홈 › 법률·조문 › 금융권에 적합한 ISMS-P 인증기준 점검항목 안내서(2023.12.)

자율규제

금융권에 적합한 ISMS-P 인증기준 점검항목 안내서(2023.12.)

공포일 - · 시행일 - · 소관 금융보안원 · 조문 1개

금융보안원 →

금융권에 적합한 ISMS-P 인증기준 점검항목 안내서(2023.12.) · 자율규제 · 소관 금융보안원 · 조문 1개. 금융보안원 원문 기반.

현재 수록본 한눈에 보기

금융권에 적합한 ISMS-P 인증기준 점검항목 안내서(2023.12.)의 수록 시행 기준 조문 1개를 제공합니다. 조문별 원문과 연결 근거를 확인한 뒤 실제 적용 전 금융보안원 원문을 대조하세요.

금융보안원 공식 원문 확인 ↗

이 법령의 연계 자료

이 법령의 정의 용어법령별 정의 조문 모아보기 (AGR-VII-2019-②-84)금융부문 암호기술 활용 가이드금융보안원 · 같은 발행기관의 규정 금융보안 거버넌스 가이드금융보안원 · 같은 발행기관의 규정 연구·개발 목적의 망분리 예외 적용에 따른 보안 해설서(변경)금융보안원 · 같은 발행기관의 규정 금융회사 재택근무 보안 안내서금융보안원 · 같은 발행기관의 규정 금융분야 클라우드컴퓨팅서비스 이용 가이드(2025 개정)금융보안원 · 같은 발행기관의 규정 2026년 전자금융기반시설 보안 취약점 평가기준 안내서금융보안원 · 같은 발행기관의 규정

제1조 원문

제1조 (금융보안원 - 금융권에 적합한 ISMS-P 인증기준 점검항목 안내서(2023.12.))

C･O･N･T･E･N･T･S

P･A･R･T 정보보호 및 개인정보보호

관리체계(ISMS-P) 인증기준 개요······································1

1. 관리체계 수립 및 운영······················································3

2. 보호대책 요구사항·····························································4

3. 개인정보 처리 단계별 요구사항·········································6

P･A･R･T 정보보호 및 개인정보보호

관리체계(ISMS-P) 인증기준 설명······································9

1. 관리체계 수립 및 운영····················································10

1. 1 관리체계 기반 마련·····························································10

1. 2 위험 관리·············································································26

1. 3 관리체계 운영······································································39

1. 4 관리체계 점검 및 개선························································44

2. 보호대책 요구사항···························································51

2. 1 정책, 조직, 자산 관리·························································51

2. 2 인적 보안·············································································58

2. 3 외부자 보안·········································································71

P･A･R･T 2.4 물리 보안·············································································84

2. 5 인증 및 권한관리·································································97

2. 6 접근통제············································································112

2. 7 암호화 적용·······································································132

2. 8 정보시스템 도입 및 개발 보안··········································137

2. 9 시스템 및 서비스 운영관리···············································150

2. 10 시스템 및 서비스 보안관리·············································168

2. 11 사고 예방 및 대응···························································198

2. 12 재해 복구········································································212

3. 개인정보 처리 단계별 요구사항····································218

3. 1 개인정보 수집 시 보호조치···············································218

3. 2 개인정보 보유 및 이용 시 보호조치··································255

3. 3 개인정보 제공 시 보호조치···············································275

3. 4 개인정보 파기 시 보호조치···············································293

3. 5 정보주체 권리보호·····························································302

참고자료·············································································326

이 안내서는 ｢정보통신망 이용촉진 및 정보보호 등에 관한 법률｣ (이하 ʻ정보통신망법ʼ

이라 함) 제47조(정보보호 관리체계의 인증) 및 ｢개인정보 보호법｣ 제32조의2

(개인정보 보호 인증), ｢정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시｣

(과학기술정보통신부고시 제2023-33호, 개인정보보호위원회고시 제2023-8호)에서

규정하고 있는 사항을 금융업권에 적합하게 설명함을 목적으로 합니다.

이 안내서는 지속적인 보완 작업을 통하여 변경될 수 있으므로 항상 최신 버전 여부를

확인한 후 사용하여야 합니다. 또한 안내서에 제시된 법령, 고시, 참고자료는 안내서

발간시점(2023년 12월)을 기준으로 작성된 것으로 수시 개정될 수 있으므로 해당

시점에서 최신 버전을 확인하여 적용하여야 합니다.

이 안내서는 금융보안원 홈페이지(https://www.fsec.or.kr)에 게재되어 있으며,

기타 문의사항이 있으면 아래로 문의해 주시기 바랍니다.

E-mail : isms@fsec.or.kr

PART

정보보호 및 개인정보보호

관리체계 인증기준 개요

(ISMS-P)

금융권에 적합한 ISMS-P 인증기준 점검항목

P･A･R･T

정보보호 및 개인정보보호

관리체계

(ISMS-P)

인증기준 개요

정보보호 및 개인정보보호 관리체계 인증기준은 크게 ʻ1. 관리체계 수립 및 운영ʼ, ʻ2. 보호

대책 요구사항ʼ, ʻ3. 개인정보 처리 단계별 요구사항ʼ 3개의 영역에서 총 101개의 인증기준

으로 구성되어 있다. 정보보호 관리체계(ISMS) 인증을 받고자 하는 신청기관은 ʻ1. 관리체계

수립 및 운영ʼ, ʻ2. 보호대책 요구사항ʼ 2개 영역에서 80개의 인증기준을 적용받게 되며 정보

보호 및 개인정보보호 관리체계(ISMS-P) 인증을 받고자 하는 신청기관은 ʻ3. 개인정보 처리

단계별 요구사항ʼ을 포함하여 101개의 인증기준을 적용받게 된다.

정보보호 및 개인정보보호 관리체계 인증기준 구성

적용 여부

영 역 분 야

ISMS ISMS-P

1. 1 관리체계 기반 마련 ○ ○

1. 관리체계 수립 및 운영 1.2 위험 관리 ○ ○

(16개) 1.3 관리체계 운영 ○ ○

1. 4 관리체계 점검 및 개선 ○ ○

2. 1 정책, 조직, 자산 관리 ○ ○

2. 2 인적 보안 ○ ○

2. 3 외부자 보안 ○ ○

2. 4 물리 보안 ○ ○

2. 5 인증 및 권한관리 ○ ○

2. 6 접근통제 ○ ○

2. 보호대책 요구사항(64개)

2. 7 암호화 적용 ○ ○

2. 8 정보시스템 도입 및 개발 보안 ○ ○

2. 9 시스템 및 서비스 운영관리 ○ ○

2. 10 시스템 및 서비스 보안 관리 ○ ○

2. 11 사고 예방 및 대응 ○ ○

2. 12 재해 복구 ○ ○

3. 1 개인정보 수집 시 보호조치

3. 2 개인정보 보유 및 이용 시 보호조치

3. 개인정보 처리 단계별 요구사항

3. 3 개인정보 제공 시 보호조치 - ○

(21개)

3. 4 개인정보 파기 시 보호조치

3. 5 정보주체 권리보호

PART 1. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 개요

2 ･

1 관리체계 수립 및 운영 1

관

리

체

ʻ관리체계 수립 및 운영ʼ 영역은 관리체계 기반 마련, 위험 관리, 관리체계 운영, 관리체계 계

수

점검 및 개선의 4개 분야 16개의 인증기준으로 구성되어 있다. 이러한 관리체계 수립 및 립

및

운영은 정보보호 및 개인정보보호 관리체계를 운영하는 동안 지속적이고 반복적으로

운

영

실행되어야 한다.

정보보호 및 개인정보보호 관리체계 인증기준 구성

영 역 분 야 항 목

1. 1.1 경영진의 참여

1. 1.2 최고책임자의 지정

1. 1.3 조직 구성

1. 1 관리체계 기반 마련

1. 1.4 범위 설정

1. 1.5 정책 수립

1. 1.6 자원 할당

1. 2.1 정보자산 식별

1. 관리체계 수립 및 1.2.2 현황 및 흐름분석

1. 2 위험 관리

운영(16개) 1.2.3 위험 평가

1. 2.4 보호대책 선정

1. 3.1 보호대책 구현

1. 3 관리체계 운영 1.3.2 보호대책 공유

1. 3.3 운영현황 관리

1. 4.1 법적 요구사항 준수 검토

1. 4 관리체계 점검 및 개선 1.4.2 관리체계 점검

1. 4.3 관리체계 개선

PART 1. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 개요

3 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

2 보호대책 요구사항

ʻ보호대책 요구사항ʼ 영역은 12개 분야 64개 인증기준으로 구성되어 있다. 보호대책

요구사항에 따라 신청기관은 관리체계 수립 및 운영 과정에서 수행한 위험평가 결과와 조직의

서비스 및 정보시스템 특성 등을 반영하여 체계적으로 보호대책을 수립･이행하여야 한다.

보호대책 요구사항 인증기준

영 역 분 야 항 목

2. 1.1 정책의 유지관리

2. 1. 정책, 조직, 자산 관리 2.1.2 조직의 유지관리

2. 1.3 정보자산 관리

2. 2.1 주요 직무자 지정 및 관리

2. 2.2 직무 분리

2. 2.3 보안 서약

2. 2. 인적 보안

2. 2.4 인식제고 및 교육훈련

2. 2.5 퇴직 및 직무변경 관리

2. 2.6 보안 위반 시 조치

2. 3.1 외부자 현황 관리

2. 3.2 외부자 계약 시 보안

2. 3. 외부자 보안

2. 3.3 외부자 보안 이행 관리

2. 보호대책 2.3.4 외부자 계약 변경 및 만료 시 보안

요구사항(64개) 2.4.1 보호구역 지정

2. 4.2 출입통제

2. 4.3 정보시스템 보호

2. 4. 물리 보안 2.4.4 보호설비 운영

2. 4.5 보호구역 내 작업

2. 4.6 반출입 기기 통제

2. 4.7 업무환경 보안

2. 5.1 사용자 계정 관리

2. 5.2 사용자 식별

2. 5.3 사용자 인증

2. 5. 인증 및 권한관리

2. 5.4 비밀번호 관리

2. 5.5 특수 계정 및 권한관리

2. 5.6 접근권한 검토

PART 1. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 개요

4 ･

영 역 분 야 항 목

2. 6.1 네트워크 접근

보

2. 6.2 정보시스템 접근 호

대

2. 6.3 응용프로그램 접근

책

2. 6. 접근통제 2.6.4 데이터베이스 접근

요

구

2. 6.5 무선 네트워크 접근

사

2. 6.6 원격접근 통제 항

2. 6.7 인터넷 접속 통제

2. 7.1 암호정책 적용

2. 7. 암호화 적용

2. 7.2 암호키 관리

2. 8.1 보안 요구사항 정의

2. 8.2 보안 요구사항 검토 및 시험

2. 8.3 시험과 운영 환경 분리

2. 8. 정보시스템 도입 및 개발 보안

2. 8.4 시험 데이터 보안

2. 8.5 소스 프로그램 관리

2. 8.6 운영환경 이관

2. 9.1 변경관리

2. 9.2 성능 및 장애관리

2. 9.3 백업 및 복구관리

2. 보호대책 2.9. 시스템 및 서비스 운영관리 2.9.4 로그 및 접속기록 관리

요구사항(64개) 2.9.5 로그 및 접속기록 점검

2. 9.6 시간 동기화

2. 9.7 정보자산의 재사용 및 폐기

2. 10.1 보안시스템 운영

2. 10.2 클라우드 보안

2. 10.3 공개서버 보안

2. 10.4 전자거래 및 핀테크 보안

2. 10 시스템 및 서비스 보안관리 2.10.5 정보전송 보안

2. 10.6 업무용 단말기기 보안

2. 10.7 보조저장매체 관리

2. 10.8 패치관리

2. 10.9 악성코드 통제

2. 11.1 사고 예방 및 대응체계 구축

2. 11.2 취약점 점검 및 조치

2. 11. 사고 예방 및 대응 2.11.3 이상행위 분석 및 모니터링

2. 11.4 사고 대응 훈련 및 개선

2. 11.5 사고 대응 및 복구

2. 12.1 재해･재난 대비 안전조치

2. 12. 재해복구

2. 12.2 재해 복구 시험 및 개선

PART 1. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 개요

5 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

3 개인정보 처리 단계별 요구사항

ʻ개인정보 처리 단계별 요구사항ʼ 영역은 개인정보 생명주기에 따른 개인정보 수집 시

보호조치, 개인정보 보유 및 이용 시 보호조치, 개인정보 제공 시 보호조치, 개인정보 파기 시

보호조치와 정보주체 권리보호를 포함하여 5개 분야 21개의 인증기준으로 구성되어 있다.

이 영역은 대부분 법적 요구사항과 직접적으로 관련되어 있으므로 개인정보 흐름분석을

바탕으로 조직이 적용받는 법규 및 세부 조항을 명확히 파악하여 이를 준수할 수 있도록

하여야 한다.

개인정보 처리 단계별 요구사항 인증기준

영 역 분 야 항 목

3. 1.1 개인정보 수집·이용

3. 1.2 개인정보 수집 제한

3. 1.3 주민등록번호 처리 제한

3. 1. 개인정보 수집 시 보호조치 3.1.4 민감정보 및 고유식별정보의 처리 제한

3. 1.5 개인정보 간접수집

3. 1.6 영상정보처리기기 설치･운영

3. 1.7 마케팅 목적의 개인정보 수집·이용

3. 2.1 개인정보 현황관리

3. 2.2 개인정보 품질보장

3. 2. 개인정보 보유 및 이용 시 보호

3. 개인정보 처리 3.2.3 이용자 단말기 접근 보호

조치

단계별 요구사항 3.2.4 개인정보 목적 외 이용 및 제공

(21개) 3.2.5 가명정보 처리

3. 3.1 개인정보 제3자 제공

3. 3.2 개인정보 처리 업무 위탁

3. 3. 개인정보 제공 시 보호조치

3. 3.3 영업의 양수 등에 따른 개인정보의 이전

3. 3.4 개인정보의 국외이전

3. 4.1 개인정보의 파기

3. 4. 개인정보 파기 시 보호조치

3. 4.2 처리목적 달성 후 보유 시 조치

3. 5.1 개인정보 처리방침 공개

3. 5. 정보주체 권리보호 3.5.2 정보주체 권리보장

3. 5.3 정보주체에 대한 통지

PART 1. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 개요

6 ･

금융권에 적합한 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 점검항목

PART

정보보호 및 개인정보보호

관리체계 인증기준 설명

(ISMS-P)

금융권에 적합한 ISMS-P 인증기준 점검항목

P･A･R･T

정보보호 및 개인정보보호

관리체계

(ISMS-P)

인증기준 설명

1 관리체계 수립 및 운영

1. 1 관리체계 기반 마련

항 목 1.1.1 경영진의 참여

최고경영자는 정보보호 및 개인정보보호 관리체계의 수립과 운영활동 전반에 경영진의

인증기준

참여가 이루어질 수 있도록 보고 및 의사결정 체계를 수립하여 운영하여야 한다.

정보보호 및 개인정보보호 관리체계의 수립 및 운영활동 전반에 경영진의 참여가 이루어질 수

있도록 보고 및 의사결정 등의 책임과 역할을 문서화하고 있는가?

경영진이 정보보호 및 개인(신용)정보보호 활동에 관한 의사결정에 적극적으로 참여할 수

있는 보고, 검토 및 승인 절차를 수립･이행하고 있는가?

전자금융거래법 제21조(안전성의 확보의무) 제4항

전자금융거래법 시행령 제11조의2(정보기술부문 계획수립의 대상 금융회사 등) 제2항제5호

주요 확인사항

전자금융감독규정 제8조(인력, 조직 및 예산) 제1항제4호, 제8조의2(정보보호위원회 운영)

제4항, 제5항, 제37조의2(전자금융기반시설의 취약점 분석･평가 주기, 내용 등) 제5항제2호,

제3호, 제37조의5(정보보호 최고책임자의 업무)

전자금융감독규정 시행세칙 제7조의3(정보보호 최고책임자의 업무), [별표 3-2] 정보보안

점검항목(34개 항목)

신용정보법 시행령 제17조(신용정보관리･보호인의 지정 등) 제8항

신용정보업감독규정 제22조의2(신용정보관리･보호인의 지정대상 등) 제3항

세부 설명

정보보호 및 개인정보보호 관리체계의 수립 및 운영활동 전방에 의사결정권이 있는 경영진의

참여가 이루어질 수 있도록 보고, 의사결정 등의 책임과 역할을 문서화하여야 한다.

정보보호 및 개인정보보호 정책의 제･개정, 위험관리, 내부감사 등 관리체계 운영의 중요 사안에

대하여 경영진이 참여할 수 있도록 활동의 근거를 정보보호 및 개인정보보호 정책 또는

시행문서에 명시

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

10 ･

경영진이 정보보호 및 개인신용정보보호 활동에 관한 의사결정에 적극적으로 참여할 수 있는

보고, 검토 및 승인 절차를 수립･이행하여야 한다.

관

리

정보보호 및 개인정보보호 관리체계 내 경영진이 참여하는 중요한 활동을 정의하고 그에 따른 체

계

보고 체계 마련(정기･비정기 보고, 위원회 참여 등)

수

립

경영진이 효과적으로 관리체계 수립･운영에 참여할 수 있도록 조직의 규모 및 특성에 맞게

및

보고 및 의사결정 절차, 대상, 주기 등 결정 운

영

수립된 내부절차에 따라 정보보호 및 개인정보보호 관리체계 내 주요 사항에 대하여 경영진이

1. 1

보고를 받고 의사결정에 참여

관

리

체

전자금융거래의 안전성 확보 및 이용자 보호를 위해 다음 사항에 대해 최고경영자에게 보고

계

또는 승인 받아야 한다. 기

반

정보기술부문에 대한 계획 마

련

임직원의 정보보안 관련법규 준수여부 점검 결과 보고

정보보호위원회 심의･의결사항 보고 및 준수

취약점 제거 또는 이에 상응하는 조치 불가 사항 승인

취약점 분석･평가 이행계획의 시행 결과 보고

(매월)정보보안 점검항목 준수여부 점검 결과 및 보완 계획 보고

처리하는 개인신용정보의 관리 및 보호 실태를 정기적으로 점검하고, 그 결과를 대표자 및

이사회에 보고하여야 한다.

