ISO27001 > 6. 인력 제어

상세 기준 ▶

- 정보보호 및 개인정보보호 관리체계 내 경영진이 참여하는 중요한 활동을 정의하고 그에 따른 보고체계 마련(정기· 비정기 보고, 위원회 참여 등)

- 경영진이 효과적으로 관리체계 수립· 운영에 참여할 수 있도록 조직의 규모 및 특성에 맞게 보고 및 의사결정 절차, 대상, 주기 등 결정

- 수립된 내부절차에 따라 정보보호 및 개인정보보호 관리체계 내 주요 사항에 대하여 경영진이 보고를 받고 의사결정에 참여

** 인증심사 결함사항 예시 **

정보보호 및 개인정보보호 정책서에 분기별로 정보보호 및 개인정보보호 현황을 경영진에게 보고하도록 명시하였으나, 장기간 관련 보고를 수행하지 않은 경우
중요 정보보호 활동(위험평가, 위험수용수준 결정, 정보보호대책 및 이행계획 검토, 정보보호 대책 이행결과 검토, 보안감사 등)을 수행하면서 관련 활동관련 보고, 승인 등 의사결정에 경영진 또는 경영진의 권한을 위임받은 자가 참여하지 않았거나 관련 증적이 확인되지 않은 경우
정보통신망법에 따른 정보보호 최고책임자 지정 및 신고 의무 대상자임에도 불구하고 정보보호 최고책임자를 지정 및 신고하지 않은 경우

상세 기준 ▶

(※정보통신망법 시행령 제36조의7 참고)

- 정보보호 최고책임자 및 개인정보 보호책임자는 조직의 정보보호 및 개인정보보호 업무를 실질적으로 총괄할 수 있도록 정보보호 및 개인정보보호 관련 지식 및 소양이 있는 자로서 예산, 인력 등 자원을 할당할 수 있는 임원급으로 지정

※ 정보통신서비스 제공자는 정보통신시스템 등에 대한 보안 및 정보의 안전한 관리를 위하여 대통령령으로 정하는 기준에 해당하는 임직원을 정보보호 최고책임자로 지정하고 과학기술정보통신부장관에게 신고. 다만, 대통령령으로 정하는 기준에 해당하는 경우 신고 예외

- 정보보호 최고책임자 지정에 대한 법적 요건 준수 필요(※정보통신망법 제45조의3 참고)

a) 정보보호 최고책임자는 다음 업무 수행

1. 정보보호 최고책임자는 다음 각 목의 업무를 총괄한다.

가. 정보보호 계획의 수립·시행 및 개선

나. 정보보호 실태와 관행의 정기적인 감사 및 개선

다. 정보보호 위험의 식별 평가 및 정보보호 대책 마련

라. 정보보호 교육과 모의 훈련 계획의 수립 및 시행

2. 정보보호 최고책임자는 다음 각 목의 업무를 겸할 수 있다.

가. ｢정보보호산업의 진흥에 관한 법률｣ 제13조에 따른 정보보호 공시에 관한 업무

나. ｢정보통신기반 보호법｣ 제5조제5항에 따른 정보보호 책임자의 업무

다. ｢전자금융거래법｣ 제21조의2제4항에 따른 정보보호 최고책임자의 업무

라. ｢개인정보 보호법｣ 제31조제2항에 따른 개인정보 보호책임자의 업무

마. 그 밖에 이 법 또는 관계 법령에 따라 정보보호를 위하여 필요한 조치의 이행

- 개인정보 보호책임자 지정에 대한 법적 요건 준수 필요(※개인정보 보호법 시행령 제32조 참고)

a) 개인정보 보호책임자는 다음 업무 수행

1. 개인정보 보호 계획의 수립 및 시행

2. 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선

3. 개인정보 처리와 관련한 불만의 처리 및 피해 구제

4. 개인정보 유출 및 오·남용 방지를 위한 내부통제시스템 구축

5. 개인정보 보호 교육 계획의 수립 및 시행

6. 개인정보파일의 보호 및 관리·감독

7. 그 밖에 개인정보의 적절한 처리를 위하여 대통령령으로 정한 업무

b) 개인정보 보호책임자 지정요건(공공기관)

가. 국회, 법원, 헌법재판소, 중앙선거관리위원회의 행정사무를 처리하는 기관 및 중앙행정기관: 고위공무원단에 속하는 공무원(이하 고위공무원 이라 한다) 또는 그에 상당하는 공무원

