 그 내용이 명확히 표시되도록 할 것
*동의 사항이 많아 중요한 내용이 명확히 구분되기 어려운 경우에는 중요한 내용이 쉽게 확인될 수 있도록 그 밖의 내용과 별도로 구분하여 표시할 것</div>

==== 미성년자의 개인정보 수집 동의를 받는 방법 ====

*만 14세 미만 아동에 대하여 개인정보를 수집·이용·제공 등의 동의를 받는 경우 법정대리인에게 필요한 사항에 대하여 고지하고 동의를 받아야 한다.
**만 14세 미만 아동의 개인정보를 처리할 필요가 없는 경우에는 수집하지 않도록 조치
**만 14세 미만 아동의 개인정보를 처리할 필요가 있는 경우에는 별도의 수집 동의 양식과 법정대리인 확인 절차를 마련하여 법정대리인의 동의를 받을 수 있도록 조치
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">
'''※ 법정대리인 동의를 얻기 위한 방법(예시)'''

*법정대리인의 전자서명을 이용하는 방법
*법정대리인이 휴대폰 인증, 아이핀 등을 통하여 본인확인 후 명시적으로 동의하는 방법
*우편, 팩스, 전자우편 등으로 법정대리인이 서명 날인한 서류를 제출받는 방법
*법정대리인과 직접 통화하여 확인하는 방법 등</div>

*법정대리인의 동의를 받기 위하여 필요한 최소한의 정보(이름, 연락처)만을 수집하여야 하며, 법정대리인이 자격요건을 갖추고 있는지 확인하는 절차와 방법을 마련하여야 한다.
**법정대리인 동의를 받기 위하여 필요한 법정대리인의 필요한 최소한의 정보(이름, 연락처)는 법정 대리인의 동의 없이 아동으로부터 직접 수집이 가능함.
***다만 법정대리인의 이름·연락처를 수집할 때에는 해당 아동에게 자신의 신분과 연락처, 법정대리인의 이름과 연락처를 수집하고자 하는 이유를 알려야 함(표준 개인정보 보호지침 제13조).
***아동으로부터 수집한 법정대리인의 개인정보는 동의를 얻기 위한 용도로만 활용하여야 함.
**법정대리인의 동의를 얻기 위해서는 아동이 제공한 정보가 진정한 법정대리인의 정보인지와 법정 대리인의 진위 여부를 확인하여야 함.
***법정대리인의 미성년자 여부 확인
***아동과의 나이 차이 확인 등
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px; margin-left:55px">
'''※(참고)법정대리인의 정의'''

· 법정대리인이란 본인의 의사에 의하지 않고 법률의 규정에 의하여 대리인이 된 자로 미성년자의 친권자(｢민법｣ 제909조, 제911조, 제916조, 제920조), 후견인(｢민법｣ 제931조 ~ 제936조), 법원이 선임한 부재자의 재산관리인(｢민법｣ 제22조, 제23조), 상속재산관리인(｢민법｣ 제1023조 제2항, 제1053조), 유언집행자(｢민법｣ 제1096조) 등이 이에 해당한다.</div>

** 법정대리인이 동의를 거부하거나, 법정대리인의 동의 의사가 확인되지 않은 경우 수집일로부터 5일 이내에 파기하여야 함(표준 개인정보 보호지침 제13조제2항).

*정보주체(이용자) 및 법정대리인에게 동의를 받은 기록을 남기고 보존하여야 한다.
**기록으로 남겨야 할 사항 : 동의 일시, 동의 항목, 동의자(법정대리인이 동의한 경우 법정대리인 정보), 동의 방법 등
**보존기간 : 회원탈퇴 등으로 인하여 해당 개인정보를 파기할 때까지
***※ 상세한 내용은 ʻ개인정보 수집·제공 동의서 작성 가이드라인ʼ 참고

==증거 자료==

*온라인 개인정보 수집 양식(홈페이지 회원가입 화면, 모바일앱 회원가입 화면, 이벤트 참여 등)
*오프라인 개인정보 수집 양식(회원가입신청서 등)
*개인정보 수집 동의 기록(회원 데이터베이스 등)
*법정대리인 동의 기록
*개인정보 처리방침

==결함 사례==

*개인정보 보호법을 적용받는 개인정보처리자가 개인정보 수집 동의 시 고지 사항에 ʻ동의 거부 권리 및 동의 거부에 따른 불이익 내용ʼ을 누락한 경우
*개인정보 수집 동의 시 수집하는 개인정보 항목을 구체적으로 명시하지 않고 ʻ~ 등ʼ과 같이 포괄적으로 안내하는 경우
*쇼핑몰 홈페이지에서 회원가입 시 회원가입에 필요한 개인정보 외에 추후 물품 구매 시 필요한 결제·배송 정보를 미리 필수 항목으로 수집하는 경우
*Q&A, 게시판을 통하여 비회원의 개인정보(이름, 이메일, 휴대폰번호)를 수집하면서 개인정보 수집 동의 절차를 거치지 않은 경우
*만 14세 미만 아동의 개인정보를 수집하면서 법정대리인의 동의를 받지 않은 경우
*만 14세 미만 아동에 대하여 서비스를 제공하고 있지 않지만, 회원가입 단계에서 입력받는 생년월일을 통하여 나이 체크를 하지 않아 법정대리인 동의 없이 가입된 만 14세 미만 아 동 회원이 존재한 경우
*법정대리인의 진위 여부를 확인하는 절차가 미흡하여 미성년자 등 아동의 법정대리인으로 보기 어려운데도 법정대리인 동의가 가능한 경우
*만 14세 미만 아동으로부터 법정대리인 동의를 받는 목적으로 법정대리인의 개인정보(이름, 휴대폰번호)를 수집한 이후 법정대리인의 동의가 장기간 확인되지 않았음에도 이를 파기하지 않고 계속 보유하고 있는 경우
*법정대리인 동의에 근거하여 만 14세 미만 아동의 개인정보를 수집하였으나, 관련 기록을 보존하지 않아 법정대리인 동의와 관련된 사항(법정대리인 이름, 동의 일시 등)을 확인할 수 없는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 3.1.2.개인정보의 수집 동의

2023-04-02T04:49:00Z

짱갤럽: /* 미성년자의 개인정보 수집 동의를 받는 방법 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 3.개인정보 처리단계별 요구사항|3.개인정보 처리단계별 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 3.1.개인정보 수집 시 보호조치|3.1.개인정보 수집 시 보호조치]]

==개요==
{| class="wikitable"
!항목
!3.1.2.개인정보의 수집 동의
|-
| style="text-align:center" |'''인증기준'''
|개인정보는 정보주체(이용자)의 동의를 받거나 관계 법령에 따라 적법하게 수집하여야 하며, 만 14세 미만 아동의 개인정보를 수집하려는 경우에는 법정대리인의 동의를 받아야 한다.
|-
|'''주요 확인사항'''
|
*개인정보 수집 시 법령에 특별한 규정이 있는 경우를 제외하고는 정보주체(이용자)에게 관련 내용을 명확하게 고지하고 동의를 받고 있는가?
*정보주체(이용자)에게 동의를 받는 방법 및 시점은 적절하게 되어 있는가?
*정보주체(이용자)에게 동의를 서면(전자문서 포함)으로 받는 경우 법령에서 정한 중요한 내용에 대해 명확히 표시하여 알아보기 쉽게 하고 있는가?
*만 14세 미만 아동의 개인정보에 대해 수집‧이용‧제공 등의 동의를 받는 경우 법정대리인에게 필요한 사항에 대하여 고지하고 동의를 받고 있는가?
*법정대리인의 동의를 받기 위하여 필요한 최소한의 개인정보만을 수집하고 있으며, 법정대리인이 자격 요건을 갖추고 있는지 확인하는 절차와 방법을 마련하고 있는가?
*정보주체(이용자) 및 법정대리인에게 동의를 받은 기록을 보관하고 있는가?
|}
==세부 설명==

==== 개인정보 수집 동의를 받는 방법 ====

*개인정보를 수집할 때에는 법령에 특별한 규정이 있는 경우를 제외하고는 정보주체(이용자)에게 관련 내용을 명확하게 고지하고 동의를 받아야 한다.
**개인정보의 수집·이용이 가능한 경우
***개인정보처리자<br />1. 정보주체의 동의를 받은 경우<br />2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우<br />3. 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우<br />4. 정보주체와의 계약 체결 및 이행을 위하여 불가피한 경우<br />5. 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 사전동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우<br />6. 개인정보처리지자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우
***정보통신서비스 제공자<br />1. 이용자의 동의를 받은 경우<br /> 2. 정보통신서비스의 제공에 관한 계약을 이행하기 위하여 필요한 개인정보로서 경제적·기술적인 사유로 통상적인 동의를 받는 것이 뚜렷하게 곤란한 경우<br /> 3. 정보통신서비스의 제공에 따른 요금정산을 위하여 필요한 경우<br /> 4. 다른 법률에 특별한 규정이 있는 경우
**개인정보의 수집·이용 동의 시 고지 사항
***개인정보처리자 <br />1. 개인정보의 수집·이용 목적<br />2. 수집하려는 개인정보의 항목 <br />3. 개인정보의 보유 및 이용 기간<br /> 4. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우 그 불이익의 내용
***정보통신서비스 제공자 <br /> 1. 개인정보의 수집·이용 목적 <br /> 2. 수집하려는 개인정보의 항목 <br /> 3. 개인정보의 보유·이용 기간

*개인정보 수집매체의 특성을 반영하여 적절한 방법으로 정보주체(이용자)의 동의를 받아야 하며, 해당 정보가 필요한 시점에 수집하여야 한다.
**회원가입 또는 계약체결 단계에서 개인정보를 미리 포괄적으로 수집하지 말아야 하며, 해당 정보가 필요한 시점에 수집하여야 함.
***서비스 개시를 위하여 필요한 개인정보에 한하여 수집·이용 동의를 받아야 하며, 이후에 제공되는 서비스의 경우 해당 서비스 제공시점에 동의를 받아야 함.
***웹사이트 회원가입 시 웹사이트 내 특정 서비스 이용에만 필요한 개인정보는 해당 서비스 이용시점에 수집
***다만 반복적인 서비스의 경우로서 최초 서비스 이용 시점에 선택 동의 항목으로 분류하여 동의를 받는 경우에는 수집·이용 가능
*정보주체(이용자)에게 동의를 서면(전자문서 포함)으로 받는 경우 법령에서 정한 중요한 내용에 대하여 명확히 표시하여 알아보기 쉽게 하여야 한다.
**개인정보 보호법 제22조(동의를 받는 방법)제2항에 따라 개인정보 처리에 대한 동의를 서면(전자문서 및 전자거래기본법 제2조제1호에 따른 전자문서를 포함)으로 받을 때에는 다음과 같이 중요한 내용을 명확히 표시하여 알아보기 쉽게 하여야 함.
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">'''※ 명확히 표시하여야 하는 중요한 내용(개인정보 보호법 시행령 제17조 제2항)'''
*개인정보의 수집·이용 목적 중 재화나 서비스의 홍보 또는 판매 권유 등을 위하여 해당 개인정보를 이용하여 정보주체에게 연락할 수 있다는 사실
*처리하는 개인정보 항목 중 민감정보, 여권번호, 운전면허번호, 외국인등록번호
*개인정보의 보유 및 이용 기간(제공 시에는 제공받는 자의 보유 및 이용 기간)
*개인정보를 제공받는 자 및 개인정보를 제공받는 자의 개인정보 이용 목적</div>
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">'''※ 중요한 내용의 표시 방법(개인정보 처리 방법에 관한 고시 제4조)'''
*글씨크기는 최소 9포인트 이상으로 다른 내용보다 20퍼센트 이상 크게 하여 알아보기 쉽게 할 것
*글씨의 색깔, 굵기 또는 밑줄 등을 통하여 그 내용이 명확히 표시되도록 할 것
*동의 사항이 많아 중요한 내용이 명확히 구분되기 어려운 경우에는 중요한 내용이 쉽게 확인될 수 있도록 그 밖의 내용과 별도로 구분하여 표시할 것</div>

==== 미성년자의 개인정보 수집 동의를 받는 방법 ====

*만 14세 미만 아동에 대하여 개인정보를 수집·이용·제공 등의 동의를 받는 경우 법정대리인에게 필요한 사항에 대하여 고지하고 동의를 받아야 한다.
**만 14세 미만 아동의 개인정보를 처리할 필요가 없는 경우에는 수집하지 않도록 조치
**만 14세 미만 아동의 개인정보를 처리할 필요가 있는 경우에는 별도의 수집 동의 양식과 법정대리인 확인 절차를 마련하여 법정대리인의 동의를 받을 수 있도록 조치
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">
'''※ 법정대리인 동의를 얻기 위한 방법(예시)'''

*법정대리인의 전자서명을 이용하는 방법
*법정대리인이 휴대폰 인증, 아이핀 등을 통하여 본인확인 후 명시적으로 동의하는 방법
*우편, 팩스, 전자우편 등으로 법정대리인이 서명 날인한 서류를 제출받는 방법
*법정대리인과 직접 통화하여 확인하는 방법 등</div>

*법정대리인의 동의를 받기 위하여 필요한 최소한의 정보(이름, 연락처)만을 수집하여야 하며, 법정대리인이 자격요건을 갖추고 있는지 확인하는 절차와 방법을 마련하여야 한다.
**법정대리인 동의를 받기 위하여 필요한 법정대리인의 필요한 최소한의 정보(이름, 연락처)는 법정 대리인의 동의 없이 아동으로부터 직접 수집이 가능함.
***다만 법정대리인의 이름·연락처를 수집할 때에는 해당 아동에게 자신의 신분과 연락처, 법정대리인의 이름과 연락처를 수집하고자 하는 이유를 알려야 함(표준 개인정보 보호지침 제13조).
***아동으로부터 수집한 법정대리인의 개인정보는 동의를 얻기 위한 용도로만 활용하여야 함.
**법정대리인의 동의를 얻기 위해서는 아동이 제공한 정보가 진정한 법정대리인의 정보인지와 법정 대리인의 진위 여부를 확인하여야 함.
***법정대리인의 미성년자 여부 확인
***아동과의 나이 차이 확인 등
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px; margin-left:55px">
'''※(참고)법정대리인의 정의'''
· 법정대리인이란 본인의 의사에 의하지 않고 법률의 규정에 의하여 대리인이 된 자로 미성년자의 친권자(｢민법｣ 제909조, 제911조, 제916조, 제920조), 후견인(｢민법｣ 제931조 ~ 제936조), 법원이 선임한 부재자의 재산관리인(｢민법｣ 제22조, 제23조), 상속재산관리인(｢민법｣ 제1023조 제2항, 제1053조), 유언집행자(｢민법｣ 제1096조) 등이 이에 해당한다.</div>
**<p>법정대리인이 동의를 거부하거나, 법정대리인의 동의 의사가 확인되지 않은 경우 수집일로부터 5일 이내에 파기하여야 함(표준 개인정보 보호지침 제13조제2항).</p>

*정보주체(이용자) 및 법정대리인에게 동의를 받은 기록을 남기고 보존하여야 한다.
**기록으로 남겨야 할 사항 : 동의 일시, 동의 항목, 동의자(법정대리인이 동의한 경우 법정대리인 정보), 동의 방법 등
**보존기간 : 회원탈퇴 등으로 인하여 해당 개인정보를 파기할 때까지
***※ 상세한 내용은 ʻ개인정보 수집·제공 동의서 작성 가이드라인ʼ 참고

==증거 자료==

*온라인 개인정보 수집 양식(홈페이지 회원가입 화면, 모바일앱 회원가입 화면, 이벤트 참여 등)
*오프라인 개인정보 수집 양식(회원가입신청서 등)
*개인정보 수집 동의 기록(회원 데이터베이스 등)
*법정대리인 동의 기록
*개인정보 처리방침

==결함 사례==

*개인정보 보호법을 적용받는 개인정보처리자가 개인정보 수집 동의 시 고지 사항에 ʻ동의 거부 권리 및 동의 거부에 따른 불이익 내용ʼ을 누락한 경우
*개인정보 수집 동의 시 수집하는 개인정보 항목을 구체적으로 명시하지 않고 ʻ~ 등ʼ과 같이 포괄적으로 안내하는 경우
*쇼핑몰 홈페이지에서 회원가입 시 회원가입에 필요한 개인정보 외에 추후 물품 구매 시 필요한 결제·배송 정보를 미리 필수 항목으로 수집하는 경우
*Q&A, 게시판을 통하여 비회원의 개인정보(이름, 이메일, 휴대폰번호)를 수집하면서 개인정보 수집 동의 절차를 거치지 않은 경우
*만 14세 미만 아동의 개인정보를 수집하면서 법정대리인의 동의를 받지 않은 경우
*만 14세 미만 아동에 대하여 서비스를 제공하고 있지 않지만, 회원가입 단계에서 입력받는 생년월일을 통하여 나이 체크를 하지 않아 법정대리인 동의 없이 가입된 만 14세 미만 아 동 회원이 존재한 경우
*법정대리인의 진위 여부를 확인하는 절차가 미흡하여 미성년자 등 아동의 법정대리인으로 보기 어려운데도 법정대리인 동의가 가능한 경우
*만 14세 미만 아동으로부터 법정대리인 동의를 받는 목적으로 법정대리인의 개인정보(이름, 휴대폰번호)를 수집한 이후 법정대리인의 동의가 장기간 확인되지 않았음에도 이를 파기하지 않고 계속 보유하고 있는 경우
*법정대리인 동의에 근거하여 만 14세 미만 아동의 개인정보를 수집하였으나, 관련 기록을 보존하지 않아 법정대리인 동의와 관련된 사항(법정대리인 이름, 동의 일시 등)을 확인할 수 없는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 3.1.2.개인정보의 수집 동의

2023-04-02T04:47:43Z

짱갤럽: /* 미성년자의 개인정보 수집 동의를 받는 방법 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 3.개인정보 처리단계별 요구사항|3.개인정보 처리단계별 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 3.1.개인정보 수집 시 보호조치|3.1.개인정보 수집 시 보호조치]]

==개요==
{| class="wikitable"
!항목
!3.1.2.개인정보의 수집 동의
|-
| style="text-align:center" |'''인증기준'''
|개인정보는 정보주체(이용자)의 동의를 받거나 관계 법령에 따라 적법하게 수집하여야 하며, 만 14세 미만 아동의 개인정보를 수집하려는 경우에는 법정대리인의 동의를 받아야 한다.
|-
|'''주요 확인사항'''
|
*개인정보 수집 시 법령에 특별한 규정이 있는 경우를 제외하고는 정보주체(이용자)에게 관련 내용을 명확하게 고지하고 동의를 받고 있는가?
*정보주체(이용자)에게 동의를 받는 방법 및 시점은 적절하게 되어 있는가?
*정보주체(이용자)에게 동의를 서면(전자문서 포함)으로 받는 경우 법령에서 정한 중요한 내용에 대해 명확히 표시하여 알아보기 쉽게 하고 있는가?
*만 14세 미만 아동의 개인정보에 대해 수집‧이용‧제공 등의 동의를 받는 경우 법정대리인에게 필요한 사항에 대하여 고지하고 동의를 받고 있는가?
*법정대리인의 동의를 받기 위하여 필요한 최소한의 개인정보만을 수집하고 있으며, 법정대리인이 자격 요건을 갖추고 있는지 확인하는 절차와 방법을 마련하고 있는가?
*정보주체(이용자) 및 법정대리인에게 동의를 받은 기록을 보관하고 있는가?
|}
==세부 설명==

==== 개인정보 수집 동의를 받는 방법 ====

*개인정보를 수집할 때에는 법령에 특별한 규정이 있는 경우를 제외하고는 정보주체(이용자)에게 관련 내용을 명확하게 고지하고 동의를 받아야 한다.
**개인정보의 수집·이용이 가능한 경우
***개인정보처리자<br />1. 정보주체의 동의를 받은 경우<br />2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우<br />3. 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우<br />4. 정보주체와의 계약 체결 및 이행을 위하여 불가피한 경우<br />5. 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 사전동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우<br />6. 개인정보처리지자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우
***정보통신서비스 제공자<br />1. 이용자의 동의를 받은 경우<br /> 2. 정보통신서비스의 제공에 관한 계약을 이행하기 위하여 필요한 개인정보로서 경제적·기술적인 사유로 통상적인 동의를 받는 것이 뚜렷하게 곤란한 경우<br /> 3. 정보통신서비스의 제공에 따른 요금정산을 위하여 필요한 경우<br /> 4. 다른 법률에 특별한 규정이 있는 경우
**개인정보의 수집·이용 동의 시 고지 사항
***개인정보처리자 <br />1. 개인정보의 수집·이용 목적<br />2. 수집하려는 개인정보의 항목 <br />3. 개인정보의 보유 및 이용 기간<br /> 4. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우 그 불이익의 내용
***정보통신서비스 제공자 <br /> 1. 개인정보의 수집·이용 목적 <br /> 2. 수집하려는 개인정보의 항목 <br /> 3. 개인정보의 보유·이용 기간

*개인정보 수집매체의 특성을 반영하여 적절한 방법으로 정보주체(이용자)의 동의를 받아야 하며, 해당 정보가 필요한 시점에 수집하여야 한다.
**회원가입 또는 계약체결 단계에서 개인정보를 미리 포괄적으로 수집하지 말아야 하며, 해당 정보가 필요한 시점에 수집하여야 함.
***서비스 개시를 위하여 필요한 개인정보에 한하여 수집·이용 동의를 받아야 하며, 이후에 제공되는 서비스의 경우 해당 서비스 제공시점에 동의를 받아야 함.
***웹사이트 회원가입 시 웹사이트 내 특정 서비스 이용에만 필요한 개인정보는 해당 서비스 이용시점에 수집
***다만 반복적인 서비스의 경우로서 최초 서비스 이용 시점에 선택 동의 항목으로 분류하여 동의를 받는 경우에는 수집·이용 가능
*정보주체(이용자)에게 동의를 서면(전자문서 포함)으로 받는 경우 법령에서 정한 중요한 내용에 대하여 명확히 표시하여 알아보기 쉽게 하여야 한다.
**개인정보 보호법 제22조(동의를 받는 방법)제2항에 따라 개인정보 처리에 대한 동의를 서면(전자문서 및 전자거래기본법 제2조제1호에 따른 전자문서를 포함)으로 받을 때에는 다음과 같이 중요한 내용을 명확히 표시하여 알아보기 쉽게 하여야 함.
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">'''※ 명확히 표시하여야 하는 중요한 내용(개인정보 보호법 시행령 제17조 제2항)'''
*개인정보의 수집·이용 목적 중 재화나 서비스의 홍보 또는 판매 권유 등을 위하여 해당 개인정보를 이용하여 정보주체에게 연락할 수 있다는 사실
*처리하는 개인정보 항목 중 민감정보, 여권번호, 운전면허번호, 외국인등록번호
*개인정보의 보유 및 이용 기간(제공 시에는 제공받는 자의 보유 및 이용 기간)
*개인정보를 제공받는 자 및 개인정보를 제공받는 자의 개인정보 이용 목적</div>
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">'''※ 중요한 내용의 표시 방법(개인정보 처리 방법에 관한 고시 제4조)'''
*글씨크기는 최소 9포인트 이상으로 다른 내용보다 20퍼센트 이상 크게 하여 알아보기 쉽게 할 것
*글씨의 색깔, 굵기 또는 밑줄 등을 통하여 그 내용이 명확히 표시되도록 할 것
*동의 사항이 많아 중요한 내용이 명확히 구분되기 어려운 경우에는 중요한 내용이 쉽게 확인될 수 있도록 그 밖의 내용과 별도로 구분하여 표시할 것</div>

==== 미성년자의 개인정보 수집 동의를 받는 방법 ====

*만 14세 미만 아동에 대하여 개인정보를 수집·이용·제공 등의 동의를 받는 경우 법정대리인에게 필요한 사항에 대하여 고지하고 동의를 받아야 한다.
**만 14세 미만 아동의 개인정보를 처리할 필요가 없는 경우에는 수집하지 않도록 조치
**만 14세 미만 아동의 개인정보를 처리할 필요가 있는 경우에는 별도의 수집 동의 양식과 법정대리인 확인 절차를 마련하여 법정대리인의 동의를 받을 수 있도록 조치
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">
'''※ 법정대리인 동의를 얻기 위한 방법(예시)'''

*법정대리인의 전자서명을 이용하는 방법
*법정대리인이 휴대폰 인증, 아이핀 등을 통하여 본인확인 후 명시적으로 동의하는 방법
*우편, 팩스, 전자우편 등으로 법정대리인이 서명 날인한 서류를 제출받는 방법
*법정대리인과 직접 통화하여 확인하는 방법 등</div>

*법정대리인의 동의를 받기 위하여 필요한 최소한의 정보(이름, 연락처)만을 수집하여야 하며, 법정대리인이 자격요건을 갖추고 있는지 확인하는 절차와 방법을 마련하여야 한다.
**법정대리인 동의를 받기 위하여 필요한 법정대리인의 필요한 최소한의 정보(이름, 연락처)는 법정 대리인의 동의 없이 아동으로부터 직접 수집이 가능함.
***다만 법정대리인의 이름·연락처를 수집할 때에는 해당 아동에게 자신의 신분과 연락처, 법정대리인의 이름과 연락처를 수집하고자 하는 이유를 알려야 함(표준 개인정보 보호지침 제13조).
***아동으로부터 수집한 법정대리인의 개인정보는 동의를 얻기 위한 용도로만 활용하여야 함.
**법정대리인의 동의를 얻기 위해서는 아동이 제공한 정보가 진정한 법정대리인의 정보인지와 법정 대리인의 진위 여부를 확인하여야 함.
***법정대리인의 미성년자 여부 확인
***아동과의 나이 차이 확인 등
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px; margin-left:55px">
'''※(참고)법정대리인의 정의'''
· 법정대리인이란 본인의 의사에 의하지 않고 법률의 규정에 의하여 대리인이 된 자로 미성년자의 친권자(｢민법｣ 제909조, 제911조, 제916조, 제920조), 후견인(｢민법｣ 제931조 ~ 제936조), 법원이 선임한 부재자의 재산관리인(｢민법｣ 제22조, 제23조), 상속재산관리인(｢민법｣ 제1023조 제2항, 제1053조), 유언집행자(｢민법｣ 제1096조) 등이 이에 해당한다.</div>
**법정대리인이 동의를 거부하거나, 법정대리인의 동의 의사가 확인되지 않은 경우 수집일로부터 5일 이내에 파기하여야 함(표준 개인정보 보호지침 제13조제2항).