「개인정보 보호법」 제31조제2항제1호부터 제5호까지의 업무

임직원 및 전속 모집인 등의 신용정보보호 관련 법령 및 규정 준수 여부 점검

그 밖에 신용정보의 관리 및 보호를 위하여 대통령령으로 정하는 업무

결함 사례

❖사례 1:정보보호 및 개인정보보호 정책서에 분기별로 정보보호 및 개인정보보호 현황을 경영진에게 보고하도록

명시하였으나, 장기간 관련 보고를 수행하지 않은 경우

❖사례 2:중요 정보보호 활동(위험평가, 위험수용수준 결정, 정보보호대책 및 이행계획 검토, 정보보호대책

이행결과 검토, 보안감사 등)을 수행하면서 관련 활동관련 보고, 승인 등 의사결정에 경영진 또는

경영진의 권한을 위임받은 자가 참여하지 않았거나 관련 증적이 확인되지 않은 경우

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

11 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

항 목 1.1.2 최고책임자의 지정

최고경영자는 정보보호 업무를 총괄하는 정보보호 최고책임자와 개인정보보호 업무를 총괄하는

인증기준

개인정보보호 책임자를 예산･인력 등 자원을 할당할 수 있는 임원급으로 지정하여야 한다.

최고경영자는 정보보호 및 개인(신용)정보보호 처리에 관한 업무를 총괄하여 책임질

최고책임자를 공식적으로 지정하고 있는가?

정보보호 최고책임자 및 개인정보 보호책임자, 신용정보관리･보호인은 예산, 인력 등 자원을

할당할 수 있는 임원급으로 지정하고 있으며, 관련 법령에 따른 자격요건을 충족하고 있는가?

정보통신망법 제45조의3(정보보호 최고책임자의 지정 등)

정보통신망법 시행령 제36조의7(정보보호 최고책임자의 지정 및 겸직금지 등)

주요 확인사항 전자금융거래법 제21조의2(정보보호최고책임자 지정)

전자금융거래법 시행령 제11조의3(정보보호최고책임자 지정대상 금융회사 등), [별표 1]

정보보호최고책임자의 자격

개인정보 보호법 제31조(개인정보 보호책임자의 지정) 제1항, 제2항, 제6항

개인정보 보호법 시행령 제 32조(개인정보 보호책임자의 업무 및 지정요건 등) 제2항

개인정보의 안전성 확보조치 기준 제4조(내부 관리계획의 수립·시행 및 점검) 제1항제2호

신용정보법 제20조(신용정보 관리책임의 명확화 및 업무처리기록의 보존) 제3항, 제4항

신용정보법 시행령 제17조(신용정보관리･보호인의 지정 등)

세부 설명

최고경영자는 조직 내에서 정보보호 및 개인정보보호 관리 활동을 효과적으로 추진하기 위하여

이를 총괄하여 책임질 수 있는 정보보호 최고책임자 및 개인정보 보호책임자, 신용정보관리･

보호인을 인사발령 등의 절차를 통하여 공식적으로 지정하여야 한다.

정보보호 최고책임자 및 개인정보 보호책임자, 신용정보관리･보호인은 인사발령 등을 통하여

공식으로 임명하여야 하며, 당연직의 경우 정보보호 및 개인정보보호 정책서에 그 직위를

명시하여야 함

정보보호 최고책임자 및 개인정보 보호책임자, 신용정보관리･보호인은 예산, 인력 등 자원을

할당할 수 있는 임원급으로 지정하고 관련 법령에 따른 자격요건을 충족하여야 한다(※정보통신망법

시행령 제36조의7, 전자금융거래법 제21조의2, 신용정보법 제20조제3항 참고).

정보보호 최고책임자 및 개인정보 보호책임자는 조직의 정보보호 및 개인정보보호 업무를

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

12 ･

실질적으로 총괄할 수 있도록 정보보호 및 개인정보보호 관련 지식 및 소양이 있는 자로서

예산, 인력 등 자원을 할당할 수 있는 임원급으로 지정

관

리

※ 정보통신서비스 제공자는 정보통신시스템 등에 대한 보안 및 정보의 안전한 관리를 위하여 대통령령으로

체

계

정하는 기준에 해당하는 임직원을 정보보호 최고책임자로 지정하고 과학기술정보통신부장관에게 신고.

수

다만, 대통령령으로 정하는 기준에 해당하는 경우 신고 예외

립

※ 금융회사 또는 전자금융업자는 전자금융업무 및 그 기반이 되는 정보기술부문 보안을 총괄하여 책임지기 및

위해 총자산, 상시 종업원 수 등 대통령령으로 정하는 기준에 해당하는 경우 임원(「상법」 제401조의2제1항 운

영

제3호에 해당하는 자를 포함)으로 지정

※ 신용정보회사, 본인신용정보관리회사, 채권추심회사, 신용정보집중기관 및 대통령령으로 정하는 신용 1.1

정보제공･이용자는 개인(기업)신용정보에 관리 및 보호를 위해 총자산, 종업원 수 등 대통령령으로

관

정하는 기준에 해당하는 경우 임원(대통령령으로 정하는 사람 포함)으로 지정 리

체

계

정보보호 최고책임자 지정에 대한 법적 요건 준수 필요(※정보통신망법 제45조의3, 전자금융거래법 기

반

제21조의2 참고)

마

련

∙정보보호 최고책임자는 다음 업무 수행

【정보통신망법 제45조의3제4항】

1. 정보보호 최고책임자는 다음 각 목의 업무를 총괄한다.

가. 정보보호 계획의 수립･시행 및 개선

나. 정보보호 실태와 관행의 정기적인 감사 및 개선

다. 정보보호 위험의 식별 평가 및 정보보호 대책 마련

라. 정보보호 교육과 모의 훈련 계획의 수립 및 시행

2. 정보보호 최고책임자는 다음 각 목의 업무를 겸할 수 있다.

가. ｢정보보호산업의 진흥에 관한 법률｣ 제13조에 따른 정보보호 공시에 관한 업무

나. ｢정보통신기반 보호법｣ 제5조제5항에 따른 정보보호 책임자의 업무

다. ｢전자금융거래법｣ 제21조의2제4항에 따른 정보보호 최고책임자의 업무

라. ｢개인정보 보호법｣ 제31조제2항에 따른 개인정보 보호책임자의 업무

마. 그 밖에 이 법 또는 관계 법령에 따라 정보보호를 위하여 필요한 조치의 이행

【전자금융거래법 제21조의2제4항】

1. 정보보호 최고책임자는 다음 각 목의 업무를 수행한다.

가. 제21조제2항에 따른 전자금융거래의 안정성 확보 및 이용자 보호를 위한 전략 및 계획의 수립

나. 정보기술부문의 보호

다. 정보기술부문의 보안에 필요한 인력관리 및 예산편성

라. 전자금융거래의 사고 예방 및 조치

마. 전자금융업무 및 그 기반이 되는 정보기술부문 보안을 위한 자체심의에 관한 사항

바. 정보기술부문 보안에 관한 임직원 교육에 관한 사항

【전자금융거래법 제21조의2제3항】

1. 정보보호 최고책임자는 제4항의 업무 외의 다른 정보기술부문 업무를 겸직할 수 없다.

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

13 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

∙정보보호 최고책임자 지정요건(※정보통신망법 시행령 제36조의7 제1항)

No 구분(정보통신서비스 제공자) 정보보호 최고책임자 지정 요건

∙ 자본금 1억원 이하인 자

∙ 소기업

∙ 중기업으로 전기통신사업자, 정보보호 관리체계

1 ∙ 사업주 또는 대표자

인증을 받아야 하는 자, 개인정보 처리방침을 공개해야

하는 개인정보처리자, 통신판매업자가 아닌 자

∙ 직전 사업연도 말 기준 자산총액이 5조원 이상인 자 ∙ 이사(「상법」제401조의2 제1항 제3호에 따른 자와

∙ 법 제47조제2항에 따라 정보보호 관리체계 인증을 같은 법 제408조의2에 따른 집행임원을 포함)

받아야 하는 자 중 직전 사업연도 말 기준 자산 총액이

5천억원 이상인자 ※ 겸직 제한 요건 준수 필수

∙ 사업주 또는 대표자

∙ 이사(「상법」제401조의2 제1항 제3호에 따른 자와

3 ∙ 위 1호, 2호에 해당하지 않는 자

같은 법 제408조의2에 따른 집행임원을 포함)

∙ 정보보호 관련 업무를 총괄하는 부서의 장

개인정보 보호책임자 지정에 대한 법적 요건 준수 필요(※개인정보 보호법 시행령

제32조 참고)

∙ 개인정보 보호책임자는 다음 업무 수행

1. 개인정보 보호 계획의 수립 및 시행

2. 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선

3. 개인정보 처리와 관련한 불만의 처리 및 피해 구제

4. 개인정보 유출 및 오･남용 방지를 위한 내부통제시스템 구축

5. 개인정보 보호 교육 계획의 수립 및 시행

6. 개인정보파일의 보호 및 관리･감독

7. 개인정보 처리방침의 수립·변경 및 시행

8. 개인정보 보호 관련 자료의 관리

9. 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

14 ･

신용정보관리･보호인 지정에 대한 법적 요건 준수 필요(※신용정보법 제20조 참고)

∙ 신용정보관리･보호인은 다음 업무 수행 관

리

체

1. 개인신용정보의 경우 각 목의 업무를 수행한다. 계

수

가. 「개인정보 보호법」 제31조제3항제1호부터 제5호까지의 업무

립

나. 임직원 및 전속 모집인 등의 신용정보보호 관련 법령 및 규정 준수 여부 점검

및

다. 그 밖에 신용정보의 관리 및 보호를 위하여 대통령령으로 정하는 업무 운

영

2. 기업신용정보의 경우 다음 각목의 업무를 수행한다.

가. 신용정보의 수집･보유･제공･삭제 등 관리 및 보호 계획의 수립 및 시행

1. 1

나. 신용정보의 수집･보유･제공･삭제 등 관리 및 보호 계획 실태와 관행에 대한 정기적인 조사 및 개선

관

다. 신용정보 열람 및 정정청구 등 신용정보주체의 권리행사 및 피해구제

리

라. 신용정보 유출 등을 방지하기 위한 내부통제시스템의 구축 및 운영 체

계

마. 임직원 및 전속 모집인 등에 대한 신용정보보호 교육계획의 수립 및 시행

기

바. 임직원 및 전속 모집인 등의 신용정보보호 관련 법령 및 규정 준수 여부 점검 반

마

사. 그 밖에 신용정보의 관리 및 보호를 위하여 대통령으로 정하는 업무

련

∙ 신용정보관리･보호인 지정요건

②법 제20조제3항 단서에서 ‘총자산 종업원 수 등을 감안하여 대통령으로 정하는 자’란 다음 각 호의

어느 하나에 대항하는 자를 말한다.

1. 종합신용정보집중기관

2. 개인신용평가회사, 개인사업자신용평가회사, 기업신용조회회사 및 본인신용정보관리회사

3. 신용조사회사, 채권추심회사 및 제1항에서 정하는 자로서 직전 사업연도 말 기준으로 총자산 2조원

이상이고 상시 종업원 수가 300명 이상인 자 이 경우 상시 종업원 수의 산정방식은 금융위원회가

정하여 고시한다.

결함 사례

❖사례 1:정보통신망법에 따른 정보보호 최고책임자 지정 및 신고 의무 대상자임에도 불구하고 정보보호

최고책임자를 지정 및 신고하지 않은 경우

❖사례 2:개인정보 보호법을 적용받는 민간 기업이 개인정보 처리업무 관련 임원이 존재함에도 불구하고

부서장을 개인정보 보호책임자로 지정한 경우

❖사례 3:조직도상에 정보보호 최고책임자 및 개인정보 보호책임자를 명시하고 있으나, 인사발령 등의 공식적인

지정절차를 거치지 않은 경우

❖사례 4:ISMS 인증 의무대상자이면서 전년도 말 기준 자산총액이 5천억 원을 초과한 정보통신서비스

제공자이지만 정보보호 최고책임자가 CIO를 겸직하고 있는 경우

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

15 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

항 목 1.1.3 조직 구성

최고경영자는 정보보호와 개인정보보호의 효과적 구현을 위한 실무조직, 조직 전반의 정보보호와

인증기준 개인정보보호 관련 주요 사항을 검토 및 의결할 수 있는 위원회, 전사적 보호활동을 위한 부서별

정보보호와 개인정보보호 담당자로 구성된 협의체를 구성하여 운영하여야 한다.

정보보호 최고책임자 및 개인정보 보호책임자의 업무를 지원하고 조직의 정보보호 및

개인정보보호 활동을 체계적으로 이행하기 위하여 전문성을 갖춘 실무조직을 구성하여

운영하고 있는가?

개인정보 보호법 시행령 제30조(개인정보의 안전성 확보 조치)

개인정보의 안전성 확보조치 기준 제4조(내부 관리계획의 수립･이행) 제1항제1호

조직 전반에 걸친 중요한 정보보호 및 개인정보보호 관련사항에 대하여 검토, 승인 및

의사결정을 할 수 있는 위원회를 구성하여 운영하고 있는가?

주요 확인사항

전자금융감독규정 제8조의2(정보보호위원회 운영) 제1항, 제2항

금융회사 또는 전자금융업자는 정보보호위원회에서 전자금융거래의 안전성 확보 및

이용자의 보호에 관한 사항을 심의･의결하고 있는가?

전자금융감독규정 제8조의2(정보보호위원회 운영) 제3항

전사적 정보보호 및 개인정보보호 활동을 위하여 정보보호 및 개인정보보호 관련 담당자 및

부서별 담당자로 구성된 실무 협의체를 구성하여 운영하고 있는가?

세부 설명

조직의 규모, 업무 중요도 등의 특성을 고려하여 정보보호 및 개인정보보호 관리체계를 구축

하고 지속적으로 운영하기 위하여 필요한 조직 구성의 근거를 정보보호 및 개인정보보호 정책서

등에 명시하고, 전문성을 갖춘 실무조직을 구성하여 운영하여야 한다.

정보보호 최고책임자, 개인정보 보호책임자, 개인정보보호 실무조직, 위원회 등 정보보호 및

개인정보보호 조직의 구성･운영에 대한 사항을 정책서, 내부관리계획 등에 명시

실무조직의 구성형태 및 규모는 전사 조직의 규모, 업무, 서비스의 특성, 처리하는 정보 및

개인정보의 중요도, 민감도, 법 규제 등 고려

실무조직은 전담조직 또는 겸임조직으로 구성할 수 있으나, 겸임조직으로 구성하더라도

실질적인 역할 수행이 가능하도록 역할 및 책임이 공식적으로 부여되어야 함

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

16 ･

실무조직의 구성원은 정보보호 및 개인정보보호 전문성과 다양한 서비스에 대한 이해도와

경험이 많은 직원으로 구성(관련 학위 및 자격증 보유, 실무 경험 보유, 관련 교육 이수 등)

관

리

금융회사 또는 전자금융업자는 정보기술부문 인력은 총 임직원수의 100분의 5 이상, 정보보호 체

계

인력은 정보기술부문 인력의 100분의 5 이상 확보하도록 노력

수

립

및

조직 전반에 걸친 중요한 정보보호 및 개인정보보호 관련사항에 대하여 검토, 승인 및 의사결정을

운

영

할 수 있는 위원회를 구성하여 운영하여야 한다.

위원회는 정보보호 및 개인정보보호 관련하여 조직 내 이해관계를 대변하고 의사결정을 할 1.1

수 있도록 경영진, 임원, 정보보호 최고책임자, 개인정보 보호책임자 등 실질적인 검토 및 관

리

체

의사결정 권한이 있는 임직원으로 구성

계

기

금융회사 또는 전자금융업자의 경우 「전자금융감독규정」에 따라 정보보호위원회 위원장을

반

정보보호 최고책임자로 지정하고 정보보호 관련 부서장, 전산운영 및 개발 관련 부서장, 마

련

준법업무 관련 부서장 등을 위원으로 포함하여야 한다.

정기 또는 사안에 따라 수시로 위원회 개최

위원회는 조직 전반에 걸친 주요 사안에 대한 검토, 승인 및 의사결정 수행

※ 위원회에서 검토 및 의사결정이 필요한 주요 사안(예시)

∙정보보호 및 개인정보보호 정책･지침의 제･개정

∙위험평가 결과

∙정보보호 및 개인정보보호 예산 및 자원 할당

∙내부 보안사고 및 주요 위반사항에 대한 조치

∙내부감사 결과 등

금융회사 또는 전자금융업자의 경우 「전자금융감독규정」에서 정하고 있는 사항을 심의･의결

하여야 한다.

※ 전자금융감독규정 제8조의2(정보보호위원회 운영)

∙정보기술부문 계획서에 관한 사항(매년 수립, 대표자 확인･서명, 금융위 제출)

∙전자금융거래의 안정성 확보 및 이용자 보호를 위한 전략 및 계획 수립에 관한 사항

∙취약점 분석･평가 결과 및 보완조치의 이행계획에 관한 사항

∙전산보안사고 및 전산보안관련 규정 위반자의 처리에 관한 사항

∙클라우드컴퓨팅서비스의 이용에 관한 사항

∙기타 정보보호위원회의 장이 정보보안업무 수행에 필요하다고 정한 사항

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

17 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

전사적 정보보호 및 개인정보보호 활동을 위하여 정보보호 및 개인정보보호 관련 담당자 및

부서별 담당자로 구성된 실무 협의체를 구성하여 운영하여야 한다.

조직의 규모 및 관리체계 범위 내 서비스의 중요도에 따라 실무 협의체 구성원, 조직체계

등을 결정

실무 협의체에서는 정보보호 및 개인정보보호 관련 사항에 대하여 실무 차원에서

공유･조정･검토･개선하고, 의사결정 및 경영진 지원이 필요한 경우에는 위원회에 상정하여

논의

결함 사례

❖사례 1:정보보호 및 개인정보보호위원회를 구성하였으나, 임원 등 경영진이 포함되어 있지 않고 실무부서의

장으로 구성되어 있어 조직의 중요 정보 및 개인정보 보호에 관한 사항을 결정할 수 없는 경우

❖사례 2:내부 지침에 따라 중요 정보처리부서 및 개인정보처리부서의 장(팀장급)으로 구성된 정보보호 및

개인정보보호 실무 협의체를 구성하였으나, 장기간 운영 실적이 없는 경우

❖사례 3:정보보호 및 개인정보보호위원회를 개최하였으나, 연간 정보보호 및 개인정보보호 계획 및 교육 계획,

예산 및 인력 등 정보보호 및 개인정보보호에 관한 주요 사항이 검토 및 의사 결정이 되지 않은 경우

❖사례 4:정보보호 및 개인정보보호 관련 심의·의결을 위해 정보보호위원회를 구성하여 운영하고 있으나, 운영

및 IT보안 관련 조직만 참여하고 개인정보보호 조직은 참여하지 않고 있어 개인정보보호에 관한

사항을 결정할 수 없는 경우

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

18 ･

항 목 1.1.4 범위 설정 1

관

조직의 핵심 서비스와 개인정보 처리 현황 등을 고려하여 관리체계 범위를 설정하고, 관련된 서

인증기준 리

비스를 비롯하여 개인정보 처리 업무와 조직, 자산, 물리적 위치 등을 문서화하여야 한다. 체

계

조직의 핵심 서비스 및 개인정보 처리에 영향을 줄 수 있는 핵심자산을 포함하도록 관리체계 수

립

범위를 설정하고 있는가?