나. 가목 외에 정무직공무원을 장(䁸)으로 하는 국가기관: 3급 이상 공무원(고위공무원을 포함한다) 또는 그에 상당하는 공무원

다. 가목 및 나목 외에 고위공무원, 3급 공무원 또는 그에 상당하는 공무원 이상의 공무원을 장으로 하는 국가기관: 4급 이상 공무원 또는 그에 상당하는 공무원

라. 가목부터 다목까지의 규정에 따른 국가기관 외의 국가기관(소속 기관을 포함한다): 해당 기관의 개인정보 처리 관련 업무를 담당하는 부서의 장

마. 시· 도 및 시· 도 교육청: 3급 이상 공무원 또는 그에 상당하는 공무원

바. 시· 군 및 자치구: 4급 공무원 또는 그에 상당하는 공무원

사. 제2조제5호에 따른 각급 학교: 해당 학교의 행정사무를 총괄하는 사람

아. 가목부터 사목까지의 규정에 따른 기관 외의 공공기관: 개인정보 처리 관련 업무를 담당하는 부서의 장. 다만, 개인정보 처리 관련 업무를 담당하는 부서의 장이 2명 이상인 경우에는 해당 공공기관의 장이 지명하는 부서의 장이 된다.

c) 개인정보 보호책임자 지정요건(민간기업)

②개인정보처리자는 법 제31조제1항에 따라 개인정보 보호책임자를 지정하려는 경우에는 다음 각 호의 구분에 따라 지정한다.

2. 공공기관 외의 개인정보처리자: 다음 각 목의 어느 하나에 해당하는 사람

가. 사업주 또는 대표자

나. 임원(임원이 없는 경우에는 개인정보 처리 관련 업무를 담당하는 부서의 장)

③ 제2항에도 불구하고 개인정보처리자가 ｢소상공인기본법｣ 제2조에 따른 소상공인에 해당하는 경우에는 별도의 지정 없이 그 사업주 또는 대표자를 개인정보 보호책임자로 지정한 것으로 본다. 다만 개인정보처리자가 별도로 개인정보 보호책임자를 지정한 경우에는 그렇지 않다.

** 인증심사 결함사항 예시 ** (개정 23.11.23.)

정보통신망법에 따른 정보보호 최고책임자 지정 및 신고 의무 대상자임에도 불구하고 정보보호 최고책임자를 지정 및 신고하지 않은 경우
~~개인정보 보호법을 적용받는 민간기업이 개인정보 처리업무 관련 임원이 존재함에도 불구하고 부서장을 개인정보 보호책임자로 지정한 경우~~
개인정보 보호와 관련된 실질적인 권한 및 지위를 보유하고 있지 않은 인원을 개인정보 보호책임자로 지정하고 있어, 개인정보 처리에 관한 업무를 총괄해서 책임질 수 있다고 보기 어려운 경우(개정 23.11.23.)
조직도상에 정보보호 최고책임자 및 개인정보 보호책임자를 명시하고 있으나 인사발령 등의 공식적인 지정절차를 거치지 않은 경우
ISMS 인증 의무대상자이면서 전년도 말 기준 자산총액이 5천억 원을 초과한 정보통신서비스 제공자이지만 정보보호 최고책임자가 CIO를 겸직하고 있는 경우

상세 기준 ▶

- 정보보호 최고책임자, 개인정보 보호책임자, 개인정보보호 실무조직, 위원회 등 정보보호 및 개인정보보호 조직의 구성· 운영에 대한 사항을 정책서, 내부관리계획 등에 명시

- 실무조직의 구성형태 및 규모는 전사 조직의 규모, 업무, 서비스의 특성, 처리하는 정보 및 개인정보의 중요도, 민감도, 법 규제 등 고려

- 실무조직은 전담조직 또는 겸임조직으로 구성할 수 있으나, 겸임조직으로 구성하더라도 실질적인 역할 수행이 가능하도록 역할 및 책임이 공식적으로 부여되어야 함

- 실무조직의 구성원은 정보보호 및 개인정보보호 전문성과 다양한 서비스에 대한 이해도와 경험이 많은 직원으로 구성(관련 학위 및 자격증 보유, 실무 경험 보유, 관련 교육 이수 등)

상세 기준 ▶

- 위원회는 정보보호 및 개인정보보호 관련하여 조직 내 이해관계를 대변하고 의사결정을 할 수 있도록 경영진, 임원, 정보보호 최고책임자, 개인정보 보호책임자 등 실질적인 검토 및 의사결정 권한이 있는 임직원으로 구성