*정보주체(이용자) 및 법정대리인에게 동의를 받은 기록을 남기고 보존하여야 한다.
**기록으로 남겨야 할 사항 : 동의 일시, 동의 항목, 동의자(법정대리인이 동의한 경우 법정대리인 정보), 동의 방법 등
**보존기간 : 회원탈퇴 등으로 인하여 해당 개인정보를 파기할 때까지
***※ 상세한 내용은 ʻ개인정보 수집·제공 동의서 작성 가이드라인ʼ 참고

==증거 자료==

*온라인 개인정보 수집 양식(홈페이지 회원가입 화면, 모바일앱 회원가입 화면, 이벤트 참여 등)
*오프라인 개인정보 수집 양식(회원가입신청서 등)
*개인정보 수집 동의 기록(회원 데이터베이스 등)
*법정대리인 동의 기록
*개인정보 처리방침

==결함 사례==

*개인정보 보호법을 적용받는 개인정보처리자가 개인정보 수집 동의 시 고지 사항에 ʻ동의 거부 권리 및 동의 거부에 따른 불이익 내용ʼ을 누락한 경우
*개인정보 수집 동의 시 수집하는 개인정보 항목을 구체적으로 명시하지 않고 ʻ~ 등ʼ과 같이 포괄적으로 안내하는 경우
*쇼핑몰 홈페이지에서 회원가입 시 회원가입에 필요한 개인정보 외에 추후 물품 구매 시 필요한 결제·배송 정보를 미리 필수 항목으로 수집하는 경우
*Q&A, 게시판을 통하여 비회원의 개인정보(이름, 이메일, 휴대폰번호)를 수집하면서 개인정보 수집 동의 절차를 거치지 않은 경우
*만 14세 미만 아동의 개인정보를 수집하면서 법정대리인의 동의를 받지 않은 경우
*만 14세 미만 아동에 대하여 서비스를 제공하고 있지 않지만, 회원가입 단계에서 입력받는 생년월일을 통하여 나이 체크를 하지 않아 법정대리인 동의 없이 가입된 만 14세 미만 아 동 회원이 존재한 경우
*법정대리인의 진위 여부를 확인하는 절차가 미흡하여 미성년자 등 아동의 법정대리인으로 보기 어려운데도 법정대리인 동의가 가능한 경우
*만 14세 미만 아동으로부터 법정대리인 동의를 받는 목적으로 법정대리인의 개인정보(이름, 휴대폰번호)를 수집한 이후 법정대리인의 동의가 장기간 확인되지 않았음에도 이를 파기하지 않고 계속 보유하고 있는 경우
*법정대리인 동의에 근거하여 만 14세 미만 아동의 개인정보를 수집하였으나, 관련 기록을 보존하지 않아 법정대리인 동의와 관련된 사항(법정대리인 이름, 동의 일시 등)을 확인할 수 없는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 3.1.2.개인정보의 수집 동의

2023-04-02T04:45:19Z

짱갤럽: /* 미성년자의 개인정보 수집 동의를 받는 방법 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 3.개인정보 처리단계별 요구사항|3.개인정보 처리단계별 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 3.1.개인정보 수집 시 보호조치|3.1.개인정보 수집 시 보호조치]]

==개요==
{| class="wikitable"
!항목
!3.1.2.개인정보의 수집 동의
|-
| style="text-align:center" |'''인증기준'''
|개인정보는 정보주체(이용자)의 동의를 받거나 관계 법령에 따라 적법하게 수집하여야 하며, 만 14세 미만 아동의 개인정보를 수집하려는 경우에는 법정대리인의 동의를 받아야 한다.
|-
|'''주요 확인사항'''
|
*개인정보 수집 시 법령에 특별한 규정이 있는 경우를 제외하고는 정보주체(이용자)에게 관련 내용을 명확하게 고지하고 동의를 받고 있는가?
*정보주체(이용자)에게 동의를 받는 방법 및 시점은 적절하게 되어 있는가?
*정보주체(이용자)에게 동의를 서면(전자문서 포함)으로 받는 경우 법령에서 정한 중요한 내용에 대해 명확히 표시하여 알아보기 쉽게 하고 있는가?
*만 14세 미만 아동의 개인정보에 대해 수집‧이용‧제공 등의 동의를 받는 경우 법정대리인에게 필요한 사항에 대하여 고지하고 동의를 받고 있는가?
*법정대리인의 동의를 받기 위하여 필요한 최소한의 개인정보만을 수집하고 있으며, 법정대리인이 자격 요건을 갖추고 있는지 확인하는 절차와 방법을 마련하고 있는가?
*정보주체(이용자) 및 법정대리인에게 동의를 받은 기록을 보관하고 있는가?
|}
==세부 설명==

==== 개인정보 수집 동의를 받는 방법 ====

*개인정보를 수집할 때에는 법령에 특별한 규정이 있는 경우를 제외하고는 정보주체(이용자)에게 관련 내용을 명확하게 고지하고 동의를 받아야 한다.
**개인정보의 수집·이용이 가능한 경우
***개인정보처리자<br />1. 정보주체의 동의를 받은 경우<br />2. 법률에 특별한 규정이 있거나 법령상 의무를 준수하기 위하여 불가피한 경우<br />3. 공공기관이 법령 등에서 정하는 소관 업무의 수행을 위하여 불가피한 경우<br />4. 정보주체와의 계약 체결 및 이행을 위하여 불가피한 경우<br />5. 정보주체 또는 그 법정대리인이 의사표시를 할 수 없는 상태에 있거나 사전동의를 받을 수 없는 경우로서 명백히 정보주체 또는 제3자의 급박한 생명, 신체, 재산의 이익을 위하여 필요하다고 인정되는 경우<br />6. 개인정보처리지자의 정당한 이익을 달성하기 위하여 필요한 경우로서 명백하게 정보주체의 권리보다 우선하는 경우
***정보통신서비스 제공자<br />1. 이용자의 동의를 받은 경우<br /> 2. 정보통신서비스의 제공에 관한 계약을 이행하기 위하여 필요한 개인정보로서 경제적·기술적인 사유로 통상적인 동의를 받는 것이 뚜렷하게 곤란한 경우<br /> 3. 정보통신서비스의 제공에 따른 요금정산을 위하여 필요한 경우<br /> 4. 다른 법률에 특별한 규정이 있는 경우
**개인정보의 수집·이용 동의 시 고지 사항
***개인정보처리자 <br />1. 개인정보의 수집·이용 목적<br />2. 수집하려는 개인정보의 항목 <br />3. 개인정보의 보유 및 이용 기간<br /> 4. 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우 그 불이익의 내용
***정보통신서비스 제공자 <br /> 1. 개인정보의 수집·이용 목적 <br /> 2. 수집하려는 개인정보의 항목 <br /> 3. 개인정보의 보유·이용 기간

*개인정보 수집매체의 특성을 반영하여 적절한 방법으로 정보주체(이용자)의 동의를 받아야 하며, 해당 정보가 필요한 시점에 수집하여야 한다.
**회원가입 또는 계약체결 단계에서 개인정보를 미리 포괄적으로 수집하지 말아야 하며, 해당 정보가 필요한 시점에 수집하여야 함.
***서비스 개시를 위하여 필요한 개인정보에 한하여 수집·이용 동의를 받아야 하며, 이후에 제공되는 서비스의 경우 해당 서비스 제공시점에 동의를 받아야 함.
***웹사이트 회원가입 시 웹사이트 내 특정 서비스 이용에만 필요한 개인정보는 해당 서비스 이용시점에 수집
***다만 반복적인 서비스의 경우로서 최초 서비스 이용 시점에 선택 동의 항목으로 분류하여 동의를 받는 경우에는 수집·이용 가능
*정보주체(이용자)에게 동의를 서면(전자문서 포함)으로 받는 경우 법령에서 정한 중요한 내용에 대하여 명확히 표시하여 알아보기 쉽게 하여야 한다.
**개인정보 보호법 제22조(동의를 받는 방법)제2항에 따라 개인정보 처리에 대한 동의를 서면(전자문서 및 전자거래기본법 제2조제1호에 따른 전자문서를 포함)으로 받을 때에는 다음과 같이 중요한 내용을 명확히 표시하여 알아보기 쉽게 하여야 함.
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">'''※ 명확히 표시하여야 하는 중요한 내용(개인정보 보호법 시행령 제17조 제2항)'''
*개인정보의 수집·이용 목적 중 재화나 서비스의 홍보 또는 판매 권유 등을 위하여 해당 개인정보를 이용하여 정보주체에게 연락할 수 있다는 사실
*처리하는 개인정보 항목 중 민감정보, 여권번호, 운전면허번호, 외국인등록번호
*개인정보의 보유 및 이용 기간(제공 시에는 제공받는 자의 보유 및 이용 기간)
*개인정보를 제공받는 자 및 개인정보를 제공받는 자의 개인정보 이용 목적</div>
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">'''※ 중요한 내용의 표시 방법(개인정보 처리 방법에 관한 고시 제4조)'''
*글씨크기는 최소 9포인트 이상으로 다른 내용보다 20퍼센트 이상 크게 하여 알아보기 쉽게 할 것
*글씨의 색깔, 굵기 또는 밑줄 등을 통하여 그 내용이 명확히 표시되도록 할 것
*동의 사항이 많아 중요한 내용이 명확히 구분되기 어려운 경우에는 중요한 내용이 쉽게 확인될 수 있도록 그 밖의 내용과 별도로 구분하여 표시할 것</div>

==== 미성년자의 개인정보 수집 동의를 받는 방법 ====

*만 14세 미만 아동에 대하여 개인정보를 수집·이용·제공 등의 동의를 받는 경우 법정대리인에게 필요한 사항에 대하여 고지하고 동의를 받아야 한다.
**만 14세 미만 아동의 개인정보를 처리할 필요가 없는 경우에는 수집하지 않도록 조치
**만 14세 미만 아동의 개인정보를 처리할 필요가 있는 경우에는 별도의 수집 동의 양식과 법정대리인 확인 절차를 마련하여 법정대리인의 동의를 받을 수 있도록 조치
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">
'''※ 법정대리인 동의를 얻기 위한 방법(예시)'''

*법정대리인의 전자서명을 이용하는 방법
*법정대리인이 휴대폰 인증, 아이핀 등을 통하여 본인확인 후 명시적으로 동의하는 방법
*우편, 팩스, 전자우편 등으로 법정대리인이 서명 날인한 서류를 제출받는 방법
*법정대리인과 직접 통화하여 확인하는 방법 등</div>

*법정대리인의 동의를 받기 위하여 필요한 최소한의 정보(이름, 연락처)만을 수집하여야 하며, 법정대리인이 자격요건을 갖추고 있는지 확인하는 절차와 방법을 마련하여야 한다.
**법정대리인 동의를 받기 위하여 필요한 법정대리인의 필요한 최소한의 정보(이름, 연락처)는 법정 대리인의 동의 없이 아동으로부터 직접 수집이 가능함.
***다만 법정대리인의 이름·연락처를 수집할 때에는 해당 아동에게 자신의 신분과 연락처, 법정대리인의 이름과 연락처를 수집하고자 하는 이유를 알려야 함(표준 개인정보 보호지침 제13조).
***아동으로부터 수집한 법정대리인의 개인정보는 동의를 얻기 위한 용도로만 활용하여야 함.
**법정대리인의 동의를 얻기 위해서는 아동이 제공한 정보가 진정한 법정대리인의 정보인지와 법정 대리인의 진위 여부를 확인하여야 함.
***법정대리인의 미성년자 여부 확인
***아동과의 나이 차이 확인 등
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px; margin-left:55px">
'''※(참고)법정대리인의 정의'''
*법정대리인이란 본인의 의사에 의하지 않고 법률의 규정에 의하여 대리인이 된 자로 미성년자의 친권자(｢민법｣ 제909조, 제911조, 제916조, 제920조), 후견인(｢민법｣ 제931조 ~ 제936조), 법원이 선임한 부재자의 재산관리인(｢민법｣ 제22조, 제23조), 상속재산관리인(｢민법｣ 제1023조 제2항, 제1053조), 유언집행자(｢민법｣ 제1096조) 등이 이에 해당한다.</div>
**법정대리인이 동의를 거부하거나, 법정대리인의 동의 의사가 확인되지 않은 경우 수집일로부터 5일 이내에 파기하여야 함(표준 개인정보 보호지침 제13조제2항).

*정보주체(이용자) 및 법정대리인에게 동의를 받은 기록을 남기고 보존하여야 한다.
**기록으로 남겨야 할 사항 : 동의 일시, 동의 항목, 동의자(법정대리인이 동의한 경우 법정대리인 정보), 동의 방법 등
**보존기간 : 회원탈퇴 등으로 인하여 해당 개인정보를 파기할 때까지
***※ 상세한 내용은 ʻ개인정보 수집·제공 동의서 작성 가이드라인ʼ 참고

==증거 자료==

*온라인 개인정보 수집 양식(홈페이지 회원가입 화면, 모바일앱 회원가입 화면, 이벤트 참여 등)
*오프라인 개인정보 수집 양식(회원가입신청서 등)
*개인정보 수집 동의 기록(회원 데이터베이스 등)
*법정대리인 동의 기록
*개인정보 처리방침

==결함 사례==

*개인정보 보호법을 적용받는 개인정보처리자가 개인정보 수집 동의 시 고지 사항에 ʻ동의 거부 권리 및 동의 거부에 따른 불이익 내용ʼ을 누락한 경우
*개인정보 수집 동의 시 수집하는 개인정보 항목을 구체적으로 명시하지 않고 ʻ~ 등ʼ과 같이 포괄적으로 안내하는 경우
*쇼핑몰 홈페이지에서 회원가입 시 회원가입에 필요한 개인정보 외에 추후 물품 구매 시 필요한 결제·배송 정보를 미리 필수 항목으로 수집하는 경우
*Q&A, 게시판을 통하여 비회원의 개인정보(이름, 이메일, 휴대폰번호)를 수집하면서 개인정보 수집 동의 절차를 거치지 않은 경우
*만 14세 미만 아동의 개인정보를 수집하면서 법정대리인의 동의를 받지 않은 경우
*만 14세 미만 아동에 대하여 서비스를 제공하고 있지 않지만, 회원가입 단계에서 입력받는 생년월일을 통하여 나이 체크를 하지 않아 법정대리인 동의 없이 가입된 만 14세 미만 아 동 회원이 존재한 경우
*법정대리인의 진위 여부를 확인하는 절차가 미흡하여 미성년자 등 아동의 법정대리인으로 보기 어려운데도 법정대리인 동의가 가능한 경우
*만 14세 미만 아동으로부터 법정대리인 동의를 받는 목적으로 법정대리인의 개인정보(이름, 휴대폰번호)를 수집한 이후 법정대리인의 동의가 장기간 확인되지 않았음에도 이를 파기하지 않고 계속 보유하고 있는 경우
*법정대리인 동의에 근거하여 만 14세 미만 아동의 개인정보를 수집하였으나, 관련 기록을 보존하지 않아 법정대리인 동의와 관련된 사항(법정대리인 이름, 동의 일시 등)을 확인할 수 없는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 3.1.1.개인정보 수집 제한

2023-04-02T03:03:34Z

짱갤럽: /* 필요최소한의 정보 수집 */

ISMS-P 인증 기준 2.10.5.정보전송 보안

2023-03-29T12:58:56Z

짱갤럽: /* 세부 설명 */

[[분류: ISMS-P 인증 기준]]
* '''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
* '''분류''': [[ISMS-P 인증 기준 2.10.시스템 및 서비스 보안관리|2.10.시스템 및 서비스 보안관리]]
== 개요 ==
{| class="wikitable"
!항목
!2.10.5.정보전송 보안
|-
| style="text-align:center"|'''인증기준'''
|타 조직에 개인정보 및 중요정보를 전송할 경우 안전한 전송 정책을 수립하고 조직 간 합의를 통해 관리 책임, 전송방법, 개인정보 및 중요정보 보호를 위한 기술적 보호조치 등을 협약하고 이행하여야 한다.
|-
|'''주요 확인사항'''
|
* 외부 조직에 개인정보 및 중요정보를 전송할 경우 안전한 전송 정책을 수립하고 있는가?
* 업무상 조직 간에 개인정보 및 중요정보를 상호교환하는 경우 안전한 전송을 위한 협약체결 등 보호대책을 수립‧이행하고 있는가?
|}
== 세부 설명 ==

* 외부 조직에 개인정보 및 중요정보를 전송할 경우 안전한 전송 정책을 수립하여야 한다.
** 정보전송 기술 표준 : 암호화 방식, 키 교환 및 관리, 전문 규칙, 연계 및 통신 방식 등
** 정보전송 검토 절차 : 보고 및 승인, 관련 조직 간 역할 및 책임, 보안성 검토 등
** 정보전송 협약 기준 : 표준 보안약정서 또는 계약서 양식
** 기타 보호조치 적용 기준 : 법적 요구사항을 반영한 보호조치 기준 등
* 업무상 조직 간 중요정보 및 개인정보를 상호교환하는 경우 안전한 전송을 위한 협약체결 등 보호대책을 수립·이행하여야 한다.
** 조직 또는 계열사 간 다음과 같은 업무수행을 위하여 중요정보를 전자적으로 상호교환하는 경우 안전한 전송을 위한 협약(보안약정서, 계약서, 부속합의서, SLA 등)을 체결하고 이에 따라 이행하여야 함.
*** 관련 업무 정의 : DM 발송을 위한 개인정보 DM업체 전달, 채권추심업체에 추심정보 전달, 개인정보 제3자 제공, 신용카드결제 정보 VAN(Value Added Network)社 전달 등
*** 정보전송 범위 정의 : 법규 준수 또는 정보유출 위험을 예방하기 위하여 업무상 필요한 최소한의 정보만을 송수신
*** 담당자 및 책임자 지정
*** 정보 전송 기술 표준 정의
*** 정보 전송, 저장, 파기 시 관리적·기술적·물리적 보호대책 등
<div style='padding: 0 10px; border: none; background: transparent; margin: 0; margin-left: 70px'>
※ DM(Direct Mail): 우편물을 통한 홍보활동을 의미하며, 편지·엽서·안내장·리플렛·카탈로그·청구서 등의 인쇄물을 우편물 등의 형태로 직접 또는 우편 수단을 이용하여 전달하는 커뮤니케이션 수단
</div>

== 증거 자료 ==
* 정보전송 협약서 또는 계약서
* 정보전송 기술표준
* 정보전송 관련 구성도, 인터페이스 정의서
== 결함 사례 ==
* 대외 기관과 연계 시 전용망 또는 VPN을 적용하고 중계서버와 인증서 적용 등을 통하여 안전하게 정보를 전송하고 있으나, 외부 기관별 연계 시기, 방식, 담당자 및 책임자, 연계 정보, 법적 근거 등에 대한 현황관리가 적절히 이루어지지 않고 있는 경우
* 중계과정에서의 암호 해제 구간 또는 취약한 암호화 알고리즘(DES, 3DES) 사용 등에 대한 보안성 검토, 보안표준 및 조치방안 수립 등에 대한 협의가 이행되고 있지 않은 경우
== 같이 보기 ==
* [[정보보호 및 개인정보보호관리체계 인증]]
* [[ISMS-P 인증 기준]]
* [[ISMS-P 인증 기준 세부 점검 항목]]
== 참고 문헌 ==
* 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.10.5.정보전송 보안

2023-03-29T12:56:03Z

짱갤럽: /* 세부 설명 */

[[분류: ISMS-P 인증 기준]]
* '''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
* '''분류''': [[ISMS-P 인증 기준 2.10.시스템 및 서비스 보안관리|2.10.시스템 및 서비스 보안관리]]
== 개요 ==
{| class="wikitable"
!항목
!2.10.5.정보전송 보안
|-
| style="text-align:center"|'''인증기준'''
|타 조직에 개인정보 및 중요정보를 전송할 경우 안전한 전송 정책을 수립하고 조직 간 합의를 통해 관리 책임, 전송방법, 개인정보 및 중요정보 보호를 위한 기술적 보호조치 등을 협약하고 이행하여야 한다.
|-
|'''주요 확인사항'''
|
* 외부 조직에 개인정보 및 중요정보를 전송할 경우 안전한 전송 정책을 수립하고 있는가?
* 업무상 조직 간에 개인정보 및 중요정보를 상호교환하는 경우 안전한 전송을 위한 협약체결 등 보호대책을 수립‧이행하고 있는가?
|}
== 세부 설명 ==

* 외부 조직에 개인정보 및 중요정보를 전송할 경우 안전한 전송 정책을 수립하여야 한다.
** 정보전송 기술 표준 : 암호화 방식, 키 교환 및 관리, 전문 규칙, 연계 및 통신 방식 등
** 정보전송 검토 절차 : 보고 및 승인, 관련 조직 간 역할 및 책임, 보안성 검토 등
** 정보전송 협약 기준 : 표준 보안약정서 또는 계약서 양식
** 기타 보호조치 적용 기준 : 법적 요구사항을 반영한 보호조치 기준 등
* 업무상 조직 간 중요정보 및 개인정보를 상호교환하는 경우 안전한 전송을 위한 협약체결 등 보호대책을 수립·이행하여야 한다.
** 조직 또는 계열사 간 다음과 같은 업무수행을 위하여 중요정보를 전자적으로 상호교환하는 경우 안전한 전송을 위한 협약(보안약정서, 계약서, 부속합의서, SLA 등)을 체결하고 이에 따라 이행하여야 함.
*** 관련 업무 정의 : DM 발송을 위한 개인정보 DM업체 전달, 채권추심업체에 추심정보 전달, 개인정보 제3자 제공, 신용카드결제 정보 VAN(Value Added Network)社 전달 등
*** 정보전송 범위 정의 : 법규 준수 또는 정보유출 위험을 예방하기 위하여 업무상 필요한 최소한의 정보만을 송수신
*** 담당자 및 책임자 지정
*** 정보 전송 기술 표준 정의
*** 정보 전송, 저장, 파기 시 관리적·기술적·물리적 보호대책 등
<div style='padding: 5px 10px; border: none; background: transparent; margin: 5px; margin-left: 70px'>
※ DM(Direct Mail): 우편물을 통한 홍보활동을 의미하며, 편지·엽서·안내장·리플렛·카탈로그·청구서 등의 인쇄물을 우편물 등의 형태로 직접 또는 우편 수단을 이용하여 전달하는 커뮤니케이션 수단
</div>

== 증거 자료 ==
* 정보전송 협약서 또는 계약서
* 정보전송 기술표준
* 정보전송 관련 구성도, 인터페이스 정의서
== 결함 사례 ==
* 대외 기관과 연계 시 전용망 또는 VPN을 적용하고 중계서버와 인증서 적용 등을 통하여 안전하게 정보를 전송하고 있으나, 외부 기관별 연계 시기, 방식, 담당자 및 책임자, 연계 정보, 법적 근거 등에 대한 현황관리가 적절히 이루어지지 않고 있는 경우
* 중계과정에서의 암호 해제 구간 또는 취약한 암호화 알고리즘(DES, 3DES) 사용 등에 대한 보안성 검토, 보안표준 및 조치방안 수립 등에 대한 협의가 이행되고 있지 않은 경우
== 같이 보기 ==
* [[정보보호 및 개인정보보호관리체계 인증]]
* [[ISMS-P 인증 기준]]
* [[ISMS-P 인증 기준 세부 점검 항목]]
== 참고 문헌 ==
* 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.10.5.정보전송 보안

2023-03-29T12:54:17Z

짱갤럽: /* 세부 설명 */

[[분류: ISMS-P 인증 기준]]
* '''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
* '''분류''': [[ISMS-P 인증 기준 2.10.시스템 및 서비스 보안관리|2.10.시스템 및 서비스 보안관리]]
== 개요 ==
{| class="wikitable"
!항목
!2.10.5.정보전송 보안
|-
| style="text-align:center"|'''인증기준'''
|타 조직에 개인정보 및 중요정보를 전송할 경우 안전한 전송 정책을 수립하고 조직 간 합의를 통해 관리 책임, 전송방법, 개인정보 및 중요정보 보호를 위한 기술적 보호조치 등을 협약하고 이행하여야 한다.
|-
|'''주요 확인사항'''
|
* 외부 조직에 개인정보 및 중요정보를 전송할 경우 안전한 전송 정책을 수립하고 있는가?
* 업무상 조직 간에 개인정보 및 중요정보를 상호교환하는 경우 안전한 전송을 위한 협약체결 등 보호대책을 수립‧이행하고 있는가?
|}
== 세부 설명 ==

* 외부 조직에 개인정보 및 중요정보를 전송할 경우 안전한 전송 정책을 수립하여야 한다.
** 정보전송 기술 표준 : 암호화 방식, 키 교환 및 관리, 전문 규칙, 연계 및 통신 방식 등
** 정보전송 검토 절차 : 보고 및 승인, 관련 조직 간 역할 및 책임, 보안성 검토 등
** 정보전송 협약 기준 : 표준 보안약정서 또는 계약서 양식
** 기타 보호조치 적용 기준 : 법적 요구사항을 반영한 보호조치 기준 등
* 업무상 조직 간 중요정보 및 개인정보를 상호교환하는 경우 안전한 전송을 위한 협약체결 등 보호대책을 수립·이행하여야 한다.
** 조직 또는 계열사 간 다음과 같은 업무수행을 위하여 중요정보를 전자적으로 상호교환하는 경우 안전한 전송을 위한 협약(보안약정서, 계약서, 부속합의서, SLA 등)을 체결하고 이에 따라 이행하여야 함.
*** 관련 업무 정의 : DM 발송을 위한 개인정보 DM업체 전달, 채권추심업체에 추심정보 전달, 개인정보 제3자 제공, 신용카드결제 정보 VAN(Value Added Network)社 전달 등
*** 정보전송 범위 정의 : 법규 준수 또는 정보유출 위험을 예방하기 위하여 업무상 필요한 최소한의 정보만을 송수신
*** 담당자 및 책임자 지정
*** 정보 전송 기술 표준 정의
*** 정보 전송, 저장, 파기 시 관리적·기술적·물리적 보호대책 등
<div style='padding: 5px 10px; border: 1px solid #ddd; background: #f5f5f5; margin: 5px; margin-left: 70px'>
※ DM(Direct Mail): 우편물을 통한 홍보활동을 의미하며, 편지·엽서·안내장·리플렛·카탈로그·청구서 등의 인쇄물을 우편물 등의 형태로 직접 또는 우편 수단을 이용하여 전달하는 커뮤니케이션 수단
</div>

== 증거 자료 ==
* 정보전송 협약서 또는 계약서
* 정보전송 기술표준
* 정보전송 관련 구성도, 인터페이스 정의서
== 결함 사례 ==
* 대외 기관과 연계 시 전용망 또는 VPN을 적용하고 중계서버와 인증서 적용 등을 통하여 안전하게 정보를 전송하고 있으나, 외부 기관별 연계 시기, 방식, 담당자 및 책임자, 연계 정보, 법적 근거 등에 대한 현황관리가 적절히 이루어지지 않고 있는 경우
* 중계과정에서의 암호 해제 구간 또는 취약한 암호화 알고리즘(DES, 3DES) 사용 등에 대한 보안성 검토, 보안표준 및 조치방안 수립 등에 대한 협의가 이행되고 있지 않은 경우
== 같이 보기 ==
* [[정보보호 및 개인정보보호관리체계 인증]]
* [[ISMS-P 인증 기준]]
* [[ISMS-P 인증 기준 세부 점검 항목]]
== 참고 문헌 ==
* 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.10.5.정보전송 보안

2023-03-29T12:51:16Z

짱갤럽: /* 세부 설명 */

[[분류: ISMS-P 인증 기준]]
* '''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
* '''분류''': [[ISMS-P 인증 기준 2.10.시스템 및 서비스 보안관리|2.10.시스템 및 서비스 보안관리]]
== 개요 ==
{| class="wikitable"
!항목
!2.10.5.정보전송 보안
|-
| style="text-align:center"|'''인증기준'''
|타 조직에 개인정보 및 중요정보를 전송할 경우 안전한 전송 정책을 수립하고 조직 간 합의를 통해 관리 책임, 전송방법, 개인정보 및 중요정보 보호를 위한 기술적 보호조치 등을 협약하고 이행하여야 한다.
|-
|'''주요 확인사항'''
|
* 외부 조직에 개인정보 및 중요정보를 전송할 경우 안전한 전송 정책을 수립하고 있는가?
* 업무상 조직 간에 개인정보 및 중요정보를 상호교환하는 경우 안전한 전송을 위한 협약체결 등 보호대책을 수립‧이행하고 있는가?
|}
== 세부 설명 ==

* 외부 조직에 개인정보 및 중요정보를 전송할 경우 안전한 전송 정책을 수립하여야 한다.
** 정보전송 기술 표준 : 암호화 방식, 키 교환 및 관리, 전문 규칙, 연계 및 통신 방식 등
** 정보전송 검토 절차 : 보고 및 승인, 관련 조직 간 역할 및 책임, 보안성 검토 등
** 정보전송 협약 기준 : 표준 보안약정서 또는 계약서 양식
** 기타 보호조치 적용 기준 : 법적 요구사항을 반영한 보호조치 기준 등
* 업무상 조직 간 중요정보 및 개인정보를 상호교환하는 경우 안전한 전송을 위한 협약체결 등 보호대책을 수립·이행하여야 한다.
** 조직 또는 계열사 간 다음과 같은 업무수행을 위하여 중요정보를 전자적으로 상호교환하는 경우 안전한 전송을 위한 협약(보안약정서, 계약서, 부속합의서, SLA 등)을 체결하고 이에 따라 이행하여야 함.
*** 관련 업무 정의 : DM 발송을 위한 개인정보 DM업체 전달, 채권추심업체에 추심정보 전달, 개인정보 제3자 제공, 신용카드결제 정보 VAN(Value Added Network)社 전달 등
*** 정보전송 범위 정의 : 법규 준수 또는 정보유출 위험을 예방하기 위하여 업무상 필요한 최소한의 정보만을 송수신
*** 담당자 및 책임자 지정
*** 정보 전송 기술 표준 정의
*** 정보 전송, 저장, 파기 시 관리적·기술적·물리적 보호대책 등
<div style='padding: 5px 10px; padding-left: 20px; border: 1px solid #ddd; background: #f5f5f5; margin: 5px'>
※ DM(Direct Mail): 우편물을 통한 홍보활동을 의미하며, 편지·엽서·안내장·리플렛·카탈로그·청구서 등의 인쇄물을 우편물 등의 형태로 직접 또는 우편 수단을 이용하여 전달하는 커뮤니케이션 수단
</div>