및

정의된 범위 내에서 예외사항이 있을 경우 명확한 사유 및 관련자 협의･책임자 승인 등 관련 운

영

주요 확인사항 근거를 기록･관리하고 있는가?

정보보호 및 개인정보보호 관리체계 범위를 명확히 확인할 수 있도록 관련된 내용(주요 1.1

서비스 및 업무 현황, 정보시스템 목록, 문서목록 등)이 포함된 문서를 작성하여 관리하고

관

있는가? 리

체

계

기

반

세부 설명 마

련

조직의 핵심 서비스 및 개인정보 처리에 영향을 줄 수 있는 핵심자산을 포함하도록 관리체계

범위를 설정하여야 한다.

관리체계 범위에는 사업(서비스)과 관련된 임직원, 정보시스템, 정보, 시설 등 유･무형의

핵심자산을 누락 없이 포함

특히 정보보호 관리체계 의무대상자의 경우 법적 요구사항에 따른 정보통신서비스 및 관련

정보자산은 의무적으로 포함되도록 범위 설정

정의된 범위 내에서 예외사항이 있을 경우 명확한 사유 및 관련자 협의･책임자 승인 등 관련

근거를 기록･관리하여야 한다.

정보보호 관리체계와 개인정보보호 관리체계의 범위가 상이한 경우에는 인증범위 내의

정보자산 목록(개인정보, 시스템, 네트워크 등)을 정보보호 관리체계 및 개인정보보호 관리체계

관점에서 명확하게 식별하여 정의

인증범위에서 제외되는 서비스, 정보시스템 등에 대해서는 내부 협의 및 책임자 승인을 거친 후

그 사유 및 근거에 대하여 기록하여 관리

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

19 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

정보보호 및 개인정보보호 관리체계 범위를 명확히 확인할 수 있도록 관련된 내용(주요 서비스

및 업무 현황, 정보시스템 목록, 문서목록 등)이 포함된 문서를 작성하여 관리하여야 한다.

주요 서비스 및 업무 현황(개인정보 처리 업무 현황 포함)

서비스 제공과 관련된 조직 현황(조직도 등)

정보보호 및 개인정보보호 조직 현황

주요 설비 목록

정보시스템 목록 및 네트워크 구성도

정보자산, 개인정보 관련 자산식별 기준 및 자산현황

정보보호 및 개인정보보호 시스템 목록

서비스(시스템) 구성도 및 개인정보(수집, 이용, 제공, 저장, 관리, 파기) 처리 흐름

문서 목록(예 : 정책, 지침, 매뉴얼, 운영명세서 등)

정보보호 및 개인정보보호 관리체계 수립 방법 및 절차, 관련 법적 준거성 검토, 내부감사

고객센터, IDC, IT 개발 및 운영 등 외주(위탁)업체 현황 등

결함 사례

❖사례 1:정보시스템 및 개인정보처리시스템 개발업무에 관련한 개발 및 시험 시스템, 외주업체직원, PC,

테스트용 단말기 등이 관리체계 범위에서 누락된 경우

❖사례 2:정보보호 및 개인정보보호 관리체계 범위로 설정된 서비스 또는 사업에 대하여 중요 의사결정자

역할을 수행하고 있는 임직원, 사업부서 등의 핵심 조직(인력)을 인증범위에 포함하지 않은 경우

❖사례 3:정보시스템 및 개인정보처리시스템 개발업무에 관련한 개발 및 시험시스템, 개발자 PC, 테스트용

단말기, 개발조직 등이 관리체계 범위에서 누락된 경우

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

20 ･

항 목 1.1.5 정책 수립 1

관

정보보호와 개인정보보호 정책 및 시행 문서를 수립･작성하며, 이때 조직의 정보보호와 개인정

리

인증기준 보보호 방침 및 방향을 명확하게 제시하여야 한다. 또한 정책과 시행문서는 경영진의 승인을 받 체

계

고, 임직원 및 관련자에게 이해하기 쉬운 형태로 전달하여야 한다.

수

립

조직이 수행하는 모든 정보보호 및 개인정보보호 활동의 근거를 포함하는 최상위 수준의

및

정보보호 및 개인정보보호 정책을 수립하고 있는가?

운

영

정보보호 및 개인(신용)정보보호 정책의 시행을 위하여 필요한 세부적인 방법, 절차, 주기

등을 규정한 지침, 절차, 매뉴얼 등을 수립하고 있는가?

1. 1

개인정보 보호법 시행령 제30조(개인정보의 안전성 확보 조치) 제1항제1호

관

개인정보의 안전성 확보조치 기준 제4조(내부 관리계획의 수립･시행) 리

체

개인정보의 기술적･관리적 보호조치 기준 제3조(내부 관리계획의 수립･시행) 계

주요 확인사항

신용정보법 제20조(신용정보 관리책임의 명확화 및 업무처리기록의 보존) 제1항 기

반

신용정보업감독규정 제22조(내부관리규정의 마련) 제1항, 제2항, [별표 4의2] 신용정보

마

관리기준 련

정보보호 및 개인정보보호 정책･시행문서의 제･개정 시 최고경영자 또는 최고경영자로부터

권한을 위임받은 자의 승인을 받고 있는가?

정보보호 및 개인정보보호 정책･시행문서의 최신본을 관련 임직원에게 이해하기 쉬운 형태로

제공하고 있는가?

세부 설명

조직이 수행하는 모든 정보보호 및 개인정보보호 활동의 근거를 포함하는 최상위 수준의 정보

보호 및 개인정보보호 정책은 다음 내용을 포함하여 수립하여야 한다.

조직의 정보보호 및 개인정보보호에 대한 최고경영자의 등 경영진의 의지 및 방향

조직의 정보보호 및 개인정보보호를 위한 역할과 책임 및 대상과 범위

조직이 수행하는 관리적･기술적･물리적 정보보호 및 개인정보보호 활동의 근거

정보보호 및 개인정보보호 정책에 명시된 정보보호 및 개인정보보호 사항을 구체적으로

시행하기 위하여 필요한 세부 방법, 절차, 주기, 수행주체 등을 규정하는 지침, 절차, 매뉴얼,

가이드 등의 하위 실행 문서를 조직의 특성에 맞게 수립하여야 한다.

하위 실행 문서는 조직이 수행하는 모든 정보보호 및 개인정보보호 활동의 근거를 구체적으로

제시할 수 있어야 하며, 보호 대상 관점 또는 수행주체 관점 등 다양한 관점에서 조직 특성에

맞게 수립

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

21 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

※ 하위 실행 문서(예시)

보호대상 관점 수행주체 관점

∙ 서버보안 지침

∙ 네트워크보안 지침

∙ 임직원보안 지침

∙ 데이터베이스보안 지침

∙ 개발자보안 지침

∙ 애플리케이션보안 지침

∙ 운영자보안 지침 등

∙ 웹서비스 보안 지침

∙ 클라우드 보안 지침

정책 및 시행문서(지침, 절차 등)는 조직이 제공하고 있는 서비스, 사업 등에 관련된 개인정보

보호 관련 법적 요구사항(법률, 시행령, 시행규칙, 하위 고시, 가이드 등)을 반영

개인정보를 처리하는 경우 개인정보 보호법에 따른 내부관리계획을 관련 법규에서 요구하는

사항을 모두 포함하여 수립

∙ 개인정보 보호법에 따라 내부관리계획에 포함되어야 하는 사항

1. 개인정보 보호 조직의 구성 및 운영에 관한 사항

2. 개인정보 보호책임자의 자격요건 및 지정에 관한 사항

3. 개인정보 보호책임자와 개인정보취급자의 역할 및 책임에 관한 사항

4. 개인정보취급자에 대한 관리·감독 및 교육에 관한 사항

5. 접근 권한의 관리에 관한 사항

6. 접근 통제에 관한 사항

7. 개인정보의 암호화 조치에 관한 사항

8. 접속기록 보관 및 점검에 관한 사항

9. 악성프로그램 등 방지에 관한 사항

10. 개인정보의 유출, 도난 방지 등을 위한 취약점 점검에 관한 사항

11. 물리적 안전조치에 관한 사항

12. 개인정보 유출사고 대응 계획 수립·시행에 관한 사항

13. 위험 분석 및 관리에 관한 사항

14. 개인정보 처리업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항

15. 개인정보 내부 관리계획의 수립, 변경 및 승인에 관한 사항

16. 그 밖에 개인정보 보호를 위하여 필요한 사항

※ 다만, 1만명 미만의 정보주체에 관하여 개인정보를 처리하는 소상공인·개인·단체의 경우에는 생략 가능

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

22 ･

신용정보회사 등은 신용정보의 수집･처리･이용 및 보호 등 신용정보 관리기준의 준수 및 이행을

위해 특성 등을 반영하여 내부관리규정을 구체적이고 상세하게 마련

관

리

∙ 신용정보법에 따라 내부관리규정에 포함되어야 하는 사항 체

계

신용정보 관리기준(※신용정보업감독규정 별표4의2) 수

립

1. 신용정보처리기준 4. 신용정보주체의 권리보장

및

2. 신용정보관리･보호인 5. 신용정보활용체제의 공시 운

영

3. 신용정보의 누설 발생 시 조치 6. 신용정보업무(신용조사업무 제외)

1. 1

정보보호 및 개인정보보호 정책･시행문서 제･개정 시 최고경영자 또는 최고경영자로부터 권한을

관

리

위임받은 자의 승인을 받아야 한다.

체

계

정책서와 시행문서를 제･개정하는 경우 이해관계자와 해당 내용을 충분히 협의･검토 기

반

정책서 및 시행문서 변경으로 인한 조직 업무 및 서비스 영향도, 법적 준거성 등을 고려 마

련

회의록 등 검토 사항에 대한 기록을 남기고 정책･지침 등에 관련 사항 반영

검토가 완료된 정책서 및 시행문서를 경영진에게 보고하고 승인

정보보호 및 개인정보보호 정책･시행문서의 제･개정 시 최신본을 관련 임직원에게 이해하기

쉬운 형태로 제공하여야 한다.

임직원 및 외부자가 용이하게 참고할 수 있는 형태(전자게시판, 책자, 교육자료, 매뉴얼 등)로 제공

정책서 및 시행문서는 제･개정사항이 발생하면 즉시 공표하고 최신본을 유지

결함 사례

❖사례 1:내부 규정에 따르면 정보보호 및 개인정보보호 정책서 제･개정 시에는 정보보호 및 개인정보보호위원회의

의결을 거치도록 하고 있으나, 최근 정책서 개정 시 위원회에 안건으로 상정하지 않고 정보보호

최고책임자 및 개인정보 보호책임자의 승인을 근거로만 개정한 경우

❖사례 2:정보보호 및 개인정보보호 정책 및 지침서가 최근에 개정되었으나, 해당 사항이 관련 부서 및

임직원에게 공유･전달되지 않아 일부 부서에서는 구버전의 지침서를 기준으로 업무를 수행하고 있는

경우

❖사례 3:정보보호 및 개인정보보호 정책 및 지침서를 보안부서에서만 관리하고 있고, 임직원이 열람할 수

있도록 게시판, 문서 등의 방법으로 제공하지 않는 경우

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

23 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

항 목 1.1.6 자원 할당

최고경영자는 정보보호와 개인정보보호 분야별 전문성을 갖춘 인력을 확보하고, 관리체계의

인증기준

효과적 구현과 지속적 운영을 위한 예산 및 자원을 할당하여야 한다.

정보보호 및 개인정보보호 분야별 전문성을 갖춘 인력을 확보하고 있는가?

정보보호 및 개인정보보호 관리체계의 효과적 구현과 지속적 운영을 위하여 필요한 자원을

평가하여 필요한 예산과 인력을 지원하고 있는가?

주요 확인사항 연도별 정보보호 및 개인정보보호 업무 세부추진 계획을 수립･시행하고, 그 추진결과에 대한

심사분석･평가를 실시하고 있는가?

전자금융거래의 안전성 확보 및 이용자 보호를 위해 정보기술부문과 정보보호에 필요한

예산과 인력을 지원하고 있는가?

세부 설명

최고경영자는 정보보호 및 개인정보보호 활동을 원활하게 수행하기 위하여 분야별 전문성을

갖춘 인력을 확보하여야 한다.

전문 지식 및 관련 자격 보유(정보보호 및 개인정보보호 관련 학위 또는 자격증 보유)

정보보호 및 개인정보보호 관련 실무 경력 보유

정보보호 및 개인정보보호 관련 직무교육 이수 등

최고경영자는 정보보호 및 개인정보보호 관리체계의 효과적 구현과 지속적 운영을 위하여 필요한

자원을 평가하여 필요한 예산과 인력을 지원하여야 한다.

매년 정보보호 및 개인정보보호 관리체계의 효과적 구축 및 지속적 운영을 위하여 필요한

예산과 자원을 평가하여 예산 및 인력운영 계획 수립 및 승인

예산 및 인력운영계획에 따라 필요한 자원(인력, 조직, 예산 등)을 지속적으로 지원

연도별 정보보호 및 개인정보보호 업무 세부추진 계획을 수립･시행하고 그 추진결과에 대한

심사분석･평가를 실시하여야 한다.

해당 연도의 정보보호 및 개인정보보호 업무를 효과적으로 수행하기 위한 연도별 정보보호

및 개인정보보호 업무 세부추진 계획을 수립하고 경영진 보고 및 시행

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

24 ･

세부추진 계획에 따른 추진결과를 심사분석 및 평가하여 경영진에게 보고

관

리

최고경영자는 전자금융거래의 안정성 확보 및 이용자의 보호를 위해 정보기술(IT)부문과 정보

체

계

보호에 필요한 예산과 인력을 지원하여야 한다(※금융보안 거버넌스 가이드 참조).

수

립

금융회사 또는 전자금융업자는 정보보호 예산을 정보기술(IT)부문 예산의 100분의 7 이상으로 편성

및

운

금융회사 또는 전자금융업자는 정보기술(IT)부문 인력은 총 임직원 수의 100분의 5 이상,

영

정보보호 인력은 정보기술(IT)부문 인력의 100분의 5 이상 확보

1. 1

관

리

체

결함 사례 계

기

❖사례 1:정보보호 및 개인정보보호 조직을 구성하는데, 분야별 전문성을 갖춘 인력이 아닌 정보보호 관련 또는

반

IT 관련 전문성이 없는 인원으로만 보안인력을 구성한 경우

마

❖사례 2:개인정보처리시스템의 안전성 확보조치의 요건을 갖추기 위한 보안 솔루션 등의 비용을 최고경영자가 련

지원하지 않고 법적 위험을 수용하고 있는 경우

❖사례 3:인증을 취득한 이후에 인력과 예산 지원을 대폭 줄이고 기존 인력을 다른 부서로 배치하거나 일부

예산을 다른 용도로 사용하는 경우

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

25 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

1. 2 위험 관리

항 목 1.2.1 정보자산 식별

조직의 업무특성에 따라 정보자산 분류기준을 수립하여 관리체계 범위 내 모든 정보자산을

인증기준

식별･분류하고, 중요도를 산정한 후 그 목록을 최신으로 관리하여야 한다.

정보자산의 분류기준을 수립하고 정보보호 및 개인정보보호 관리체계 범위 내의 모든 자산을

식별하여 목록으로 관리하고 있는가?

전자금융감독규정 제13조(전산자료 보호대책) 제1항제3호, 제14조(정보처리시스템보호대책)

제6호, 제15조(해킹 등 방지대책) 제3항

주요 확인사항

식별된 정보자산에 대하여 법적 요구사항 및 업무에 미치는 영향 등을 고려하여 중요도를

결정하고 보안등급을 부여하고 있는가?

정기적으로 정보자산 현황을 조사하여 정보자산목록을 최신으로 유지하고 있는가?

세부 설명

정보자산의 분류기준을 수립하고 정보보호 및 개인정보보호 관리체계 범위 내의 모든 자산을

식별하여 목록으로 관리하여야 한다.

조직의 특성에 맞게 정보자산의 분류기준을 수립하고, 분류 기준에 따라 정보자산을

빠짐없이 식별

※ 정보자산 분류(예시)

∙자산 유형별 분류 : 서버, 데이터(DBMS), 정보시스템(응용프로그램), 소프트웨어, 네트워크장비, 보안시스템,

PC, 정보, 설비, 시설 등

∙자산 유형별 항목(예)

- 서버 : 호스트 명칭, 자산 일련번호, 모델명, 용도, IP주소, 관리 부서명, 관리 실무자, 관리 책임자,

보안등급, OS, 버전정보 추가 검토 등

- 데이터 : 데이터베이스명, Table명, (개인)정보 항목명(예: 이름, 성별, 생년월일, 휴대폰번호, 이메일 등),

관리 부서명, 관리 실무자, 관리 책임자, 저장 시스템(호스트 명칭), 저장 위치(IP주소), 보안등급 등

- 정보시스템 : 서버, PC 등 단말기, 보조저장매체, 네트워크 장비, 응용프로그램 등 정보의 수집, 가공,

저장, 검색, 송수신에 필요한 하드웨어 및 소프트웨어

- 보안시스템 : 정보의 훼손, 변조, 유출 등을 방지하기 위하여 구축된 시스템으로 침입차단시스템,

침입탐지시스템, 침입방지시스템, 개인정보유출방지시스템 등을 포함

- 정보 : 문서적 정보와 전자적 정보 모두를 포함(중요정보, 개인정보 등)

- 전산자료 : 전산장비에 의해 입력･보관･출력되어 있는 자료를 말하며, 그 자료가 입력･출력되어 있는

자기테이프, 디스크, 콤팩트디스크(CD) 등 보조저장매체를 포함

※ 전산자료의 경우 자산으로 식별 가능한 매체에 저장되어 있는 경우 그 매체를 정보자산으로 분류

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

26 ･

자산명, 용도, 위치, 책임자 및 관리자, 관리부서 등의 자산정보를 확인하여 목록 작성

정보자산의 효율적 관리를 위하여 자산관리시스템 활용 또는 문서(엑셀) 등 다양한 관

리

형태로 관리 체

계

클라우드 서비스를 이용하는 경우, 클라우드 서비스의 특성을 반영한 분류기준(예시 : 가상서버, 수

립

오브젝트 스토리지 등)을 마련하고 이에 따라 클라우드 자산을 식별·관리 및

운

영

식별된 정보자산에 대한 법적 요구사항 및 업무에 미치는 영향 등을 고려하여 중요도를

1. 2

결정하고 보안등급을 부여하여야 한다.

