- 정보보호 및 개인정보보호 관련 정책과 시행문서의 정기 타당성 검토 절차 수립

    ※ 정기 타당성 검토 절차에 포함되어야 할 사항(예시)

      - 검토 주기 및 시기 : 연 1회 이상 검토 필요

      - 관련 조직 별 역할 및 책임

      - 담당 부서 및 담당자

      - 검토 방법

      - 후속조치 절차 : 정책 및 시행문서 제· 개정이 필요한 경우 관련 절차, 내부 협의 및 보고 절차 등

  - 법령 및 규제, 상위 조직 및 관련기관의 정책과의 연계성, 조직의 대내외 환경변화 등을 반영할 수 있도록 다음의 사항을 고려하여 타당성 검토 수행

    : 상위조직 및 관련기관의 정보보호 및 개인정보보호 정책과의 연계성 등을 분석하여 상호 부합되지 않은 요소 존재 여부, 정책 간 상하체계 적절성 여부 검토

    : 정보보호 및 개인정보보호 활동의 주기, 수준, 방법 등 문서 간의 일관성 유지 여부 검토

    : 정보보호 및 개인정보보호 관련 법규 제· 개정사항(예정 사항 포함) 발생 여부 및 이러한 사항이 정책과 시행문서에 적절히 반영되었는지 여부 검토

    : 위험평가 및 관리체계 점검 결과 반영

    : 새로운 위협 및 취약점 발견, 비즈니스 환경의 변화, 신기술의 도입 등 IT 환경의 변화, 정보보호 및 개인정보보호 환경의 변화 등 반영

  - 정보보호 및 개인정보보호 관련 법규 제· 개정

  - 비즈니스 환경의 변호(신규 사업 영역 진출, 대규모 조직개편 등)

  - 정보보호, 개인정보보호 및 IT 환경의 중대한 변화(신규 보안시스템 또는 IT 시스템 도입 등)

  - 내·외부의 중대한 보안사고 발생

  - 새로운 위협 또는 취약성의 발견 등

  - 중대한 변화 예시

    : 가상자산의 핫 - 콜드 월렛 보유액 비율 변경

    : 블록체인산업 관련 정책 변경 또는 가상자산 거래 관련 규제 신설

  - 정보보호 최고책임자 및 개인정보 보호책임자, 정보보호 및 개인정보보호 관련 조직, IT 부서,  중요정보 및 개인정보 처리부서,  중요정보취급자 및 개인정보취급자 등 이해관계자 식별 및 협의

  - 정보보호 및 개인정보보호 관련 정책 및 시행문서 변경으로 인한 업무 영향도, 법적 준거성 등을 고려

  - 회의록 등 검토 사항에 대한 증적을 남기고 정책· 지침 등에 관련 사항 반영

  - 문서 내에 문서버전, 일자, 개정 사유, 작성자 승인자 등 개정이력을 기록하여 관리

  - 관련 임직원들이 항상 최신본을 참조할 수 있도록 배포 및 관리

  - 정보보호 최고책임자 및 개인정보 보호책임자

  - 정보보호, 개인정보보호 관리자 및 담당자

  - 부서별 정보보호, 개인정보보호 책임자 및 담당자

  - 정보보호 최고책임자, 개인정보 보호책임자는 법적 요구사항 등을 반영하여 다음과 같은 업무를 수행

    : 정보보호 최고책임자: 정보보호 관리체계의 수립·시행 및 개선, 정보보호 실태와 관행의 정기적인 감사 및 개선, 정보보호 위험의 식별 평가 및 정보보호 대책 마련, 정보보호 교육과 모의 훈련 계획의 수립 및 시행, 그 밖에 정보통신망법 또는 관계 법령에 따라 정보보호를 위하여 필요한 조치의 이행

    : 개인정보 보호책임자: 개인정보 보호 계획의 수립 및 시행, 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선, 개인정보 처리와 관련한 불만의 처리 및 피해 구제, 개인정보 유출 및 오·남용 방지를 위한 내부 통제시스템의 구축, 개인정보 보호 교육 계획의 수립 및 시행, 개인정보파일의 보호 및 관리·감독, 개인정보 처리방침의 수립·변경 및 시행, 개인정보보호 관련 자료의 관리, 처리목적이 달성되거나 보유기간이 경과한 개인정보의 파기

 - 정보보호 및 개인정보보호 관리자, 보호담당자, 보호실무자 등이 정보보호 최고책임자 및 개인정보 보호책임자의 관리 업무를 실무적으로 지원·이행할 수 있도록 직무기술서 등을 통하여 책임 및 역할을 구체적으로 정의

  - 정보보호 및 개인정보보호 관련 의사소통 관리 계획 수립 및 이행

    ※ 정보보호 및 개인정보보호 관련 의사소통 관리계획(예시)

      - 의사소통 관리 계획 개요 : 목적 및 범위

      - 의사소통 체계 : 전사 협의체, 실무 협의체, 위원회 등 보고 및 협의체 운영방안, 참여 대상, 참여대상별 역할 및 책임, 주기 등

      - 의사소통 방법 : 보고 및 회의(월간보고, 주간보고 등), 공지, 이메일, 메신저, 정보보호포털 등

      - 의사소통 양식 : 유형별 보고서 양식, 회의록 양식 등

  - 임직원이 정보자산별 보안등급(기밀, 대외비, 일반 등)을 식별할 수 있도록 표시

    : (전자)문서 : 문서 표지 또는 워터마킹을 통하여 표시

    : 서버 등 하드웨어 자산 : 자산번호 또는 바코드 표시를 통한 보안등급 확인

 - 정보자산 보안등급별로 취급절차(생성· 도입, 저장, 이용, 파기 등) 및 보안통제 기준 수립· 이행

  - 퇴직, 전보 등 인사이동이 발생하거나 정보자산의 도입· 변경· 폐기 등으로 정보자산 현황이 변경될 경우 정보자산별 책임자 및 담당자를 파악하여 자산목록에 반영