== 증거 자료 ==
* 정보전송 협약서 또는 계약서
* 정보전송 기술표준
* 정보전송 관련 구성도, 인터페이스 정의서
== 결함 사례 ==
* 대외 기관과 연계 시 전용망 또는 VPN을 적용하고 중계서버와 인증서 적용 등을 통하여 안전하게 정보를 전송하고 있으나, 외부 기관별 연계 시기, 방식, 담당자 및 책임자, 연계 정보, 법적 근거 등에 대한 현황관리가 적절히 이루어지지 않고 있는 경우
* 중계과정에서의 암호 해제 구간 또는 취약한 암호화 알고리즘(DES, 3DES) 사용 등에 대한 보안성 검토, 보안표준 및 조치방안 수립 등에 대한 협의가 이행되고 있지 않은 경우
== 같이 보기 ==
* [[정보보호 및 개인정보보호관리체계 인증]]
* [[ISMS-P 인증 기준]]
* [[ISMS-P 인증 기준 세부 점검 항목]]
== 참고 문헌 ==
* 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.10.5.정보전송 보안

2023-03-29T12:48:54Z

짱갤럽:

[[분류: ISMS-P 인증 기준]]
* '''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
* '''분류''': [[ISMS-P 인증 기준 2.10.시스템 및 서비스 보안관리|2.10.시스템 및 서비스 보안관리]]
== 개요 ==
{| class="wikitable"
!항목
!2.10.5.정보전송 보안
|-
| style="text-align:center"|'''인증기준'''
|타 조직에 개인정보 및 중요정보를 전송할 경우 안전한 전송 정책을 수립하고 조직 간 합의를 통해 관리 책임, 전송방법, 개인정보 및 중요정보 보호를 위한 기술적 보호조치 등을 협약하고 이행하여야 한다.
|-
|'''주요 확인사항'''
|
* 외부 조직에 개인정보 및 중요정보를 전송할 경우 안전한 전송 정책을 수립하고 있는가?
* 업무상 조직 간에 개인정보 및 중요정보를 상호교환하는 경우 안전한 전송을 위한 협약체결 등 보호대책을 수립‧이행하고 있는가?
|}
== 세부 설명 ==

* 외부 조직에 개인정보 및 중요정보를 전송할 경우 안전한 전송 정책을 수립하여야 한다.
** 정보전송 기술 표준 : 암호화 방식, 키 교환 및 관리, 전문 규칙, 연계 및 통신 방식 등
** 정보전송 검토 절차 : 보고 및 승인, 관련 조직 간 역할 및 책임, 보안성 검토 등
** 정보전송 협약 기준 : 표준 보안약정서 또는 계약서 양식
** 기타 보호조치 적용 기준 : 법적 요구사항을 반영한 보호조치 기준 등
* 업무상 조직 간 중요정보 및 개인정보를 상호교환하는 경우 안전한 전송을 위한 협약체결 등 보호대책을 수립·이행하여야 한다.
** 조직 또는 계열사 간 다음과 같은 업무수행을 위하여 중요정보를 전자적으로 상호교환하는 경우 안전한 전송을 위한 협약(보안약정서, 계약서, 부속합의서, SLA 등)을 체결하고 이에 따라 이행하여야 함.
*** 관련 업무 정의 : DM 발송을 위한 개인정보 DM업체 전달, 채권추심업체에 추심정보 전달, 개인정보 제3자 제공, 신용카드결제 정보 VAN(Value Added Network)社 전달 등
*** 정보전송 범위 정의 : 법규 준수 또는 정보유출 위험을 예방하기 위하여 업무상 필요한 최소한의 정보만을 송수신
*** 담당자 및 책임자 지정
*** 정보 전송 기술 표준 정의
*** 정보 전송, 저장, 파기 시 관리적·기술적·물리적 보호대책 등
<div style='padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px'>
※ DM(Direct Mail): 우편물을 통한 홍보활동을 의미하며, 편지·엽서·안내장·리플렛·카탈로그·청구서 등의 인쇄물을 우편물 등의 형태로 직접 또는 우편 수단을 이용하여 전달하는 커뮤니케이션 수단
</div>

== 증거 자료 ==
* 정보전송 협약서 또는 계약서
* 정보전송 기술표준
* 정보전송 관련 구성도, 인터페이스 정의서
== 결함 사례 ==
* 대외 기관과 연계 시 전용망 또는 VPN을 적용하고 중계서버와 인증서 적용 등을 통하여 안전하게 정보를 전송하고 있으나, 외부 기관별 연계 시기, 방식, 담당자 및 책임자, 연계 정보, 법적 근거 등에 대한 현황관리가 적절히 이루어지지 않고 있는 경우
* 중계과정에서의 암호 해제 구간 또는 취약한 암호화 알고리즘(DES, 3DES) 사용 등에 대한 보안성 검토, 보안표준 및 조치방안 수립 등에 대한 협의가 이행되고 있지 않은 경우
== 같이 보기 ==
* [[정보보호 및 개인정보보호관리체계 인증]]
* [[ISMS-P 인증 기준]]
* [[ISMS-P 인증 기준 세부 점검 항목]]
== 참고 문헌 ==
* 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.9.4.로그 및 접속기록 관리

2023-03-27T13:29:27Z

짱갤럽: /* 결함 사례 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.9.시스템 및 서비스 운영관리|2.9.시스템 및 서비스 운영관리]]

==개요==
{| class="wikitable"
!항목
!2.9.4.로그 및 접속기록 관리
|-
| style="text-align:center" |'''인증기준'''
|서버, 응용프로그램, 보안시스템, 네트워크시스템 등 정보시스템에 대한 사용자 접속기록, 시스템로그, 권한부여 내역 등의 로그유형, 보존기간, 보존방법 등을 정하고 위·변조, 도난, 분실 되지 않도록 안전하게 보존·관리하여야 한다.
|-
|'''주요 확인사항'''
|
*서버, 응용프로그램, 보안시스템, 네트워크시스템 등 정보시스템에 대한 로그관리 절차를 수립하고 이에 따라 필요한 로그를 생성하여 보관하고 있는가?
**(가상자산사업자) 월렛에 대한 모든 접근 및 사용은 책임추적성을 확보할 수 있도록 관련 접속기록과 권한부여 및 삭제, 거래발생 등의 행위이력 로그를 빠짐없이 기록하고 있는가?
***행위이력과 책임추적성과 달리 개인키값 등 과도하게 불필요한 정보가 로그기록에 저장된 채로 방치되지 않도록 기록항목을 검토하였는가?
*정보시스템의 로그기록은 별도 저장장치를 통해 백업하고 로그기록에 대한 접근권한은 최소화하여 부여하고 있는가?
*개인정보처리시스템에 대한 접속기록은 법적 요구사항을 준수할 수 있도록 필요한 항목을 모두 포함하여 일정기간 안전하게 보관하고 있는가?
**(가상자산사업자) 정보시스템 가동기록을 '''1년 이상''' 유지하고 있는가?
**(가상자산사업자) 이용자 중요원장에 직접 접근하여 조회·수정·삭제·삽입한 경우 작업자 및 작업내용 등을 기록하여 '''5년간''' 보존하고 있는가?
|-
|관련 법규
|
* 개인정보 보호법 제29조(안전조치의무)
* 개인정보의 안전성 확보조치 기준 제8조(접속기록의 보관 및 점검)
* 개인정보의 기술적·관리적 보호조치 기준 제5조(접속기록의 위·변조 방지)
|}
==세부 설명==

====로그 관리 절차 수립 및 로그 생성·보관====
서버, 응용프로그램, 보안시스템, 네트워크시스템 등 정보시스템에 대한 로그관리 절차를 수립하고, 이에 따라 필요한 로그를 생성하여 보관하여야 한다.

*보존이 필요한 로그유형 및 대상시스템 식별

<blockquote>'''※ 주요 로그유형(예시)'''

*시스템 이벤트 로그: 운영체제 구성요소에 의하여 발생하는 로그(시스템 시작, 종료, 상태, 에러 코드 등)
*네트워크 이벤트 로그: IP주소 할당, 주요 구간 트래픽 로그
*보안시스템 로그: 관리자 접속, 보안정책(룰셋) 등록·변경·삭제 등
*보안관련 감사 로그: 사용자 접속기록, 인증 성공/실패 로그, 파일 접근, 계정 및 권한 등록* 변경·삭제 등(서버, 응용프로그램, 보안시스템, 네트워크시스템, 데이터베이스 등)
*개인정보처리시스템 접속기록: 개인정보취급자가 개인정보처리시스템에 접속한 사실을 알 수 있는 접속자 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등
*기타 정보보호 관련 로그
</blockquote>

*각 시스템 및 장비별 로그 형태, 보존기간, 로그 보존(백업) 방법 등 정의
*로그관리 절차 수립 및 이에 따른 로그 생성·보관

====로그 분리보관 및 접근권한 최소화====
정보시스템의 로그기록은 '''별도 저장장치를 통하여 백업'''하고, 로그기록에 대한 접근권한은 최소화하여 부여하여야 한다.

*로그기록은 스토리지 등 별도 저장장치를 사용하여 백업하고 로그기록에 대한 접근권한 부여는 최소화하여 비인가자에 의한 로그기록 위·변조 및 삭제 등이 발생하지 않도록 하여야 함.

====개인정보처리시스템 로그 보관 규정 준수====
개인정보처리시스템에 대한 접속기록은 법적 요구사항을 준수할 수 있도록 필요한 항목을 모두 포함하여 일정기간 안전하게 보관하여야 한다.

*개인정보처리시스템 접속기록에 반드시 포함되어야 할 항목

{| class="wikitable"
!개인정보의 안전성 확보조치 기준
!개인정보의 기술적·관리적 보호조치 기준
!비고
|-
|계정
|식별자
|개인정보취급자 ID 등
|-
|접속일시
|접속일시
|접속한 시간 또는 업무를 수행한 시간 (연월일 및 시분초)
|-
|접속지 정보
|접속지를 알 수 있는 정보
|접속자 IP주소 등
|-
|처리한 정보주체 정보
| rowspan="2" |수행업무
|개인정보취급자가 누구의 개인정보를 처리하였는지 알 수 있는 식별정보 (정보주체 또는 이용자 ID, 고객번호, 학번, 사번 등)
|-
|수행업무
|개인정보 조회, 변경, 입력, 삭제, 출력 다운로드 등
|}

*개인정보 접속기록 보존기간
**개인정보처리자
***최소 '''1년''' 이상
***다만 5만 명 이상의 정보주체에 관하여 개인정보를 처리하거나, 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템의 경우 '''2년''' 이상
**정보통신서비스 제공자 등
***최소 '''1년''' 이상
***｢전기통신사업법｣ 제5조에 따른 기간통신사업자: 최소 '''2년''' 이상

====로그 기록의 안전한 보관====
개인정보 접속기록이 위·변조, 도난, 분실되지 않도록 안전하게 보관 필요<blockquote>'''※ 접속기록의 안전한 보관방법(예시)'''

*물리적으로 분리된 별도의 저장장치에 백업 보관
*DVD, WORM Disk 등 덮어쓰기가 방지된 저장매체에 보존 등
</blockquote>

==증거 자료==

*로그관리 절차
*로그기록 내역
*로그 저장장치에 대한 접근통제 내역
*개인정보 접속기록 내역

==결함 사례==

*로그 기록 대상, 방법, 보존기간, 검토 주기, 담당자 등에 대한 세부 기준 및 절차가 수립되어 있지 않은 경우
*보안 이벤트 로그, 응용 프로그램 및 서비스 로그(윈도우 2008 서버 이상) 등 중요 로그에 대한 최대 크기를 충분하게 설정하지 않아 내부 기준에 정한 기간 동안 기록·보관되고 있지 않은 경우
*중요 Linux/UNIX 계열 서버에 대한 로그 기록을 별도로 백업하거나 적절히 보호하지 않아 사용자의 명령 실행 기록 및 접속 이력 등을 임의로 삭제할 수 있는 경우
*개인정보처리시스템에 접속한 기록을 확인한 결과 접속자의 계정, 접속 일시, 접속자 IP주소 정보는 남기고 있으나, 처리한 정보주체 정보 및 수행업무(조회, 변경, 삭제, 다운로드 등)와 관련된 정보를 남기고 있지 않은 경우
*로그 서버의 용량의 충분하지 않아서 개인정보처리시스템 접속기록이 3개월밖에 남아 있지 않은 경우
*공공기관 등 개인정보처리자가 정보주체 10만 명의 개인정보를 처리하는 개인정보처리 시스템의 접속기록을 1년간만 보관하고 있는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.8.2.보안 요구사항 검토 및 시험

2023-03-27T06:45:30Z

짱갤럽: /* 공공기관 개인정보처리시스템 영향평가 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.8.정보시스템 도입 및 개발 보안|2.8.정보시스템 도입 및 개발 보안]]

==개요==
{| class="wikitable"
!항목
!2.8.2.보안 요구사항 검토 및 시험
|-
| style="text-align:center" |'''인증기준'''
|사전 정의된 보안 요구사항에 따라 정보시스템이 도입 또는 구현되었는지를 검토하기 위하여 법적 요구사항 준수, 최신 보안취약점 점검, 안전한 코딩 구현, 개인정보 영향평가 등의 검토 기준과 절차를 수립·이행하고, 발견된 문제점에 대한 개선조치를 수행하여야 한다.
|-
|'''주요 확인사항'''
|
*정보시스템의 도입, 개발, 변경 시 분석 및 설계 단계에서 정의한 보안 요구사항이 효과적으로 적용되었는지를 확인하기 위한 시험을 수행하고 있는가?
**(가상자산사업자) 설계단계에서 도출한, 가상자산 월렛 관련 상세 '''보안요구사항'''(멀티시그 적용, 공인IP 필요, DMZ구간에 가상자산 노드서버 배치 필요, 불특정 IP/PORT 통신, 거래결과 확인방법 등)을 근거로 '''이행여부'''를 '''확인'''하기 위한 '''시험'''을 '''수행'''하고 있는가?
*정보시스템이 안전한 코딩 기준 등에 따라 안전하게 개발되었는지를 확인하기 위한 취약점 점검이 수행되고 있는가?
**(가상자산사업자) 가상자산 거래 서비스 관련 다음과 같은 행위를 하고자 하는 경우 자체 '''보안성심의'''를 실시하고 있는가?
***가상자산 거래에 사용되는 전산프로그램을 정보 시스템에 설치 및 변경
***정보통신망을 이용하여 이용자를 대상으로 신규 가상자산 거래업무 수행
***복수의 가상자산 거래소가 공동으로 가상자산거래 관련 표준 제정
*시험 및 취약점 점검 과정에서 발견된 문제점이 신속하게 개선될 수 있도록 개선계획 수립, 이행점검 등의 절차를 이행하고 있는가?
*공공기관은 관련 법령에 따라 개인정보처리시스템 신규 개발 및 변경 시 분석‧설계 단계에서 영향평가기관을 통해 영향평가를 수행하고 그 결과를 개발 및 변경 시 반영하고 있는가?
|-
|'''관련 법규'''
|
* 개인정보 보호법 제33조(개인정보 영향평가)
* 개인정보 영향평가에 관한 고시
|}
==세부 설명==

==== 보안 요구사항 적용 검토 기준·절차 수립 및 시험 ====
정보시스템의 도입, 개발, 변경 시 분석 및 설계 단계에서 정의한 보안 요구사항이 효과적으로 적용되었는지를 확인하기 위한 검토기준과 절차를 수립하고 이에 따른 시험을 수행하여야 한다.
*정보시스템 인수 전 인수기준 적합성 여부를 확인하기 위한 시험 수행
**정보시스템이 사전에 정의한 보안 요구사항을 만족하여 개발·변경 및 도입되었는지 확인하기 위한 인수기준 및 절차 수립
*정보시스템을 인수하기 전 사전 정의한 인수기준과의 적합성 여부를 테스트 등을 통하여 확인한 후 인수 여부를 결정
**시스템 보안 설정, 불필요한 디폴트 계정 제거 여부, 최신 보안취약점 패치 여부 등 확인 필요
*개발·변경 및 구현된 기능이 사전에 정의된 보안 요구사항을 충족하는지 시험 수행
**시험 계획서, 체크리스트, 시험 결과서 등에 반영

==== 취약점 점검 수행 ====
정보시스템이 안전한 코딩 기준 등에 따라 안전하게 개발되었는지를 확인하기 위한 취약점 점검을 수행하여야 한다.
*코딩 완료 후 안전한 코딩 표준 및 규약 준수 여부를 점검하고 기술적 보안 취약점이 존재하는 지 점검 수행
**시스템이 안전한 코딩표준에 따라 구현하는지 소스코드 검증(소스코드 검증도구 활용 등)
*코딩이 완료된 프로그램은 운영환경과 동일한 환경에서 취약점 점검도구 또는 모의진단을 통한 취약점 노출 여부 점검

==== 발견된 취약점 개선계획 수립 및 이행점검 ====
시험 및 취약점 점검 과정에서 발견된 문제점이 신속하게 개선될 수 있도록 개선계획 수립, 이행점검 등의 절차를 이행하여야 한다.
*발견된 문제점은 시스템 오픈 전에 개선될 수 있도록 개선계획 수립, 내부 보고, 이행점검 등의 절차 '''수립·이행'''
*불가피한 사유로 시스템 '''오픈 전에 개선이 어려울 경우'''에는 이에 따른 영향도 평가, 보완 대책, 내부 보고 등 위험을 줄일 수 있는 '''대책 마련'''

==== 공공기관 개인정보처리시스템 영향평가 ====
공공기관은 관련 법령에 따라 개인정보처리시스템 신규 개발 및 변경 시 분석·설계 단계에서 영향평가 기관을 통하여 영향평가를 수행하고 그 결과를 개발 및 변경 시 반영하여야 한다(개인정보 보호법 시행령 제35조 참고).

*공공기관은 개인정보처리시스템 신규 개발 또는 변경을 위한 계획 수립 시 개인정보 영향평가 의무 대상 여부를 검토하여 의무 대상인 경우에 영향평가 계획을 수립하고 관련 예산 확보

<blockquote>'''※ 개인정보 영향평가 의무 대상'''

*'''(5만 명 조건)''' 5만 명 이상의 정보주체에 관한 민감정보 또는 고유식별정보의 처리가 수반되는 개인정보파일
*'''(50만 명 조건)''' 공공기관 내부 또는 외부에서 구축·운용하고 있는 다른 개인정보파일과 연계하려는 경우로서 연계 결과 50만 명 이상의 정보주체에 관한 개인정보가 포함되는 개인정보파일
*'''(100만 명 조건)''' 100만 명 이상의 정보주체에 관한 개인정보파일
*'''(변경 시)''' 영향평가를 받은 후 개인정보파일의 운용체계를 변경하는 경우 변경된 부분에 대해서는 영향평가를 실시
</blockquote>

*공공기관은 개인정보처리시스템 신규 개발 및 변경 시 분석·설계 단계에서 개인정보보호위원회가 지정한 영향평가기관을 통하여 영향평가를 수행하고 그 결과를 개발 및 변경 시 반영
**영향평가기관 지정현황은 ʻ개인정보보호 종합포털(www.privacy.go.kr)ʼ에서 확인 가능
**영향평가 수행절차, 평가기준 등은 ʻ개인정보 영향평가 수행안내서ʼ 참고
*공공기관은 개인정보 영향평가서를 개인정보처리시스템 오픈 전 및 영향평가 종료 후 2개월 이내에 개인정보보호위원회에 제출
**개인정보보호 종합지원시스템(intra.privacy.go.kr)에 영향평가서 등록
*개인정보 영향평가 결과에 따른 개선요구사항에 대하여 이행 여부를 관리
**개선요구사항에 대한 상세 이행계획 수립
**정기적인 이행 상황 점검
**불가피하게 기간 내 조치가 어려운 경우 타당한 사유를 기록·보고하고 향후 조치를 위한 이행계획 수립
**영향평가서를 받은 공공기관의 장은 개선사항으로 지적된 부분에 대한 이행현황을 1년 이내에 개인 정보보호위원회에 제출(개선계획 이행점검 확인서)

==증거 자료==

*정보시스템 인수 시험 결과
*요구사항 추적 매트릭스
*시험 계획서, 시험 결과서
*취약점 점검 결과서
*개인정보 영향평가서
*개인정보 영향평가 개선계획 이행점검 확인서

==결함 사례==

*정보시스템 구현 이후 개발 관련 내부 지침 및 문서에 정의된 보안 요구사항을 시험하지 않고 있는 경우
*응용프로그램 테스트 시나리오 및 기술적 취약점 점검항목에 입력값 유효성 체크 등의 중요 점검항목 일부가 누락된 경우
*구현 또는 시험 과정에서 알려진 기술적 취약성이 존재하는지 여부를 점검하지 않거나, 타당한 사유 또는 승인 없이 확인된 취약성에 대한 개선조치를 이행하지 않은 경우
*공공기관이 5만 명 이상 정보주체의 고유식별정보를 처리하는 등 영향평가 의무 대상 개인 정보파일 및 개인정보처리시스템을 신규로 구축하면서 영향평가를 실시하지 않은 경우
*공공기관이 영향평가를 수행한 후 영향평가기관으로부터 영향평가서를 받은 지 2개월이 지났음에도 불구하고 영향평가서를 개인정보보호위원회에 제출하지 않은 경우

== 관련 인증 기준 ==
'''[[ISMS-P 인증 기준 2.8.1.보안 요구사항 정의|2.8.1.보안 요구사항 정의]]'''
* 정보시스템의 도입∙개발∙변경 시 정보보호 및 개인정보보호 관련 법적 요구사항, 최신 보안취약점, 안전한 코딩방법 등 보안 요구사항을 정의하고 적용하여야 한다.

'''[[ISMS-P 인증 기준 2.8.3.시험과 운영 환경 분리|2.8.3.시험과 운영 환경 분리]]'''

* 개발 및 시험 시스템은 운영시스템에 대한 비인가 접근 및 변경의 위험을 감소시키기 위하여 원칙적으로 분리하여야 한다.

'''[[ISMS-P 인증 기준 2.8.4.시험 데이터 보안|2.8.4.시험 데이터 보안]]'''

* 시스템 시험 과정에서 운영데이터의 유출을 예방하기 위하여 시험 데이터의 생성과 이용 및 관리, 파기, 기술적 보호조치에 관한 절차를 수립·이행하여야 한다.

'''[[ISMS-P 인증 기준 2.8.5.소스 프로그램 관리|2.8.5.소스 프로그램 관리]]'''

* 소스 프로그램은 인가된 사용자만이 접근할 수 있도록 관리하고, 운영환경에 보관하지 않는 것을 원칙으로 하여야 한다.

'''[[ISMS-P 인증 기준 2.8.6.운영환경 이관|2.8.6.운영환경 이관]]'''

* 신규 도입·개발 또는 변경된 시스템을 운영환경으로 이관할 때는 통제된 절차를 따라야 하고, 실행코드는 시험 및 사용자 인수 절차에 따라 실행되어야 한다.

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.8.2.보안 요구사항 검토 및 시험

2023-03-26T11:03:45Z

짱갤럽: /* 공공기관 개인정보처리시스템 영향평가 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.8.정보시스템 도입 및 개발 보안|2.8.정보시스템 도입 및 개발 보안]]

==개요==
{| class="wikitable"
!항목
!2.8.2.보안 요구사항 검토 및 시험
|-
| style="text-align:center" |'''인증기준'''
|사전 정의된 보안 요구사항에 따라 정보시스템이 도입 또는 구현되었는지를 검토하기 위하여 법적 요구사항 준수, 최신 보안취약점 점검, 안전한 코딩 구현, 개인정보 영향평가 등의 검토 기준과 절차를 수립·이행하고, 발견된 문제점에 대한 개선조치를 수행하여야 한다.
|-
|'''주요 확인사항'''
|
*정보시스템의 도입, 개발, 변경 시 분석 및 설계 단계에서 정의한 보안 요구사항이 효과적으로 적용되었는지를 확인하기 위한 시험을 수행하고 있는가?
**(가상자산사업자) 설계단계에서 도출한, 가상자산 월렛 관련 상세 '''보안요구사항'''(멀티시그 적용, 공인IP 필요, DMZ구간에 가상자산 노드서버 배치 필요, 불특정 IP/PORT 통신, 거래결과 확인방법 등)을 근거로 '''이행여부'''를 '''확인'''하기 위한 '''시험'''을 '''수행'''하고 있는가?
*정보시스템이 안전한 코딩 기준 등에 따라 안전하게 개발되었는지를 확인하기 위한 취약점 점검이 수행되고 있는가?
**(가상자산사업자) 가상자산 거래 서비스 관련 다음과 같은 행위를 하고자 하는 경우 자체 '''보안성심의'''를 실시하고 있는가?
***가상자산 거래에 사용되는 전산프로그램을 정보 시스템에 설치 및 변경
***정보통신망을 이용하여 이용자를 대상으로 신규 가상자산 거래업무 수행
***복수의 가상자산 거래소가 공동으로 가상자산거래 관련 표준 제정
*시험 및 취약점 점검 과정에서 발견된 문제점이 신속하게 개선될 수 있도록 개선계획 수립, 이행점검 등의 절차를 이행하고 있는가?
*공공기관은 관련 법령에 따라 개인정보처리시스템 신규 개발 및 변경 시 분석‧설계 단계에서 영향평가기관을 통해 영향평가를 수행하고 그 결과를 개발 및 변경 시 반영하고 있는가?
|-
|'''관련 법규'''
|
* 개인정보 보호법 제33조(개인정보 영향평가)
* 개인정보 영향평가에 관한 고시
|}
==세부 설명==

==== 보안 요구사항 적용 검토 기준·절차 수립 및 시험 ====
정보시스템의 도입, 개발, 변경 시 분석 및 설계 단계에서 정의한 보안 요구사항이 효과적으로 적용되었는지를 확인하기 위한 검토기준과 절차를 수립하고 이에 따른 시험을 수행하여야 한다.
*정보시스템 인수 전 인수기준 적합성 여부를 확인하기 위한 시험 수행
**정보시스템이 사전에 정의한 보안 요구사항을 만족하여 개발·변경 및 도입되었는지 확인하기 위한 인수기준 및 절차 수립
*정보시스템을 인수하기 전 사전 정의한 인수기준과의 적합성 여부를 테스트 등을 통하여 확인한 후 인수 여부를 결정
**시스템 보안 설정, 불필요한 디폴트 계정 제거 여부, 최신 보안취약점 패치 여부 등 확인 필요
*개발·변경 및 구현된 기능이 사전에 정의된 보안 요구사항을 충족하는지 시험 수행
**시험 계획서, 체크리스트, 시험 결과서 등에 반영

==== 취약점 점검 수행 ====
정보시스템이 안전한 코딩 기준 등에 따라 안전하게 개발되었는지를 확인하기 위한 취약점 점검을 수행하여야 한다.
*코딩 완료 후 안전한 코딩 표준 및 규약 준수 여부를 점검하고 기술적 보안 취약점이 존재하는 지 점검 수행
**시스템이 안전한 코딩표준에 따라 구현하는지 소스코드 검증(소스코드 검증도구 활용 등)
*코딩이 완료된 프로그램은 운영환경과 동일한 환경에서 취약점 점검도구 또는 모의진단을 통한 취약점 노출 여부 점검

==== 발견된 취약점 개선계획 수립 및 이행점검 ====
시험 및 취약점 점검 과정에서 발견된 문제점이 신속하게 개선될 수 있도록 개선계획 수립, 이행점검 등의 절차를 이행하여야 한다.
*발견된 문제점은 시스템 오픈 전에 개선될 수 있도록 개선계획 수립, 내부 보고, 이행점검 등의 절차 '''수립·이행'''
*불가피한 사유로 시스템 '''오픈 전에 개선이 어려울 경우'''에는 이에 따른 영향도 평가, 보완 대책, 내부 보고 등 위험을 줄일 수 있는 '''대책 마련'''

==== 공공기관 개인정보처리시스템 영향평가 ====
공공기관은 관련 법령에 따라 개인정보처리시스템 신규 개발 및 변경 시 분석·설계 단계에서 영향평가 기관을 통하여 영향평가를 수행하고 그 결과를 개발 및 변경 시 반영하여야 한다(개인정보 보호법 시행령 제35조 참고).