위

법적 요구사항이나 업무에 미치는 영향 등 각 자산 특성에 맞는 보안등급 평가기준 결정 험

관

리

※ 보안등급 산정기준(예시)

∙기밀성, 무결성, 가용성, 법적 준거성 등에 따른 중요도 평가

∙서비스 영향, 이익손실, 고객 상실, 대외 이미지 손상 등도 고려

보안등급 평가기준에 따라 정보자산별 보안등급 산정 및 목록으로 관리

정기적으로 정보자산 현황을 조사하여 정보자산목록을 최신으로 유지하여야 한다.

신규 도입, 변경, 폐기되는 자산 현황을 확인할 수 있도록 절차 마련

정기적으로 정보자산 현황 조사를 수행하고 정보자산목록을 최신으로 유지

결함 사례

❖사례 1:정보보호 및 개인정보보호 관리체계 범위 내의 자산목록에서 중요정보 취급자 및 개인정보취급자

PC를 통제하는데 사용되는 출력물 보안, 문서암호화, USB매체제어 등의 내부정보 유출통제

시스템이 누락되어 있는 경우

❖사례 2:정보보호 및 개인정보보호 관리체계 범위 내에서 제3자로부터 제공받은 개인정보가 있으나, 해당

개인정보에 대한 자산 식별이 이루어지지 않은 경우

❖사례 3:내부 지침에 명시된 정보자산 및 개인정보 보안등급 분류 기준과 자산관리 대장의 분류 기준이

일치하지 않은 경우

❖사례 4:온프레미스 자산에 대해서는 식별이 이루어졌으나, 외부에 위탁한 IT서비스(웹호스팅, 서버호스팅,

클라우드 등)에 대한 자산 식별이 누락된 경우(단, 인증범위 내)

❖사례 5:고유식별정보 등 개인정보를 저장하고 있는 백업서버의 기밀성 등급을 (하)로 산정하는 등 정보자산

중요도 평가의 합리성 및 신뢰성이 미흡한 경우

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

27 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

항 목 1.2.2 현황 및 흐름분석

관리체계 전 영역에 대한 정보서비스 및 개인정보 처리 현황을 분석하고 업무 절차와 흐름을

인증기준

파악하여 문서화하며, 이를 주기적으로 검토하여 최신성을 유지하여야 한다.

관리체계 전 영역에 대한 정보서비스 현황을 식별하고 업무 절차와 흐름을 파악하여

문서화하고 있는가?

관리체계 범위 내 개인정보 처리 현황을 식별하고 개인정보의 흐름을 파악하여 개인정보

주요 확인사항

흐름도 등으로 문서화하고 있는가?

서비스 및 업무, 정보자산 등의 변화에 따른 업무절차 및 개인정보 흐름을 주기적으로

검토하여 흐름도 등 관련 문서의 최신성을 유지하고 있는가?

세부 설명

현황 및 흐름분석은 위험분석의 사전단계로 다양한 관점에서 위험분석을 진행할 수 있는

기초자료가 된다. 또한 경영진이 정보보호 현황을 이해하고 위험관리를 위한 의사결정을

내리는 데 효과적으로 활용할 수 있다.

현황분석은 인증기준과 운영현황을 비교하는 GAP 분석표를 통하여 인증기준과 운영현황과의

차이를 확인

흐름분석은 정보서비스 흐름분석과 개인정보 처리단계별 흐름분석으로 구분되며, 그 결과는

흐름표 또는 흐름도로 도식화

※ 정보서비스 흐름도는 조직의 업무절차, 정보보호 요구사항, 보안통제의 상호연계를 사용자 기반으로 도식

화한 접근통제 개념도를 의미함

※ 개인정보 흐름도는 수집, 보유, 이용･제공, 파기되는 개인정보 처리단계별로 흐름을 한눈에 확인할 수 있

도록 도식화한 개념도를 의미함

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

28 ･

관리체계 전 영역에 대한 정보서비스 현황을 식별하고, 업무 절차와 흐름을 파악하여 문서화

하여야 한다.

관

리

관리체계 범위 내의 모든 정보서비스 현황 식별 체

계

정보서비스별 업무 절차 및 흐름 파악 수

립

업무 절차 및 흐름에 대한 문서화 : 업무현황표, 업무흐름도 등 및

운

영

※ 정보서비스 흐름도(시스템 운영자 예시)

1. 2

위

험

관

리

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

29 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

관리체계 범위 내 개인정보 처리 현황을 식별하고 개인정보의 흐름을 파악하여 개인정보

흐름표, 개인정보 흐름도 등으로 문서화하여야 한다.(ISMS-P 인증인 경우)

(1단계) 개인정보 처리가 이루어지는 단위 업무를 식별

(2단계) 각 단위 업무에 대한 개인정보 생명주기별 개인정보 흐름표 작성

※ 개인정보 흐름표 작성 예시(출처 : 개인정보영향평가 수행안내서)

∙수집 흐름표 예시

∙보유･이용 흐름표 예시

∙파기 흐름표 예시

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

30 ･

(3단계) 작성된 개인정보 흐름표를 기반으로 수집, 보유, 이용･제공, 파기되는 개인정보 처리

단계별로 흐름을 한눈에 파악할 수 있도록 총괄 개인정보 흐름도 및 업무별 개인정보 흐름도 작성

관

리

체

※ 개인정보 흐름도 작성 예시(출처 : 개인정보영향평가 수행안내서) 계

수

∙개인정보 흐름도 예시 – 총괄(통합) 흐름도

립

및

운

영

1. 2

위

험

관

리

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

31 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

∙업무별 개인정보 흐름도(상세) 예시

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

32 ･

서비스 및 업무, 정보자산 등의 변화에 따른 업무절차 및 개인정보 흐름을 다음 관점을 참고하여

주기적으로(최소 연 1회 이상) 검토하고, 최신성이 유지되도록 관리하여야 한다.

관

리

기존 서비스, 업무 및 개인정보 흐름의 변화 여부(신규 서비스 오픈 또는 개편, 업무절차의 체

계

변경, 개인정보 처리 방법 변화, 조직의 변경, 외부 연계 및 제공 흐름 변경 등) 수

립

처리되는 중요정보, 개인정보 항목의 변화 여부 및

운

정보시스템 및 개인정보처리시스템의 종류, 구성, 기능 등의 변경 여부 영

신규 개인정보 처리업무 및 흐름 발생 여부

1. 2

법규 개정, 신규 취약점의 발생 등 외부 환경의 변화 여부 등 위

험

관

리

결함 사례

❖사례 1:관리체계 범위 내 주요 서비스의 업무 절차･흐름 및 현황에 대한 문서화가 이루어지지 않은 경우

❖사례 2:개인정보 흐름도를 작성하였으나, 실제 개인정보의 흐름과 상이한 부분이 다수 존재하거나 중요한

개인정보 흐름이 누락되어 있는 경우

❖사례 3:최초 개인정보 흐름도 작성 이후에 현행화가 이루어지지 않아 변화된 개인정보 흐름이 흐름도에

반영되지 않고 있는 경우

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

33 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

항 목 1.2.3 위험 평가

조직의 대내외 환경 분석을 통하여 유형별 위협정보를 수집하고 조직에 적합한 위험평가

인증기준 방법을 선정하여 관리체계 전 영역에 대하여 연 1회 이상 위험을 평가하며, 수용할 수 있는

위험은 경영진의 승인을 받아 관리하여야 한다.

조직 또는 서비스의 특성에 따라 다양한 측면에서 발생할 수 있는 위험을 식별하고 평가할 수

있는 방법을 정의하고 있는가?

위험관리 방법 및 절차(수행인력, 기간, 대상, 방법, 예산 등)를 구체화한 위험관리계획을 매년

수립하고 있는가?

위험관리계획에 따라 연 1회 이상 정기적으로 또는 필요한 시점에 위험평가를 수행하고

주요 확인사항

있는가?

조직에서 수용 가능한 목표 위험수준을 정하고, 그 수준을 초과하는 위험을 식별하고 있는가?

개인정보의 안전성 확보조치 기준 제4조(내부관리계획의 수립･시행) 제1항제13호

위험식별 및 평가 결과를 경영진에게 보고하고 있는가?

세부 설명

조직의 특성을 반영하여 관리적･기술적･물리적･법적 분야 등 다양한 측면에서 발생할 수 있는

정보보호 및 개인정보보호 관련 위험을 식별하고 평가할 수 있도록 위험평가 방법을 정의하고

문서화하여야 한다.

위험평가 방법 선정 : 베이스라인 접근법, 상세위험 분석법, 복합 접근법, 위협 및 시나리오

기반 등

비즈니스 및 조직의 특성 반영 : 조직의 비전 및 미션, 비즈니스 목표, 서비스 유형, 컴플라이언스 등

다양한 관점 고려 : 해킹, 내부자 유출, 외부자 관리･감독 소홀, 개인정보 관련 법규 위반 등

최신 취약점 및 위협 동향 고려

금융회사 또는 전자금융업자, 신용정보회사 등은 전자금융거래 관련 법령과 신용정보 관련

법령 준수여부 고려

위험평가 방법론은 조직의 특성에 맞게 자체적으로 정하여 적용할 수 있으나, 위험평가의

과정은 합리적이어야 하고, 위험평가 결과는 실질적인 위험의 심각성을 대변할 수 있어야 함

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

34 ･

위험관리 방법 및 절차(수행인력, 기간, 대상, 방법, 예산 등)을 구체화한 위험관리계획을 수립

하여야 한다.

관

리

수행인력 : 위험관리 전문가, 정보보호･개인정보보호 전문가, 법률 전문가, IT 실무 책임자, 체

계

현업부서 실무 책임자, 외부 전문컨설턴트 등 참여(이해관계자의 참여 필요) 수

립

기간 : 최소 연 1회 이상 수행될 수 있도록 일정 수립 및

운

대상 : 인증범위 내 모든 서비스 및 자산(정보자산, 개인정보, 시스템, 물리적 시설 등) 포함 영

방법 : 조직의 특성을 반영한 위험평가 방법론 정의

1. 2

예산 : 위험 식별 및 평가 시행을 위한 예산 계획을 매년 수립하고 정보보호 최고책임자 등 위

험

경영진 승인

관

리

위험관리계획에 따라 정보보호 및 개인정보보호 관리체계 범위 전 영역에 대한 위험평가를

연 1회 이상 정기적으로 또는 필요한 시점에 수행하여야 한다.

사전에 수립된 위험관리 방법 및 계획에 따라 체계적으로 수행

위험평가는 연 1회 이상 정기적으로 수행하되 조직의 변화, 신규시스템 도입 등 중요한 사유가

발생한 경우 해당 부분에 대하여 정기적인 위험평가 이외에 별도로 위험평가 수행

서비스 및 정보자산의 현황과 흐름분석 결과 반영

최신 법규를 기반으로 정보보호 및 개인정보보호 관련 법적 요구사항 준수 여부 확인

정보보호 및 개인정보보호 관리체계 인증기준의 준수 여부 확인

기 적용된 정보보호 및 개인정보보호 대책의 실효성 검토 포함

조직에서 수용 가능한 목표 위험수준을 정하고 그 수준을 초과하는 위험을 식별하여야 한다.

각종 위험이 조직에 미치는 영향(발생가능성, 심각도 등)을 고려하여 위험도 산정기준 마련

위험도 산정기준에 따라 식별된 위험에 대하여 위험도 산정

수용 가능한 목표 위험수준(DoA, Degree of Assurance)을 정보보호 최고책임자, 개인정보

보호책임자 등 경영진의 의사결정에 의하여 결정

수용 가능한 목표 위험수준을 초과하는 위험을 식별하고 문서화

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

35 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

위험 식별 및 평가 결과를 정보보호 최고책임자, 개인정보 보호책임자 등 경영진이 이해하기

쉽게 작성하여 보고하여야 한다.

식별된 위험에 대한 평가보고서 작성

식별된 위험별로 관련된 이해관계자에게 내용 공유 및 논의(실무 협의체, 위원회 등)

IT, 법률적 전문 용어보다는 경영진의 눈높이에서 쉽게 이해하고 의사 결정할 수 있도록

보고서를 작성하여 보고

결함 사례

❖사례 1:수립된 위험관리계획서에 위험평가 기간 및 위험관리 대상과 방법이 정의되어 있으나, 위험관리 수행

인력과 소요 예산 등 구체적인 실행계획이 누락되어 있는 경우

❖사례 2:전년도에는 위험평가를 수행하였으나, 금년도에는 자산 변경이 없었다는 사유로 위험평가를 수행하지

않은 경우

❖사례 3:위험관리 계획에 따라 위험 식별 및 평가를 수행하고 있으나, 범위 내 중요 정보자산에 대한 위험

식별 및 평가를 수행하지 않았거나, 정보보호 관련 법적 요구사항 준수 여부에 따른 위험을 식별 및

평가하지 않은 경우

❖사례 4:위험관리 계획에 따라 위험 식별 및 평가를 수행하고 수용 가능한 목표 위험수준을 설정하였으나,

관련 사항을 경영진(정보보호 최고책임자 등)에 보고하여 승인받지 않은 경우

❖사례 5:내부 지침에 정의한 위험 평가 방법과 실제 수행한 위험 평가 방법이 상이할 경우

❖사례 6:정보보호 관리체계와 관련된 관리적·물리적 영역의 위험 식별 및 평가를 수행하지 않고, 단순히

기술적 취약점진단 결과를 위험 평가 결과로 갈음하고 있는 경우

❖사례 7:수용 가능한 목표 위험수준(DoA)을 타당한 사유 없이 과도하게 높이는 것으로 결정함에 따라,

실질적으로 대응이 필요한 주요 위험들이 조치가 불필요한 위험(수용 가능한 위험)으로 지정된 경우

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

36 ･

항 목 1.2.4 보호대책 선정 1

관

위험 평가 결과에 따라 식별된 위험을 처리하기 위하여 조직에 적합한 보호대책을 선정하고, 보

리

인증기준 호대책의 우선순위와 일정･담당자･예산 등을 포함한 이행계획을 수립하여 경영진의 승인을 받 체

계

아야 한다.

수

립

식별된 위험에 대한 처리 전략(감소, 회피, 전가, 수용 등)을 수립하고 위험처리를 위한

및

보호대책을 선정하고 있는가?

운

주요 확인사항

영

보호대책의 우선순위를 고려하여 일정, 담당부서 및 담당자, 예산 등의 항목을 포함한

보호대책 이행계획을 수립하고 경영진에 보고하고 있는가?

1. 2

위

험

관

세부 설명

리

식별된 위험에 대한 처리 전략(위험감소, 위험회피, 위험전가, 위험수용 등)을 수립하고, 이에

따라 위험별로 위험처리를 위한 적절한 정보보호 및 개인정보보호 대책을 선정하여야 한다.

위험수준 감소를 목표로 위험 처리전략을 수립하는 것이 일반적이며, 상황에 따라 위험회피,

위험전가, 위험수용의 전략 고려

※ 위험처리 전략(예시)

∙위험감소 : 비밀번호 도용의 위험을 줄이기 위하여 개인정보처리시스템의 로그인 비밀번호 복잡도와

길이를 3가지 문자조합 및 8글자 이상으로 강제 설정되도록 비밀번호 설정모듈을 개발하여

적용한다.

∙위험회피 : 회사 홍보용 인터넷 홈페이지에서는 회원 관리에 따른 리스크가 크므로 회원 가입을 받지 않는

것으로 변경하고 기존 회원정보는 모두 파기한다.

∙위험전가 : 중요정보 및 개인정보 유출 시 손해배상 소송 등에 따른 비용 손실을 줄이기 위하여 관련 보험에

가입한다.

∙위험수용 : 유지보수 등 협력업체, 개인정보 처리 수탁자 중 당사에서 직접 관리･감독할 수 없는 PG사,

본인확인기관 등과 같은 대형 수탁자에 대하여는 해당 수탁자가 법령에 의한 정부감독을

받거나 정부로부터 보안인증을 획득한 경우에는 개인정보 보호법에 따른 문서체결 이외의

별도 관리･감독은 생략할 수 있도록 한다.

보호대책을 선정할 때에는 정보보호 및 개인정보보호 대책은 정보보호 및 개인정보보호

관리체계 인증기준과의 연계성 고려

불가피한 사유가 있는 경우에는 위험수용 전략을 선택할 수 있으나 무조건적인 위험수용은

지양하여야 하며, 불가피한 사유의 적정성, 보완대책 적용가능성 등을 충분히 검토한 후

명확하고 객관적인 근거에 기반하여 위험수용 전략 선택

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

37 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

법률 위반에 해당하는 위험은 수용 가능한 위험에 포함되지 않도록 주의

수용 가능한 위험수준을 초과하지 않은 위험 중 내･외부 환경의 변화에 따라 위험수준이 상승할

가능성이 높거나 조직이 중요하다고 판단하는 부분에 대해서는 보호대책 수립 고려

정보보호 및 개인정보보호 대책의 우선순위를 고려하여 일정, 담당부서 및 담당자, 예산 등의

항목을 포함한 보호대책 이행계획을 수립하고, 정보보호 최고책임자 및 개인정보 보호책임자 등

경영진에 보고하여야 한다.

위험의 심각성 및 시급성, 구현의 용이성, 예산 할당, 자원의 가용성, 선후행 관계 등을 고려하여

우선순위 결정

일정, 담당부서 및 담당자, 예산 등의 항목을 포함한 정보보호 및 개인정보보호 대책 이행계획을

수립하여 경영진에게 보고 및 승인

결함 사례

❖사례 1:정보보호 및 개인정보보호 대책에 대한 이행계획은 수립하였으나, 정보보호 최고책임자 및 개인정보

보호책임자에게 보고가 이루어지지 않은 경우

❖사례 2:위험감소가 요구되는 일부 위험의 조치 이행계획이 누락되어 있는 경우

❖사례 3:법에 따라 의무적으로 이행하여야 할 사항, 보안 취약성이 높은 위험 등을 별도의 보호조치 계획 없이

위험수용으로 결정하여 조치하지 않은 경우

❖사례 4:위험수용에 대한 근거와 타당성이 미흡하고, 시급성 및 구현 용이성 등의 측면에서 즉시 또는 단기

조치가 가능한 위험요인에 대해서도 특별한 사유 없이 장기 조치계획으로 분류한 경우

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

38 ･

1. 3 관리체계 운영

관

항 목 1.3.1 보호대책 구현 리

체

계

선정한 보호대책은 이행계획에 따라 효과적으로 구현하고, 경영진은 이행결과의 정확성과 효과성

인증기준 수

여부를 확인하여야 한다. 립

및

이행계획에 따라 보호대책을 효과적으로 구현하고 이행결과의 정확성 및 효과성 여부를

운

경영진이 확인할 수 있도록 보고하고 있는가? 영

주요 확인사항

관리체계 인증기준별로 보호대책 구현 및 운영 현황을 기록한 운영명세서를 구체적으로

1. 3

작성하고 있는가?

관

리

체

계

세부 설명 운

영

이행계획에 따라 선정된 보호대책을 효과적으로 구현하고 그 이행결과를 정보보호 최고책임자,

개인정보 보호책임자 등 경영진에게 보고하여 이행결과의 정확성 및 효과성 여부를 확인하여야

한다.