- 정기 또는 사안에 따라 수시로 위원회 개최

- 위원회는 조직전반에 걸친 주요 사안에 대한 검토, 승인 및 의사결정 수행

※ 위원회에서 검토 및 의사결정이 필요한 주요 사안(예시)

- 정보보호 및 개인정보보호 정책· 지침의 제· 개정

- 위험평가 결과

- 정보보호 및 개인정보보호 예산 및 자원 할당

- 내부 보안사고 및 주요 위반사항에 대한 조치

- 내부감사 결과 등

** 인증심사 결함사항 예시 ** (개정 23.11.23.)

보호 및 개인정보보호 위원회를 구성하였으나, 임원 등 경영진이 포함되어 있지 않고 실무부서의 장으로 구성되어 있어 조직의 중요 정보 및 개인정보 보호에 관한 사항을 결정 할 수 없는 경우
내부 지침에 따라 중요 정보처리부서 및 개인정보처리부서의 장(팀장급)으로 구성된 정보 보호 및 개인정보보호 실무협의체를 구성하였으나, 장기간 운영 실적이 없는 경우
정보보호 및 개인정보보호 위원회를 개최하였으나 연간 정보보호 및 개인정보보호 계획 및 교육계획, 예산 및 인력 등 정보보호 및 개인정보보호에 관한 주요 사항이 검토 및 의사결정 되지 않은 경우
정보보호 및 개인정보보호 관련 심의·의결을 위해 정보보호위원회를 구성하여 운영하고 있으나, 운영 및 IT보안 관련 조직만 참여하고 개인정보보호 관련 조직은 참여하지 않고 있어 개인정보보호에 관한 사항을 결정할 수 없는 경우(개정 23.11.23)
(CELA)정보보호 최고 책임자(CISO)가 정보보호 관리자를 겸임하고 있으나, 실질적인 정보보호 관리자의 역할을 수행하고 있지 않은 경우
(CELA)개인정보 보호담당자가 정보보호 업무를 겸임하고 있으나, 조직 규모 대비 소규모의 담당자가 업무를 수행하여 실질적인 개인정보 보호 업무 수행이 어려운 경우
(CELA)위원회를 구성하고 있으나, 실제 정책에 따라 위원회를 운영하지 않고 있는 경우
(CELA)정보보호 조직도를 조직 현황에 맞춰 업데이트 하지 않고 있는 경우

상세 기준 ▶

- 정보보호 관리체계와 개인정보보호 관리체계의 범위가 상이한 경우에는 인증범위 내의 정보자산 목록(개인정보, 시스템, 네트워크 등)을 정보보호 관리체계 및 개인정보보호 관리체계 관점에서 명확하게 식별하여 정의

- 인증범위에서 제외되는 서비스, 정보시스템 등에 대해서는 내부 협의 및 책임자 승인을 거친 후 그 사유 및 근거에 대해 기록하여 관리

상세 기준 ▶

- 주요 서비스 및 업무 현황(개인정보 처리 업무 현황 포함)

- 서비스 제공과 관련된 조직 현황(조직도 등)

- 정보보호 및 개인정보보호 조직 현황

- 주요 설비 목록

- 정보시스템 목록 및 네트워크 구성도

- 정보자산, 개인정보 관련 자산식별 기준 및 자산현황

- 정보보호 및 개인정보보호 시스템 목록

- 서비스(시스템) 구성도 및 개인정보(수집, 이용, 제공, 저장, 관리, 파기) 처리 흐름

- 문서 목록(예 : 정책, 지침, 매뉴얼, 운영명세서 등)

- 정보보호 및 개인정보보호 관리체계 수립 방법 및 절차, 관련 법적 준거성 검토, 내부감사

- 고객센터, IDC, IT 개발 및 운영 등 외주(위탁)업체 현황 등

** 인증심사 결함사항 예시 ** (개정 23.11.23.)

정보시스템 및 개인정보처리시스템 개발업무에 관련한 개발 및 시험 시스템, 외주업체직원, PC, 테스트용 단말기 등이 관리체계 범위에서 누락됨
정보보호 및 개인정보보호 관리체계 범위로 설정된 서비스 또는 사업에 대하여 중요 의사 결정자 역할을 수행하고 있는 임직원, 사업부서 등의 핵심 조직(인력)을 인증범위에 포함하지 않은 경우
~~인증범위 내 조직 및 인력에 적용하고 있는 보안시스템(PC보안, 백신, 패치 등)을 인증범위에서 배제하고 있는 경우~~
~~정보통신망법에 따른 정보보호 관리체계 의무대상자 임에도 불구하고 인터넷֘에 공개되어 있는 일부 사이트가 관리체계 범위에서 누락된 경우~~
정보시스템 및 개인정보처리시스템 개발업무에 관련한 개발 및 시험 시스템, 개발자 PC, 테스트용 단말기, 개발조직 등이 관리체계 범위에서 누락된 경우(개정 23.11.23)