*공공기관은 개인정보처리시스템 신규 개발 또는 변경을 위한 계획 수립 시 개인정보 영향평가 의무 대상 여부를 검토하여 의무 대상인 경우에 영향평가 계획을 수립하고 관련 예산 확보

<blockquote>'''※ 개인정보 영향평가 의무 대상'''

*1. '''(5만 명 조건)''' 5만 명 이상의 정보주체에 관한 민감정보 또는 고유식별정보의 처리가 수반되는 개인정보파일
*2. '''(50만 명 조건)''' 공공기관 내부 또는 외부에서 구축·운용하고 있는 다른 개인정보파일과 연계하려는 경우로서 연계 결과 50만 명 이상의 정보주체에 관한 개인정보가 포함되는 개인정보파일
*3. '''(100만 명 조건)''' 100만 명 이상의 정보주체에 관한 개인정보파일
*4. '''(변경 시)''' 영향평가를 받은 후 개인정보파일의 운용체계를 변경하는 경우 변경된 부분에 대해서는 영향평가를 실시
</blockquote>

*공공기관은 개인정보처리시스템 신규 개발 및 변경 시 분석·설계 단계에서 개인정보보호위원회가 지정한 영향평가기관을 통하여 영향평가를 수행하고 그 결과를 개발 및 변경 시 반영
**영향평가기관 지정현황은 ʻ개인정보보호 종합포털(www.privacy.go.kr)ʼ에서 확인 가능
**영향평가 수행절차, 평가기준 등은 ʻ개인정보 영향평가 수행안내서ʼ 참고
*공공기관은 개인정보 영향평가서를 개인정보처리시스템 오픈 전 및 영향평가 종료 후 2개월 이내에 개인정보보호위원회에 제출
**개인정보보호 종합지원시스템(intra.privacy.go.kr)에 영향평가서 등록
*개인정보 영향평가 결과에 따른 개선요구사항에 대하여 이행 여부를 관리
**개선요구사항에 대한 상세 이행계획 수립
**정기적인 이행 상황 점검
**불가피하게 기간 내 조치가 어려운 경우 타당한 사유를 기록·보고하고 향후 조치를 위한 이행계획 수립
**영향평가서를 받은 공공기관의 장은 개선사항으로 지적된 부분에 대한 이행현황을 1년 이내에 개인 정보보호위원회에 제출(개선계획 이행점검 확인서)

==증거 자료==

*정보시스템 인수 시험 결과
*요구사항 추적 매트릭스
*시험 계획서, 시험 결과서
*취약점 점검 결과서
*개인정보 영향평가서
*개인정보 영향평가 개선계획 이행점검 확인서

==결함 사례==

*정보시스템 구현 이후 개발 관련 내부 지침 및 문서에 정의된 보안 요구사항을 시험하지 않고 있는 경우
*응용프로그램 테스트 시나리오 및 기술적 취약점 점검항목에 입력값 유효성 체크 등의 중요 점검항목 일부가 누락된 경우
*구현 또는 시험 과정에서 알려진 기술적 취약성이 존재하는지 여부를 점검하지 않거나, 타당한 사유 또는 승인 없이 확인된 취약성에 대한 개선조치를 이행하지 않은 경우
*공공기관이 5만 명 이상 정보주체의 고유식별정보를 처리하는 등 영향평가 의무 대상 개인 정보파일 및 개인정보처리시스템을 신규로 구축하면서 영향평가를 실시하지 않은 경우
*공공기관이 영향평가를 수행한 후 영향평가기관으로부터 영향평가서를 받은 지 2개월이 지났음에도 불구하고 영향평가서를 개인정보보호위원회에 제출하지 않은 경우

== 관련 인증 기준 ==
'''[[ISMS-P 인증 기준 2.8.1.보안 요구사항 정의|2.8.1.보안 요구사항 정의]]'''
* 정보시스템의 도입∙개발∙변경 시 정보보호 및 개인정보보호 관련 법적 요구사항, 최신 보안취약점, 안전한 코딩방법 등 보안 요구사항을 정의하고 적용하여야 한다.

'''[[ISMS-P 인증 기준 2.8.3.시험과 운영 환경 분리|2.8.3.시험과 운영 환경 분리]]'''

* 개발 및 시험 시스템은 운영시스템에 대한 비인가 접근 및 변경의 위험을 감소시키기 위하여 원칙적으로 분리하여야 한다.

'''[[ISMS-P 인증 기준 2.8.4.시험 데이터 보안|2.8.4.시험 데이터 보안]]'''

* 시스템 시험 과정에서 운영데이터의 유출을 예방하기 위하여 시험 데이터의 생성과 이용 및 관리, 파기, 기술적 보호조치에 관한 절차를 수립·이행하여야 한다.

'''[[ISMS-P 인증 기준 2.8.5.소스 프로그램 관리|2.8.5.소스 프로그램 관리]]'''

* 소스 프로그램은 인가된 사용자만이 접근할 수 있도록 관리하고, 운영환경에 보관하지 않는 것을 원칙으로 하여야 한다.

'''[[ISMS-P 인증 기준 2.8.6.운영환경 이관|2.8.6.운영환경 이관]]'''

* 신규 도입·개발 또는 변경된 시스템을 운영환경으로 이관할 때는 통제된 절차를 따라야 하고, 실행코드는 시험 및 사용자 인수 절차에 따라 실행되어야 한다.

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.8.1.보안 요구사항 정의

2023-03-26T10:13:50Z

짱갤럽: /* 보안성 검토 절차 수립 및 이행 */

[[분류: ISMS-P 인증 기준]]
* '''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
* '''분류''': [[ISMS-P 인증 기준 2.8.정보시스템 도입 및 개발 보안|2.8.정보시스템 도입 및 개발 보안]]
== 개요 ==

{| class="wikitable
!항목
!2.8.1.보안 요구사항 정의
|-
| style="text-align:center"|'''인증기준'''
|정보시스템의 도입∙개발∙변경 시 정보보호 및 개인정보보호 관련 법적 요구사항, 최신 보안취약점, 안전한 코딩방법 등 보안 요구사항을 정의하고 적용하여야 한다.
|-
|'''주요 확인사항'''
|
* 정보시스템을 '''신규로 도입‧개발 또는 변경'''하는 경우 정보보호 및 개인정보보호 측면의 '''타당성 검토 및 인수 절차'''를 수립‧이행하고 있는가?
** (가상자산사업자) 신규 가상자산 상장 시, 멀티시그 적용여부, 가상자산 노드서버 운영, 거래결과 확인방법 등 해당 코인 관련 보안 요구사항을 정의하고 적용하고 있는가?
* 정보시스템을 신규로 도입‧개발 또는 변경하는 경우 '''법적 요구사항, 최신 취약점 등을 포함한 보안 요구사항'''을 명확히 정의하고 '''설계 단계에서부터 반영'''하고 있는가?
** (가상자산사업자) 주요 작업관련 정보시스템 등 월렛 관련 응용프로그램 개발시에는 해당 가상자산의 월렛 관련 상세 위험평가(공인IP 필요, DMZ구간에 가상자산 노드서버 배치 필요, 불특정 IP/PORT 통신 등)를 근거로 보안요구사항을 도출하여 이를 설계에 반영하고 있 는가?
* 정보시스템의 안전한 구현을 위한 '''코딩 표준을 수립'''하여 적용하고 있는가?
|}

== 세부 설명 ==

==== 보안성 검토 절차 수립 및 이행 ====
정보시스템을 신규로 도입·개발 또는 변경하는 경우 정보보호 및 개인정보보호 측면의 타당성을 검토하고 인수할 수 있도록 절차를 수립·이행하여야 한다.
* 새로운 정보시스템(서버, 네트워크 장비, 상용 소프트웨어 패키지) 및 보안시스템 도입 시 도입 타당성 분석 등의 내용이 포함된 도입계획 수립
** 현재 시스템 자원의 이용률, 사용량, 능력한계에 대한 분석
** 성능, 안정성, 보안성, 신뢰성 및 기존시스템과의 호환성, 상호 운용성 요건
** 개인정보처리시스템에 해당될 경우 개인정보 보호법(개인정보의 안전성 확보조치 기준, 개인정보의기술적·관리적 보호조치 기준 고시 포함) 등에서 요구하는 법적 요구사항 준수
* 정보보호 및 개인정보보호 측면의 요구사항을 '''제안요청서(RFP)에 반영'''하고 업체 또는 제품 선정 시 기준으로 활용
* 정보시스템 인수 여부를 판단하기 위한 시스템 인수기준 수립
** 도입계획 수립 시 정의된 성능, 보안성, 법적 요구사항 등을 반영한 인수 승인기준 수립
** 시스템 도입 과정에서 인수기준을 준수하도록 '''구매계약서 등에 반영'''

==== 보안 요구사항 설계 단계에서 반영 ====
정보시스템을 신규로 도입·개발 또는 변경하는 경우 법적 요구사항, 최신 취약점 등을 포함한 보안 요구사항을 명확히 정의하고 설계 단계에서부터 반영하여야 한다.
* 개인정보보호 관련 법적 요구사항 : 접근권한, 접근통제, 암호화, 접속기록 등
* 상위 기관 및 내부 규정에 따른 정보보호 및 개인정보보호 요구사항
* 정보보호 관련 기술적 요구사항 : 인증, 개발보안 등
* 최신 보안취약점 등

==== 개발 코딩 보안 표준 마련 ====
정보시스템의 안전한 구현을 위한 코딩 표준을 마련하고 적용하여야 한다.
* 알려진 기술적 보안 취약점으로 인한 위협을 최소화하기 위하여 안전한 코딩 표준 및 규약 마련
* Java, PHP, ASP, 웹, 모바일 등 관련된 개발 언어 및 환경을 모두 포함
* 안전한 코딩 표준 및 규약에 대하여 개발자 대상 교육 수행
== 증거 자료 ==
* 정보시스템 인수 기준 및 절차
* 정보시스템 도입 RFP(제안요청서) 및 구매계약서
* 개발 산출물(사업수행계획서, 요구사항정의서, 화면설계서, 보안아키텍처 설계서, 시험계획서 등)
* 시큐어 코딩 표준
== 결함 사례 ==
* 정보시스템 인수 전 보안성 검증 기준 및 절차가 마련되어 있지 않은 경우
* 신규 시스템 도입 시 기존 운영환경에 대한 영향 및 보안성을 검토하도록 내부 규정을 마련하고 있으나, 최근 도입한 일부 시스템에 대하여 인수테스트(취약점 점검) 등의 관련 보안성검토 수행 증적이 확인되지 않은 경우
* 개발 관련 내부 지침에 개발과 관련된 주요 보안 요구사항(인증 및 암호화, 보안로그 등)이 정의되어 있지 않은 경우
* ʻ개발표준정의서ʼ에 사용자 패스워드를 안전하지 않은 암호화 알고리즘(MD5, SHA1)으로 사용하도록 되어 있어 '''관련 법적 요구사항을 적절히 반영하지 않는 경우'''

== 관련 인증 기준 ==
'''[[ISMS-P 인증 기준 2.8.2.보안 요구사항 검토 및 시험|2.8.2.보안 요구사항 검토 및 시험]]'''

* 사전 정의된 보안 요구사항에 따라 정보시스템이 도입 또는 구현되었는지를 검토하기 위하여 법적 요구사항 준수, 최신 보안취약점 점검, 안전한 코딩 구현, 개인정보 영향평가 등의 검토 기준과 절차를 수립·이행하고, 발견된 문제점에 대한 개선조치를 수행하여야 한다.

'''[[ISMS-P 인증 기준 2.8.3.시험과 운영 환경 분리|2.8.3.시험과 운영 환경 분리]]'''

* 개발 및 시험 시스템은 운영시스템에 대한 비인가 접근 및 변경의 위험을 감소시키기 위하여 원칙적으로 분리하여야 한다.

'''[[ISMS-P 인증 기준 2.8.4.시험 데이터 보안|2.8.4.시험 데이터 보안]]'''

* 시스템 시험 과정에서 운영데이터의 유출을 예방하기 위하여 시험 데이터의 생성과 이용 및 관리, 파기, 기술적 보호조치에 관한 절차를 수립·이행하여야 한다.

'''[[ISMS-P 인증 기준 2.8.5.소스 프로그램 관리|2.8.5.소스 프로그램 관리]]'''

* 소스 프로그램은 인가된 사용자만이 접근할 수 있도록 관리하고, 운영환경에 보관하지 않는 것을 원칙으로 하여야 한다.

'''[[ISMS-P 인증 기준 2.8.6.운영환경 이관|2.8.6.운영환경 이관]]'''

* 신규 도입·개발 또는 변경된 시스템을 운영환경으로 이관할 때는 통제된 절차를 따라야 하고, 실행코드는 시험 및 사용자 인수 절차에 따라 실행되어야 한다.

== 같이 보기 ==
* [[정보보호 및 개인정보보호관리체계 인증]]
* [[ISMS-P 인증 기준]]
* [[ISMS-P 인증 기준 세부 점검 항목]]
== 참고 문헌 ==
* 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.8.1.보안 요구사항 정의

2023-03-26T10:13:06Z

짱갤럽: /* 보안성 검토 절차 수립 및 이행 */

[[분류: ISMS-P 인증 기준]]
* '''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
* '''분류''': [[ISMS-P 인증 기준 2.8.정보시스템 도입 및 개발 보안|2.8.정보시스템 도입 및 개발 보안]]
== 개요 ==

{| class="wikitable
!항목
!2.8.1.보안 요구사항 정의
|-
| style="text-align:center"|'''인증기준'''
|정보시스템의 도입∙개발∙변경 시 정보보호 및 개인정보보호 관련 법적 요구사항, 최신 보안취약점, 안전한 코딩방법 등 보안 요구사항을 정의하고 적용하여야 한다.
|-
|'''주요 확인사항'''
|
* 정보시스템을 '''신규로 도입‧개발 또는 변경'''하는 경우 정보보호 및 개인정보보호 측면의 '''타당성 검토 및 인수 절차'''를 수립‧이행하고 있는가?
** (가상자산사업자) 신규 가상자산 상장 시, 멀티시그 적용여부, 가상자산 노드서버 운영, 거래결과 확인방법 등 해당 코인 관련 보안 요구사항을 정의하고 적용하고 있는가?
* 정보시스템을 신규로 도입‧개발 또는 변경하는 경우 '''법적 요구사항, 최신 취약점 등을 포함한 보안 요구사항'''을 명확히 정의하고 '''설계 단계에서부터 반영'''하고 있는가?
** (가상자산사업자) 주요 작업관련 정보시스템 등 월렛 관련 응용프로그램 개발시에는 해당 가상자산의 월렛 관련 상세 위험평가(공인IP 필요, DMZ구간에 가상자산 노드서버 배치 필요, 불특정 IP/PORT 통신 등)를 근거로 보안요구사항을 도출하여 이를 설계에 반영하고 있 는가?
* 정보시스템의 안전한 구현을 위한 '''코딩 표준을 수립'''하여 적용하고 있는가?
|}

== 세부 설명 ==

==== 보안성 검토 절차 수립 및 이행 ====
정보시스템을 신규로 도입·개발 또는 변경하는 경우 정보보호 및 개인정보보호 측면의 타당성을 검토하고 인수할 수 있도록 절차를 수립·이행하여야 한다.
* 새로운 정보시스템(서버, 네트워크 장비, 상용 소프트웨어 패키지) 및 보안시스템 도입 시 도입 타당성 분석 등의 내용이 포함된 도입계획 수립
** 현재 시스템 자원의 이용률, 사용량, 능력한계에 대한 분석
** 성능, 안정성, 보안성, 신뢰성 및 기존시스템과의 호환성, 상호 운용성 요건
** 개인정보처리시스템에 해당될 경우 개인정보 보호법(개인정보의 안전성 확보조치 기준, 개인정보의기술적·관리적 보호조치 기준 고시 포함) 등에서 요구하는 법적 요구사항 준수
* 정보보호 및 개인정보보호 측면의 요구사항을 '''제안요청서(RFP)에 반영'''하고 업체 또는 제품 선정 시 기준으로 활용
* 정보시스템 인수 여부를 판단하기 위한 시스템 인수기준 수립
** 도입계획 수립 시 정의된 성능, 보안성, 법적 요구사항 등을 반영한 인수 승인기준 수립
* 시스템 도입 과정에서 인수기준을 준수하도록 '''구매계약서 등에 반영'''

==== 보안 요구사항 설계 단계에서 반영 ====
정보시스템을 신규로 도입·개발 또는 변경하는 경우 법적 요구사항, 최신 취약점 등을 포함한 보안 요구사항을 명확히 정의하고 설계 단계에서부터 반영하여야 한다.
* 개인정보보호 관련 법적 요구사항 : 접근권한, 접근통제, 암호화, 접속기록 등
* 상위 기관 및 내부 규정에 따른 정보보호 및 개인정보보호 요구사항
* 정보보호 관련 기술적 요구사항 : 인증, 개발보안 등
* 최신 보안취약점 등

==== 개발 코딩 보안 표준 마련 ====
정보시스템의 안전한 구현을 위한 코딩 표준을 마련하고 적용하여야 한다.
* 알려진 기술적 보안 취약점으로 인한 위협을 최소화하기 위하여 안전한 코딩 표준 및 규약 마련
* Java, PHP, ASP, 웹, 모바일 등 관련된 개발 언어 및 환경을 모두 포함
* 안전한 코딩 표준 및 규약에 대하여 개발자 대상 교육 수행
== 증거 자료 ==
* 정보시스템 인수 기준 및 절차
* 정보시스템 도입 RFP(제안요청서) 및 구매계약서
* 개발 산출물(사업수행계획서, 요구사항정의서, 화면설계서, 보안아키텍처 설계서, 시험계획서 등)
* 시큐어 코딩 표준
== 결함 사례 ==
* 정보시스템 인수 전 보안성 검증 기준 및 절차가 마련되어 있지 않은 경우
* 신규 시스템 도입 시 기존 운영환경에 대한 영향 및 보안성을 검토하도록 내부 규정을 마련하고 있으나, 최근 도입한 일부 시스템에 대하여 인수테스트(취약점 점검) 등의 관련 보안성검토 수행 증적이 확인되지 않은 경우
* 개발 관련 내부 지침에 개발과 관련된 주요 보안 요구사항(인증 및 암호화, 보안로그 등)이 정의되어 있지 않은 경우
* ʻ개발표준정의서ʼ에 사용자 패스워드를 안전하지 않은 암호화 알고리즘(MD5, SHA1)으로 사용하도록 되어 있어 '''관련 법적 요구사항을 적절히 반영하지 않는 경우'''

== 관련 인증 기준 ==
'''[[ISMS-P 인증 기준 2.8.2.보안 요구사항 검토 및 시험|2.8.2.보안 요구사항 검토 및 시험]]'''

* 사전 정의된 보안 요구사항에 따라 정보시스템이 도입 또는 구현되었는지를 검토하기 위하여 법적 요구사항 준수, 최신 보안취약점 점검, 안전한 코딩 구현, 개인정보 영향평가 등의 검토 기준과 절차를 수립·이행하고, 발견된 문제점에 대한 개선조치를 수행하여야 한다.

'''[[ISMS-P 인증 기준 2.8.3.시험과 운영 환경 분리|2.8.3.시험과 운영 환경 분리]]'''

* 개발 및 시험 시스템은 운영시스템에 대한 비인가 접근 및 변경의 위험을 감소시키기 위하여 원칙적으로 분리하여야 한다.

'''[[ISMS-P 인증 기준 2.8.4.시험 데이터 보안|2.8.4.시험 데이터 보안]]'''

* 시스템 시험 과정에서 운영데이터의 유출을 예방하기 위하여 시험 데이터의 생성과 이용 및 관리, 파기, 기술적 보호조치에 관한 절차를 수립·이행하여야 한다.

'''[[ISMS-P 인증 기준 2.8.5.소스 프로그램 관리|2.8.5.소스 프로그램 관리]]'''

* 소스 프로그램은 인가된 사용자만이 접근할 수 있도록 관리하고, 운영환경에 보관하지 않는 것을 원칙으로 하여야 한다.

'''[[ISMS-P 인증 기준 2.8.6.운영환경 이관|2.8.6.운영환경 이관]]'''

* 신규 도입·개발 또는 변경된 시스템을 운영환경으로 이관할 때는 통제된 절차를 따라야 하고, 실행코드는 시험 및 사용자 인수 절차에 따라 실행되어야 한다.

== 같이 보기 ==
* [[정보보호 및 개인정보보호관리체계 인증]]
* [[ISMS-P 인증 기준]]
* [[ISMS-P 인증 기준 세부 점검 항목]]
== 참고 문헌 ==
* 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.5.4.비밀번호 관리

2023-03-26T01:59:11Z

짱갤럽: /* 세부 설명 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.5.인증 및 권한관리|2.5.인증 및 권한관리]]

==개요==
{| class="wikitable"
!항목
!2.5.4.비밀번호 관리
|-
| style="text-align:center" |'''인증기준'''
|법적 요구사항, 외부 위협요인 등을 고려하여 정보시스템 사용자 및 고객, 회원 등 정보주체(이용자)가 사용하는 비밀번호 관리절차를 수립·이행하여야 한다.
|-
|'''주요 확인사항'''
|
*정보시스템 및 개인정보처리시스템에 대한 안전한 사용자 비밀번호 관리절차 및 작성규칙을 수립‧이행하고 있는가?
*정보주체(이용자)가 안전한 비밀번호를 이용할 수 있도록 비밀번호 작성 규칙을 수립‧이행하고 있는가?
|-
|'''관련 법규'''
|
* [https://www.law.go.kr/법령/개인정보보호법/(20200805,16930,20200204)/제29조 개인정보 보호법 제29조(안전조치의무)]
* [https://www.law.go.kr/행정규칙/(개인정보보호위원회)개인정보의안전성확보조치기준/(2021-2,20210915)/제5조 개인정보의 안전성 확보조치 기준 제5조(접근 권한의 관리)]
* [https://www.law.go.kr/행정규칙/(개인정보보호위원회)개인정보의기술적·관리적보호조치기준/(2021-3,20210915)/제4조 개인정보의 기술적·관리적 보호조치 기준 제4조(접근통제)]
|}
==세부 설명==

====내부 사용자 비밀번호 관리 규칙 수립·이행====
사용자, 관리자 및 개인정보취급자가 안전한 비밀번호를 설정하여 사용할 수 있도록 비밀번호 관리절차 및 작성규칙을 수립·이행하여야 한다.

※ 비밀번호 관리절차 예시

{| class="wikitable"
|
*시스템 도입 시 설정된 초기 또는 임시 비밀번호의 변경 후 사용
*비밀번호 처리(입력, 변경) 시 마스킹 처리
*종이, 파일, 모바일 기기 등에 비밀번호 기록·저장을 제한하고, 부득이하게 기록·저장하여야 하는 경우 암호화 등의 보호대책 적용
*침해사고 발생 또는 비밀번호의 노출 징후가 의심될 경우 지체 없이 비밀번호 변경
*비밀번호 분실 등에 따른 재설정 시 본인확인 절차 수행
*관리자 비밀번호는 비밀등급에 준하여 관리 등
|}

====이용자 비밀번호 관리 규칙 수립·이행====
정보주체(이용자)가 안전한 비밀번호를 설정하여 사용할 수 있도록 비밀번호 작성규칙을 수립·이행하여야 한다.

*사용자 및 개인정보취급자 비밀번호 작성규칙을 참고하되, 서비스의 특성 및 민감도 등을 고려하여 적절한 수준에서 비밀번호 작성규칙 적용
*비밀번호 분실, 도난 시 본인확인 등을 통한 안전한 재발급 절차 마련 등

==증거 자료==

*웹페이지, 정보시스템 및 개인정보처리시스템 비밀번호 설정 화면
*비밀번호 관리 정책 및 절차

==결함 사례==

*정보보호 및 개인정보보호 관련 정책, 지침 등에서 비밀번호 생성규칙의 기준을 정하고 있으나, 일부 정보시스템 및 개인정보처리시스템에서 내부 지침과 상이한 비밀번호를 사용하고 있는 경우
*비밀번호 관련 내부 규정에는 비밀번호를 초기화 시 임시 비밀번호를 부여받고 강제적으로 변경하도록 되어 있으나, 실제로는 임시 비밀번호를 그대로 사용하고 있는 경우
*사용자 및 개인정보취급자의 비밀번호 변경주기가 규정되어 있음에도 불구하고 변경하지 않고 그대로 사용하고 있는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.5.4.비밀번호 관리

2023-03-26T01:57:49Z

짱갤럽: /* 세부 설명 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.5.인증 및 권한관리|2.5.인증 및 권한관리]]

==개요==
{| class="wikitable"
!항목
!2.5.4.비밀번호 관리
|-
| style="text-align:center" |'''인증기준'''
|법적 요구사항, 외부 위협요인 등을 고려하여 정보시스템 사용자 및 고객, 회원 등 정보주체(이용자)가 사용하는 비밀번호 관리절차를 수립·이행하여야 한다.
|-
|'''주요 확인사항'''
|
*정보시스템 및 개인정보처리시스템에 대한 안전한 사용자 비밀번호 관리절차 및 작성규칙을 수립‧이행하고 있는가?
*정보주체(이용자)가 안전한 비밀번호를 이용할 수 있도록 비밀번호 작성 규칙을 수립‧이행하고 있는가?
|-
|'''관련 법규'''
|
* [https://www.law.go.kr/법령/개인정보보호법/(20200805,16930,20200204)/제29조 개인정보 보호법 제29조(안전조치의무)]
* [https://www.law.go.kr/행정규칙/(개인정보보호위원회)개인정보의안전성확보조치기준/(2021-2,20210915)/제5조 개인정보의 안전성 확보조치 기준 제5조(접근 권한의 관리)]
* [https://www.law.go.kr/행정규칙/(개인정보보호위원회)개인정보의기술적·관리적보호조치기준/(2021-3,20210915)/제4조 개인정보의 기술적·관리적 보호조치 기준 제4조(접근통제)]
|}
==세부 설명==

====내부 사용자 비밀번호 관리 규칙 수립·이행====
사용자, 관리자 및 개인정보취급자가 안전한 비밀번호를 설정하여 사용할 수 있도록 비밀번호 관리절차 및 작성규칙을 수립·이행하여야 한다.

비밀번호 관리절차 예시

{| class="wikitable"
|
*시스템 도입 시 설정된 초기 또는 임시 비밀번호의 변경 후 사용
*비밀번호 처리(입력, 변경) 시 마스킹 처리
*종이, 파일, 모바일 기기 등에 비밀번호 기록·저장을 제한하고, 부득이하게 기록·저장하여야 하는 경우 암호화 등의 보호대책 적용
*침해사고 발생 또는 비밀번호의 노출 징후가 의심될 경우 지체 없이 비밀번호 변경
*비밀번호 분실 등에 따른 재설정 시 본인확인 절차 수행
*관리자 비밀번호는 비밀등급에 준하여 관리 등
|}

====이용자 비밀번호 관리 규칙 수립·이행====
정보주체(이용자)가 안전한 비밀번호를 설정하여 사용할 수 있도록 비밀번호 작성규칙을 수립·이행하여야 한다.