이행계획에 따른 진행경과에 대하여 정기적으로 완료 여부, 진행 사항, 미이행 또는 지연이

있는 경우 사유 등을 파악하여 정보보호 최고책임자, 개인정보 보호책임자 등 경영진에게

보고

경영진은 정보보호 및 개인정보보호 대책이 이행계획에 따라 정확하고 효과적으로 이행

되었는지 여부를 검토

미이행, 일정지연 등이 발생한 경우 이에 대한 원인을 분석하여 필요시 이행계획을 변경하고

경영진에게 보고 및 승인

구현 결과에 대한 효과성 및 정확성 검토 결과 적절한 대책으로 판단하기 어렵거나 효과성에

상당한 의문이 제기되는 경우 대안을 수립하거나 추가 위험평가를 통하여 보완할 수 있는

절차 마련

관리체계 인증기준별 보호대책 구현 및 운영 현황을 기록한 운영명세서를 구체적으로 작성

하여야 한다.

인증기준 선정 여부(Yes/No) 확인 : ʻ관리체계 수립 및 운영ʼ 영역은 필수사항

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

39 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

운영 현황 : 해당기관의 정책 및 인증기준 대비 운영 현황을 상세히 기재

관련문서(정책, 지침 등) : 해당 기준에 해당되는 관련 문서명과 세부 문서번호를 명확히 기재

기록(증적자료) : 관련 문서, 결재 내용, 회의록 등 해당 기준이 실제 운영되는 과정에서 생성되는

문서 또는 증적자료 제시

인증기준 미선정 시 사유 : 인증범위 내의 서비스, 시스템 등이 해당 항목에 전혀 관련이

없는 경우에 미선정 사유를 상세하게 기입

결함 사례

❖사례 1:정보보호 및 개인정보보호 대책에 대한 이행완료 결과를 정보보호 최고책임자 및 개인정보보호

책임자에게 보고하지 않은 경우

❖사례 2:위험조치 이행결과보고서는 ʻ조치 완료ʼ로 명시되어 있으나, 관련된 위험이 여전히 존재하거나

이행결과의 정확성 및 효과성이 확인되지 않은 경우

❖사례 3:전년도 정보보호대책 이행계획에 따라 중･장기로 분류된 위험들이 해당연도에 구현이 되고 있지

않거나 이행결과를 경영진이 검토 및 확인하고 있지 않은 경우

❖사례 4:운영명세서에 작성된 운영 현황이 실제와 일치하지 않고, 운영명세서에 기록되어 있는 관련 문서,

결재 내용, 회의록 등이 존재하지 않는 경우

❖사례 5:이행계획 시행에 대한 결과를 정보보호 최고책임자 및 개인정보 보호책임자에게 보고하였으나, 일부

미이행된 건에 대한 사유 보고 및 후속 조치가 이루어지지 않은 경우

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

40 ･

항 목 1.3.2 보호대책 공유 1

관

보호대책의 실제 운영 또는 시행할 부서 및 담당자를 파악하여 관련 내용을 공유하고 교육하여

인증기준 리

지속적으로 운영되도록 하여야 한다. 체

계

구현된 보호대책을 운영 또는 시행할 부서 및 담당자를 명확하게 파악하고 있는가? 수

립

주요 확인사항 구현된 보호대책을 운영 또는 시행할 부서 및 담당자에게 관련 내용을 공유 또는 교육하고 및

있는가? 운

영

1. 3

세부 설명 관

리

체

구현된 보호대책을 운영 또는 시행할 부서 및 담당자를 명확하게 파악하여야 한다. 계

운

영

※ 보호대책의 운영 또는 시행 부서(예시)

∙인프라 운영부서 : 서버 및 네트워크 장비 보안설정, 인프라 운영자 계정관리･권한관리 등

∙개발 부서 : 개발보안, 소스코드보안, 개발환경에 대한 접근 등

∙개인정보 취급부서 : 취급자 권한 관리(응용프로그램), 개인정보 파기, PC 저장 시 암호화 등

∙정보보호 운영부서 : 접근통제 장비 운영, 보안 모니터링 등

∙인사부서 : 퇴직자 보안관리 등

정보보호 및 개인정보보호 관리체계를 내재화하기 위하여 구현된 보호대책을 운영 또는 시행할

부서 및 담당자에게 관련 내용을 공유 또는 교육하여야 한다.

공유 내용 : 정보보호 및 개인정보보호 정책과 시행문서의 제･개정 사항, 정보보호 및 개인정보보호

대책 이행계획 및 구현결과, 보안시스템 신규 도입 및 개선사항 등

공유 대상 : 해당 정책･지침 및 보호대책을 실제 운영 또는 시행할 부서 및 담당자

공유 방법 : 게시판 및 이메일 공지(간단한 이슈인 경우), 회의, 설명회, 교육 등

결함 사례

❖사례 1:정보보호대책을 마련하여 구현하고 있으나, 관련 내용을 충분히 공유･교육하지 않아 실제 운영 또는

수행 부서 및 담당자가 해당 내용을 인지하지 못하고 있는 경우

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

41 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

항 목 1.3.3 운영현황 관리

조직이 수립한 관리체계에 따라 상시적 또는 주기적으로 수행하여야 하는 운영활동 및 수행 내역은

인증기준 식별 및 추적이 가능하도록 기록하여 관리하고, 경영진은 주기적으로 운영 활동의 효과성을

확인하여 관리하여야 한다.

관리체계 운영을 위하여 주기적 또는 상시적으로 수행하여야 하는 정보보호 및 개인정보보호

활동을 문서화하여 관리하고 있는가?

정보통신망법 제45조의3(정보보호 최고책임자의 지정 등) 제4항제1호

주요 확인사항

개인정보 보호법 제31조(개인정보 보호책임자의 지정) 제2항

경영진은 주기적으로 관리체계 운영활동의 효과성을 확인하고 이를 관리하고 있는가?

개인정보 보호법 제31조(개인정보 보호책임자의 지정) 제3항, 제4항

세부 설명

관리체계의 효과적인 운영을 위하여 일･주･월･분기･반기･년 단위의 주기적 또는 상시적인

활동이 요구되는 정보보호 및 개인정보보호 활동을 식별하고, 그 운영현황을 쉽게 확인할 수

있도록 수행 주기 및 시점, 수행 주체(담당부서, 담당자) 등을 정의한 문서(운영현황표)를 작성

하여 관리하여야 한다.

※ 주기적인 정보보호 및 개인정보보호 활동(예시)

∙주요직무자, 개인정보취급자의 접속기록 검토

∙주요직무자의 접근권한 검토

∙정기 정보보호 및 개인정보보호위원회 개최

∙정보보호 및 개인정보보호 교육

∙사무실 보안점검

∙정보보호 및 개인정보보호 정책･지침 개정 검토

∙법적 준거성 검토

∙침해 대응 모의훈련, IT 재해 복구 모의훈련

∙내부감사 등

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

42 ･

경영진은 주기적으로 관리체계 운영활동의 효과성을 확인하고, 문제점이 발견된 경우 이를

개선하는 등 관리하여야 한다.

관

리

관리체계 운영활동이 운영현황표에 따라 주기적･상시적으로 이루어지고 있는지 정기적으로 체

계

확인하여 경영진에게 보고 수

립

경영진은 관리체계 운영활동의 효과성을 평가하여 필요시 개선 조치(수행주체 변경, 수행 주기 및

운

조정, 운영활동의 추가･변경･삭제 등)

영

1. 3

결함 사례

관

❖사례 1:정보보호 및 개인정보보호 관리체계 운영현황 중 주기적 또는 상시적인 활동이 요구되는 활동 현황을 리

체

문서화하지 않은 경우

계

❖사례 2:정보보호 및 개인정보보호 관리체계 운영현황에 대한 문서화는 이루어졌으나, 해당 운영현황에 대한 운

주기적인 검토가 이루어지지 않아 월별 및 분기별 활동이 요구되는 일부 정보보호 및 개인정보보호 영

활동이 누락되었고 일부는 이행 여부를 확인할 수 없는 경우

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

43 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

1. 4 관리체계 점검 및 개선

항 목 1.4.1 법적 요구사항 준수 검토

조직이 준수하여야 할 정보보호 및 개인정보보호 관련 법적 요구사항을 주기적으로 파악하여

인증기준

규정에 반영하고, 준수 여부를 지속적으로 검토하여야 한다.

조직이 준수하여야 하는 정보보호 및 개인정보보호 관련 법적 요구사항을 파악하여 최신성을

유지하고 있는가?

개인정보의 안전성 확보조치 기준 제4조(내부 관리계획의 수립･시행) 제3항

법적 요구사항의 준수 여부를 연 1회 이상 정기적으로 검토하고 있는가?

개인정보의 안전성 확보조치 기준 제4조(내부 관리계획의 수립･시행) 제4항

개인정보의 기술적･관리적 보호조치 기준 제3조(내부관리계획의 수립･시행) 제1항제4호

주요 확인사항

경영진은 전자금융거래 안전성 확보 및 이용자 보호와 개인신용정보의 관리 및 보호 실태에

대한 법적 요구사항에 대해 준수 여부를 정기적으로 점검하고 최고경영자에게 보고하고

있는가?

전자금융감독규정 제8조(인력, 조직 및 예산) 제1항제4호, 제37조의5(정보보호최고책임자의 업무)

신용정보법 제20조(신용정보 관리책임의 명확화 및 업무처리기록의 보존) 제4항제1호, 제6항

신용정보법 시행령 제17조(신용정보관리･보호인의 지정) 제8항

세부 설명

조직이 준수하여야 하는 정보보호 및 개인정보보호 관련 법적 요구사항을 파악하여 최신성을

유지하여야 한다.

조직이 준수하여야 하는 정보보호 및 개인정보보호 관련 법규 파악

※ 정보보호 및 개인정보보호 관련 법률(예시)

∙정보통신망 이용촉진 및 정보보호 등에 관한 법률 ∙저작권법

∙위치정보의 보호 및 이용 등에 관한 법률 ∙전자서명법

∙전자금융거래법 ∙산업기술의 유출방지 및 보호에 관한 법률

∙전자상거래 등에서의 소비자보호에 관한 법률 ∙부정경쟁방지 및 영업비밀보호에 관한 법률

∙개인정보 보호법 ∙전자정부법

∙신용정보의 이용 및 보호에 관한 법률 ∙소프트웨어 진흥법

∙정보통신기반 보호법 ∙통신비밀보호법

∙클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률 ∙전기통신사업법 등

∙정보보호산업의 진흥에 관한 법률 ∙특정 금융거래정보의 보고 및 이용 등에 관한 법률

∙가상자산 이용자 보호 등에 관한 법률 등

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

44 ･

관련 법규의 제･개정 현황을 지속적으로 모니터링하여 제･개정이 이루어질 경우 조직에 미치는

영향을 분석하고 필요시 내부 정책･지침 및 체크리스트 등에 반영하여 최신성 유지

관

리

[참고] 개인정보 손해배상 책임보장 제도 체

계

수

∙근거 : 개인정보 보호법 제39조의9(손해배상의 보장) 및 동법 시행령 제48조의7 립

∙적용 대상 : 정보통신서비스제공자 및 그로부터 개인정보를 제공받는 자(정보통신서비스 제공자등) 및

∙보험 또는 공제 최저 가입금액(또는 준비금 최소적립금액) 운

영

적용 대상 사업자의 가입금액 산정요소

최저 가입금액

이용자 수(전년도 말 기준 직전 1.4

매출액(직전 사업연도) (최소 적립금액)

3개월간 일일평균 저장･관리)

800억 원 초과 10억 원 관

리

100만 명 이상 50억 원 초과 ~ 800억 원 이하 5억 원

체

5천만 원 이상 ~ 50억 원 이하 2억 원 계

800억 원 초과 5억 원

점

10만 명 이상 ~ 100만 명 미만 50억 원 초과 ~ 800억 원 이하 2억 원 검

5천만 원 이상 ~ 50억 원 이하 1억 원 및

800억 원 초과 2억 원

개

1천 명 이상 ~ 10만 명 미만 50억 원 초과 ~ 800억 원 이하 1억 원 선

5천만 원 이상 ~ 50억 원 이하 5천만 원

[참고] 정보보호 공시 제도

∙근거 : 정보보호산업법 제13조(정보보호 공시) 및 동법 시행령 제8조

∙공시내용 : 정보보호 투자 현황, 정보보호 인력 현황, 정보보호 관련 인증･평가･점검 등에 관한 사항,

정보보호 활동을 정보보호 현황 서식에 작성

∙공시기한 : 매년 6월 30일까지 정보보호 현황 제출(자율･의무공시)

∙정보보호 공시 의무대상 기준(다만 공공기관, 소기업, 금융회사, 일부 전자금융업자는 예외)

회선설비 보유 기간통신사업자(ISP) ※ 전기통신사업법 제6조제1항

사업분야 ･ 집적정보통신시설 사업자(IDC) ※ 정보통신망법 제46조

상급종합병원 ※ 의료법 제3조의4

클라우드컴퓨팅 서비스제공자 ※ 클라우드컴퓨팅법 시행령 제3조제1호

매출액

정보보호 최고책임자 지정･신고 상장법인 중 매출액 3,000억 원 이상

이용자 수 ･ 정보통신서비스 일일평균 이용자 수 100만 명 이상(전년도 말 직전 3개월간)

법적 요구사항의 준수 여부를 연 1회 이상 정기적으로 검토하여야 한다.

법적 요구사항의 준수 여부를 정기적으로 검토할 수 있는 절차 수립(검토 주기, 대상, 담당자,

방법 등) 및 이행

법적 요구사항 준수 검토 결과 발견된 문제점에 대하여 신속하게 개선조치

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

45 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

경영진은 전자금융거래 안전성 확보 및 이용자 보호와 개인신용정보의 관리 및 보호 실태에

대해 법적 요구사항 준수 점검체계에 따라 정기적으로 임직원의 준수 여부를 점검하고, 그 결과를

최고경영자에게 보고하여야 한다.

정보보호 최고책임자(CISO)는 정보보안 관련 법규 준수 여부를 정기적으로 점검하고, 그

결과를 최고경영자에게 보고

신용정보관리･보호인은 처리하는 개인신용정보의 관리 및 보호실태를 점검하고 그 결과를

대표자 및 이사회에 보고

결함 사례

❖사례 1:정보통신망법 및 개인정보 보호법이 최근 개정되었으나 개정사항이 조직에 미치는 영향을 검토하지

않았으며, 정책서 및 시행문서에도 해당 내용을 반영하지 않아 정책서 및 시행문서 내용이 법령

내용과 일치하지 않은 경우

❖사례 2:조직에서 준수하여야 할 법률이 개정되었으나, 해당 법률 준거성 검토를 1년 이상 수행하지 않은 경우

❖사례 3:법적 준거성 준수 여부에 대한 검토가 적절히 이루어지지 않아 개인정보 보호법, 전자금융거래법,

신용정보법 등 법규 위반 사항이 다수 발견된 경우

❖사례 4:개인정보 보호법에 따라 개인정보 손해배상책임 보장제도 적용 대상이 되었으나, 이를 인지하지

못하여 보험 가입이나 준비금 적립을 하지 않은 경우 또는 보험 가입을 하였으나, 이용자 수 및

매출액에 따른 최저가입금액 기준을 준수하지 못한 경우

❖사례 5:정보보호 공시 의무대상 사업자이지만 법에 정한 시점 내에 정보보호 공시가 시행되지 않은 경우

❖사례 6:정보보호최고책임자는 정보보안점검의 날을 지정하고, 임직원이 정보보안 점검항목을 준수했는지

매월 점검하고 그 점검 결과 및 보완 계획을 최고경영자에 보고하여야 하나, 점검을 실시하지

않았거나 최고 경영자에게 보고를 누락한 경우

❖사례 7:모바일앱을 통해 위치정보사업자로부터 이용자의 개인위치정보를 전송받아 서비스에 이용하고

있으나, 위치기반서비스사업 신고를 하지 않은 경우

❖사례 8:국내에 주소 또는 영업소가 없는 개인정보처리자로서 전년도 말 기준 직정 3개월 간 그 개인정보가

저장·관리되고 있는 국내 정보주체의 수가 일일평균 100만명 이상인 자에 해당되어 국내대리인

지정의무에 해당됨에도 불구하고, 국내대리인을 문서로 지정하지 않은 경우

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

46 ･

항 목 1.4.2 관리체계 점검 1

관

관리체계가 내부 정책 및 법적 요구사항에 따라 효과적으로 운영되고 있는지 독립성과 전문성이

인증기준 리

확보된 인력을 구성하여 연 1회 이상 점검하고, 발견된 문제점을 경영진에게 보고하여야 한다. 체

계

법적 요구사항 및 수립된 정책에 따라 정보보호 및 개인정보보호 관리체계가 효과적으로 수

립

운영되는지를 점검하기 위한 관리체계 점검기준, 범위, 주기, 점검인력 자격요건 등을 포함한

및

관리체계 점검 계획을 수립하고 있는가?

운

주요 확인사항 영

관리체계 점검 계획에 따라 독립성, 객관성 및 전문성이 확보된 인력을 구성하여 연 1회 이상

점검을 수행하고 발견된 문제점을 경영진에게 보고하고 있는가?

1. 4

개인정보의 안전성 확보조치 기준 제4조(내부 관리계획의 수립･시행) 제4항

관

리

체

계

점

세부 설명 검

및

법적 요구사항 및 수립된 정책에 따라 정보보호 및 개인정보보호 관리체계가 효과적으로 운영 개

선

되는지를 점검하기 위한 관리체계 점검기준, 범위, 주기, 점검인력 자격요건 등을 포함한 관리

체계 점검 계획을 수립하고 경영진에게 보고하여야 한다.

점검기준 : 정보보호 및 개인정보보호 관리체계 인증기준 포함

점검범위 : 전사 또는 인증범위 포함

점검주기 : 최소 연 1회 이상 수행 필요

점검인력 자격요건 : 점검의 객관성, 독립성 및 전문성을 확보할 수 있도록 자격요건 정의

관리체계 점검 계획에 따라 독립성, 객관성 및 전문성이 확보된 인력을 구성하여 연 1회 이상

점검을 수행하고 발견된 문제점을 정보보호 최고책임자, 개인정보 보호책임자 등 경영진에게

보고하여야 한다.