상세 기준 ▶

- 하위 실행 문서는 조직이 수행하는 모든 정보보호 및 개인정보보호 활동의 근거를 구체적으로 제시할 수 있어야 하며, 보호 대상 관점 또는 수행주체 관점 등 다양한 관점에서 조직 특성에 맞게 수립

※ 하위 실행 문서(예시)

- 보호대상 관점 : 서버보안 지침, 네트워크보안 지침, 데이터베이스보안 지침, 어플리케이션보안 지침, 웹서비스 보안 지침, 클라우드 보안 지침

- 수행주체 관점 : 임직원보안 지침, 개발자보안 지침, 운영자보안 지침 등

- 정책 및 시행문서(지침, 절차 등)는 조직이 제공하고 있는 서비스, 사업 등에 관련된 개인정보 보호 관련 법적 요구사항(법률, 시행령, 시행규칙, 하위 고시, 가이드 등)을 반영

- 개인정보를 처리하는 경우 개인정보 보호법에 따른 내부관리계획을 관련 법규에서 요구하는 사항을 모두 포함하여 수립

- 개인정보 보호법에 따라 내부관리계획에 포함되어야 하는 사항

1. 개인정보 보호 조직의 구성 및 운영에 관한 사항

2. 개인정보 보호책임자의 자격요건 및 지정에 관한 사항

3. 개인정보 보호책임자와 개인정보취급자의 역할 및 책임에 관한 사항

4. 개인정보취급자에 대한 관리·감독 및 교육에 관한 사항

5. 접근 권한의 관리에 관한 사항

6. 접근 통제에 관한 사항

7. 개인정보의 암호화 조치에 관한 사항

8. 접속기록 보관 및 점검에 관한 사항

9. 악성프로그램 등 방지에 관한 사항

10. 개인정보의 유출, 도난 방지 등을 위한 취약점 점검에 관한 사항

11. 물리적 안전조치에 관한 사항

12. 개인정보 유출사고 대응 계획 수립·시행에 관한 사항

13. 위험 분석 및 관리에 관한 사항

14. 개인정보 처리업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항

15. 개인정보 내부 관리계획의 수립, 변경 및 승인에 관한 사항

16. 그 밖에 개인정보 보호를 위하여 필요한 사항

※ 다만, 1만명 미만의 정보주체에 관하여 개인정보를 처리하는 소상공인·개인·단체의 경우에는 생략 가능

(개정 23.11.23)

** 인증심사 결함사항 예시 **

내부 규정에 따르면 정보보호 및 개인정보보호 정책서 제·개정 시에는 정보보호 및 개인정보보호 위원회의 의결을 거치도록 하고 있으나, 최근 정책서 개정 시 위원회에 안건으로 상정하지 않고 정보보호 최고책임자 및 개인정보 보호책임자의 승인을 근거로만 개정한 경우
정보보호 및 개인정보보호 정책 및 지침서가 최근에 개정되었으나, 해당 사항이 관련 부서 및 임직원에게 공유·전달되지 않아 일부 부서에서는 구버전의 지침서를 기준으로 업무를 수행하고 있는 경우
정보보호 및 개인정보보호 정책 및 지침서를 보안부서에서만 관리하고 있고 임직원이 열람 할 수 있도록 게시판, 문서 등의 방법으로 제공하지 않는 경우
(CELA)안전한 클라우드 운영을 위한 보안 지침(정책 등)이 수립되지 않은 경우

** 인증심사 결함사항 예시 ** (개정 23.11.23.)

정보보호 및 개인정보보호 조직을 구성하는데, 분야별 전문성을 갖춘 인력이 아닌 정보보호 관련 또는 IT 관련 전문성이 없는 인원으로만 보안인력을 구성한 경우
개인정보처리시스템의 기술적, 관리적 보호조치의 요건을 갖추기 위한 보안 솔루션 ~~등의 비용을 최고경영자가 지원하지 않고 법적 위험을 수용하고 있는 경우~~ 도입, 안전조치 적용 등을 위한 비용을 최고경영자가 지원하지 않고 있는 경우 (개정 23.11.23.)
인증을 취득한 이후에 인력과 예산 지원을 대폭 줄이고 기존 인력을 타부서로 배치하거나 일부 예산을 다른 용도로 사용하는 경우