*사용자 및 개인정보취급자 비밀번호 작성규칙을 참고하되, 서비스의 특성 및 민감도 등을 고려하여 적절한 수준에서 비밀번호 작성규칙 적용
*비밀번호 분실, 도난 시 본인확인 등을 통한 안전한 재발급 절차 마련 등

==증거 자료==

*웹페이지, 정보시스템 및 개인정보처리시스템 비밀번호 설정 화면
*비밀번호 관리 정책 및 절차

==결함 사례==

*정보보호 및 개인정보보호 관련 정책, 지침 등에서 비밀번호 생성규칙의 기준을 정하고 있으나, 일부 정보시스템 및 개인정보처리시스템에서 내부 지침과 상이한 비밀번호를 사용하고 있는 경우
*비밀번호 관련 내부 규정에는 비밀번호를 초기화 시 임시 비밀번호를 부여받고 강제적으로 변경하도록 되어 있으나, 실제로는 임시 비밀번호를 그대로 사용하고 있는 경우
*사용자 및 개인정보취급자의 비밀번호 변경주기가 규정되어 있음에도 불구하고 변경하지 않고 그대로 사용하고 있는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.4.7.업무환경 보안

2023-03-25T08:45:23Z

짱갤럽: /* 세부 설명 */

[[분류: ISMS-P 인증 기준]]
* '''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
* '''분류''': [[ISMS-P 인증 기준 2.4.물리 보안|2.4.물리 보안]]
== 개요 ==
{| class="wikitable"
!항목
!2.4.7.업무환경 보안
|-
| style="text-align:center"|'''인증기준'''
|공용으로 사용하는 사무용 기기(문서고, 공용 PC, 복합기, 파일서버 등) 및 개인 업무환경(업무용 PC, 책상 등)을 통해 개인정보 및 중요정보가 비인가자에게 노출 또는 유출되지 않도록 클린데스크, 정기점검 등 업무환경 보호대책을 수립·이행하여야 한다.
|-
|'''주요 확인사항'''
|
* 문서고, 공용 PC, 복합기, 파일서버 등 공용으로 사용하는 시설 및 사무용 기기에 대한 보호대책을 수립·이행하고 있는가?
* 업무용 PC, 책상, 서랍 등 개인업무 환경을 통한 개인정보 및 중요정보의 유‧노출을 방지하기 위한 보호대책을 수립‧이행하고 있는가?
* 개인 및 공용업무 환경에서의 정보보호 준수여부를 주기적으로 검토하고 있는가?
|}
== 세부 설명 ==

* 문서고, 공용 PC, 복합기, 파일서버 등 공용으로 사용하는 시설 및 사무용기기에 대한 보호대책을 수립·이행하여야 한다.
** 문서고 : 출입인원 최소화, 부서·업무별 출입 접근권한 부여, 출입 이력관리
** 공용PC : 담당자 지정, 화면보호기 설정, 로그인 암호설정, 주기적 패스워드 변경, 중요정보 저장 제한, 백신 설치, 보안업데이트 등
** 공용사무기기 : 팩스, 복사기, 프린트 등의 공용사무기기 주변에 중요 문서 방치 금지
** 파일서버 : 부서별·업무별 접근권한 부여, 불필요한 정보공개 최소화, 사용자별 계정 발급
** 공용 사무실 : 회의실, 프로젝트룸 등 공용사무실 내 중요정보(개인정보) 문서 방치 금지
** 기타 공용업무환경에 대한 보호대책 수립
* 업무용 PC, 책상, 서랍 등 개인업무 환경을 통한 개인정보 및 중요정보의 유·노출을 방지하기 위한 보호대책을 수립·이행하여야 한다.
** 이석 시 보호조치 : 개인정보 및 개인정보가 포함된 서류와 보조저장매체 방치 금지(클린데스크), 화면 보호기 및 비밀번호 설정 등
** 모니터 및 책상 등에 로그인 정보(비밀번호 등) 노출 금지
** 개인정보 및 중요정보가 포함된 서류 및 보조저장매체는 잠금장치가 있는 안전한 장소에 보관
** 개인정보 및 중요정보가 포함된 서류는 세절기 등을 이용하여 복구되지 않도록 파쇄
** 인가받지 않은 사람이 관리용 단말기에 접근하여 임의로 조작하지 못하도록 조치 등
* 개인 및 공용업무 환경에서의 정보보호 준수 여부를 주기적으로 검토하여야 한다.
** 개인 및 공용업무 환경 보안규정 미준수자는 상벌규정에 따라 관리
<div style='padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px; width:80%'>
※ 사무실 보안점검 방안(예시)
* 개인업무 환경 : 정보보호 준수 여부를 자가진단, 주기적으로 관리부서에서 정보보호 준수 여부 점검
* 공용업무 환경 : 공용업무 보호대책 준수 여부를 주기적으로 점검, 미준수 사항은 공지 또는 교육 수행</div>

== 증거 자료 ==
* 개인정보 보호법 제29조(안전조치의무)
* 개인정보의 안전성 확보조치 기준 제10조(관리용 단말기의 안전조치), 제11조(물리적 안전조치)
* 개인정보의 기술적·관리적 보호조치 기준 제8조(물리적 접근방지), 제9조(출력· 복사 시 보호조치)
== 결함 사례 ==
* 개인정보 내부관리계획서 내 개인정보보호를 위한 생활보안 점검(클린데스크 운영 등)을 정기적으로 수행하도록 명시하고 있으나, 이를 이행하지 않은 경우
* 멤버십 가입신청서 등 개인정보가 포함된 서류를 잠금장치가 없는 사무실 문서함에 보관한 경우
* 직원들의 컴퓨터 화면보호기 및 패스워드가 설정되어 있지 않고, 휴가자 책상 위에 중요 문서가 장기간 방치되어 있는 경우
* 회의실 등 공용 사무 공간에 설치된 공용PC에 대한 보호대책이 수립되어 있지 않아 개인 정보가 포함된 파일이 암호화되지 않은 채로 저장되어 있거나, 보안 업데이트 미적용, 백신 미설치 등 취약한 상태로 유지하고 있는 경우
== 같이 보기 ==
* [[정보보호 및 개인정보보호관리체계 인증]]
* [[ISMS-P 인증 기준]]
* [[ISMS-P 인증 기준 세부 점검 항목]]
== 참고 문헌 ==
* 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.4.7.업무환경 보안

2023-03-25T08:44:44Z

짱갤럽:

[[분류: ISMS-P 인증 기준]]
* '''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
* '''분류''': [[ISMS-P 인증 기준 2.4.물리 보안|2.4.물리 보안]]
== 개요 ==
{| class="wikitable"
!항목
!2.4.7.업무환경 보안
|-
| style="text-align:center"|'''인증기준'''
|공용으로 사용하는 사무용 기기(문서고, 공용 PC, 복합기, 파일서버 등) 및 개인 업무환경(업무용 PC, 책상 등)을 통해 개인정보 및 중요정보가 비인가자에게 노출 또는 유출되지 않도록 클린데스크, 정기점검 등 업무환경 보호대책을 수립·이행하여야 한다.
|-
|'''주요 확인사항'''
|
* 문서고, 공용 PC, 복합기, 파일서버 등 공용으로 사용하는 시설 및 사무용 기기에 대한 보호대책을 수립·이행하고 있는가?
* 업무용 PC, 책상, 서랍 등 개인업무 환경을 통한 개인정보 및 중요정보의 유‧노출을 방지하기 위한 보호대책을 수립‧이행하고 있는가?
* 개인 및 공용업무 환경에서의 정보보호 준수여부를 주기적으로 검토하고 있는가?
|}
== 세부 설명 ==

* 문서고, 공용 PC, 복합기, 파일서버 등 공용으로 사용하는 시설 및 사무용기기에 대한 보호대책을 수립·이행하여야 한다.
** 문서고 : 출입인원 최소화, 부서·업무별 출입 접근권한 부여, 출입 이력관리
** 공용PC : 담당자 지정, 화면보호기 설정, 로그인 암호설정, 주기적 패스워드 변경, 중요정보 저장 제한, 백신 설치, 보안업데이트 등
** 공용사무기기 : 팩스, 복사기, 프린트 등의 공용사무기기 주변에 중요 문서 방치 금지
** 파일서버 : 부서별·업무별 접근권한 부여, 불필요한 정보공개 최소화, 사용자별 계정 발급
** 공용 사무실 : 회의실, 프로젝트룸 등 공용사무실 내 중요정보(개인정보) 문서 방치 금지
** 기타 공용업무환경에 대한 보호대책 수립
* 업무용 PC, 책상, 서랍 등 개인업무 환경을 통한 개인정보 및 중요정보의 유·노출을 방지하기 위한 보호대책을 수립·이행하여야 한다.
** 이석 시 보호조치 : 개인정보 및 개인정보가 포함된 서류와 보조저장매체 방치 금지(클린데스크), 화면 보호기 및 비밀번호 설정 등
** 모니터 및 책상 등에 로그인 정보(비밀번호 등) 노출 금지
** 개인정보 및 중요정보가 포함된 서류 및 보조저장매체는 잠금장치가 있는 안전한 장소에 보관
** 개인정보 및 중요정보가 포함된 서류는 세절기 등을 이용하여 복구되지 않도록 파쇄
** 인가받지 않은 사람이 관리용 단말기에 접근하여 임의로 조작하지 못하도록 조치 등
* 개인 및 공용업무 환경에서의 정보보호 준수 여부를 주기적으로 검토하여야 한다.
** 개인 및 공용업무 환경 보안규정 미준수자는 상벌규정에 따라 관리
<div style='padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px; width:60%'>
※ 사무실 보안점검 방안(예시)
* 개인업무 환경 : 정보보호 준수 여부를 자가진단, 주기적으로 관리부서에서 정보보호 준수 여부 점검
* 공용업무 환경 : 공용업무 보호대책 준수 여부를 주기적으로 점검, 미준수 사항은 공지 또는 교육 수행</div>
== 증거 자료 ==
* 개인정보 보호법 제29조(안전조치의무)
* 개인정보의 안전성 확보조치 기준 제10조(관리용 단말기의 안전조치), 제11조(물리적 안전조치)
* 개인정보의 기술적·관리적 보호조치 기준 제8조(물리적 접근방지), 제9조(출력· 복사 시 보호조치)
== 결함 사례 ==
* 개인정보 내부관리계획서 내 개인정보보호를 위한 생활보안 점검(클린데스크 운영 등)을 정기적으로 수행하도록 명시하고 있으나, 이를 이행하지 않은 경우
* 멤버십 가입신청서 등 개인정보가 포함된 서류를 잠금장치가 없는 사무실 문서함에 보관한 경우
* 직원들의 컴퓨터 화면보호기 및 패스워드가 설정되어 있지 않고, 휴가자 책상 위에 중요 문서가 장기간 방치되어 있는 경우
* 회의실 등 공용 사무 공간에 설치된 공용PC에 대한 보호대책이 수립되어 있지 않아 개인 정보가 포함된 파일이 암호화되지 않은 채로 저장되어 있거나, 보안 업데이트 미적용, 백신 미설치 등 취약한 상태로 유지하고 있는 경우
== 같이 보기 ==
* [[정보보호 및 개인정보보호관리체계 인증]]
* [[ISMS-P 인증 기준]]
* [[ISMS-P 인증 기준 세부 점검 항목]]
== 참고 문헌 ==
* 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.4.6.반출입 기기 통제

2023-03-25T08:31:05Z

짱갤럽: /* 보호구역 장비 반출입시 통제 절차 수립·이행 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.4.물리 보안|2.4.물리 보안]]

==개요==
{| class="wikitable"
!항목
!2.4.6.반출입 기기 통제
|-
| style="text-align:center" |'''인증기준'''
|보호구역 내 정보시스템, 모바일 기기, 저장매체 등에 대한 반출입 통제절차를 수립·이행하고 주기적으로 검토하여야 한다.
|-
|'''주요 확인사항'''
|
*정보시스템, 모바일기기, 저장매체 등을 보호구역에 반입하거나 반출하는 경우 정보유출, 악성코드 감염 등 보안사고 예방을 위한 통제 절차를 수립‧이행하고 있는가?
*반출입 통제절차에 따른 기록을 유지‧관리하고, 절차 준수 여부를 확인할 수 있도록 반출입 이력을 주기적으로 점검하고 있는가?
|}
==세부 설명==

====보호구역 장비 반출입시 통제 절차 수립·이행====
정보시스템, 모바일 기기, 저장매체 등을 보호구역에 반입하거나 반출하는 경우 정보유출, 악성코드 감염 등 보안사고 예방을 위한 통제 절차를 수립·이행하여야 한다.

*반출입 통제 대상: 정보시스템(서버, 네트워크 장비 등), 모바일 기기(노트북, 스마트패드, 스마트폰 등), 저장매체(HDD, SDD, USB메모리, 외장하드디스크, CD/DVD, 테이프 등) 등
*반출입 통제 절차: 보호구역 출입통제 책임자 사전승인, 반출입 관리대장 기록, 반출입 기기에 대한 보안점검 수행(백신설치 여부, 보안업데이트 여부, 악성코드 감염 여부, 보안스티커 부착 여부, 중요 정보 유출 여부 등), 반출입 내역 주기적 검토 등
*예외 사용 절차: 예외 신청·승인, 반출입 관리대장 기록 등

<blockquote>'''※ 반출입 관리대장 기록사항(예시)'''

*반출입 일시 및 장소
*사용자 정보
*기종(모델), 기기식별정보(시리얼번호 등)
*반출입 사유
*보안 점검 결과
*관리자 확인 서명 등
</blockquote>

====기록 유지 및 주기적 점검====
반출입 통제절차에 따른 기록을 유지·관리하고, 절차 준수 여부를 확인할 수 있도록 반출입 이력을 주기적으로 점검하여야 한다.

*보호구역 내 반출입 이력에 대한 기록 유지(반출입 관리대장, 반출입 통제시스템 로그 등)

*반출입 이력을 주기적으로 점검하여 보호구역 내 반출입이 통제 절차에 따라 적절하게 수행되었는지 여부 검토

==증거 자료==

*보호구역 내 반출입 신청서
*반출입 관리대장
*반출입 이력 검토 결과

==결함 사례==

*이동컴퓨팅기기 반출입에 대한 통제 절차를 수립하고 있으나, 통제구역 내 이동컴퓨팅기기 반입에 대한 통제를 하고 있지 않아 출입이 허용된 내·외부인이 이동컴퓨팅기기를 제약 없이 사용하고 있는 경우
*내부 지침에 따라 전산장비 반출입이 있는 경우 작업계획서에 반출입 내용을 기재하고 관리 책임자의 서명을 받도록 되어 있으나, 작업계획서의 반출입 기록에 관리책임자의 서명이 다수 누락되어 있는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.4.6.반출입 기기 통제

2023-03-25T08:29:51Z

짱갤럽: /* 보호구역 장비 반출입시 통제 절차 수립·이행 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.4.물리 보안|2.4.물리 보안]]

==개요==
{| class="wikitable"
!항목
!2.4.6.반출입 기기 통제
|-
| style="text-align:center" |'''인증기준'''
|보호구역 내 정보시스템, 모바일 기기, 저장매체 등에 대한 반출입 통제절차를 수립·이행하고 주기적으로 검토하여야 한다.
|-
|'''주요 확인사항'''
|
*정보시스템, 모바일기기, 저장매체 등을 보호구역에 반입하거나 반출하는 경우 정보유출, 악성코드 감염 등 보안사고 예방을 위한 통제 절차를 수립‧이행하고 있는가?
*반출입 통제절차에 따른 기록을 유지‧관리하고, 절차 준수 여부를 확인할 수 있도록 반출입 이력을 주기적으로 점검하고 있는가?
|}
==세부 설명==

====보호구역 장비 반출입시 통제 절차 수립·이행====
정보시스템, 모바일 기기, 저장매체 등을 보호구역에 반입하거나 반출하는 경우 정보유출, 악성코드 감염 등 보안사고 예방을 위한 통제 절차를 수립·이행하여야 한다.

*반출입 통제 대상: 정보시스템(서버, 네트워크 장비 등), 모바일 기기(노트북, 스마트패드, 스마트폰 등), 저장매체(HDD, SDD, USB메모리, 외장하드디스크, CD/DVD, 테이프 등) 등
*반출입 통제 절차: 보호구역 출입통제 책임자 사전승인, 반출입 관리대장 기록, 반출입 기기에 대한 보안점검 수행(백신설치 여부, 보안업데이트 여부, 악성코드 감염 여부, 보안스티커 부착 여부, 중요 정보 유출 여부 등), 반출입 내역 주기적 검토 등
*예외 사용 절차: 예외 신청·승인, 반출입 관리대장 기록 등

<blockquote style=“width: 60%; margin: auto;”>'''※ 반출입 관리대장 기록사항(예시)'''

*반출입 일시 및 장소
*사용자 정보
*기종(모델), 기기식별정보(시리얼번호 등)
*반출입 사유
*보안 점검 결과
*관리자 확인 서명 등
</blockquote>

====기록 유지 및 주기적 점검====
반출입 통제절차에 따른 기록을 유지·관리하고, 절차 준수 여부를 확인할 수 있도록 반출입 이력을 주기적으로 점검하여야 한다.

*보호구역 내 반출입 이력에 대한 기록 유지(반출입 관리대장, 반출입 통제시스템 로그 등)

*반출입 이력을 주기적으로 점검하여 보호구역 내 반출입이 통제 절차에 따라 적절하게 수행되었는지 여부 검토

==증거 자료==

*보호구역 내 반출입 신청서
*반출입 관리대장
*반출입 이력 검토 결과

==결함 사례==

*이동컴퓨팅기기 반출입에 대한 통제 절차를 수립하고 있으나, 통제구역 내 이동컴퓨팅기기 반입에 대한 통제를 하고 있지 않아 출입이 허용된 내·외부인이 이동컴퓨팅기기를 제약 없이 사용하고 있는 경우
*내부 지침에 따라 전산장비 반출입이 있는 경우 작업계획서에 반출입 내용을 기재하고 관리 책임자의 서명을 받도록 되어 있으나, 작업계획서의 반출입 기록에 관리책임자의 서명이 다수 누락되어 있는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.4.4.보호설비 운영

2023-03-25T07:59:17Z

짱갤럽: /* 세부 설명 */

[[분류: ISMS-P 인증 기준]]
* '''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
* '''분류''': [[ISMS-P 인증 기준 2.4.물리 보안|2.4.물리 보안]]
== 개요 ==
{| class="wikitable"
!항목
!2.4.4.보호설비 운영
|-
| style="text-align:center"|'''인증기준'''
|보호구역에 위치한 정보시스템의 중요도 및 특성에 따라 온도·습도 조절, 화재감지, 소화설비, 누수감지, UPS, 비상발전기, 이중전원선 등의 보호설비를 갖추고 운영절차를 수립·운영하여야 한다.
|-
|'''주요 확인사항'''
|
* 각 보호구역의 중요도 및 특성에 따라 화재, 수해, 전력 이상 등 인재 및 자연재해 등에 대비하여 필요한 설비를 갖추고 운영절차를 수립하여 운영하고 있는가?
* 외부 집적정보통신시설(IDC)에 위탁 운영하는 경우 물리적 보호에 필요한 요구사항을 계약서에 반영하고 운영상태를 주기적으로 검토하고 있는가?
|}
== 세부 설명 ==

* 각 보호구역의 중요도 및 특성에 따라 화재, 수해, 전력 이상 등 인재 및 자연재해 등에 대비하여 필요한 설비를 갖추고 운영절차를 수립하여 운영하여야 한다.
<div style='padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px'>
※ 물리적 보호설비(예시)
* 온·습도 조절기(항온항습기 또는 에어컨)
* 화재감지 및 소화설비
* 누수감지기
* UPS, 비상발전기, 전압유지기, 접지시설
* CCTV, 침입 경보기, 출입통제시스템
* 이중전원선
* 비상등, 비상로 안내표지 등</div>
* 외부 집적정보통신시설(IDC)에 위탁 운영하는 경우 물리적 보호에 필요한 요구사항을 계약서에 반영하고 운영 상태를 주기적으로 검토하여야 한다.
** 정보보호 관련 법규 준수, 화재, 전력 이상 등 재해·재난 대비, 출입통제, 자산 반출입 통제, 영상감시 등 물리적 보안통제 적용 및 사고 발생 시 손해 배상에 관한 사항 등
** IDC의 책임보험 가입 여부(미가입 시 1천만 원 이하의 과태료 부과)
<div style='padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px'>
※ 집적정보통신시설 관련 참고 법령 및 고시
* [https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률/(20221211,18871,20220610)/제46조 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제46조(집적된 정보통신시설의 보호)]
* [https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률시행령/(20221211,33039,20221209)/제38조 정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령 제38조(보험가입)]
* [https://www.law.go.kr/행정규칙/집적정보통신시설보호지침/(2017-7,20170824) 집적정보통신시설 보호지침]</div>

== 증거 자료 ==
* 물리적 보안 지침(보호설비 관련)
* 전산실 설비 현황 및 점검표
* IDC 위탁운영 계약서, SLA 등
== 결함 사례 ==
* 본사 전산실 등 일부 보호구역에 내부 지침에 정한 보호설비를 갖추고 있지 않은 경우
* 전산실 내에 UPS, 소화설비 등의 보호설비는 갖추고 있으나, 관련 설비에 대한 운영 및 점검기준을 수립하고 있지 않은 경우
* 운영지침에 따라 전산실 내에 온·습도 조절기를 설치하였으나, 용량 부족으로 인하여 표준 온·습도를 유지하지 못하여 장애발생 가능성이 높은 경우
== 같이 보기 ==
* [[정보보호 및 개인정보보호관리체계 인증]]
* [[ISMS-P 인증 기준]]
* [[ISMS-P 인증 기준 세부 점검 항목]]
== 참고 문헌 ==
* 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.4.4.보호설비 운영

2023-03-25T07:58:19Z

짱갤럽:

[[분류: ISMS-P 인증 기준]]
* '''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
* '''분류''': [[ISMS-P 인증 기준 2.4.물리 보안|2.4.물리 보안]]
== 개요 ==
{| class="wikitable"
!항목
!2.4.4.보호설비 운영
|-
| style="text-align:center"|'''인증기준'''
|보호구역에 위치한 정보시스템의 중요도 및 특성에 따라 온도·습도 조절, 화재감지, 소화설비, 누수감지, UPS, 비상발전기, 이중전원선 등의 보호설비를 갖추고 운영절차를 수립·운영하여야 한다.
|-
|'''주요 확인사항'''
|
* 각 보호구역의 중요도 및 특성에 따라 화재, 수해, 전력 이상 등 인재 및 자연재해 등에 대비하여 필요한 설비를 갖추고 운영절차를 수립하여 운영하고 있는가?
* 외부 집적정보통신시설(IDC)에 위탁 운영하는 경우 물리적 보호에 필요한 요구사항을 계약서에 반영하고 운영상태를 주기적으로 검토하고 있는가?
|}
== 세부 설명 ==

* 각 보호구역의 중요도 및 특성에 따라 화재, 수해, 전력 이상 등 인재 및 자연재해 등에 대비하여 필요한 설비를 갖추고 운영절차를 수립하여 운영하여야 한다.
<div style='padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px'>
* ※ 물리적 보호설비(예시)
* 온·습도 조절기(항온항습기 또는 에어컨)
* 화재감지 및 소화설비
* 누수감지기
* UPS, 비상발전기, 전압유지기, 접지시설
* CCTV, 침입 경보기, 출입통제시스템
* 이중전원선
* 비상등, 비상로 안내표지 등</div>
* 외부 집적정보통신시설(IDC)에 위탁 운영하는 경우 물리적 보호에 필요한 요구사항을 계약서에 반영하고 운영 상태를 주기적으로 검토하여야 한다.
** 정보보호 관련 법규 준수, 화재, 전력 이상 등 재해·재난 대비, 출입통제, 자산 반출입 통제, 영상감시 등 물리적 보안통제 적용 및 사고 발생 시 손해 배상에 관한 사항 등
** IDC의 책임보험 가입 여부(미가입 시 1천만 원 이하의 과태료 부과)
<div style='padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px'>
* ※ 집적정보통신시설 관련 참고 법령 및 고시
* [https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률/(20221211,18871,20220610)/제46조 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제46조(집적된 정보통신시설의 보호)]
* [https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률시행령/(20221211,33039,20221209)/제38조 정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령 제38조(보험가입)]
* [https://www.law.go.kr/행정규칙/집적정보통신시설보호지침/(2017-7,20170824) 집적정보통신시설 보호지침]</div>

== 증거 자료 ==
* 물리적 보안 지침(보호설비 관련)
* 전산실 설비 현황 및 점검표
* IDC 위탁운영 계약서, SLA 등
== 결함 사례 ==
* 본사 전산실 등 일부 보호구역에 내부 지침에 정한 보호설비를 갖추고 있지 않은 경우
* 전산실 내에 UPS, 소화설비 등의 보호설비는 갖추고 있으나, 관련 설비에 대한 운영 및 점검기준을 수립하고 있지 않은 경우
* 운영지침에 따라 전산실 내에 온·습도 조절기를 설치하였으나, 용량 부족으로 인하여 표준 온·습도를 유지하지 못하여 장애발생 가능성이 높은 경우
== 같이 보기 ==
* [[정보보호 및 개인정보보호관리체계 인증]]
* [[ISMS-P 인증 기준]]
* [[ISMS-P 인증 기준 세부 점검 항목]]
== 참고 문헌 ==
* 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.4.3.정보시스템 보호

2023-03-25T07:44:39Z

짱갤럽: /* 정보시스템 목록 현행화 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.4.물리 보안|2.4.물리 보안]]

==개요==
{| class="wikitable"
!항목
!2.4.3.정보시스템 보호
|-
| style="text-align:center" |'''인증기준'''
|정보시스템은 환경적 위협과 유해요소, 비인가 접근 가능성을 감소시킬 수 있도록 중요도와 특성을 고려하여 배치하고, 통신 및 전력 케이블이 손상을 입지 않도록 보호하여야 한다.
|-
|'''주요 확인사항'''
|
*정보시스템의 중요도, 용도, 특성 등을 고려하여 배치 장소를 분리하고 있는가?
*정보시스템의 실제 물리적 위치를 손쉽게 확인할 수 있는 방안을 마련하고 있는가?
*전력 및 통신케이블을 외부로부터의 물리적 손상 및 전기적 영향으로부터 안전하게 보호하고 있는가?
|}
==세부 설명==

==== 정보시스템의 안전한 배치 ====
정보시스템의 중요도, 용도, 특성을 고려하여 배치 장소를 분리하여야 한다.

*정보시스템, 개인정보처리시스템, 네트워크 장비, 보안시스템, 백업 장비 등 정보시스템의 특성에 따라전산랙을 이용하여 시스템을 외부로부터 보호
*개인정보처리시스템 등 중요도가 높은 경우에는 최소한의 인원만 접근이 가능하도록 전산랙에 잠금장치 설치, 별도의 물리적 안전장치가 있는 케이지(cage) 등에서 관리

==== 정보시스템 배치도 & 자산목록 최신화 ====
정보시스템의 실제 물리적 위치를 손쉽게 확인할 수 있는 방안(배치도, 자산목록 등)을 마련하여야한다.

*보안사고, 장애 발생 시 신속한 조치를 위한 물리적 배치도(시설 단면도, 배치도 등), 자산목록 관리
*자산목록 등에 물리적 위치 항목을 포함하고 현행화하여 최신본 유지

==== 전력 및 통신케이블 물리적 보호조치 ====
전력 및 통신케이블을 물리적 손상 및 전기적 영향으로부터 안전하게 보호하여야 한다.

*물리적으로 구분·배선, 식별 표시, 상호 간섭받지 않도록 거리 유지, 케이블 매설 등 조치
*배전반, 강전실, 약전실 등에는 인가된 최소한의 인력만 접근할 수 있도록 접근통제

==증거 자료==

*정보처리시설 도면
*정보시스템 배치도
*자산목록

==결함 사례==

*시스템 배치도가 최신 변경사항을 반영하여 업데이트되지 않아 장애가 발생된 정보시스템을 신속하게 확인할 수 없는 경우
*서버실 바닥 또는 랙에 많은 케이블이 정리되지 않고 뒤엉켜 있어 전기적으로 간섭, 손상, 누수, 부주의 등에 의한 장애 발생이 우려되는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.3.4.외부자 계약 변경 및 만료 시 보안

2023-03-24T06:44:59Z

짱갤럽: /* 계약 종료, 변경 시 보안 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.3.외부자 보안|2.3.외부자 보안]]

==개요==
{| class="wikitable"
!항목
!2.3.4.외부자 계약 변경 및 만료 시 보안
|-
| style="text-align:center" |'''인증기준'''
|외부자 계약만료, 업무종료, 담당자 변경 시에는 제공한 정보자산 반납, 정보시스템 접근계정 삭제, 중요정보 파기, 업무 수행 중 취득정보의 비밀유지 확약서 징구 등의 보호대책을 이행하여야 한다.
|-
|'''주요 확인사항'''
|
*외부자 계약만료, 업무 종료, 담당자 변경시 공식적인 절차에 따른 정보자산 반납, 정보시스템 접근계정 삭제, 비밀유지 확약서 징구 등이 이루어질 수 있도록 보안대책을 수립‧이행하고 있는가?
*외부자 계약 만료 시 위탁 업무와 관련하여 외부자가 중요정보 및 개인정보를 보유하고 있는지 확인하고 이를 회수‧파기할 수 있도록 절차를 수립‧이행하고 있는가?
|}
==세부 설명==

==== 계약 종료, 변경 시 보안 ====
외부자 계약만료, 업무 종료, 담당자 변경 시 공식적인 절차에 따른 정보자산 반납, 정보시스템 접근 계정 삭제, 중요정보 파기, 비밀유지 확약서 징구 등이 이루어질 수 있도록 보안대책을 수립·이행하여야 한다.