점검의 객관성, 독립성 및 전문성을 확보할 수 있도록 점검조직 구성

점검 계획에 따라 연 1회 이상 점검 수행

점검 결과 발견된 문제점에 대해서는 조치계획을 수립･이행하고, 조치 완료 여부에 대하여

추가 확인

점검 결과보고서를 작성하여 정보보호 최고책임자 및 개인정보 보호책임자 등 경영진에게 보고

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

47 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

결함 사례

❖사례 1:관리체계 점검 인력에 점검 대상으로 식별된 전산팀 직원이 포함되어 있어 점검의 독립성이 훼손된

경우

❖사례 2:금년도 관리체계 점검을 실시하였으나, 점검범위가 일부 영역에 국한되어 있어 정보보호 및

개인정보보호 관리체계 범위를 충족하지 못한 경우

❖사례 3:관리체계 점검 시 발견된 문제점에 대하여 조치계획을 수립하지 않았거나 조치 완료 여부를 확인하지

않은 경우

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

48 ･

항 목 1.4.3 관리체계 개선 1

관

법적 요구사항 준수검토 및 관리체계 점검을 통하여 식별된 관리체계상의 문제점에 대한

리

인증기준 원인을 분석하고 재발방지 대책을 수립･이행하여야 하며, 경영진은 개선 결과의 정확성과 효과성 체

계

여부를 확인하여야 한다.

수

립

법적 요구사항 준수검토 및 관리체계 점검을 통하여 식별된 관리체계 상의 문제점에 대한 근본

및

원인을 분석하여 재발방지 및 개선 대책을 수립･이행하고 있는가?

운

영

주요 확인사항 개인정보의 안전성 확보조치 기준 제4조(내부 관리계획의 수립･시행) 제4항

재발방지 및 개선 결과의 정확성 및 효과성 여부를 확인하기 위한 기준과 절차를 마련하고 1.4

있는가?

관

리

체

계

점

세부 설명 검

및

법적 요구사항 준수검토 및 관리체계 점검을 통하여 식별된 관리체계상의 문제점에 대한 근본 개

선

원인을 분석하여 재발방지 및 개선 대책을 수립･이행하여야 한다.

점검 결과 발견된 문제점에 대해서는 조치계획을 수립·이행하고, 조치 완료 여부에 대하여

추가 확인

식별된 관리체계 상의 문제점 및 결함사항에 대한 근본 원인 분석

근본원인 분석결과를 바탕으로 발견된 문제점의 재발방지 및 개선을 위한 대책의

수립･이행

※ 재발방지 대책(예시)

∙정보보호 및 개인정보보호 정책･지침･절차 개정

∙임직원 및 외부자에 대한 교육 강화 또는 개선

∙이상행위 등에 대한 모니터링 강화

∙정보보호 및 개인정보보호 운영 자동화(계정관리 등)

∙정보보호 및 개인정보보호 관련 검토･승인 절차 개선

∙내부점검 체크리스트 또는 방식 개선 등

수립된 재발방지 대책에 대하여 관련자들에게 공유 및 교육 실시

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

49 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

재발방지 및 개선 결과의 정확성 및 효과성 여부를 확인하기 위한 기준과 절차를 마련하여야 한다.

재발방지 및 개선조치의 정확성 및 효과성을 측정하기 위하여 관리체계 측면에서의 핵심성과지표

(보안성과지표) 도출

※ 재발방지 및 개선조치 관련 보안성과지표(예시)

∙보안정책･지침 위반율(외부 전송규정 위반율, 보안우회 시도율 등)

∙보안 예외 승인 건수

∙보안 프로그램 설치율

∙악성프로그램 감염률

∙자가점검 수행률 등

핵심성과지표(보안성과지표)에 대한 측정 및 모니터링 절차 수립･이행

재발방지 및 개선조치의 정확성･효과성에 대한 확인 및 측정 결과는 경영진에게 보고

결함 사례

❖사례 1:내부점검을 통하여 발견된 정보보호 및 개인정보보호 관리체계 운영상 문제점이 매번 동일하게

반복되어 발생되는 경우

❖사례 2:내부 규정에는 내부점검 시 발견된 문제점에 대해서는 근본원인에 대한 분석 및 재발방지 대책을

수립하도록 되어 있으나, 최근에 수행된 내부점검에서는 발견된 문제점에 대하여 근본원인 분석 및

재발방지 대책이 수립되지 않은 경우

❖사례 3:관리체계상 문제점에 대한 재발방지 대책을 수립하고 핵심성과지표를 마련하여 주기적으로 측정하고

있으나, 그 결과에 대하여 경영진 보고가 장기간 이루어지지 않은 경우

❖사례 4:관리체계 점검 시 발견된 문제점에 대하여 조치계획을 수립하지 않았거나 조치 완료 여부를 확인하지

않은 경우

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

50 ･

2 보호대책 요구사항 2

보

호

대

2. 1 정책, 조직, 자산 관리

책

요

항 목 2.1.1 정책의 유지관리 구

사

항

정보보호 및 개인정보보호 관련 정책과 시행문서는 법령 및 규제, 상위 조직 및 관련 기관

인증기준 정책과의 연계성, 조직의 대내외 환경변화 등에 따라 주기적으로 검토하여 필요한 경우

제･개정하고 그 내역을 이력 관리하여야 한다.

정보보호 및 개인정보보호 관련 정책 및 시행문서에 대한 정기적인 타당성 검토 절차를 2.1

수립･이행하고 있는가?

정

책,

조직의 대내외 환경에 중대한 변화 발생 시 정보보호 및 개인정보보호 관련 정책 및

조

시행문서에 미치는 영향을 검토하고 필요시 제･개정하고 있는가? 직,

개인정보의 안전성 확보조치 기준 제4조(내부관리계획의 수립･시행 및 점검) 제3항 자

산

주요 확인사항

정보보호 및 개인정보보호 관련 정책 및 시행문서의 제･개정 시 이해 관계자의 검토를 받고

관

있는가? 리

정보보호 및 개인정보보호 관련 정책 및 시행문서의 제･개정 내역에 대하여 이력관리를 하고

있는가?

개인정보의 안전성 확보조치 기준 제4조(내부관리계획의 수립･시행 및 점검) 제3항

세부 설명

정보보호 및 개인정보보호 관련 정책 및 시행문서(지침, 절차, 가이드 문서 등)에 대하여 정기적인

타당성 검토 절차를 수립･이행하고, 필요시 관련 정책 및 시행 문서를 제･개정하여야 한다.

정보보호 및 개인정보보호 관련 정책과 시행문서의 정기 타당성 검토 절차 수립

※ 정기 타당성 검토 절차에 포함되어야 할 사항(예시)

∙검토 주기 및 시기 : 연 1회 이상 검토 필요

∙관련 조직별 역할 및 책임

∙담당 부서 및 담당자

∙검토 방법

∙후속조치 절차 : 정책 및 시행문서 제･개정이 필요한 경우 관련 절차, 내부 협의 및 보고 절차 등

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

51 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

법령 및 규제, 상위 조직 및 관련기관의 정책과의 연계성, 조직의 대내외 환경변화 등을 반영할

수 있도록 다음 사항을 고려하여 타당성 검토 수행

∙ 상위조직 및 관련기관의 정보보호 및 개인정보보호 정책과의 연계성 등을 분석하여 상호

부합되지 않은 요소 존재 여부, 정책 간 상하체계 적절성 여부 검토

∙ 정보보호 및 개인정보보호 활동의 주기, 수준, 방법 등 문서 간 일관성 유지 여부 검토

∙ 정보보호 및 개인정보보호 관련 법규 제･개정사항(예정 사항 포함) 발생 여부 및 이러한

사항들이 정책과 시행문서에 적절히 반영되었는지 여부 검토

∙ 위험평가 및 관리체계 점검 결과 반영

∙ 새로운 위협 및 취약점 발견, 비즈니스 환경의 변화, 신기술 도입 등 IT 환경의 변화, 정보보호

및 개인정보보호 환경의 변화 등 반영

다음과 같이 조직의 대내외 환경에 중대한 변화 발생 시 정보보호 및 개인정보보호 관련 정책

및 시행문서에 미치는 영향을 검토하고 필요시 제･개정하여야 한다.

정보보호 및 개인정보보호 관련 법규 제･개정

비즈니스 환경의 변화(신규 사업 영역 진출, 대규모 조직개편 등)

정보보호, 개인정보보호 및 IT 환경의 중대한 변화(신규 보안시스템 또는 IT 시스템 도입 등)

내･외부의 중대한 보안사고 발생

새로운 위협 또는 취약성 발견 등

정보보호 및 개인정보보호 관련 정책 및 시행 문서를 제･개정하는 경우 이해관계자와 해당

내용을 충분히 협의･검토하여야 한다.

정보보호 최고책임자 및 개인정보 보호책임자, 정보보호 및 개인정보보호 관련 조직,

IT 부서, 중요정보 및 개인정보 처리부서, 중요정보취급자 및 개인정보취급자 등

이해관계자 식별 및 협의

정보보호 및 개인정보보호 관련 정책 및 시행문서 변경으로 인한 업무 영향도, 법적

준거성 등 고려

회의록 등 검토 사항에 대한 증적을 남기고 정책･지침 등에 관련 사항 반영

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

52 ･

정보보호 및 개인정보보호 관련 정책 및 시행문서의 변경사항(제정, 개정, 배포, 폐기 등)에

관한 이력을 기록･관리하기 위하여 문서관리 절차를 마련하고 이행하여야 한다.

보

호

문서 내에 문서버전, 일자, 개정 사유, 작성자, 승인자 등 개정이력을 기록하여 관리 대

책

관련 임직원들이 항상 최신본을 참조할 수 있도록 배포 및 관리 요

구

사

항

결함 사례

❖사례 1:지침서와 절차서 간 패스워드 설정 규칙에 일관성이 없는 경우

❖사례 2:정보보호 활동(정보보호 교육, 암호화, 백업 등)의 대상, 주기, 수준, 방법 등이 관련 내부 규정, 지침,

2. 1

절차에 서로 다르게 명시되어 일관성이 없는 경우

❖사례 3:데이터베이스에 대한 접근 및 작업이력을 효과적으로 기록 및 관리하기 위하여 데이터베이스 접근통제 정

책,

솔루션을 신규로 도입하여 운영하고 있으나, 보안시스템 보안 관리지침 및 데이터베이스 보안

조

관리지침 등 내부 보안지침에 접근통제, 작업이력, 로깅, 검토 등에 관한 사항이 반영되어 있지 않은 경우

직,

❖사례 4:개인정보보호 정책이 개정되었으나 정책 시행 기준일이 명시되어 있지 않으며, 관련 정책의 작성일,

자

작성자 및 승인자 등이 누락되어 있는 경우

산

❖사례 5:개인정보 보호 관련 법령, 고시 등에 중대한 변경사항이 발생하였으나, 이러한 변경이 개인 정보보호

관

정책 및 시행문서에 미치는 영향을 검토하지 않았거나 변경사항을 반영하여 개정하지 않은 경우

리

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

53 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

항 목 2.1.2 조직의 유지관리

조직의 각 구성원에게 정보보호와 개인정보보호 관련 역할 및 책임을 할당하고, 그 활동을 평가

인증기준 할 수 있는 체계와 조직 및 조직의 구성원 간 상호 의사소통할 수 있는 체계를 수립하여 운영하

여야 한다.

정보보호 및 개인정보보호 관련 책임자와 담당자의 역할 및 책임을 명확히 정의하고 있는가?

정보통신망법 제45조의3(정보보호 최고책임자의 지정 등)

개인정보 보호법 제31조(개인정보 보호책임자의 지정)

개인정보 보호법 시행령 제32조(개인정보 보호책임자의 업무 및 지정요건 등) 제1항

전자금융거래법 제21조의2(정보보호 최고책임자 지정)

전자금융거래법 시행령 제11조의3(정보보호 최고책임자 지정대상 금융회사 등) 제3항

주요 확인사항 전자금융감독규정 제37조의5(정보보호 최고책임자의 업무)

신용정보법 제20조(신용정보 관리책임의 명확화 및 업무처리기록의 보존) 제4항

개인정보의 안전성 확보조치 기준 제4조(내부 관리계획의 수립･시행 및 점검) 제1항제3호

정보보호 및 개인정보보호 관련 책임자와 담당자의 활동을 평가할 수 있는 체계를 수립하고

있는가?

정보보호 및 개인정보보호 관련 조직 및 조직의 구성원 간 상호 의사소통할 수 있는 체계 및

절차를 수립･이행하고 있는가?

세부 설명

정보보호 및 개인정보보호 업무 수행과 관련된 조직의 특성을 고려하여 관련 책임자와 담당자의

역할 및 책임을 시행문서에 구체적으로 정의하여야 한다.

정보보호 최고책임자 및 개인정보 보호책임자, 신용정보관리･보호인

정보보호, 개인정보보호 관리자 및 담당자

부서별 정보보호, 개인정보보호 책임자 및 담당자

정보보호 최고책임자, 개인정보 보호책임자, 신용정보관리･보호인은 법적 요구사항 등을

반영하여 다음과 같은 업무를 수행

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

54 ･

정보보호 최고책임자(정보통신망법) 정보보호 최고책임자(전자금융거래법)

∙정보보호 관리체계의 수립･시행 및 개선 ∙전자금융거래의 안정성 확보 및 이용자 보호를 위한 전략

보

∙정보보호 실태와 관행의 정기적인 감사 및 개선 및 계획의 수립 호

대

∙정보기술부문의 보호

책

∙정보보호 위험의 식별 평가 및 정보보호 대책 마련 ∙정보기술부문의 보안에 필요한 인력관리 및 예산 편성 요

구

∙정보보호 교육과 모의 훈련 계획의 수립 및 시행 ∙전자금융거래의 사고예방 및 조치

사

∙그 밖에 정보통신망법 또는 관계 법령에 따라 ∙전자금융업무 및 그 기반이 되는 정보기술부문 보안을 항

정보보호를 위하여 필요한 조치의 이행 위한 자체심의에 관한 사항

∙정보기술부문 보안에 관한 임직원 교육에 관한 사항

개인정보 보호책임자 신용정보관리･보호인

2. 1

∙개인정보 보호 계획의 수립 및 시행 ※ 개인신용정보의 경우

∙개인정보 처리 실태 및 관행의 정기적인 조사 및 ∙「개인정보 보호법」제31조제3항제1호부터 제5호까지에 정

책,

개선 따른 업무

조

∙개인정보 처리와 관련한 불만의 처리 및 피해 구제 ∙임직원 및 전속 모집인 등의 신용정보보호 관련 법령 및 직,

∙개인정보 유출 및 오･남용 방지를 위한 규정 준수 여부 점검 자

내부통제시스템의 구축 ∙그 밖에 신용정보의 관리 및 보호를 위하여 대통령령으로 산

∙ 개인정보 보호 교육 계획의 수립 및 시행 정하는 업무 관

리

∙ 개인정보파일의 보호 및 관리･감독 ※ 기업신용정보의 경우

∙ 개인정보 처리방침의 수립･변경 및 시행 ∙신용정보의 수집･보유･제공･삭제 등 관리 및 보호 계획의

수립 및 시행

∙ 개인정보보호 관련 자료의 관리

∙신용정보의 수집･보유･제공･삭제 등 관리 및 보호 계획

∙처리목적이 달성되거나 보유기간이 경과한

실태와 관행에 대한 정기적인 조사 및 개선

개인정보의 파기

∙신용정보 열람 및 정정청구 등 신용정보주체의 권리행사

및 피해구제

∙신용정보 유출 등을 방지하기 위한 내부통제시스템의

구축 및 운영

∙임직원 및 전속 모집인 등에 대한 신용정보보호

교육계획의 수립 및 시행

∙임직원 및 전속 모집인 등의 신용정보보호 관련 법령 및

규정 준수 여부 점검

∙그 밖에 신용정보의 관리 및 보호를 위하여 대통령령으로

정하는 업무

정보보호 및 개인정보보호 관리자, 보호담당자, 보호실무자 등이 정보보호 최고책임자 및

개인정보 보호책임자, 신용정보관리･보호인의 관리 업무를 실무적으로 지원･이행할 수 있도록

직무기술서 등을 통하여 책임 및 역할을 구체적으로 정의

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

55 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

정보보호 및 개인정보보호 관련 책임자와 담당자의 활동을 평가할 수 있는 체계를 수립하여야

한다.

조직 내 핵심성과지표(KPI), MBO(Management By Objectives), 인사평가 등 정보보호

및 개인정보보호 활동을 평가할 수 있는 방안을 마련하여 주기적으로 평가

정보보호 및 개인정보보호 관련 조직 및 조직의 구성원 간 상호 의사소통할 수 있는 체계 및

절차를 수립･이행하여야 한다.

정보보호 및 개인정보보호 관련 의사소통 관리 계획 수립 및 이행

※ 정보보호 및 개인정보보호 관련 의사소통 관리계획(예시)

∙의사소통 관리 계획 개요 : 목적 및 범위

∙의사소통 체계 : 전사 협의체, 실무 협의체, 위원회 등 보고 및 협의체 운영방안, 참여 대상, 참여대상별

역할 및 책임, 주기 등

∙의사소통 방법 : 보고 및 회의(월간보고, 주간보고 등), 공지, 이메일, 메신저, 정보보호포털 등

∙의사소통 양식 : 유형별 보고서 양식, 회의록 양식 등

결함 사례

❖사례 1:내부 지침 및 직무기술서에 정보보호 최고책임자, 개인정보 보호책임자 및 관련 담당자의 역할과

책임을 정의하고 있으나, 실제 운영현황과 일치하지 않는 경우

❖사례 2:정보보호 최고책임자 및 관련 담당자의 활동을 주기적으로 평가할 수 있는 목표, 기준, 지표 등의

체계가 마련되어 있지 않은 경우

❖사례 3:내부 지침에는 부서별 정보보호 담당자는 정보보호와 관련된 KPI를 설정하여 인사평가시 반영하도록

되어 있으나, 부서별 정보보호 담당자의 KPI에 정보보호와 관련된 사항이 전혀 반영되어 있지 않은 경우

❖사례 4:정보보호 최고책임자 및 개인정보 보호책임자가 지정되어 있으나, 관련 법령에서 요구하는 역할 및

책임이 내부 지침이나 직무기술서 등에 구체적으로 명시되어 있지 않은 경우

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

56 ･

항 목 2.1.3 정보자산 관리 2

보

정보자산의 용도와 중요도에 따른 취급 절차 및 보호대책을 수립･이행하고, 자산별 책임소재를

인증기준 호

명확히 정의하여 관리하여야 한다. 대

책

정보자산의 보안등급에 따른 취급절차(생성･도입, 저장, 이용, 파기) 및 보호대책을 정의하고 요

구

이행하고 있는가?

사

항

주요 확인사항 식별된 정보자산에 대하여 책임자 및 관리자를 지정하고 있는가?

