- 관리체계 범위 내 업무위탁 및 외부 시설· 서비스 이용현황 파악

    ※ 업무 위탁 및 외부 시설· 서비스 이용(예시)

      - IT 및 보안 업무 위탁 : 정보시스템 개발· 운영, 유지보수, 서버· 네트워크· 보안장비 운영, 보안 관제, 출입관리 및 경비, 정보보호컨설팅 등

      - 개인정보 처리위탁 : 개인정보 처리업무(개인정보 수집 대행 등), 고객 상담, 개인정보처리시스템 운영 등

      - 외부 시설 이용 : 집적정보통신시설(IDC) 등

      - 외부 서비스 이용 : 클라우드 서비스, 애플리케이션서비스(ASP) 등

  - 업무위탁 및 외부 시설· 서비스 이용현황에 대한 목록 작성 및 지속적인 현행화 관리

    ※ 업무 위탁 및 외부 시설· 서비스 이용현황 목록에 포함되어야 할 사항(예시)

      - 수탁자 및 외부 시설· 서비스 명

      - 위탁하는 업무의 내용 및 외부 서비스 내용

      - 담당부서 및 담당자명

      - 위탁 및 서비스 이용 기간

      - 계약서 작성 여부, 보안점검 여부 등 관리· 감독에 관한 사항 등

  - 개인정보 처리업무 위탁에 해당되는지 확인

  - 개인정보 등의 국외 이전에 해당되는지 확인

  - 개인정보 보호법, 정보통신망법 등 관련된 법적 요구사항 파악

  - 법적요구사항을 포함하여 업무 위탁 및 외부 시설· 서비스 이용에 따른 위험평가 수행

  - 위험평가 결과를 반영하여 적절한 보호대책 마련 및 이행(예를 들어, 고위험의 수탁사에 대해서는 점검주기 및 점검항목을 달리하여 집중 현장점검 수행 등)

  - 정보보호 및 개인정보보호 역량이 있는 업체가 선정될 수 있도록 관련 요건을 제안요청서(RFP) 및 제안 평가항목에 반영하여 업체 선정 시 적용

(개인정보보호법 제26조 및 동법 시행령 제28조 참고)

  - 정보보호 및 개인정보보호 관련 법률 준수, 정보보호 및 개인정보보호 서약서 제출

  - 위탁 업무 수행 직원 대상 주기적인 정보보호 교육 수행 및 주기적 보안점검 수행

  - 업무수행 관련 취득한 중요정보 유출 방지 대책

  - 외부자 인터넷접속 제한, 물리적 보호조치(장비 및 매체 반출입 등), PC 등 단말 보안(백신설치, 안전한 패스워드 설정 및 주기적 변경, 화면보호기 설정 등). 무선 네트워크 사용 제한 정보시스템 접근 허용 시 과도한 권한이 부여되지 않도록 접근권한 부여 및 해지 절차

  - 재위탁 제한 및 재위탁이 필요한 경우의 절차와 보안요구사항 정의

  - 보안요구사항 위반 시 처벌, 손해배상 책임, 보안사고 발생에 따른 보고 의무 등

    ※ 개인정보 처리업무 위탁 시 문서에 포함되어야 할 사항

      - 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항

      - 개인정보의 기술적· 관리적 보호조치에 관한 사항

      - 위탁업무의 목적 및 범위

      - 재위탁 제한에 관한 사항

      - 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항

      - 위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항

      - 수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항

  - 정보보호 및 개인정보보호 관련 법적요구사항 준수

  - 안전한 코딩 표준 준수 등 개발보안 절차 적용

  - 개발 완료된 정보시스템 및 개인정보처리시스템에 대한 취약점 점검 및 조치

  - 개발 관련 산출물, 소스 프로그램, 개발용 데이터 등 개발환경에 대한 보안관리

  - 개발 과정에서 취득한 정보에 대한 비밀유지 의무

  - 위반 시 손해배상 등 책임에 대한 사항 등

  - 외부자와 계약 시 정의한 보안 요구사항을 준수하고 있는지 주기적으로 점검 또는 감사를 수행

  - 외부자에 대한 점검 또는 감사는 업무 시작 전, 업무 진행되는 과정, 종료 시점에 진행하되 필요한 경우 수시로 진행

  - 수탁사의 정보보호 및 개인정보보호 역량, 자체 시스템 보유 여부, 처리하는 정보의 수량 및 민감도 등을 고려하여 실태점검 주기 및 방법을 결정

  - 점검 및 감사 결과에 대하여 공유하고 발견된 문제점에 대한 개선방법 및 재발 방지대책을 수립하여 이행

  - 개선 조치 완료 여부에 대한 이행점검 수행

  - 개인정보 처리 수탁자는 위탁자의 동의를 받은 경우에 한하여 재위탁하고, 위탁자가 수탁자에게 요구하는 동일한 수준의 기술적· 관리적 보호조치를 재위탁자가 이행하도록 관리· 감독

 [참고] 개인정보 처리업무 재위탁 시 조치사항(개인정보 보호법 제26조제6항)

 ⑥ 수탁자는 위탁받은 개인정보의 처리 업무를 제3자에게 다시 위탁하려는 경우에는 위탁자의 동의를 받아야 한다. (개정 23.11.23.)

  - 업무 장소는 칸막이, 별도공간 등으로 내부업무장소와 분리

  - 개발 시 개발환경 외 운영환경 접근 금지

  - 담당조직이 외부자 계약만료, 업무 종료, 담당자 변경이 발생하였음을 신속하게 인지할 수 있도록 정보 공유 방안 마련

  - 외부자 계약만료, 업무 종료, 담당자 변경에 따른 보안대책 수립 및 이행

    ※ 외부자 계약만료, 업무 종료, 담당자 변경 시 보안대책(예시)

      - 사용 중인 정보자산 반납(업무용 PC, 스마트 디바이스 등)

      - 정보시스템 접근계정 삭제(VPN 등 관련된 모든 계정 포함)

      - 접근권한의 회수 또는 변경

      - 공용 계정 비밀번호 변경

      - 출입증 회수 및 출입권한 삭제

      - 비밀유지 확약서 징구 등

  - 개인정보 등 중요정보를 회수· 파기하기 위하여 수탁사 직접 방문 또는 원격으로 개인정보 파기한 후 파기 확약서 작성

  - 정보시스템과 담당자 PC뿐 아니라, 메일 송수신함 등 해당 정보가 저장되어 있는 모든 장치 및 매체에 대한 삭제 조치 필요

  - 해당 정보가 복구· 재생되지 않도록 안전한 방법으로 파기