*담당조직이 외부자 계약만료, 업무 종료, 담당자 변경이 발생하였음을 신속하게 인지할 수 있도록 정보 공유 방안 마련
*외부자 계약만료, 업무 종료, 담당자 변경에 따른 보안대책 수립 및 이행
<div style="width:60%; padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px; margin-left:20px">
'''※ 외부자 계약만료, 업무 종료, 담당자 변경 시 보안대책(예시)'''
*사용 중인 정보자산 반납(업무용 PC, 스마트 디바이스 등)
*정보시스템 접근계정 삭제(VPN 등 관련된 모든 계정 포함)
*접근권한의 회수 또는 변경
*공용 계정 비밀번호 변경
*출입증 회수 및 출입권한 삭제
*비밀유지 확약서 징구 등</div>

==== 정보 파기 절차 수립 및 이행 ====

*외부자 계약 만료 시 위탁 업무와 관련하여 외부자가 중요정보 및 개인정보를 보유하고 있는지 확인하고 이를 회수·파기할 수 있도록 절차를 수립·이행하여야 한다.
**개인정보 등 중요정보를 회수·파기하기 위하여 수탁사 직접 방문 또는 원격으로 개인정보를 파기한 후 파기 확약서 작성
**정보시스템과 담당자 PC뿐 아니라, 메일 송수신함 등 해당 정보가 저장되어 있는 모든 장치 및 매체에 대한 삭제 조치 필요
**해당 정보가 복구·재생되지 않도록 안전한 방법으로 파기

==증거 자료==

*정보보호 및 개인정보보호 서약서
*비밀유지 확약서
*정보 및 개인정보 파기 확약서
*외부자 계약 종료와 관련된 내부 정책, 지침

==결함 사례==

*일부 정보시스템에서 계약 만료된 외부자의 계정 및 권한이 삭제되지 않고 존재하는 경우
*외주용역사업 수행과정에서 일부 용역업체 담당자가 교체되거나 계약 만료로 퇴직하였으나, 관련 인력들에 대한 퇴사 시 보안서약서 등 내부 규정에 따른 조치가 이행되지 않은 경우
*개인정보 처리 위탁한 업체와 계약 종료 이후 보유하고 있는 개인정보를 파기하였는지 여부를 확인·점검하지 않은 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.3.3.외부자 보안 이행 관리

2023-03-24T05:48:49Z

짱갤럽: /* 결함 사례 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.3.외부자 보안|2.3.외부자 보안]]

==개요==
{| class="wikitable"
!항목
!2.3.3.외부자 보안 이행 관리
|-
| style="text-align:center" |'''인증기준'''
|계약서, 협정서, 내부정책에 명시된 정보보호 및 개인정보보호 요구사항에 따라 외부자의 보호대책 이행 여부를 주기적인 점검 또는 감사 등 관리·감독하여야 한다.
|-
|'''주요 확인사항'''
|
*외부자가 계약서, 협정서, 내부정책에 명시된 정보보호 및 개인정보보호 요구사항을 준수하고 있는지 주기적으로 점검 또는 감사를 수행하고 있는가?
*외부자에 대한 점검 또는 감사 시 발견된 문제점에 대하여 개선계획을 수립‧이행하고 있는가?
*개인정보 처리업무를 위탁받은 수탁자가 관련 업무를 제3자에게 재위탁하는 경우 위탁자의 승인을 받도록 하고 있는가?
*(가상자산사업자) 제휴, 위탁을 통한 가상자산 거래 서비스, 개인정보처리시스템 개발 시 업무에 사용되는 장소 및 전산설비는 내부업무용과 분리 설치·운영하고 있는가?
|}
==세부 설명==

==== 주기적 점검 및 감사 ====
외부자가 계약서, 협정서, 내부정책에 명시된 정보보호 및 개인정보보호 요구사항을 준수하고 있는지 주기적으로 점검 또는 감사를 수행하여야 한다.

*외부자와 계약 시 정의한 보안 요구사항을 준수하고 있는지 주기적으로 점검 또는 감사 수행
*외부자에 대한 점검 또는 감사는 업무 시작 전, 업무 진행되는 과정, 종료 시점에 진행하되 필요한 경우 수시로 진행
*수탁사의 정보보호 및 개인정보보호 역량, 자체 시스템 보유 여부, 처리하는 정보의 수량 및 민감도 등을 고려하여 실태점검 주기 및 방법 결정

==== 개선 계획 수립 및 이행 ====
외부자에 대한 점검 또는 감사 시 발견된 문제점에 대하여 개선계획을 수립·이행하여야 한다.

*점검 및 감사 결과에 대하여 공유하고 발견된 문제점에 대한 개선방법 및 재발 방지대책을 수립하여 이행
*개선 조치 완료 여부에 대한 이행점검 수행

==== 개인정보 처리 업무 재위탁 보안 ====
[[개인정보 처리 업무 위탁|개인정보 처리업무를 위탁]]받은 수탁자가 관련 업무를 제3자에게 재위탁하는 경우 위탁자의 승인을 받도록 하여야 한다.

*개인정보 처리 수탁자는 위탁자의 동의를 받은 경우에 한하여 재위탁하고, 위탁자가 수탁자에게 요구하는 동일한 수준의 기술적·관리적 보호조치를 재위탁자가 이행하도록 관리·감독

==증거 자료==

*외부자 및 수탁자 보안점검 결과
*외부자 및 수탁자 교육 내역(교육 결과, 참석자 명단, 교육교재 등)
*개인정보 위탁 계약서

==결함 사례==

*회사 내에 상주하여 IT 개발 및 운영 업무를 수행하는 외주업체에 대해서는 정기적으로 보안점검을 수행하고 있지 않은 경우
*개인정보 수탁자에 대하여 보안교육을 실시하라는 공문을 발송하고 있으나, 교육 수행 여부를 확인하고 있지 않은 경우
*수탁자가 자체적으로 보안점검을 수행한 후 그 결과를 통지하도록 하고 있으나, 수탁자가 보안점검을 충실히 수행하고 있는지 여부에 대하여 확인하는 절차가 존재하지 않아 보안 점검 결과의 신뢰성이 매우 떨어지는 경우
*개인정보 처리업무 위탁계약서의 재위탁 제한 조항에는 재위탁 시 위탁자의 사전 승인을 받도록 하고 있으나, 수탁자 중 일부가 위탁자의 동의 없이 해당 업무를 재위탁한 경우
*[https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률/(20221211,18871,20220610)/제50조의3 영리 목적의 광고성 정보전송 업무를 타인에게 위탁하면서 수탁자에 대한 관리·감독을 수행하지 않고 있는 경우]

== 유사 기준 ==

* [[ISMS-P 인증 기준 2.3.1.외부자 현황 관리|2.3.1.외부자 현황 관리]]
* [[ISMS-P 인증 기준 2.3.2.외부자 계약 시 보안|2.3.2.외부자 계약 시 보안]]
* [[ISMS-P 인증 기준 2.3.4.외부자 계약 변경 및 만료 시 보안|2.3.4.외부자 계약 변경 및 만료 시 보안]]

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.3.2.외부자 계약 시 보안

2023-03-23T14:03:33Z

짱갤럽: /* 개인정보 처리 업무 위탁 보안 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.3.외부자 보안|2.3.외부자 보안]]

==개요==
{| class="wikitable"
!항목
!2.3.2.외부자 계약 시 보안
|-
| style="text-align:center" |'''인증기준'''
|외부 서비스를 이용하거나 외부자에게 업무를 위탁하는 경우 이에 따른 정보보호 및 개인정보보호 요구사항을 식별하고, 관련 내용을 계약서 또는 협정서 등에 명시하여야 한다.
|-
|'''주요 확인사항'''
|
*중요정보 및 개인정보 처리와 관련된 외부 서비스 및 위탁 업체를 선정하는 경우 정보보호 및 개인정보 보호 역량을 고려하도록 절차를 마련하고 있는가?
*외부 서비스 이용 및 업무 위탁에 따른 정보보호 및 개인정보보호 요구사항을 식별하고 이를 계약서 또는 협정서에 명시하고 있는가?
*정보시스템 및 개인정보처리시스템 개발을 위탁하는 경우 개발 시 준수해야 할 정보보호 및 개인정보보호 요구사항을 계약서에 명시하고 있는가?
|}
==세부 설명==

==== 개인정보 보호역량 고려 ====
주요정보 및 개인정보 처리와 관련된 외부 서비스 및 위탁 업체를 선정하는 경우 정보보호 및 개인정보 보호 역량을 고려하도록 절차를 마련하여야 한다.

*정보보호 및 개인정보보호 역량이 있는 업체가 선정될 수 있도록 관련 요건을 [[제안요청서|제안요청서(RFP)]] 및 제안 평가항목에 반영하여 업체 선정 시 적용

==== [[개인정보 처리 업무 위탁|개인정보 처리 업무 위탁 보안]] ====
조직의 정보처리 업무를 외부자에게 위탁하거나 외부 서비스를 이용하는 경우 다음과 같은 보안 요구사항을 정의하여 계약 시 반영하여야 한다([https://www.law.go.kr/법령/개인정보보호법/(20200805,16930,20200204)/제26조 개인정보보호법 제26조] 및 [https://www.law.go.kr/법령/개인정보보호법시행령/(20221020,32813,20220719)/제28조 동법 시행령 제28조] 참고).

*정보보호 및 개인정보보호 관련 법률 준수, 정보보호 및 개인정보보호 서약서 제출
*위탁 업무 수행 직원 대상 주기적인 정보보호 교육 수행 및 주기적 보안점검 수행
*업무수행 관련 취득한 중요정보 유출 방지 대책
*외부자 인터넷접속 제한, 물리적 보호조치(장비 및 매체 반출입 등), PC 등 단말 보안(백신설치, 안전한 패스워드 설정 및 주기적 변경, 화면보호기 설정 등), 무선 네트워크 사용 제한
*정보시스템 접근 허용 시 과도한 권한이 부여되지 않도록 접근권한 부여 및 해지 절차
*재위탁 제한 및 재위탁이 필요한 경우의 절차와 보안 요구사항 정의
*보안 요구사항 위반 시 처벌, 손해배상 책임, 보안사고 발생에 따른 보고 의무 등
<div style="width:60%; padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px; margin-left:20px">
'''※ 개인정보 처리업무 위탁 시 문서에 포함되어야 할 사항'''
*위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항
*개인정보의 기술적·관리적 보호조치에 관한 사항
*위탁업무의 목적 및 범위
*재위탁 제한에 관한 사항
*개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항
*위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항
*수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항</div>

==== 시스템 개발 위탁 보안 ====
정보시스템 및 개인정보처리시스템 개발을 위탁하는 경우 개발 시 준수하여야 할 정보보호 및 개인정보 보호 요구사항을 계약서에 명시하여야 한다.

*정보보호 및 개인정보보호 관련 법적 요구사항 준수
*안전한 코딩 표준 준수 등 [[소프트웨어 개발 보안|개발보안]] 절차 적용
*개발 완료된 정보시스템 및 개인정보처리시스템에 대한 취약점 점검 및 조치
*개발 관련 산출물, 소스 프로그램, 개발용 데이터 등 개발환경에 대한 보안관리
*개발 과정에서 취득한 정보에 대한 비밀유지 의무
*위반 시 손해배상 등 책임에 대한 사항 등

==증거 자료==

*위탁 계약서
*정보보호 및 개인정보보호 협약서(약정서, 부속합의서)
*위탁 관련 내부 지침
*위탁업체 선정 관련 RFP(제안요청서), 평가표

==결함 사례==

*IT 운영, 개발 및 개인정보 처리업무를 위탁하는 외주용역업체에 대한 위탁계약서가 존재하지 않는 경우
*개인정보 처리업무를 위탁하는 외부업체와의 위탁계약서상에 개인정보 보호법 등 법령에서 요구하는 일부 항목(관리·감독에 관한 사항 등)이 포함되어 있지 않은 경우
*인프라 운영과 개인정보 처리업무 일부를 외부업체에 위탁하고 있으나, 계약서 등에는 위탁 업무의 특성에 따른 보안 요구사항을 식별·반영하지 않고 비밀유지 및 손해배상에 관한 일반 사항만 규정하고 있는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.3.2.외부자 계약 시 보안

2023-03-23T14:03:09Z

짱갤럽: /* 개인정보 처리 업무 위탁 보안 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.3.외부자 보안|2.3.외부자 보안]]

==개요==
{| class="wikitable"
!항목
!2.3.2.외부자 계약 시 보안
|-
| style="text-align:center" |'''인증기준'''
|외부 서비스를 이용하거나 외부자에게 업무를 위탁하는 경우 이에 따른 정보보호 및 개인정보보호 요구사항을 식별하고, 관련 내용을 계약서 또는 협정서 등에 명시하여야 한다.
|-
|'''주요 확인사항'''
|
*중요정보 및 개인정보 처리와 관련된 외부 서비스 및 위탁 업체를 선정하는 경우 정보보호 및 개인정보 보호 역량을 고려하도록 절차를 마련하고 있는가?
*외부 서비스 이용 및 업무 위탁에 따른 정보보호 및 개인정보보호 요구사항을 식별하고 이를 계약서 또는 협정서에 명시하고 있는가?
*정보시스템 및 개인정보처리시스템 개발을 위탁하는 경우 개발 시 준수해야 할 정보보호 및 개인정보보호 요구사항을 계약서에 명시하고 있는가?
|}
==세부 설명==

==== 개인정보 보호역량 고려 ====
주요정보 및 개인정보 처리와 관련된 외부 서비스 및 위탁 업체를 선정하는 경우 정보보호 및 개인정보 보호 역량을 고려하도록 절차를 마련하여야 한다.

*정보보호 및 개인정보보호 역량이 있는 업체가 선정될 수 있도록 관련 요건을 [[제안요청서|제안요청서(RFP)]] 및 제안 평가항목에 반영하여 업체 선정 시 적용

==== [[개인정보 처리 업무 위탁|개인정보 처리 업무 위탁 보안]] ====
조직의 정보처리 업무를 외부자에게 위탁하거나 외부 서비스를 이용하는 경우 다음과 같은 보안 요구사항을 정의하여 계약 시 반영하여야 한다([https://www.law.go.kr/법령/개인정보보호법/(20200805,16930,20200204)/제26조 개인정보보호법 제26조] 및 [https://www.law.go.kr/법령/개인정보보호법시행령/(20221020,32813,20220719)/제28조 동법 시행령 제28조] 참고).

*정보보호 및 개인정보보호 관련 법률 준수, 정보보호 및 개인정보보호 서약서 제출
*위탁 업무 수행 직원 대상 주기적인 정보보호 교육 수행 및 주기적 보안점검 수행
*업무수행 관련 취득한 중요정보 유출 방지 대책
*외부자 인터넷접속 제한, 물리적 보호조치(장비 및 매체 반출입 등), PC 등 단말 보안(백신설치, 안전한 패스워드 설정 및 주기적 변경, 화면보호기 설정 등), 무선 네트워크 사용 제한
*정보시스템 접근 허용 시 과도한 권한이 부여되지 않도록 접근권한 부여 및 해지 절차
*재위탁 제한 및 재위탁이 필요한 경우의 절차와 보안 요구사항 정의
*보안 요구사항 위반 시 처벌, 손해배상 책임, 보안사고 발생에 따른 보고 의무 등
<div style="width:60%; padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px; margin-left:10px">
'''※ 개인정보 처리업무 위탁 시 문서에 포함되어야 할 사항'''
*위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항
*개인정보의 기술적·관리적 보호조치에 관한 사항
*위탁업무의 목적 및 범위
*재위탁 제한에 관한 사항
*개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항
*위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항
*수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항</div>

==== 시스템 개발 위탁 보안 ====
정보시스템 및 개인정보처리시스템 개발을 위탁하는 경우 개발 시 준수하여야 할 정보보호 및 개인정보 보호 요구사항을 계약서에 명시하여야 한다.

*정보보호 및 개인정보보호 관련 법적 요구사항 준수
*안전한 코딩 표준 준수 등 [[소프트웨어 개발 보안|개발보안]] 절차 적용
*개발 완료된 정보시스템 및 개인정보처리시스템에 대한 취약점 점검 및 조치
*개발 관련 산출물, 소스 프로그램, 개발용 데이터 등 개발환경에 대한 보안관리
*개발 과정에서 취득한 정보에 대한 비밀유지 의무
*위반 시 손해배상 등 책임에 대한 사항 등

==증거 자료==

*위탁 계약서
*정보보호 및 개인정보보호 협약서(약정서, 부속합의서)
*위탁 관련 내부 지침
*위탁업체 선정 관련 RFP(제안요청서), 평가표

==결함 사례==

*IT 운영, 개발 및 개인정보 처리업무를 위탁하는 외주용역업체에 대한 위탁계약서가 존재하지 않는 경우
*개인정보 처리업무를 위탁하는 외부업체와의 위탁계약서상에 개인정보 보호법 등 법령에서 요구하는 일부 항목(관리·감독에 관한 사항 등)이 포함되어 있지 않은 경우
*인프라 운영과 개인정보 처리업무 일부를 외부업체에 위탁하고 있으나, 계약서 등에는 위탁 업무의 특성에 따른 보안 요구사항을 식별·반영하지 않고 비밀유지 및 손해배상에 관한 일반 사항만 규정하고 있는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.3.2.외부자 계약 시 보안

2023-03-23T13:59:57Z

짱갤럽: /* 개인정보 처리 업무 위탁 보안 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.3.외부자 보안|2.3.외부자 보안]]

==개요==
{| class="wikitable"
!항목
!2.3.2.외부자 계약 시 보안
|-
| style="text-align:center" |'''인증기준'''
|외부 서비스를 이용하거나 외부자에게 업무를 위탁하는 경우 이에 따른 정보보호 및 개인정보보호 요구사항을 식별하고, 관련 내용을 계약서 또는 협정서 등에 명시하여야 한다.
|-
|'''주요 확인사항'''
|
*중요정보 및 개인정보 처리와 관련된 외부 서비스 및 위탁 업체를 선정하는 경우 정보보호 및 개인정보 보호 역량을 고려하도록 절차를 마련하고 있는가?
*외부 서비스 이용 및 업무 위탁에 따른 정보보호 및 개인정보보호 요구사항을 식별하고 이를 계약서 또는 협정서에 명시하고 있는가?
*정보시스템 및 개인정보처리시스템 개발을 위탁하는 경우 개발 시 준수해야 할 정보보호 및 개인정보보호 요구사항을 계약서에 명시하고 있는가?
|}
==세부 설명==

==== 개인정보 보호역량 고려 ====
주요정보 및 개인정보 처리와 관련된 외부 서비스 및 위탁 업체를 선정하는 경우 정보보호 및 개인정보 보호 역량을 고려하도록 절차를 마련하여야 한다.

*정보보호 및 개인정보보호 역량이 있는 업체가 선정될 수 있도록 관련 요건을 [[제안요청서|제안요청서(RFP)]] 및 제안 평가항목에 반영하여 업체 선정 시 적용

==== [[개인정보 처리 업무 위탁|개인정보 처리 업무 위탁 보안]] ====
조직의 정보처리 업무를 외부자에게 위탁하거나 외부 서비스를 이용하는 경우 다음과 같은 보안 요구사항을 정의하여 계약 시 반영하여야 한다([https://www.law.go.kr/법령/개인정보보호법/(20200805,16930,20200204)/제26조 개인정보보호법 제26조] 및 [https://www.law.go.kr/법령/개인정보보호법시행령/(20221020,32813,20220719)/제28조 동법 시행령 제28조] 참고).

*정보보호 및 개인정보보호 관련 법률 준수, 정보보호 및 개인정보보호 서약서 제출
*위탁 업무 수행 직원 대상 주기적인 정보보호 교육 수행 및 주기적 보안점검 수행
*업무수행 관련 취득한 중요정보 유출 방지 대책
*외부자 인터넷접속 제한, 물리적 보호조치(장비 및 매체 반출입 등), PC 등 단말 보안(백신설치, 안전한 패스워드 설정 및 주기적 변경, 화면보호기 설정 등), 무선 네트워크 사용 제한
*정보시스템 접근 허용 시 과도한 권한이 부여되지 않도록 접근권한 부여 및 해지 절차
*재위탁 제한 및 재위탁이 필요한 경우의 절차와 보안 요구사항 정의
*보안 요구사항 위반 시 처벌, 손해배상 책임, 보안사고 발생에 따른 보고 의무 등
<div style="width:60%; padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">
'''※ 개인정보 처리업무 위탁 시 문서에 포함되어야 할 사항'''
*위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항
*개인정보의 기술적·관리적 보호조치에 관한 사항
*위탁업무의 목적 및 범위
*재위탁 제한에 관한 사항
*개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항
*위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항
*수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항</div>

==== 시스템 개발 위탁 보안 ====
정보시스템 및 개인정보처리시스템 개발을 위탁하는 경우 개발 시 준수하여야 할 정보보호 및 개인정보 보호 요구사항을 계약서에 명시하여야 한다.

*정보보호 및 개인정보보호 관련 법적 요구사항 준수
*안전한 코딩 표준 준수 등 [[소프트웨어 개발 보안|개발보안]] 절차 적용
*개발 완료된 정보시스템 및 개인정보처리시스템에 대한 취약점 점검 및 조치
*개발 관련 산출물, 소스 프로그램, 개발용 데이터 등 개발환경에 대한 보안관리
*개발 과정에서 취득한 정보에 대한 비밀유지 의무
*위반 시 손해배상 등 책임에 대한 사항 등

==증거 자료==

*위탁 계약서
*정보보호 및 개인정보보호 협약서(약정서, 부속합의서)
*위탁 관련 내부 지침
*위탁업체 선정 관련 RFP(제안요청서), 평가표

==결함 사례==

*IT 운영, 개발 및 개인정보 처리업무를 위탁하는 외주용역업체에 대한 위탁계약서가 존재하지 않는 경우
*개인정보 처리업무를 위탁하는 외부업체와의 위탁계약서상에 개인정보 보호법 등 법령에서 요구하는 일부 항목(관리·감독에 관한 사항 등)이 포함되어 있지 않은 경우
*인프라 운영과 개인정보 처리업무 일부를 외부업체에 위탁하고 있으나, 계약서 등에는 위탁 업무의 특성에 따른 보안 요구사항을 식별·반영하지 않고 비밀유지 및 손해배상에 관한 일반 사항만 규정하고 있는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.3.2.외부자 계약 시 보안

2023-03-23T13:53:46Z

짱갤럽: /* 개인정보 처리 업무 위탁 보안 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.3.외부자 보안|2.3.외부자 보안]]

==개요==
{| class="wikitable"
!항목
!2.3.2.외부자 계약 시 보안
|-
| style="text-align:center" |'''인증기준'''
|외부 서비스를 이용하거나 외부자에게 업무를 위탁하는 경우 이에 따른 정보보호 및 개인정보보호 요구사항을 식별하고, 관련 내용을 계약서 또는 협정서 등에 명시하여야 한다.
|-
|'''주요 확인사항'''
|
*중요정보 및 개인정보 처리와 관련된 외부 서비스 및 위탁 업체를 선정하는 경우 정보보호 및 개인정보 보호 역량을 고려하도록 절차를 마련하고 있는가?
*외부 서비스 이용 및 업무 위탁에 따른 정보보호 및 개인정보보호 요구사항을 식별하고 이를 계약서 또는 협정서에 명시하고 있는가?
*정보시스템 및 개인정보처리시스템 개발을 위탁하는 경우 개발 시 준수해야 할 정보보호 및 개인정보보호 요구사항을 계약서에 명시하고 있는가?
|}
==세부 설명==

==== 개인정보 보호역량 고려 ====
주요정보 및 개인정보 처리와 관련된 외부 서비스 및 위탁 업체를 선정하는 경우 정보보호 및 개인정보 보호 역량을 고려하도록 절차를 마련하여야 한다.

*정보보호 및 개인정보보호 역량이 있는 업체가 선정될 수 있도록 관련 요건을 [[제안요청서|제안요청서(RFP)]] 및 제안 평가항목에 반영하여 업체 선정 시 적용

==== [[개인정보 처리 업무 위탁|개인정보 처리 업무 위탁 보안]] ====
조직의 정보처리 업무를 외부자에게 위탁하거나 외부 서비스를 이용하는 경우 다음과 같은 보안 요구사항을 정의하여 계약 시 반영하여야 한다([https://www.law.go.kr/법령/개인정보보호법/(20200805,16930,20200204)/제26조 개인정보보호법 제26조] 및 [https://www.law.go.kr/법령/개인정보보호법시행령/(20221020,32813,20220719)/제28조 동법 시행령 제28조] 참고).

*정보보호 및 개인정보보호 관련 법률 준수, 정보보호 및 개인정보보호 서약서 제출
*위탁 업무 수행 직원 대상 주기적인 정보보호 교육 수행 및 주기적 보안점검 수행
*업무수행 관련 취득한 중요정보 유출 방지 대책
*외부자 인터넷접속 제한, 물리적 보호조치(장비 및 매체 반출입 등), PC 등 단말 보안(백신설치, 안전한 패스워드 설정 및 주기적 변경, 화면보호기 설정 등), 무선 네트워크 사용 제한
*정보시스템 접근 허용 시 과도한 권한이 부여되지 않도록 접근권한 부여 및 해지 절차
*재위탁 제한 및 재위탁이 필요한 경우의 절차와 보안 요구사항 정의
*보안 요구사항 위반 시 처벌, 손해배상 책임, 보안사고 발생에 따른 보고 의무 등
<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">
'''※ 개인정보 처리업무 위탁 시 문서에 포함되어야 할 사항'''
*위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항
*개인정보의 기술적·관리적 보호조치에 관한 사항
*위탁업무의 목적 및 범위
*재위탁 제한에 관한 사항
*개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항
*위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항
*수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항</div>

==== 시스템 개발 위탁 보안 ====
정보시스템 및 개인정보처리시스템 개발을 위탁하는 경우 개발 시 준수하여야 할 정보보호 및 개인정보 보호 요구사항을 계약서에 명시하여야 한다.

*정보보호 및 개인정보보호 관련 법적 요구사항 준수
*안전한 코딩 표준 준수 등 [[소프트웨어 개발 보안|개발보안]] 절차 적용
*개발 완료된 정보시스템 및 개인정보처리시스템에 대한 취약점 점검 및 조치
*개발 관련 산출물, 소스 프로그램, 개발용 데이터 등 개발환경에 대한 보안관리
*개발 과정에서 취득한 정보에 대한 비밀유지 의무
*위반 시 손해배상 등 책임에 대한 사항 등

==증거 자료==

*위탁 계약서
*정보보호 및 개인정보보호 협약서(약정서, 부속합의서)
*위탁 관련 내부 지침
*위탁업체 선정 관련 RFP(제안요청서), 평가표

==결함 사례==

*IT 운영, 개발 및 개인정보 처리업무를 위탁하는 외주용역업체에 대한 위탁계약서가 존재하지 않는 경우
*개인정보 처리업무를 위탁하는 외부업체와의 위탁계약서상에 개인정보 보호법 등 법령에서 요구하는 일부 항목(관리·감독에 관한 사항 등)이 포함되어 있지 않은 경우
*인프라 운영과 개인정보 처리업무 일부를 외부업체에 위탁하고 있으나, 계약서 등에는 위탁 업무의 특성에 따른 보안 요구사항을 식별·반영하지 않고 비밀유지 및 손해배상에 관한 일반 사항만 규정하고 있는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.3.2.외부자 계약 시 보안

2023-03-23T13:52:16Z

짱갤럽: /* 개인정보 처리 업무 위탁 보안 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.3.외부자 보안|2.3.외부자 보안]]

==개요==
{| class="wikitable"
!항목
!2.3.2.외부자 계약 시 보안
|-
| style="text-align:center" |'''인증기준'''
|외부 서비스를 이용하거나 외부자에게 업무를 위탁하는 경우 이에 따른 정보보호 및 개인정보보호 요구사항을 식별하고, 관련 내용을 계약서 또는 협정서 등에 명시하여야 한다.
|-
|'''주요 확인사항'''
|
*중요정보 및 개인정보 처리와 관련된 외부 서비스 및 위탁 업체를 선정하는 경우 정보보호 및 개인정보 보호 역량을 고려하도록 절차를 마련하고 있는가?
*외부 서비스 이용 및 업무 위탁에 따른 정보보호 및 개인정보보호 요구사항을 식별하고 이를 계약서 또는 협정서에 명시하고 있는가?
*정보시스템 및 개인정보처리시스템 개발을 위탁하는 경우 개발 시 준수해야 할 정보보호 및 개인정보보호 요구사항을 계약서에 명시하고 있는가?
|}
==세부 설명==

==== 개인정보 보호역량 고려 ====
주요정보 및 개인정보 처리와 관련된 외부 서비스 및 위탁 업체를 선정하는 경우 정보보호 및 개인정보 보호 역량을 고려하도록 절차를 마련하여야 한다.