전자금융감독규정 제13조(전산자료 보호대책) 제1항제3호, 제14조(정보처리시스템

보호대책) 제6호, 제15조(해킹 등 방지대책) 제3항

2. 1

정

세부 설명

책,

조

정보자산의 보안등급에 따른 취급절차(생성･도입, 저장, 이용, 파기 등)를 정의하고, 이에 따라 직,

암호화, 접근통제 등 적절한 보호대책을 정의하고 이행하여야 한다. 자

산

임직원이 정보자산별 보안등급(기밀, 대외비, 일반 등)을 식별할 수 있도록 표시 관

리

∙ (전자)문서 : 문서 표지 또는 워터마킹을 통하여 표시

∙ 서버 등 하드웨어 자산 : 자산번호 또는 바코드 표시를 통한 보안등급 확인

정보자산 보안등급별로 취급절차(생성･도입, 저장, 이용, 파기 등) 및 보안통제 기준 수립･이행

식별된 정보자산에 대하여 자산 도입, 변경, 폐기, 반출입, 보안관리 등의 책임을 질 수 있는

책임자와 자산을 실제 관리･운영하는 책임자, 관리자(또는 담당자)를 지정하여 책임소재를

명확하게 하여야 한다.

정보자산별로 책임자 및 관리자를 지정하고 자산목록에 기록

퇴직, 전보 등 인사이동이 발생하거나 정보자산의 도입･변경･폐기 등으로 정보자산 현황이

변경될 경우 정보자산별 책임자 및 담당자를 파악하여 자산목록에 반영

결함 사례

❖사례 1:내부 지침에 따라 문서에 보안등급을 표기하도록 되어 있으나, 이를 표시하지 않은 경우

❖사례 2:정보자산별 담당자 및 책임자를 식별하지 않았거나, 자산목록 현행화가 미흡하여 퇴직, 전보 등

인사이동이 발생하여 주요 정보자산의 담당자 및 책임자가 변경되었음에도 이를 식별하지 않은 경우

❖사례 3:식별된 정보자산에 대한 중요도 평가를 실시하여 보안등급을 부여하고 정보 자산목록에 기록하고

있으나, 보안등급에 따른 취급절차를 정의하지 않은 경우

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

57 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

2. 2 인적 보안

항 목 2.2.1 주요 직무자 지정 및 관리

개인정보 및 중요정보의 취급이나 주요 시스템 접근 등 주요 직무의 기준과 관리방안을 수립하

인증기준

고, 주요 직무자를 최소한으로 지정하여 그 목록을 최신으로 관리하여야 한다.

개인정보 및 중요정보의 취급, 주요 시스템 접근 등 주요 직무의 기준을 명확히 정의하고

있는가?

주요 직무를 수행하는 임직원 및 외부자를 주요 직무자로 지정하고 그 목록을 최신으로

관리하고 있는가?

업무상 개인정보를 취급하는 자를 개인정보취급자로 지정하고 목록을 최신으로 관리하고

주요 확인사항 있는가?

업무 필요성에 따라 주요 직무자 및 개인정보취급자 지정을 최소화하는 등 관리방안을

수립･이행하고 있는가?

개인정보 보호법 제28조(개인정보취급자에 대한 감독), 제29조(안전조치의무)

개인정보의 안전성 확보조치 기준 제4조(내부 관리계획의 수립･시행 및 점검)

표준 개인정보 보호지침 제15조(개인정보취급자에 대한 감독)

세부 설명

개인정보 및 중요정보의 취급, 주요 시스템 접근 등 주요 직무의 기준을 명확히 정의하여야 한다.

※ 주요 직무의 기준(예시)

∙중요정보(개인정보, 인사정보, 영업비밀, 산업기밀, 재무정보 등) 취급

∙중요 정보시스템(서버, 데이터베이스, 응용프로그램 등) 및 개인정보처리시스템 운영･관리

∙정보보호 및 개인정보보호 관리 업무 수행

∙보안시스템 운영 등

주요 직무를 수행하는 임직원 및 외부자를 주요 직무자로 지정하고 그 목록을 최신으로 관리

하여야 한다.

주요 직무자 현황을 파악하여 주요 직무자로 공식 지정

지정된 주요 직무자에 대하여 목록으로 관리

주요 직무자의 신규 지정 및 변경, 해제 시 목록 업데이트

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

58 ･

정기적으로 주요 직무자 지정 현황 및 적정성을 검토하여 목록 최신화

보

업무상 개인정보를 취급하는 자를 개인정보취급자로 지정하고 목록을 최신으로 관리하여야 한다. 호

대

책

업무상 개인정보를 처리하는 개인정보취급자에 대해서는 목록으로 관리

요

구

개인정보취급자 목록에는 개인정보 처리업무에 대한 위탁을 받은 수탁자의 개인정보취급자도 사

항

포함(다만 수탁자의 개인정보취급자 중 개인정보처리시스템에 접근권한이 없는 개인정보취급자에

대한 목록관리는 수탁자 자체적으로 관리 가능)

정기적으로 개인정보취급자 지정 현황 및 적정성을 검토하여 목록 최신화

2. 2

인

※ 개인정보취급자의 정의 적

∙임직원, 파견근로자, 시간제근로자 등 개인정보처리자의 지휘･감독을 받아 개인정보를 처리하는 자 보

안

업무 필요성에 따라 주요 직무자 및 개인정보취급자 지정을 최소화하는 등 관리방안을 수립･

이행하여야 한다.

업무상 반드시 필요한 경우에 한하여 주요 직무자 및 개인정보취급자로 지정

주요 직무자 및 개인정보취급자 권한 신청 및 부여에 대한 승인 절차 마련

주요 직무자 및 개인정보취급자에 대한 관리 및 통제방안 수립･이행(교육, 모니터링 등)

결함 사례

❖사례 1:주요 직무자 명단(개인정보취급자 명단, 비밀정보관리자 명단 등)을 작성하고 있으나, 대량의

개인정보 등 중요정보를 취급하는 일부 임직원(DBA, DLP 관리자 등)을 명단에 누락한 경우

❖사례 2:주요 직무자 및 개인정보취급자 목록을 관리하고 있으나, 퇴사한 임직원이 포함되어 있고 최근 신규

입사한 인력이 포함되어 있지 않는 등 현행화 관리가 되어 있지 않은 경우

❖사례 3:부서 단위로 개인정보취급자 권한을 일괄 부여하고 있어 실제 개인정보를 취급할 필요가 없는

인원까지 과다하게 개인정보취급자로 지정된 경우

❖사례 4:내부 지침에는 주요 직무자 권한 부여 시에는 보안팀의 승인을 받고 주요 직무에 따른 보안서약서를

작성하도록 하고 있으나, 보안팀 승인 및 보안서약서 작성 없이 등록된 주요 직무자가 다수 존재하는 경우

❖사례 5:신청기관 사업장에 상주하면서 인증범위 내 정보시스템 개발･운영･보안 등 업무를 수행하는 협력사

직원에 대해 주요직무자 및 개인정보취급자로 식별을 누락한 경우

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

59 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

항 목 2.2.2 직무 분리

권한 오･남용 등으로 인한 잠재적인 피해 예방을 위하여 직무 분리 기준을 수립하고 적용하여야

인증기준

한다. 다만 불가피하게 직무 분리가 어려운 경우 별도의 보완대책을 마련하여 이행하여야 한다.

권한 오･남용 등으로 인한 잠재적인 피해 예방을 위하여 직무 분리 기준을 수립하여 적용하고

있는가?

주요 확인사항 전자금융감독규정 제26조(직무의 분리)

직무 분리가 어려운 경우 직무자 간 상호 검토, 상위관리자 정기 모니터링 및 변경 사항 승인,

책임추적성 확보 방안 등의 보완통제를 마련하고 있는가?

세부 설명

권한 오･남용 등으로 인한 잠재적인 피해 예방을 위하여 다음과 같이 직무 분리 기준을 수립

하여 적용하여야 한다.

개발과 운영 직무 분리

정보보호담당자, 개인정보취급자와 정보보호 및 개인정보 모니터링 직무 분리

정보시스템 및 개인정보처리시스템(서버, 데이터베이스, 네트워크 등) 간 운영직무 분리

정보보호 및 개인정보보호 관리와 정보보호 및 개인정보보호 감사 업무 분리

개인정보보호 관리와 개인정보처리시스템 운영직무 분리

개인정보보호 관리와 개인정보처리시스템 개발직무 분리 등

외부 위탁업체 직원에게 사용자 계정 등록･삭제(비활성화) 및 접근권한 등록･변경･삭제 설정

권한 부여 금지(다만 불가피한 경우 보완통제 적용)

금융회사 및 전자금융업자는 전자금융거래의 안정성 확보 및 이용자 보호를 위해 법령에 따른

직무분리 법적요건을 준수하여야 한다.

프로그래머와 오퍼레이터

응용프로그래머와 시스템프로그래머

시스템보안관리자와 시스템프로그래머

전산자료관리자(librarian)와 그 밖의 업무 담당자

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

60 ･

업무운영자와 내부감사자

내부인력과 전자금융보조업자 및 유지보수업자 등을 포함한 외부인력 보

호

정보기술부문인력과 정보보호인력 대

책

요

그 밖에 내부통제와 관련하여 직무의 분리가 요구되는 경우

구

사

항

조직 규모가 작거나 인적 자원 부족 등의 사유로 인하여 불가피하게 직무 분리가 어려운 경우

직무자 간의 상호 검토, 직무자의 책임추적성 확보 등의 보완통제를 마련하여야 한다.

직무자 간 상호 검토, 상위관리자 승인 등으로 오･남용이 발생하지 않도록 관리 2.2

인

개인별 계정 사용, 로그기록 및 감사･모니터링을 통한 책임추적성 확보 등

적

보

안

결함 사례

❖사례 1:조직의 규모와 인원이 담당자별 직무 분리가 충분히 가능한 조직임에도 업무 편의성만을 사유로 내부

규정으로 정한 직무 분리 기준을 준수하고 있지 않은 경우

❖사례 2:조직의 특성상 경영진의 승인을 받은 후 개발과 운영 직무를 병행하고 있으나, 직무자 간 상호 검토,

상위관리자의 주기적인 직무수행 모니터링 및 변경 사항 검토･승인, 직무자의 책임추적성 확보 등의

보완통제 절차가 마련되어 있지 않은 경우

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

61 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

항 목 2.2.3 보안 서약

정보자산을 취급하거나 접근권한이 부여된 임직원･임시직원･외부자 등이 내부 정책 및 관련

인증기준 법규, 비밀유지 의무 등 준수사항을 명확히 인지할 수 있도록 업무 특성에 따른 정보보호 서약을

받아야 한다.

신규 인력 채용 시 정보보호 및 개인정보보호 책임이 명시된 정보보호 및 개인정보보호

서약서를 받고 있는가?

표준 개인정보 보호지침 제15조(개인정보취급자에 대한 감독) 제3항

임시직원, 외주용역직원 등 외부자에게 정보자산에 대한 접근권한을 부여할 경우 정보보호 및

주요 확인사항

개인정보보호에 대한 책임, 비밀유지 의무 등이 명시된 서약서를 받고 있는가?

임직원 퇴직 시 별도의 비밀유지에 관련한 서약서를 받고 있는가?

정보보호, 개인정보보호 및 비밀유지 서약서는 안전하게 보관하고 필요시 쉽게 찾아볼 수

있도록 관리하고 있는가?

세부 설명

신규 인력 채용 시 정보보호 및 개인정보보호 책임이 명시된 정보보호 및 개인정보보호 서약서를

받아야 한다.

신규 인력이 입사하는 경우 정보보호 및 개인정보보호의 필요성과 책임, 내부 정책 및 관련

법규 준수, 비밀 유지 의무에 대하여 명시된 서약서 서명

고용 조건의 변경 등 중요 변경사항 발생 시 서약서 재작성 등의 조치 수행

임시직원, 외주용역직원 등 외부자에게 정보자산(개인정보 포함), 정보시스템 등에 접근권한을

부여할 경우 정보보호 및 개인정보보호에 대한 책임, 비밀유지 의무 등이 명시된 서약서를 작성

하도록 하여야 한다.

정보보호 및 개인정보보호 책임, 비밀유지 의무, 내부 규정 및 관련 법규 준수 의무, 관련

의무의 미준수로 인한 사건･사고 발생 시 손해배상 책임 등 필요한 내용 포함

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

62 ･

임직원 퇴직 시 별도의 비밀유지에 관련한 서약서를 받아야 한다.

퇴직자에게 정보유출 발생 시 그에 따르는 법적 책임이 있음을 명확히 인식시킬 수 있도록 보

호

비밀유지 서약서 징구(퇴직 절차 내 포함) 대

책

요

정보보호, 개인정보보호 및 비밀유지 서약서는 안전하게 보존하고, 필요시 쉽게 찾아볼 수 있도록 구

사

항

관리하여야 한다.

법적 분쟁 발생 시 법률적 책임에 대한 증거자료로 사용할 수 있도록 잠금장치가 있는 캐비닛

또는 출입통제가 적용된 문서고 등에 안전하게 보관･관리

2. 2

인

적

보

안

결함 사례

❖사례 1:신규 입사자에 대해서는 입사 절차상에 보안서약서를 받도록 규정하고 있으나, 최근에 입사한 일부

직원의 보안서약서 작성이 누락된 경우

❖사례 2:임직원에 대해서는 보안서약서를 받고 있으나, 정보처리시스템에 직접 접속이 가능한 외주 인력에

대해서는 보안서약서를 받지 않은 경우

❖사례 3:제출된 정보보호 및 개인정보보호 서약서를 모아 놓은 문서철이 비인가자가 접근 가능한 상태로

사무실 책상에 방치되어 있는 등 관리가 미흡한 경우

❖사례 4:개인정보취급자에 대하여 보안서약서만 받고 있으나, 보안서약서 내에 비밀유지에 대한 내용만 있고

개인정보보호에 관한 책임 및 내용이 포함되어 있지 않은 경우

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

63 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

항 목 2.2.4 인식제고 및 교육훈련

임직원 및 관련 외부자가 조직의 관리체계와 정책을 이해하고 직무별 전문성을 확보할 수

인증기준 있도록 연간 인식제고 활동 및 교육훈련 계획을 수립･운영하고, 그 결과에 따른 효과성을

평가하여 다음 계획에 반영하여야 한다.

정보보호 및 개인정보보호 교육의 시기, 기간, 대상, 내용, 방법 등의 내용이 포함된 연간 교육

계획을 수립하고 경영진의 승인을 받고 있는가?

개인정보의 안전성 확보조치 기준 제4조(내부 관리계획의 수립･시행 및 점검) 제2항

전자금융감독규정 제19조의2(정보보호 교육계획의 수립 시행) 제1항

신용정보업감독규정 제23조의3(본인신용정보관리회사의 행위규칙 등) 제2항제6호

관리체계 범위 내 모든 임직원과 외부자를 대상으로 연간 교육 계획에 따라 연 1회 이상

정기적으로 교육을 수행하고, 관련 법규 및 규정의 중대한 변경 시 이에 대한 추가교육을

수행하고 있는가?

개인정보 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한) 제4항, 제28조(개인정보

취급자에 대한 감독) 제2항

개인정보의 안전성 확보조치 기준 제4조(내부 관리계획의 수립･시행 및 점검) 제2항

주요 확인사항 전자금융감독규정 제19조의2(정보보호 교육계획의 수립 시행) 제1항

신용정보법 제17조(처리의 위탁) 제5항

신용정보법 시행령 제14조(수집된 신용정보 처리의 위탁) 제5항

신용정보업감독규정 제23조의3(본인신용정보관리회사의 행위규칙 등) 제2항제6호

임직원 채용 및 외부자 신규 계약 시 업무 시작 전에 정보보호 및 개인정보보호 교육을

시행하고 있는가?

IT 및 정보보호, 개인정보보호 조직 내 임직원은 정보보호 및 개인정보보호와 관련하여

직무별 전문성 제고를 위한 별도의 교육을 받고 있는가?

교육시행에 대한 기록을 남기고 교육 효과와 적정성을 평가하여 다음 교육 계획에 반영하고

있는가?

전자금융감독규정 제19조의2(정보보호 교육계획의 수립 시행) 제2항

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

64 ･

세부 설명

연간 정보보호 및 개인정보보호 교육 계획은 다음과 같이 교육의 시기, 기간, 대상, 내용, 방법 보

호

등의 내용을 구체적으로 포함하여 교육 계획을 수립하고 경영진의 승인을 받아야 한다. 대

책

요

교육 유형 : 임직원 인식제고 교육, 주요직무자, 개인정보취급자 교육, 수탁자 교육, 전문 교육 등

구

사

교육 방법 : 교육 목적, 교육 대상, 교육 일정, 교육 시간, 교육 내용, 온라인 및 집합 교육 등 항

교육 승인 : 교육 계획을 검토, 승인하여 계획에 따라 이행될 수 있도록 예산 배정 지원 등

정보보호 최고책임자와 신용정보관리･보호인은 임직원 등에 대해 정보보호 및 신용정보보호

2. 2

교육 계획을 수립･이행하여야 한다.

인

적

교육 시간 : (금융회사 또는 전자금융업자의 경우) 임직원 교육 이수 시간 준수 보

안

∙ 임원 : 3시간 이상(단, 정보보호 최고책임자는 6시간 이상)

∙ 일반직원 : 6시간 이상

∙ 정보기술부문업무 담당 직원 : 9시간 이상

∙ 정보보호업무 담당 직원 : 12시간 이상

관리체계 범위 내 모든 임직원과 외부자를 대상으로 연간 교육 계획에 따라 연 1회 이상

정기적으로 교육을 수행하고, 관련 법규 및 규정의 중대한 변경 시 이에 대한 추가교육을

수행하여야 한다.

정보자산에 직･간접적으로 접근하는 임직원, 임시직원, 외주용역업체 직원 등 모든 인력 포함

수탁자 및 파견된 직원인 경우 해당 업체가 교육 수행할 수 있도록 관련 자료 제공, 시행

여부를 관리･감독

최소 연 1회 이상 교육 수행(특히 개인정보취급자의 경우 법적 요구사항에 따라 연 1회 이상

개인정보보호 교육 필요)

교육 내용에는 임직원 및 관련 외부자가 조직의 관리체계와 정책을 이해하고, 이를 준수할

수 있도록 필요한 내용을 모두 포함하여야 함

※ 정보보호 및 개인정보보호 관련 교육에 포함될 내용(예시)

∙정보보호 및 개인정보보호의 기본 개요, 관리체계 구축 및 방법, 관련 법률

∙정보보호 및 개인정보보호 관련 내부규정, 관리적･기술적･물리적 조치사항

∙중요정보 및 개인정보 침해(유출)사고 사례 및 대응방안, 규정 위반 시 법적 책임 등

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

65 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

출장, 휴가, 업무 등으로 인하여 교육에 참석하지 못한 인력에 대한 교육 방법을 마련하여

시행(불참자 대상 추가교육, 전달 교육, 온라인교육 등)

내부 규정 및 절차의 중대한 변경, 조직 내･외부 침해사고 발생, 관련 법규 변경 등 발생 시

이에 대한 추가교육 수행(다만 사안이 중요하지 않을 경우에는 게시판 공지, 이메일 안내,

책자 배포 등으로 대체)

신용정보회사등은 수탁자에게 개인신용정보를 제공하는 경우 개인신용정보를 분실･도난･

유출･변조 또는 훼손당하지 아니하도록 수탁자 개인신용정보 보호 교육을 연 1회 이상

실시하여야 함

∙ 위탁계약을 체결하거나 갱신하는 경우 연 1회 이상 개인신용정보 보호 교육을 실시하여야

하며, 위탁계약기간이 1년 미만인 경우에는 그 기간 동안 1회 이상을 의미함

∙ 위탁계약서에 수탁자가 연 1회 이상 그 소속 임직원에 대한 개인신용정보 보호 교육을

실시한다는 내용이 반영되어 있고, 신용정보회사등이 수탁자가 그 위탁계약에 따라

해당 교육을 실시한 사실을 확인한 경우에는 신용정보회사등이 수탁자의 소속

임직원에게 교육을 실시한 것으로 봄

임직원 채용 및 외부자 신규 계약 시 업무 시작 전에 정보보호 및 개인정보보호 교육을

시행하여야 한다.