*정보보호 및 개인정보보호 역량이 있는 업체가 선정될 수 있도록 관련 요건을 [[제안요청서|제안요청서(RFP)]] 및 제안 평가항목에 반영하여 업체 선정 시 적용

==== [[개인정보 처리 업무 위탁|개인정보 처리 업무 위탁 보안]] ====
조직의 정보처리 업무를 외부자에게 위탁하거나 외부 서비스를 이용하는 경우 다음과 같은 보안 요구사항을 정의하여 계약 시 반영하여야 한다([https://www.law.go.kr/법령/개인정보보호법/(20200805,16930,20200204)/제26조 개인정보보호법 제26조] 및 [https://www.law.go.kr/법령/개인정보보호법시행령/(20221020,32813,20220719)/제28조 동법 시행령 제28조] 참고).

*정보보호 및 개인정보보호 관련 법률 준수, 정보보호 및 개인정보보호 서약서 제출
*위탁 업무 수행 직원 대상 주기적인 정보보호 교육 수행 및 주기적 보안점검 수행
*업무수행 관련 취득한 중요정보 유출 방지 대책
*외부자 인터넷접속 제한, 물리적 보호조치(장비 및 매체 반출입 등), PC 등 단말 보안(백신설치, 안전한 패스워드 설정 및 주기적 변경, 화면보호기 설정 등), 무선 네트워크 사용 제한
*정보시스템 접근 허용 시 과도한 권한이 부여되지 않도록 접근권한 부여 및 해지 절차
*재위탁 제한 및 재위탁이 필요한 경우의 절차와 보안 요구사항 정의
*보안 요구사항 위반 시 처벌, 손해배상 책임, 보안사고 발생에 따른 보고 의무 등<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">'''※ 개인정보 처리업무 위탁 시 문서에 포함되어야 할 사항'''
*위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항
*개인정보의 기술적·관리적 보호조치에 관한 사항
*위탁업무의 목적 및 범위
*재위탁 제한에 관한 사항
*개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항
*위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항
*수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항
==== 시스템 개발 위탁 보안 ====
정보시스템 및 개인정보처리시스템 개발을 위탁하는 경우 개발 시 준수하여야 할 정보보호 및 개인정보 보호 요구사항을 계약서에 명시하여야 한다.

*정보보호 및 개인정보보호 관련 법적 요구사항 준수
*안전한 코딩 표준 준수 등 [[소프트웨어 개발 보안|개발보안]] 절차 적용
*개발 완료된 정보시스템 및 개인정보처리시스템에 대한 취약점 점검 및 조치
*개발 관련 산출물, 소스 프로그램, 개발용 데이터 등 개발환경에 대한 보안관리
*개발 과정에서 취득한 정보에 대한 비밀유지 의무
*위반 시 손해배상 등 책임에 대한 사항 등

==증거 자료==

*위탁 계약서
*정보보호 및 개인정보보호 협약서(약정서, 부속합의서)
*위탁 관련 내부 지침
*위탁업체 선정 관련 RFP(제안요청서), 평가표

==결함 사례==

*IT 운영, 개발 및 개인정보 처리업무를 위탁하는 외주용역업체에 대한 위탁계약서가 존재하지 않는 경우
*개인정보 처리업무를 위탁하는 외부업체와의 위탁계약서상에 개인정보 보호법 등 법령에서 요구하는 일부 항목(관리·감독에 관한 사항 등)이 포함되어 있지 않은 경우
*인프라 운영과 개인정보 처리업무 일부를 외부업체에 위탁하고 있으나, 계약서 등에는 위탁 업무의 특성에 따른 보안 요구사항을 식별·반영하지 않고 비밀유지 및 손해배상에 관한 일반 사항만 규정하고 있는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

ISMS-P 인증 기준 2.3.2.외부자 계약 시 보안

2023-03-23T13:51:25Z

짱갤럽: /* 개인정보 처리 업무 위탁 보안 */

[[분류: ISMS-P 인증 기준]]

*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
*'''분류''': [[ISMS-P 인증 기준 2.3.외부자 보안|2.3.외부자 보안]]

==개요==
{| class="wikitable"
!항목
!2.3.2.외부자 계약 시 보안
|-
| style="text-align:center" |'''인증기준'''
|외부 서비스를 이용하거나 외부자에게 업무를 위탁하는 경우 이에 따른 정보보호 및 개인정보보호 요구사항을 식별하고, 관련 내용을 계약서 또는 협정서 등에 명시하여야 한다.
|-
|'''주요 확인사항'''
|
*중요정보 및 개인정보 처리와 관련된 외부 서비스 및 위탁 업체를 선정하는 경우 정보보호 및 개인정보 보호 역량을 고려하도록 절차를 마련하고 있는가?
*외부 서비스 이용 및 업무 위탁에 따른 정보보호 및 개인정보보호 요구사항을 식별하고 이를 계약서 또는 협정서에 명시하고 있는가?
*정보시스템 및 개인정보처리시스템 개발을 위탁하는 경우 개발 시 준수해야 할 정보보호 및 개인정보보호 요구사항을 계약서에 명시하고 있는가?
|}
==세부 설명==

==== 개인정보 보호역량 고려 ====
주요정보 및 개인정보 처리와 관련된 외부 서비스 및 위탁 업체를 선정하는 경우 정보보호 및 개인정보 보호 역량을 고려하도록 절차를 마련하여야 한다.

*정보보호 및 개인정보보호 역량이 있는 업체가 선정될 수 있도록 관련 요건을 [[제안요청서|제안요청서(RFP)]] 및 제안 평가항목에 반영하여 업체 선정 시 적용

==== [[개인정보 처리 업무 위탁|개인정보 처리 업무 위탁 보안]] ====
조직의 정보처리 업무를 외부자에게 위탁하거나 외부 서비스를 이용하는 경우 다음과 같은 보안 요구사항을 정의하여 계약 시 반영하여야 한다([https://www.law.go.kr/법령/개인정보보호법/(20200805,16930,20200204)/제26조 개인정보보호법 제26조] 및 [https://www.law.go.kr/법령/개인정보보호법시행령/(20221020,32813,20220719)/제28조 동법 시행령 제28조] 참고).

*정보보호 및 개인정보보호 관련 법률 준수, 정보보호 및 개인정보보호 서약서 제출
*위탁 업무 수행 직원 대상 주기적인 정보보호 교육 수행 및 주기적 보안점검 수행
*업무수행 관련 취득한 중요정보 유출 방지 대책
*외부자 인터넷접속 제한, 물리적 보호조치(장비 및 매체 반출입 등), PC 등 단말 보안(백신설치, 안전한 패스워드 설정 및 주기적 변경, 화면보호기 설정 등), 무선 네트워크 사용 제한
*정보시스템 접근 허용 시 과도한 권한이 부여되지 않도록 접근권한 부여 및 해지 절차
*재위탁 제한 및 재위탁이 필요한 경우의 절차와 보안 요구사항 정의
*보안 요구사항 위반 시 처벌, 손해배상 책임, 보안사고 발생에 따른 보고 의무 등<div style="padding:5px 10px; border:1px solid #ddd; background:#f5f5f5; margin:5px">
'''※ 개인정보 처리업무 위탁 시 문서에 포함되어야 할 사항'''

*위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항
*개인정보의 기술적·관리적 보호조치에 관한 사항
*위탁업무의 목적 및 범위
*재위탁 제한에 관한 사항
*개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항
*위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항
*수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항</div>

==== 시스템 개발 위탁 보안 ====
정보시스템 및 개인정보처리시스템 개발을 위탁하는 경우 개발 시 준수하여야 할 정보보호 및 개인정보 보호 요구사항을 계약서에 명시하여야 한다.

*정보보호 및 개인정보보호 관련 법적 요구사항 준수
*안전한 코딩 표준 준수 등 [[소프트웨어 개발 보안|개발보안]] 절차 적용
*개발 완료된 정보시스템 및 개인정보처리시스템에 대한 취약점 점검 및 조치
*개발 관련 산출물, 소스 프로그램, 개발용 데이터 등 개발환경에 대한 보안관리
*개발 과정에서 취득한 정보에 대한 비밀유지 의무
*위반 시 손해배상 등 책임에 대한 사항 등

==증거 자료==

*위탁 계약서
*정보보호 및 개인정보보호 협약서(약정서, 부속합의서)
*위탁 관련 내부 지침
*위탁업체 선정 관련 RFP(제안요청서), 평가표

==결함 사례==

*IT 운영, 개발 및 개인정보 처리업무를 위탁하는 외주용역업체에 대한 위탁계약서가 존재하지 않는 경우
*개인정보 처리업무를 위탁하는 외부업체와의 위탁계약서상에 개인정보 보호법 등 법령에서 요구하는 일부 항목(관리·감독에 관한 사항 등)이 포함되어 있지 않은 경우
*인프라 운영과 개인정보 처리업무 일부를 외부업체에 위탁하고 있으나, 계약서 등에는 위탁 업무의 특성에 따른 보안 요구사항을 식별·반영하지 않고 비밀유지 및 손해배상에 관한 일반 사항만 규정하고 있는 경우

==같이 보기==

*[[정보보호 및 개인정보보호관리체계 인증]]
*[[ISMS-P 인증 기준]]
*[[ISMS-P 인증 기준 세부 점검 항목]]

==참고 문헌==

*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)

정보보호 최고책임자

2023-03-23T08:00:49Z

짱갤럽: /* 역할[4] */

[[분류:컴플라이언스]]
[[분류:보안]]
[[분류:정보보안기사]]

;Chief Information Security Officer, CISO; 정보보호최고임원
;정보보호 최고책임자는 기업의 정보통신시스템 등에 대한 보안 및 정보의 안전한 관리 등 정보보호 업무를 총괄하는 최고책임자

=국내 법률에서의 CISO=

=== [[정보보호 최고책임자(정보통신망법)|정보통신망법]] ===
[https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률/(20221211,18871,20220610)/제45조의3 정보통신망법 제45조의3(정보보호 최고책임자의 지정 등)] 같은 법 [https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률시행령/(20221211,33039,20221209)/제36조의7 시행령 제36조의7(정보보호 최고책임자의 지정 및 겸직금지 등)]

*지정 및 신고 의무 대상: [[정보통신서비스 제공자]]
**자본금 1억원 이하의 [[부가통신사업자]], [[소상공인]], [[소기업]](전기통신사업자, 집적정보통신시설사업자 제외) 제외

==== 역할<ref>『정보통신망 이용촉진 및 정보보호 등에 관한 법률』 제45조의3제4항</ref> ====
# 정보보호 최고책임자는 다음 각 목의 업무를 총괄한다.
## 정보보호 계획의 수립ㆍ시행 및 개선
## 정보보호 실태와 관행의 정기적인 감사 및 개선
## 정보보호 위험의 식별 평가 및 정보보호 대책 마련
## 정보보호 교육과 모의 훈련 계획의 수립 및 시행
# 정보보호 최고책임자는 다음 각 목의 업무를 겸할 수 있다.
## [https://www.law.go.kr/법령/정보보호산업의진흥에관한법률/(20211209,18200,20210608)/제13조 「정보보호산업의 진흥에 관한 법률」 제13조]에 따른 정보보호 공시에 관한 업무
## [https://www.law.go.kr/법령/정보통신기반보호법/(20220911,18870,20220610)/제5조 「정보통신기반 보호법」 제5조제5항]에 따른 정보보호책임자의 업무
## [https://www.law.go.kr/법령/전자금융거래법/(20201210,17354,20200609)/제21조의2 「전자금융거래법」 제21조의2제4항]에 따른 정보보호최고책임자의 업무
## [https://www.law.go.kr/법령/개인정보보호법/(20200805,16930,20200204)/제31조 「개인정보 보호법」 제31조제2항]에 따른 개인정보 보호책임자의 업무
## 그 밖에 이 법 또는 관계 법령에 따라 정보보호를 위하여 필요한 조치의 이행

==== 직위<ref>『정보통신망 이용촉진 및 정보보호 등에 관한 법률』 시행령 제36조의7제1항</ref> ====
# 다음 각 목의 어느 하나에 해당하는 정보통신서비스 제공자: 사업주 또는 대표자
## 자본금이 1억원 이하인 자
## [https://www.law.go.kr/법령/중소기업기본법/(20221115,19044,20221115)/제2조 「중소기업기본법」 제2조]제2항에 따른 소기업
## [https://www.law.go.kr/법령/중소기업기본법/(20221115,19044,20221115)/제2조 「중소기업기본법」 제2조]제2항에 따른 중기업으로서 다음의 어느 하나에 해당하지 않는 자
### [https://www.law.go.kr/법령/전기통신사업법/(20221211,18869,20220610)/제2조 「전기통신사업법」]에 따른 전기통신사업자
### [https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률/(20221211,18871,20220610)/제47조 법 제47조]제2항에 따라 정보보호 관리체계 인증을 받아야 하는 자
### [https://www.law.go.kr/법령/개인정보보호법/(20200805,16930,20200204)/제30조 「개인정보 보호법」 제30조]제2항에 따라 개인정보 처리방침을 공개해야 하는 개인정보처리자
### [https://www.law.go.kr/법령/전자상거래등에서의소비자보호에관한법률/(20211230,17799,20201229)/제12조 「전자상거래 등에서의 소비자보호에 관한 법률」 제12조]에 따라 신고를 해야 하는 통신판매업자
# 다음 각 목의 어느 하나에 해당하는 정보통신서비스 제공자: 이사([https://www.law.go.kr/법령/상법/(20201229,17764,20201229)/제401조의2 「상법」 제401조의2]제1항제3호에 따른 자와 [https://www.law.go.kr/법령/상법/(20201229,17764,20201229)/제408조의2 같은 법 제408조의2]에 따른 집행임원을 포함한다)
## 직전 사업연도 말 기준 자산총액이 5조원 이상인 자
## [https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률/(20221211,18871,20220610)/제47조 법 제47조]제2항에 따라 정보보호 관리체계 인증을 받아야 하는 자 중 직전 사업연도 말 기준 자산총액이 5천억원 이상인 자
# 제1호 및 제2호에 해당하지 않는 정보통신서비스 제공자: 다음 각 목의 어느 하나에 해당하는 사람
## 사업주 또는 대표자
## 이사([https://www.law.go.kr/법령/상법/(20201229,17764,20201229)/제401조의2 「상법」 제401조의2]제1항제3호에 따른 자와 [https://www.law.go.kr/법령/상법/(20201229,17764,20201229)/제408조의2 같은 법 제408조의2]에 따른 집행임원을 포함한다)
## 정보보호 관련 업무를 총괄하는 부서의 장

==== 자격요건<ref>『정보통신망 이용촉진 및 정보보호 등에 관한 법률』 시행령 제36조의7제4항</ref> ====
#정보보호 또는 정보기술 분야의 석사학위 이상 학위를 취득한 사람
#정보보호 또는 정보기술 분야의 학사학위를 취득한 사람으로서 정보보호 또는 정보기술 분야의 업무를 3년 이상 수행한 경력이 있는 사람
#정보보호 또는 정보기술 분야의 전문학사학위를 취득한 사람으로서 정보보호 또는 정보기술 분야의 업무를 5년 이상 수행한 경력이 있는 사람
#정보보호 또는 정보기술 분야의 업무를 10년 이상 수행한 경력이 있는 사람
#정보보호 관리체계 인증심사원의 자격을 취득한 사람
#해당 정보통신서비스 제공자의 소속인 정보보호 관련 업무를 담당하는 부서의 장으로 1년 이상 근무한 경력이 있는 사람

=== 전자금융거래법 ===

==== 역할<ref>『전자금융거래법』 제21조의2제4항 및 같은법 시행령 제11조의3제3항</ref> ====
# [https://www.law.go.kr/법령/전자금융거래법/(20201210,17354,20200609)/제21조 제21조]제2항에 따른 전자금융거래의 안정성 확보 및 이용자 보호를 위한 전략 및 계획의 수립
# 정보기술부문의 보호
# 정보기술부문의 보안에 필요한 인력관리 및 예산편성
# 전자금융거래의 사고 예방 및 조치
# 전자금융업무 및 그 기반이 되는 정보기술부문 보안을 위한 자체심의에 관한 사항
# 정보기술부문 보안에 관한 임직원 교육에 관한 사항

==== 직위<ref>『전자금융거래법』 제21조의2제2항</ref> ====
# 임원([https://www.law.go.kr/법령/상법/(20201229,17764,20201229)/제401조의2 「상법」 제401조의2]제1항제3호에 따른 자를 포함한다)

==== 자격요건<ref>『전자금융거래법』 시행령 제21조의2제4항 및 별표 1</ref> ====
# 정보보호 또는 정보기술(IT) 분야의 학력 또는 기술자격을 가진 사람으로서 다 음 각 목의 어느 하나에 해당하는 사람은 정보보호최고책임자의 자격을 가진다.
## 정보보호 또는 정보기술(IT) 분야의 전문학사학위를 취득한 후 4년 이상 정 보보호 분야 업무 또는 5년 이상 정보기술(IT) 분야 업무를 수행한 경력이 있 는 사람
## 정보보호 또는 정보기술(IT) 분야의 학사학위 또는 다음 전문자격을 취득한 후 2년 이상 정보보호 분야 또는 3년 이상 정보기술(IT) 분야 업무를 수행한 경력이 있는 사람
### 「전자정부법」 제2조제15호에 따른 감리원
### 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조제5항에 따른 정보보호 관리체계 인증기관의 인증 심사원
### 「자격기본법」에 따라 공인을 받은 정보보호전문가(Specialist for Information Security)
### 국제정보시스템감사통제협회(Information Systems Audit and Control Association)의 정보시스템감사사(Certified Information Systems Auditor)
### 국제정보시스템보안자격협회(International Information System Security Certification Consortium)의 정보시스템보호전문가(Certified Information System Security Professional)
## 정보보호 또는 정보기술(IT) 분야의 석사학위를 취득한 후 1년 이상 정보보호 분야 업무 또는 2년 이상 정보기술(IT) 분야 업무를 수행한 경력이 있는 사람
# 다음 각 목의 어느 하나에 해당하는 사람은 정보보호최고책임자의 자격을 가진다.
## 8년 이상 정보보호 분야 업무 또는 10년 이상 정보기술(IT) 분야 업무를 수 행한 경력이 있는 사람
## 전문학사학위를 취득한 후 6년 이상 정보보호 분야 업무 또는 7년 이상 정보 기술(IT) 분야 업무를 수행한 경력이 있는 사람
## 학사학위를 취득한 후 4년 이상 정보보호 분야 업무 또는 5년 이상 정보기술 (IT) 분야 업무를 수행한 경력이 있는 사람
## 석사학위를 취득한 후 2년 이상 정보보호 분야 업무 또는 3년 이상 정보기술 (IT) 분야 업무를 수행한 경력이 있는 사람
# 「농업협동조합법」에 따른 조합, 「수산업협동조합법」에 따른 조합, 「산림조합 법」에 따른 조합, 「신용협동조합법」에 따른 신용협동조합 및 「새마을금고 법」에 따른 지역금고의 경우에는 제1호 및 제2호에도 불구하고 다음 각 목의 어느 하나에 해당하는 사람도 정보보호최고책임자의 자격을 가진다.
## 정보보호 또는 정보기술(IT) 분야의 학력 또는 기술자격을 가진 사람으로서 6년 이상 금융업에 종사한 사람
## 금융위원회가 정하여 고시하는 교육을 이수한 사람으로서 조합ᆞ신용협동조합 ᆞ지역금고의 장이나 그 장이 지정한 사람. 다만, 상시 종업원 수(금융위원회가 정하여 고시하는 산정방식에 따라 계산된 상시 종업원 수를 말한다)가 20명 이하인 조합ᆞ신용협동조합ᆞ지역금고의 경우로 한정한다.

==정보보호 관련 책임자 직책 비교<ref>정보보호 최고책임자(CISO) 지정·신고 제도 안내서(과기정통부, KISA, 19.12.)를 기반으로 편집</ref>==
{| class="wikitable"
!직책
!근거
!대상
!역할
!직위
!비고
|-
|정보보호최고책임자
(CISO)
|[[정보통신망법]]
제45조의3
|[[정보통신서비스 제공자]]
|정보통신시스템 등에 대한 보안 및
정보의 안전한 관리
|임원급
|신고
|-
|정보보호최고책임자
(CISO)
|[[전자금융거래법]]
제21조의2
|금융회사, [[전자금융업자]]
|전자금융업무 및 기반 정보 기술부문
보안 총괄
|임원
(차등)
| -
|-
|정보보호책임자
(CISO)
|[[정보통신기반 보호법]]
제5조
|[[주요정보통신기반시설]]
관리기관
|시설 보호에 관한 업무 총괄
|임원급,
영관급 장교 등
|통지
|-
|[[개인정보 보호책임자]]
(CPO)
|[[개인정보 보호법]]
제5조
|[[개인정보처리자]]
|개인정보의 처리에 관한
업무 총괄 책임
|대표자, 임원,
부서장 등
|공개
|-
|[[신용정보 관리보호인]]
|[[신용정보법]]
제20조
|신용정보회사,
금융회사 등
|신용정보의 관리 및 보호에 관한 업무
|임원
(차등)
|공시
|-
|고객정보 관리인
|금융지주회사법
제48조의2
|금융지주회사 등
|고객정보의 엄격한 관리
|임원
| -
|-
|정보화 책임관([[CIO]])
|[[국가정보화 기본법]]
제11조
|국가기관, 지방자치단체
|국가정보화 시책 수립· 시행과 국가
정보화사업 조정 등의 업무 총괄
|
|통보
|}

==각주==
<references />

정보보호 최고책임자

2023-03-23T07:55:55Z

짱갤럽: /* 직위[2] */

[[분류:컴플라이언스]]
[[분류:보안]]
[[분류:정보보안기사]]

;Chief Information Security Officer, CISO; 정보보호최고임원
;정보보호 최고책임자는 기업의 정보통신시스템 등에 대한 보안 및 정보의 안전한 관리 등 정보보호 업무를 총괄하는 최고책임자

=국내 법률에서의 CISO=

=== [[정보보호 최고책임자(정보통신망법)|정보통신망법]] ===
[https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률/(20221211,18871,20220610)/제45조의3 정보통신망법 제45조의3(정보보호 최고책임자의 지정 등)] 같은 법 [https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률시행령/(20221211,33039,20221209)/제36조의7 시행령 제36조의7(정보보호 최고책임자의 지정 및 겸직금지 등)]

*지정 및 신고 의무 대상: [[정보통신서비스 제공자]]
**자본금 1억원 이하의 [[부가통신사업자]], [[소상공인]], [[소기업]](전기통신사업자, 집적정보통신시설사업자 제외) 제외

==== 역할<ref>『정보통신망 이용촉진 및 정보보호 등에 관한 법률』 제45조의3제4항</ref> ====
# 정보보호 최고책임자는 다음 각 목의 업무를 총괄한다.
## 정보보호 계획의 수립ㆍ시행 및 개선
## 정보보호 실태와 관행의 정기적인 감사 및 개선
## 정보보호 위험의 식별 평가 및 정보보호 대책 마련
## 정보보호 교육과 모의 훈련 계획의 수립 및 시행
# 정보보호 최고책임자는 다음 각 목의 업무를 겸할 수 있다.
## [https://www.law.go.kr/법령/정보보호산업의진흥에관한법률/(20211209,18200,20210608)/제13조 「정보보호산업의 진흥에 관한 법률」 제13조]에 따른 정보보호 공시에 관한 업무
## [https://www.law.go.kr/법령/정보통신기반보호법/(20220911,18870,20220610)/제5조 「정보통신기반 보호법」 제5조제5항]에 따른 정보보호책임자의 업무
## [https://www.law.go.kr/법령/전자금융거래법/(20201210,17354,20200609)/제21조의2 「전자금융거래법」 제21조의2제4항]에 따른 정보보호최고책임자의 업무
## [https://www.law.go.kr/법령/개인정보보호법/(20200805,16930,20200204)/제31조 「개인정보 보호법」 제31조제2항]에 따른 개인정보 보호책임자의 업무
## 그 밖에 이 법 또는 관계 법령에 따라 정보보호를 위하여 필요한 조치의 이행

==== 직위<ref>『정보통신망 이용촉진 및 정보보호 등에 관한 법률』 시행령 제36조의7제1항</ref> ====
# 다음 각 목의 어느 하나에 해당하는 정보통신서비스 제공자: 사업주 또는 대표자
## 자본금이 1억원 이하인 자
## [https://www.law.go.kr/법령/중소기업기본법/(20221115,19044,20221115)/제2조 「중소기업기본법」 제2조]제2항에 따른 소기업
## [https://www.law.go.kr/법령/중소기업기본법/(20221115,19044,20221115)/제2조 「중소기업기본법」 제2조]제2항에 따른 중기업으로서 다음의 어느 하나에 해당하지 않는 자
### [https://www.law.go.kr/법령/전기통신사업법/(20221211,18869,20220610)/제2조 「전기통신사업법」]에 따른 전기통신사업자
### [https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률/(20221211,18871,20220610)/제47조 법 제47조]제2항에 따라 정보보호 관리체계 인증을 받아야 하는 자
### [https://www.law.go.kr/법령/개인정보보호법/(20200805,16930,20200204)/제30조 「개인정보 보호법」 제30조]제2항에 따라 개인정보 처리방침을 공개해야 하는 개인정보처리자
### [https://www.law.go.kr/법령/전자상거래등에서의소비자보호에관한법률/(20211230,17799,20201229)/제12조 「전자상거래 등에서의 소비자보호에 관한 법률」 제12조]에 따라 신고를 해야 하는 통신판매업자
# 다음 각 목의 어느 하나에 해당하는 정보통신서비스 제공자: 이사([https://www.law.go.kr/법령/상법/(20201229,17764,20201229)/제401조의2 「상법」 제401조의2]제1항제3호에 따른 자와 [https://www.law.go.kr/법령/상법/(20201229,17764,20201229)/제408조의2 같은 법 제408조의2]에 따른 집행임원을 포함한다)
## 직전 사업연도 말 기준 자산총액이 5조원 이상인 자
## [https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률/(20221211,18871,20220610)/제47조 법 제47조]제2항에 따라 정보보호 관리체계 인증을 받아야 하는 자 중 직전 사업연도 말 기준 자산총액이 5천억원 이상인 자
# 제1호 및 제2호에 해당하지 않는 정보통신서비스 제공자: 다음 각 목의 어느 하나에 해당하는 사람
## 사업주 또는 대표자
## 이사([https://www.law.go.kr/법령/상법/(20201229,17764,20201229)/제401조의2 「상법」 제401조의2]제1항제3호에 따른 자와 [https://www.law.go.kr/법령/상법/(20201229,17764,20201229)/제408조의2 같은 법 제408조의2]에 따른 집행임원을 포함한다)
## 정보보호 관련 업무를 총괄하는 부서의 장

==== 자격요건<ref>『정보통신망 이용촉진 및 정보보호 등에 관한 법률』 시행령 제36조의7제4항</ref> ====
#정보보호 또는 정보기술 분야의 석사학위 이상 학위를 취득한 사람
#정보보호 또는 정보기술 분야의 학사학위를 취득한 사람으로서 정보보호 또는 정보기술 분야의 업무를 3년 이상 수행한 경력이 있는 사람
#정보보호 또는 정보기술 분야의 전문학사학위를 취득한 사람으로서 정보보호 또는 정보기술 분야의 업무를 5년 이상 수행한 경력이 있는 사람
#정보보호 또는 정보기술 분야의 업무를 10년 이상 수행한 경력이 있는 사람
#정보보호 관리체계 인증심사원의 자격을 취득한 사람
#해당 정보통신서비스 제공자의 소속인 정보보호 관련 업무를 담당하는 부서의 장으로 1년 이상 근무한 경력이 있는 사람

=== 전자금융거래법 ===

==== 역할<ref>『전자금융거래법』 제21조의2제4항 및 같은법 시행령 제11조의3제3항</ref> ====
# 제21조제2항에 따른 전자금융거래의 안정성 확보 및 이용자 보호를 위한 전략 및 계획의 수립
# 정보기술부문의 보호
# 정보기술부문의 보안에 필요한 인력관리 및 예산편성
# 전자금융거래의 사고 예방 및 조치
# 전자금융업무 및 그 기반이 되는 정보기술부문 보안을 위한 자체심의에 관한 사항
# 정보기술부문 보안에 관한 임직원 교육에 관한 사항

==== 직위<ref>『전자금융거래법』 제21조의2제2항</ref> ====
# 임원(「상법」 제401조의2제1항제3호에 따른 자를 포함한다)

==== 자격요건<ref>『전자금융거래법』 시행령 제21조의2제4항 및 별표 1</ref> ====
# 정보보호 또는 정보기술(IT) 분야의 학력 또는 기술자격을 가진 사람으로서 다 음 각 목의 어느 하나에 해당하는 사람은 정보보호최고책임자의 자격을 가진다.
## 정보보호 또는 정보기술(IT) 분야의 전문학사학위를 취득한 후 4년 이상 정 보보호 분야 업무 또는 5년 이상 정보기술(IT) 분야 업무를 수행한 경력이 있 는 사람
## 정보보호 또는 정보기술(IT) 분야의 학사학위 또는 다음 전문자격을 취득한 후 2년 이상 정보보호 분야 또는 3년 이상 정보기술(IT) 분야 업무를 수행한 경력이 있는 사람
### 「전자정부법」 제2조제15호에 따른 감리원
### 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조제5항에 따른 정보보호 관리체계 인증기관의 인증 심사원
### 「자격기본법」에 따라 공인을 받은 정보보호전문가(Specialist for Information Security)
### 국제정보시스템감사통제협회(Information Systems Audit and Control Association)의 정보시스템감사사(Certified Information Systems Auditor)
### 국제정보시스템보안자격협회(International Information System Security Certification Consortium)의 정보시스템보호전문가(Certified Information System Security Professional)
## 정보보호 또는 정보기술(IT) 분야의 석사학위를 취득한 후 1년 이상 정보보호 분야 업무 또는 2년 이상 정보기술(IT) 분야 업무를 수행한 경력이 있는 사람
# 다음 각 목의 어느 하나에 해당하는 사람은 정보보호최고책임자의 자격을 가진다.
## 8년 이상 정보보호 분야 업무 또는 10년 이상 정보기술(IT) 분야 업무를 수 행한 경력이 있는 사람
## 전문학사학위를 취득한 후 6년 이상 정보보호 분야 업무 또는 7년 이상 정보 기술(IT) 분야 업무를 수행한 경력이 있는 사람
## 학사학위를 취득한 후 4년 이상 정보보호 분야 업무 또는 5년 이상 정보기술 (IT) 분야 업무를 수행한 경력이 있는 사람
## 석사학위를 취득한 후 2년 이상 정보보호 분야 업무 또는 3년 이상 정보기술 (IT) 분야 업무를 수행한 경력이 있는 사람
# 「농업협동조합법」에 따른 조합, 「수산업협동조합법」에 따른 조합, 「산림조합 법」에 따른 조합, 「신용협동조합법」에 따른 신용협동조합 및 「새마을금고 법」에 따른 지역금고의 경우에는 제1호 및 제2호에도 불구하고 다음 각 목의 어느 하나에 해당하는 사람도 정보보호최고책임자의 자격을 가진다.
## 정보보호 또는 정보기술(IT) 분야의 학력 또는 기술자격을 가진 사람으로서 6년 이상 금융업에 종사한 사람
## 금융위원회가 정하여 고시하는 교육을 이수한 사람으로서 조합ᆞ신용협동조합 ᆞ지역금고의 장이나 그 장이 지정한 사람. 다만, 상시 종업원 수(금융위원회가 정하여 고시하는 산정방식에 따라 계산된 상시 종업원 수를 말한다)가 20명 이하인 조합ᆞ신용협동조합ᆞ지역금고의 경우로 한정한다.

==정보보호 관련 책임자 직책 비교<ref>정보보호 최고책임자(CISO) 지정·신고 제도 안내서(과기정통부, KISA, 19.12.)를 기반으로 편집</ref>==
{| class="wikitable"
!직책
!근거
!대상
!역할
!직위
!비고
|-
|정보보호최고책임자
(CISO)
|[[정보통신망법]]
제45조의3
|[[정보통신서비스 제공자]]
|정보통신시스템 등에 대한 보안 및
정보의 안전한 관리
|임원급
|신고
|-
|정보보호최고책임자
(CISO)
|[[전자금융거래법]]
제21조의2
|금융회사, [[전자금융업자]]
|전자금융업무 및 기반 정보 기술부문
보안 총괄
|임원
(차등)
| -
|-
|정보보호책임자
(CISO)
|[[정보통신기반 보호법]]
제5조
|[[주요정보통신기반시설]]
관리기관
|시설 보호에 관한 업무 총괄
|임원급,
영관급 장교 등
|통지
|-
|[[개인정보 보호책임자]]
(CPO)
|[[개인정보 보호법]]
제5조
|[[개인정보처리자]]
|개인정보의 처리에 관한
업무 총괄 책임
|대표자, 임원,
부서장 등
|공개
|-
|[[신용정보 관리보호인]]
|[[신용정보법]]
제20조
|신용정보회사,
금융회사 등
|신용정보의 관리 및 보호에 관한 업무
|임원
(차등)
|공시
|-
|고객정보 관리인
|금융지주회사법
제48조의2
|금융지주회사 등
|고객정보의 엄격한 관리
|임원
| -
|-
|정보화 책임관([[CIO]])
|[[국가정보화 기본법]]
제11조
|국가기관, 지방자치단체
|국가정보화 시책 수립· 시행과 국가
정보화사업 조정 등의 업무 총괄
|
|통보
|}

==각주==
<references />

정보보호 최고책임자

2023-03-23T07:47:57Z

짱갤럽: /* 직위[2] */

[[분류:컴플라이언스]]
[[분류:보안]]
[[분류:정보보안기사]]

;Chief Information Security Officer, CISO; 정보보호최고임원
;정보보호 최고책임자는 기업의 정보통신시스템 등에 대한 보안 및 정보의 안전한 관리 등 정보보호 업무를 총괄하는 최고책임자

=국내 법률에서의 CISO=

=== [[정보보호 최고책임자(정보통신망법)|정보통신망법]] ===
[https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률/(20221211,18871,20220610)/제45조의3 정보통신망법 제45조의3(정보보호 최고책임자의 지정 등)] 같은 법 [https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률시행령/(20221211,33039,20221209)/제36조의7 시행령 제36조의7(정보보호 최고책임자의 지정 및 겸직금지 등)]

*지정 및 신고 의무 대상: [[정보통신서비스 제공자]]
**자본금 1억원 이하의 [[부가통신사업자]], [[소상공인]], [[소기업]](전기통신사업자, 집적정보통신시설사업자 제외) 제외

==== 역할<ref>『정보통신망 이용촉진 및 정보보호 등에 관한 법률』 제45조의3제4항</ref> ====
# 정보보호 최고책임자는 다음 각 목의 업무를 총괄한다.
## 정보보호 계획의 수립ㆍ시행 및 개선
## 정보보호 실태와 관행의 정기적인 감사 및 개선
## 정보보호 위험의 식별 평가 및 정보보호 대책 마련
## 정보보호 교육과 모의 훈련 계획의 수립 및 시행
# 정보보호 최고책임자는 다음 각 목의 업무를 겸할 수 있다.
## [https://www.law.go.kr/법령/정보보호산업의진흥에관한법률/(20211209,18200,20210608)/제13조 「정보보호산업의 진흥에 관한 법률」 제13조]에 따른 정보보호 공시에 관한 업무
## [https://www.law.go.kr/법령/정보통신기반보호법/(20220911,18870,20220610)/제5조 「정보통신기반 보호법」 제5조제5항]에 따른 정보보호책임자의 업무
## [https://www.law.go.kr/법령/전자금융거래법/(20201210,17354,20200609)/제21조의2 「전자금융거래법」 제21조의2제4항]에 따른 정보보호최고책임자의 업무
## [https://www.law.go.kr/법령/개인정보보호법/(20200805,16930,20200204)/제31조 「개인정보 보호법」 제31조제2항]에 따른 개인정보 보호책임자의 업무
## 그 밖에 이 법 또는 관계 법령에 따라 정보보호를 위하여 필요한 조치의 이행

==== 직위<ref>『정보통신망 이용촉진 및 정보보호 등에 관한 법률』 시행령 제36조의7제1항</ref> ====
# 다음 각 목의 어느 하나에 해당하는 정보통신서비스 제공자: 사업주 또는 대표자
## 자본금이 1억원 이하인 자
## [https://www.law.go.kr/법령/중소기업기본법/(20221115,19044,20221115)/제2조 「중소기업기본법」 제2조]제2항에 따른 소기업
## [https://www.law.go.kr/법령/중소기업기본법/(20221115,19044,20221115)/제2조 「중소기업기본법」 제2조]제2항에 따른 중기업으로서 다음의 어느 하나에 해당하지 않는 자
### 「전기통신사업법」에 따른 전기통신사업자 2) 법 제47조제2항에 따라 정보보호 관리체계 인증을 받아야 하는 자
### 「개인정보 보호법」 제30조제2항에 따라 개인정보 처리방침을 공개해야 하는 개인정보처리자
### 「전자상거래 등에서의 소비자보호에 관한 법률」 제12조에 따라 신고를 해야 하는 통신판매업자
# 다음 각 목의 어느 하나에 해당하는 정보통신서비스 제공자: 이사(「상법」 제401조의2제1항제3호에 따른 자와 같은 법 제408조의2에 따른 집행임원을 포함한다)
## 직전 사업연도 말 기준 자산총액이 5조원 이상인 자
## 법 제47조제2항에 따라 정보보호 관리체계 인증을 받아야 하는 자 중 직전 사업연도 말 기준 자산총액이 5천억원 이상인 자
# 제1호 및 제2호에 해당하지 않는 정보통신서비스 제공자: 다음 각 목의 어느 하나에 해당하는 사람
## 사업주 또는 대표자
## 이사(「상법」 제401조의2제1항제3호에 따른 자와 같은 법 제408조의2에 따른 집행임원을 포함한다)
## 정보보호 관련 업무를 총괄하는 부서의 장

==== 자격요건<ref>『정보통신망 이용촉진 및 정보보호 등에 관한 법률』 시행령 제36조의7제4항</ref> ====
#정보보호 또는 정보기술 분야의 석사학위 이상 학위를 취득한 사람
#정보보호 또는 정보기술 분야의 학사학위를 취득한 사람으로서 정보보호 또는 정보기술 분야의 업무를 3년 이상 수행한 경력이 있는 사람
#정보보호 또는 정보기술 분야의 전문학사학위를 취득한 사람으로서 정보보호 또는 정보기술 분야의 업무를 5년 이상 수행한 경력이 있는 사람
#정보보호 또는 정보기술 분야의 업무를 10년 이상 수행한 경력이 있는 사람
#정보보호 관리체계 인증심사원의 자격을 취득한 사람
#해당 정보통신서비스 제공자의 소속인 정보보호 관련 업무를 담당하는 부서의 장으로 1년 이상 근무한 경력이 있는 사람

=== 전자금융거래법 ===

==== 역할<ref>『전자금융거래법』 제21조의2제4항 및 같은법 시행령 제11조의3제3항</ref> ====
# 제21조제2항에 따른 전자금융거래의 안정성 확보 및 이용자 보호를 위한 전략 및 계획의 수립
# 정보기술부문의 보호
# 정보기술부문의 보안에 필요한 인력관리 및 예산편성
# 전자금융거래의 사고 예방 및 조치
# 전자금융업무 및 그 기반이 되는 정보기술부문 보안을 위한 자체심의에 관한 사항
# 정보기술부문 보안에 관한 임직원 교육에 관한 사항

==== 직위<ref>『전자금융거래법』 제21조의2제2항</ref> ====
# 임원(「상법」 제401조의2제1항제3호에 따른 자를 포함한다)

==== 자격요건<ref>『전자금융거래법』 시행령 제21조의2제4항 및 별표 1</ref> ====
# 정보보호 또는 정보기술(IT) 분야의 학력 또는 기술자격을 가진 사람으로서 다 음 각 목의 어느 하나에 해당하는 사람은 정보보호최고책임자의 자격을 가진다.
## 정보보호 또는 정보기술(IT) 분야의 전문학사학위를 취득한 후 4년 이상 정 보보호 분야 업무 또는 5년 이상 정보기술(IT) 분야 업무를 수행한 경력이 있 는 사람
## 정보보호 또는 정보기술(IT) 분야의 학사학위 또는 다음 전문자격을 취득한 후 2년 이상 정보보호 분야 또는 3년 이상 정보기술(IT) 분야 업무를 수행한 경력이 있는 사람
### 「전자정부법」 제2조제15호에 따른 감리원
### 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조제5항에 따른 정보보호 관리체계 인증기관의 인증 심사원
### 「자격기본법」에 따라 공인을 받은 정보보호전문가(Specialist for Information Security)
### 국제정보시스템감사통제협회(Information Systems Audit and Control Association)의 정보시스템감사사(Certified Information Systems Auditor)
### 국제정보시스템보안자격협회(International Information System Security Certification Consortium)의 정보시스템보호전문가(Certified Information System Security Professional)
## 정보보호 또는 정보기술(IT) 분야의 석사학위를 취득한 후 1년 이상 정보보호 분야 업무 또는 2년 이상 정보기술(IT) 분야 업무를 수행한 경력이 있는 사람
# 다음 각 목의 어느 하나에 해당하는 사람은 정보보호최고책임자의 자격을 가진다.
## 8년 이상 정보보호 분야 업무 또는 10년 이상 정보기술(IT) 분야 업무를 수 행한 경력이 있는 사람
## 전문학사학위를 취득한 후 6년 이상 정보보호 분야 업무 또는 7년 이상 정보 기술(IT) 분야 업무를 수행한 경력이 있는 사람
## 학사학위를 취득한 후 4년 이상 정보보호 분야 업무 또는 5년 이상 정보기술 (IT) 분야 업무를 수행한 경력이 있는 사람
## 석사학위를 취득한 후 2년 이상 정보보호 분야 업무 또는 3년 이상 정보기술 (IT) 분야 업무를 수행한 경력이 있는 사람
# 「농업협동조합법」에 따른 조합, 「수산업협동조합법」에 따른 조합, 「산림조합 법」에 따른 조합, 「신용협동조합법」에 따른 신용협동조합 및 「새마을금고 법」에 따른 지역금고의 경우에는 제1호 및 제2호에도 불구하고 다음 각 목의 어느 하나에 해당하는 사람도 정보보호최고책임자의 자격을 가진다.
## 정보보호 또는 정보기술(IT) 분야의 학력 또는 기술자격을 가진 사람으로서 6년 이상 금융업에 종사한 사람
## 금융위원회가 정하여 고시하는 교육을 이수한 사람으로서 조합ᆞ신용협동조합 ᆞ지역금고의 장이나 그 장이 지정한 사람. 다만, 상시 종업원 수(금융위원회가 정하여 고시하는 산정방식에 따라 계산된 상시 종업원 수를 말한다)가 20명 이하인 조합ᆞ신용협동조합ᆞ지역금고의 경우로 한정한다.

==정보보호 관련 책임자 직책 비교<ref>정보보호 최고책임자(CISO) 지정·신고 제도 안내서(과기정통부, KISA, 19.12.)를 기반으로 편집</ref>==
{| class="wikitable"
!직책
!근거
!대상
!역할
!직위
!비고
|-
|정보보호최고책임자
(CISO)
|[[정보통신망법]]
제45조의3
|[[정보통신서비스 제공자]]
|정보통신시스템 등에 대한 보안 및
정보의 안전한 관리
|임원급
|신고
|-
|정보보호최고책임자
(CISO)
|[[전자금융거래법]]
제21조의2
|금융회사, [[전자금융업자]]
|전자금융업무 및 기반 정보 기술부문
보안 총괄
|임원
(차등)
| -
|-
|정보보호책임자
(CISO)
|[[정보통신기반 보호법]]
제5조
|[[주요정보통신기반시설]]
관리기관
|시설 보호에 관한 업무 총괄
|임원급,
영관급 장교 등
|통지
|-
|[[개인정보 보호책임자]]
(CPO)
|[[개인정보 보호법]]
제5조
|[[개인정보처리자]]
|개인정보의 처리에 관한
업무 총괄 책임
|대표자, 임원,
부서장 등
|공개
|-
|[[신용정보 관리보호인]]
|[[신용정보법]]
제20조
|신용정보회사,
금융회사 등
|신용정보의 관리 및 보호에 관한 업무
|임원
(차등)
|공시
|-
|고객정보 관리인
|금융지주회사법
제48조의2
|금융지주회사 등
|고객정보의 엄격한 관리
|임원
| -
|-
|정보화 책임관([[CIO]])
|[[국가정보화 기본법]]
제11조
|국가기관, 지방자치단체
|국가정보화 시책 수립· 시행과 국가
정보화사업 조정 등의 업무 총괄
|
|통보
|}

==각주==
<references />

정보보호 최고책임자

2023-03-23T07:42:44Z

짱갤럽: /* 역할[1] */

[[분류:컴플라이언스]]
[[분류:보안]]
[[분류:정보보안기사]]

;Chief Information Security Officer, CISO; 정보보호최고임원
;정보보호 최고책임자는 기업의 정보통신시스템 등에 대한 보안 및 정보의 안전한 관리 등 정보보호 업무를 총괄하는 최고책임자

=국내 법률에서의 CISO=

=== [[정보보호 최고책임자(정보통신망법)|정보통신망법]] ===
[https://www.law.go.kr/법령/정보통신망이용촉진및정보보호등에관한법률/(20221211,18871,20220610)/제45조의3 정보통신망법 제45조의3(정보보호 최고책임자의 지정 등)]

*지정 및 신고 의무 대상: [[정보통신서비스 제공자]]
**자본금 1억원 이하의 [[부가통신사업자]], [[소상공인]], [[소기업]](전기통신사업자, 집적정보통신시설사업자 제외) 제외

==== 역할<ref>『정보통신망 이용촉진 및 정보보호 등에 관한 법률』 제45조의3제4항</ref> ====
# 정보보호 최고책임자는 다음 각 목의 업무를 총괄한다.
## 정보보호 계획의 수립ㆍ시행 및 개선
## 정보보호 실태와 관행의 정기적인 감사 및 개선
## 정보보호 위험의 식별 평가 및 정보보호 대책 마련
## 정보보호 교육과 모의 훈련 계획의 수립 및 시행
# 정보보호 최고책임자는 다음 각 목의 업무를 겸할 수 있다.
## [https://www.law.go.kr/법령/정보보호산업의진흥에관한법률/(20211209,18200,20210608)/제13조 「정보보호산업의 진흥에 관한 법률」 제13조]에 따른 정보보호 공시에 관한 업무
## [https://www.law.go.kr/법령/정보통신기반보호법/(20220911,18870,20220610)/제5조 「정보통신기반 보호법」 제5조제5항]에 따른 정보보호책임자의 업무
## [https://www.law.go.kr/법령/전자금융거래법/(20201210,17354,20200609)/제21조의2 「전자금융거래법」 제21조의2제4항]에 따른 정보보호최고책임자의 업무
## [https://www.law.go.kr/법령/개인정보보호법/(20200805,16930,20200204)/제31조 「개인정보 보호법」 제31조제2항]에 따른 개인정보 보호책임자의 업무
## 그 밖에 이 법 또는 관계 법령에 따라 정보보호를 위하여 필요한 조치의 이행

==== 직위<ref>『정보통신망 이용촉진 및 정보보호 등에 관한 법률』 시행령 제36조의7제1항</ref> ====
# 다음 각 목의 어느 하나에 해당하는 정보통신서비스 제공자: 사업주 또는 대표자
## 자본금이 1억원 이하인 자
## 「중소기업기본법」 제2조제2항에 따른 소기업
## 「중소기업기본법」 제2조제2항에 따른 중기업으로서 다음의 어느 하나에 해당하지 않는 자
### 「전기통신사업법」에 따른 전기통신사업자 2) 법 제47조제2항에 따라 정보보호 관리체계 인증을 받아야 하는 자
### 「개인정보 보호법」 제30조제2항에 따라 개인정보 처리방침을 공개해야 하는 개인정보처리자
### 「전자상거래 등에서의 소비자보호에 관한 법률」 제12조에 따라 신고를 해야 하는 통신판매업자
# 다음 각 목의 어느 하나에 해당하는 정보통신서비스 제공자: 이사(「상법」 제401조의2제1항제3호에 따른 자와 같은 법 제408조의2에 따른 집행임원을 포함한다)
## 직전 사업연도 말 기준 자산총액이 5조원 이상인 자
## 법 제47조제2항에 따라 정보보호 관리체계 인증을 받아야 하는 자 중 직전 사업연도 말 기준 자산총액이 5천억원 이상인 자
# 제1호 및 제2호에 해당하지 않는 정보통신서비스 제공자: 다음 각 목의 어느 하나에 해당하는 사람
## 사업주 또는 대표자
## 이사(「상법」 제401조의2제1항제3호에 따른 자와 같은 법 제408조의2에 따른 집행임원을 포함한다)
## 정보보호 관련 업무를 총괄하는 부서의 장

==== 자격요건<ref>『정보통신망 이용촉진 및 정보보호 등에 관한 법률』 시행령 제36조의7제4항</ref> ====
#정보보호 또는 정보기술 분야의 석사학위 이상 학위를 취득한 사람
#정보보호 또는 정보기술 분야의 학사학위를 취득한 사람으로서 정보보호 또는 정보기술 분야의 업무를 3년 이상 수행한 경력이 있는 사람
#정보보호 또는 정보기술 분야의 전문학사학위를 취득한 사람으로서 정보보호 또는 정보기술 분야의 업무를 5년 이상 수행한 경력이 있는 사람
#정보보호 또는 정보기술 분야의 업무를 10년 이상 수행한 경력이 있는 사람
#정보보호 관리체계 인증심사원의 자격을 취득한 사람
#해당 정보통신서비스 제공자의 소속인 정보보호 관련 업무를 담당하는 부서의 장으로 1년 이상 근무한 경력이 있는 사람

=== 전자금융거래법 ===

==== 역할<ref>『전자금융거래법』 제21조의2제4항 및 같은법 시행령 제11조의3제3항</ref> ====
# 제21조제2항에 따른 전자금융거래의 안정성 확보 및 이용자 보호를 위한 전략 및 계획의 수립
# 정보기술부문의 보호
# 정보기술부문의 보안에 필요한 인력관리 및 예산편성
# 전자금융거래의 사고 예방 및 조치
# 전자금융업무 및 그 기반이 되는 정보기술부문 보안을 위한 자체심의에 관한 사항
# 정보기술부문 보안에 관한 임직원 교육에 관한 사항

==== 직위<ref>『전자금융거래법』 제21조의2제2항</ref> ====
# 임원(「상법」 제401조의2제1항제3호에 따른 자를 포함한다)

==== 자격요건<ref>『전자금융거래법』 시행령 제21조의2제4항 및 별표 1</ref> ====
# 정보보호 또는 정보기술(IT) 분야의 학력 또는 기술자격을 가진 사람으로서 다 음 각 목의 어느 하나에 해당하는 사람은 정보보호최고책임자의 자격을 가진다.
## 정보보호 또는 정보기술(IT) 분야의 전문학사학위를 취득한 후 4년 이상 정 보보호 분야 업무 또는 5년 이상 정보기술(IT) 분야 업무를 수행한 경력이 있 는 사람
## 정보보호 또는 정보기술(IT) 분야의 학사학위 또는 다음 전문자격을 취득한 후 2년 이상 정보보호 분야 또는 3년 이상 정보기술(IT) 분야 업무를 수행한 경력이 있는 사람
### 「전자정부법」 제2조제15호에 따른 감리원
### 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조제5항에 따른 정보보호 관리체계 인증기관의 인증 심사원
### 「자격기본법」에 따라 공인을 받은 정보보호전문가(Specialist for Information Security)
### 국제정보시스템감사통제협회(Information Systems Audit and Control Association)의 정보시스템감사사(Certified Information Systems Auditor)
### 국제정보시스템보안자격협회(International Information System Security Certification Consortium)의 정보시스템보호전문가(Certified Information System Security Professional)
## 정보보호 또는 정보기술(IT) 분야의 석사학위를 취득한 후 1년 이상 정보보호 분야 업무 또는 2년 이상 정보기술(IT) 분야 업무를 수행한 경력이 있는 사람
# 다음 각 목의 어느 하나에 해당하는 사람은 정보보호최고책임자의 자격을 가진다.
## 8년 이상 정보보호 분야 업무 또는 10년 이상 정보기술(IT) 분야 업무를 수 행한 경력이 있는 사람
## 전문학사학위를 취득한 후 6년 이상 정보보호 분야 업무 또는 7년 이상 정보 기술(IT) 분야 업무를 수행한 경력이 있는 사람
## 학사학위를 취득한 후 4년 이상 정보보호 분야 업무 또는 5년 이상 정보기술 (IT) 분야 업무를 수행한 경력이 있는 사람
## 석사학위를 취득한 후 2년 이상 정보보호 분야 업무 또는 3년 이상 정보기술 (IT) 분야 업무를 수행한 경력이 있는 사람
# 「농업협동조합법」에 따른 조합, 「수산업협동조합법」에 따른 조합, 「산림조합 법」에 따른 조합, 「신용협동조합법」에 따른 신용협동조합 및 「새마을금고 법」에 따른 지역금고의 경우에는 제1호 및 제2호에도 불구하고 다음 각 목의 어느 하나에 해당하는 사람도 정보보호최고책임자의 자격을 가진다.
## 정보보호 또는 정보기술(IT) 분야의 학력 또는 기술자격을 가진 사람으로서 6년 이상 금융업에 종사한 사람
## 금융위원회가 정하여 고시하는 교육을 이수한 사람으로서 조합ᆞ신용협동조합 ᆞ지역금고의 장이나 그 장이 지정한 사람. 다만, 상시 종업원 수(금융위원회가 정하여 고시하는 산정방식에 따라 계산된 상시 종업원 수를 말한다)가 20명 이하인 조합ᆞ신용협동조합ᆞ지역금고의 경우로 한정한다.

==정보보호 관련 책임자 직책 비교<ref>정보보호 최고책임자(CISO) 지정·신고 제도 안내서(과기정통부, KISA, 19.12.)를 기반으로 편집</ref>==
{| class="wikitable"
!직책
!근거
!대상
!역할
!직위
!비고
|-
|정보보호최고책임자
(CISO)
|[[정보통신망법]]
제45조의3
|[[정보통신서비스 제공자]]
|정보통신시스템 등에 대한 보안 및
정보의 안전한 관리
|임원급
|신고
|-
|정보보호최고책임자
(CISO)
|[[전자금융거래법]]
제21조의2
|금융회사, [[전자금융업자]]
|전자금융업무 및 기반 정보 기술부문
보안 총괄
|임원
(차등)
| -
|-
|정보보호책임자
(CISO)
|[[정보통신기반 보호법]]
제5조
|[[주요정보통신기반시설]]
관리기관
|시설 보호에 관한 업무 총괄
|임원급,
영관급 장교 등
|통지
|-
|[[개인정보 보호책임자]]
(CPO)
|[[개인정보 보호법]]
제5조
|[[개인정보처리자]]
|개인정보의 처리에 관한
업무 총괄 책임
|대표자, 임원,
부서장 등
|공개
|-
|[[신용정보 관리보호인]]
|[[신용정보법]]
제20조
|신용정보회사,
금융회사 등
|신용정보의 관리 및 보호에 관한 업무
|임원
(차등)
|공시
|-
|고객정보 관리인
|금융지주회사법
제48조의2
|금융지주회사 등
|고객정보의 엄격한 관리
|임원
| -
|-
|정보화 책임관([[CIO]])
|[[국가정보화 기본법]]
제11조
|국가기관, 지방자치단체
|국가정보화 시책 수립· 시행과 국가
정보화사업 조정 등의 업무 총괄
|
|통보
|}

==각주==
<references />