신규 인력 발생 시점 또는 업무 수행 전에 정보보호 및 개인정보보호 교육을 시행하여 조직의

정책, 주의사항, 규정 위반 시 법적 책임 등에 대한 내용 숙지

IT 및 정보보호, 개인정보보호 조직 내 임직원이 정보보호 및 개인정보보호와 관련하여 직무별

전문성 제고를 위한 별도의 교육을 받을 수 있도록 하여야 한다.

관련 직무자 : IT 직무자, 정보보호 최고책임자, 개인정보 보호책임자, 개인정보취급자,

정보보호 직무자 등

교육과정 : 정보보호 및 개인정보보호 관련 콘퍼런스･세미나･워크숍 참가, 교육 전문기관

위탁 교육, 외부 전문가 초빙을 통한 내부교육 등

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

66 ･

교육시행에 대한 기록을 남기고 교육 효과와 적정성을 평가하여 다음 교육 계획에 반영하여야

한다.

보

호

교육시행 후 교육 공지, 교육자료, 출석부 등과 같은 기록을 남기고, 미리 마련된 평가기준에 대

책

따라 설문 또는 테스트 등을 통하여 교육 내용의 적절성과 효과성 평가 요

구

사

교육평가 결과 내용에서 도출된 개선점에 대한 대책을 마련하고 차기 교육 계획 수립 시 반영

항

결함 사례

2. 2

❖사례 1:전년도에는 연간 정보보호 및 개인정보보호 교육 계획을 수립하여 이행하였으나, 당해 연도에 타당한

인

사유 없이 연간 정보보호 및 개인정보보호 교육 계획을 수립하지 않은 경우 적

❖사례 2:연간 정보보호 및 개인정보보호 교육 계획에 교육 주기와 대상은 명시하고 있으나, 시행 일정, 내용 보

안

및 방법 등의 내용이 포함되어 있지 않은 경우

❖사례 3:연간 정보보호 및 개인정보보호 교육 계획에 전 직원을 대상으로 하는 개인정보보호 인식 교육은

일정시간 계획되어 있으나, 개인정보 보호책임자 및 개인정보취급자 등 직무별로 필요한 개인정보보호

관련 교육 계획이 포함되어 있지 않은 경우

❖사례 4:정보보호 및 개인정보보호 교육 계획서 및 결과 보고서를 확인한 결과, 인증범위 내의 정보자산 및

설비에 접근하는 외주용역업체 직원(전산실 출입 청소원, 경비원, 외주개발자 등)을 교육 대상에서

누락한 경우

❖사례 5:당해 연도 정보보호 및 개인정보보호 교육을 실시하였으나, 교육시행 및 평가에 관한 기록(교육자료,

출석부, 평가 설문지, 결과보고서 등) 일부를 남기지 않고 있는 경우

❖사례 6:정보보호 및 개인정보보호 교육 미이수자를 파악하지 않고 있거나, 해당 미이수자에 대한 추가교육

방법(전달교육, 추가교육, 온라인교육 등)을 수립･이행하고 있지 않은 경우

❖사례 7:금융회사등이 전자금융감독규정에서 명시한 정보보호 최소 교육 시간을 연간 교육 계획에 반영하지

않았거나, 각 대상별 최소 교육시간(3~12시간)보다 부족한 경우

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

67 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

항 목 2.2.5 퇴직 및 직무변경 관리

퇴직 및 직무변경 시 인사･정보보호･개인정보보호･IT 등 관련 부서별 이행하여야 할 자산반납,

인증기준

계정 및 접근권한 회수･조정, 결과확인 등의 절차를 수립･관리하여야 한다.

퇴직, 직무변경, 부서이동, 휴직 등으로 인한 인사변경 내용이 인사부서, 정보보호 및

개인정보보호 부서, 정보시스템 및 개인정보처리시스템 운영부서 간 공유되고 있는가?

조직 내 인력(임직원, 임시직원, 외주용역직원 등)의 퇴직 또는 직무변경 시 지체 없는

정보자산 반납, 접근권한 회수･조정, 결과 확인 등의 절차를 수립･이행하고 있는가?

주요 확인사항

개인정보의 안전성 확보조치 기준 제5조(접근 권한의 관리) 제2항

전자금융감독규정 제13조(전산자료 보호대책) 제1항제14호

신용정보업감독규정 [별표3] 기술적･물리적･관리적 보호대책 마련 기준 Ⅱ기술적･물리적

보안대책 1.접근통제 제2항

세부 설명

퇴직, 직무변경, 부서이동, 휴직 등으로 인한 인사변경 내용이 인사부서, 정보보호부서, 개인

정보보호부서, 시스템 운영부서 등 관련 부서 간 신속히 공유되어야 한다.

관련 조직 및 시스템 간 인사변경 내용이 신속하게 공유될 수 있도록 절차 수립･이행

※ 인사 변경 내용에 대한 신속한 공유 절차(예시)

∙정보처리시스템을 인사시스템과 연동하여 실시간 또는 일배치로 계정정보 동기화

∙협력업체 인원에 대한 통합 계정 등록･관리시스템을 구축하여 개별 시스템과 계정 동기화

∙퇴직 프로세스 내에 관련 부서에 퇴직자 정보를 관련 부서에 공유하는 절차 포함 등

조직 내 인력(임직원, 임시직원, 외주용역직원 등)의 퇴직 및 직무변경 시 지체 없는 정보자산

반납, 접근권한 회수･조정, 결과 확인 등 절차를 수립･이행하여야 한다.

퇴직 및 직무변동 시 출입증 및 자산 반납, 계정 삭제 또는 잠금, 접근권한 회수･조정, 보안점검

등의 절차를 수립･이행

불가피하게 계정을 공유 사용하고 있었다면 해당 계정의 비밀번호를 즉시 변경

관련 기록을 보존하고 퇴직 절차 준수 여부에 대하여 정기적으로 검토

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

68 ･

결함 사례 2

❖사례 1:직무 변동에 따라 개인정보취급자에서 제외된 인력의 계정과 권한이 개인정보처리시스템에 그대로

보

남아있는 경우 호

대

❖사례 2:최근에 퇴직한 주요직무자 및 개인정보취급자에 대하여 자산반납, 권한 회수 등의 퇴직절차 이행 책

기록이 확인되지 않은 경우 요

구

❖사례 3:임직원 퇴직 시 자산반납 관리는 잘 이행하고 있으나, 인사규정에서 정한 퇴직자 보안점검 및

사

퇴직확인서를 작성하지 않은 경우 항

❖사례 4:개인정보취급자 퇴직 시 개인정보처리시스템의 접근 권한은 지체 없이 회수되었지만, 출입통제시스템

및 VPN 등 일부 시스템의 접근 권한이 회수되지 않은 경우

2. 2

인

적

보

안

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

69 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

항 목 2.2.6 보안 위반 시 조치

임직원 및 관련 외부자가 법령, 규제 및 내부정책을 위반한 경우 이에 따른 조치 절차를 수립･

인증기준

이행하여야 한다.

임직원 및 관련 외부자가 법령과 규제 및 내부정책에 따른 정보보호 및 개인정보보호 책임과

의무를 위반한 경우에 대한 처벌 규정을 수립하고 있는가?

주요 확인사항 전자금융감독규정 제8조(인력, 조직 및 예산) 제1항제5호

정보보호 및 개인정보 보호 위반 사항이 적발된 경우 내부 절차에 따른 조치를 수행하고

있는가?

세부 설명

임직원 및 관련 외부자가 법령과 규제 및 내부정책에 따른 정보보호 및 개인정보보호 책임과

의무를 위반한 경우에 대한 처벌 규정을 수립하여야 한다.

관련 법규 및 내부 규정 미준수, 책임 미이행, 중요 정보 및 개인정보의 훼손, 유･노출, 오･남용

등이 발견된 경우 조사, 소명, 징계 등의 조치 기준 및 절차 수립

금융회사 또는 전자금융업자의 최고경영자는 임직원이 정보보안 관련법규를 위반하는 경우

그 제재에 관한 세부기준 및 절차 마련

정보보호 및 개인정보보호 책임과 의무를 충실히 이행한 경우에 대한 보상 방안도 고려

정보보호 및 개인정보 보호 위반 사항이 적발된 경우 내부 절차에 따른 조치를 수행하여야 한다.

상벌 규정에 따른 조치를 수행하고 결과 기록

필요한 경우 전사 공지 또는 교육 사례로 활용 등

결함 사례

❖사례 1:정보보호 및 개인정보보호 규정 위반자에 대한 처리 기준 및 절차가 내부 규정에 전혀 포함되어 있지

않은 경우

❖사례 2:보안시스템(DLP, 데이터베이스 접근제어시스템, 내부정보유출통제시스템 등)을 통하여 정책 위반이

탐지된 관련자에게 경고 메시지를 전달하고 있으나, 이에 대한 소명 및 추가 조사, 징계 처분 등 내부

규정에 따른 후속 조치가 이행되고 있지 않은 경우

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

70 ･

2. 3 외부자 보안

보

항 목 2.3.1 외부자 현황 관리 호

대

책

업무의 일부(개인정보취급, 정보보호, 정보시스템 운영 또는 개발 등)를 외부에 위탁하거나 외부의

요

시설 또는 서비스(집적정보통신시설, 클라우드 서비스, 애플리케이션 서비스 등)를 이용하는 구

인증기준

경우 그 현황을 식별하고 법적 요구사항 및 외부 조직･서비스로부터 발생되는 위험을 파악하여 사

항

적절한 보호대책을 마련하여야 한다.

관리체계 범위 내에서 발생하고 있는 업무 위탁 및 외부 시설･서비스의 이용 현황을 식별하고

있는가?

2. 3

업무 위탁 및 외부 시설･서비스의 이용에 따른 법적 요구사항과 위험을 파악하고 적절한

보호대책을 마련하고 있는가? 외

부

자

주요 확인사항 개인정보 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한) 제1항, 제4항

보

정보통신망법 제50조의3(영리목적의 광고성 정보 전송의 위탁 등) 제1항 안

전자금융거래법 제40조(외부주문등에 대한 감독 및 검사) 제1항

전자금융감독규정 제60조(외부주문등에 대한 기준) 제1항

신용정보법 제17조(처리의 위탁) 제1항, 제4항, 제5항

신용정보법 시행령 제14조(수집된 신용정보 처리의 위탁)

세부 설명

관리체계 범위 내에서 발생하고 있는 업무 위탁 및 외부 시설･서비스의 이용 현황을 명확히

식별하여야 한다.

관리체계 범위 내 업무위탁 및 외부 시설･서비스 이용현황 파악

※ 업무 위탁 및 외부 시설･서비스 이용(예시)

∙IT 및 보안 업무 위탁 : 정보시스템 개발･운영, 유지보수, 서버･네트워크･보안장비 운영, 보안관제,

출입관리 및 경비, 정보보호컨설팅 등

∙개인정보 처리위탁 : 개인정보 처리업무(개인정보 수집 대행 등), 고객 상담, 개인정보처리시스템 운영 등

∙외부 시설 이용 : 집적정보통신시설(IDC) 등

∙외부 서비스 이용 : 클라우드 서비스, 애플리케이션서비스(ASP) 등

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

71 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

업무위탁 및 외부 시설･서비스 이용현황에 대한 목록 작성 및 지속적인 현행화 관리

※ 업무 위탁 및 외부 시설･서비스 이용현황 목록에 포함되어야 할 사항(예시)

∙수탁자 및 외부 시설･서비스명

∙위탁하는 업무의 내용 및 외부 서비스 내용

∙담당부서 및 담당자명

∙위탁 및 서비스 이용 기간

∙계약서 작성 여부, 보안점검 여부 등 관리･감독에 관한 사항 등

업무 위탁 및 외부 시설･서비스의 이용에 따른 법적 요구사항과 위험을 파악하고 적절한 보호

대책을 마련하여야 한다.

개인정보 처리업무 위탁에 해당되는지 확인

개인정보 등의 국외 이전에 해당되는지 확인

개인정보 보호법, 정보통신망법, 전자금융거래법, 신용정보법 등 관련된 법적 요구사항 파악

【전자금융거래 관련 외부주문 시 법적 요구사항】

∙전자금융거래의 안전성 및 신뢰성과 금융회사 및 전자금융업자의 건전성 확보

∙전자금융거래를 위한 외부주문 등의 경우 준수 사항

【신용정보 관련 처리 위탁 시 법적 요구사항】

∙「개인정보 보호법」 제26조제1항부터 제3항까지 규정 준용

∙신용정보주체를 식별할 수 있는 정보에 대해 암호화 등의 보호조치

∙분실･도난･유출･위조･변조 또는 훼손당하지 아니하도록 수탁자에 대한 교육 수행

∙안전한 신용정보 처리에 관한 사항을 위탁계약에 반영

법적 요구사항을 포함하여 업무 위탁 및 외부 시설･서비스 이용에 따른 위험평가 수행

위험평가 결과를 반영하여 적절한 보호대책 마련 및 이행(예를 들어, 고위험의 수탁사에

대해서는 점검주기 및 점검항목을 달리하여 집중 현장점검 수행 등)

결함 사례

❖사례 1:내부 규정에 따라 외부 위탁 및 외부 시설･서비스 현황을 목록으로 관리하고 있으나, 몇 개월 전에

변경된 위탁업체가 목록에 반영되어 있지 않은 등 현행화 관리가 미흡한 경우

❖사례 2:관리체계 범위 내 일부 개인정보처리시스템을 외부 클라우드 서비스로 이전하였으나, 이에 대한 식별

및 위험평가가 수행되지 않은 경우

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

72 ･

항 목 2.3.2 외부자 계약 시 보안 2

보

외부 서비스를 이용하거나 외부자에게 업무를 위탁하는 경우 이에 따른 정보보호 및 개인정보

인증기준 호

보호 요구사항을 식별하고, 관련 내용을 계약서 또는 협정서 등에 명시하여야 한다. 대

책

중요정보 및 개인정보 처리와 관련된 외부 서비스 및 위탁 업체를 선정하는 경우 정보보호 및 요

구

개인정보 보호 역량을 고려하도록 절차를 마련하고 있는가? 사

항

외부 서비스 이용 및 업무 위탁에 따른 정보보호 및 개인정보보호 요구사항을 식별하고 이를

계약서 또는 협정서에 명시하고 있는가?

개인정보 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한) 제1항

2. 3

개인정보 보호법 시행령 제28조(개인정보의 처리 업무 위탁 시 조치) 제1항

외

전자금융거래법 제40조(외부주문등에 대한 감독 및 검사) 제1항

부

전자금융감독규정 제21조(정보처리시스템 구축 및 전자금융거래 관련 계약) 제2호, 자

보

제60조(외부주문등에 대한 기준) 제1항제7호

안

전자금융감독규정 시행세칙 제9조의2(외부주문등에 대한 기준) 제1항

신용정보법 제17조(처리의 위탁) 제1항, 제5항, 제19조(신용정보전산시스템의 안전보호) 제2항

신용정보법 시행령 14조(수집된 신용정보 처리의 위탁) 제5항, 제6항

신용정보업감독규정 제15조(수집된 신용정보의 처리의 위탁) 제5항, 제21조(보안관리약정

주요 확인사항 체결) [별표4] 신용정보계약에 포함될 신용정보 보안관리 대책

금융회사의 정보처리 업무 위탁에 관한 규정 제4조(정보처리의 위탁) 제3항

신용정보회사등이 신용정보제공･이용자가 다른 신용정보제공･이용자 또는 개인신용평가회사,

개인사업자신용평가회사, 기업신용조회회사와 서로 신용정보를 제공하는 경우 신용정보

보안관리 대책을 포함한 계약을 체결하고 있는가?

신용정보법 제19조(신용정보전산시스템의 안전보호) 제2항

신용정보업감독규정 제21조(보안관리약정 체결) [별표4] 신용정보계약에 포함될 신용정보

보안관리 대책

정보시스템 및 개인정보처리시스템 개발을 위탁하는 경우 개발 시 준수하여야 할 정보보호 및

개인정보보호 요구사항을 계약서에 명시하고 있는가?

전자금융감독규정 제21조(정보처리시스템 구축 및 전자금융거래 관련 계약) 제2호

전자금융감독규정 시행세칙 제9조의2(외부주문등에 대한 기준) 제1항[별표5의2] 보안관리방안

금융회사의 정보처리 업무 위탁에 관한 규정 제4조(정보처리의 위탁) 제3항

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

73 ･

금융권에 적합한 ISMS-P 인증기준 점검항목

세부 설명

중요정보 및 개인정보 처리와 관련된 외부 서비스 및 위탁 업체를 선정하는 경우 정보보호 및

개인정보보호 역량을 고려하도록 절차를 마련하여야 한다.

정보보호 및 개인정보보호 역량이 있는 업체가 선정될 수 있도록 관련 요건을 제안요청서(RFP)

및 제안 평가항목에 반영하여 업체 선정 시 적용

조직의 정보처리 업무를 외부자에게 위탁하거나 외부 서비스를 이용하는 경우 다음과 같은

보안 요구사항을 정의하여 계약 시 반영하여야 한다(개인정보 보호법 제26조 및 동법 시행령

제28조, 전자금융거래법 제21조, 제60조, 전자금융감독규정 제60조 및 동규정 시행세칙

제9조의2, 신용정보법 제17조, 동법 시행령 제14조, 신용정보업 감독규정 제21조 참고).

정보보호 및 개인정보보호 관련 법률 준수, 정보보호 및 개인정보보호 서약서 제출

위탁 업무 수행 직원 대상 주기적인 정보보호 교육 수행 및 주기적 보안점검 수행

업무수행 관련 취득한 중요정보 유출 방지 대책

외부자 인터넷접속 제한, 물리적 보호조치(장비 및 매체 반출입 등), PC 등 단말 보안(백신설치,

안전한 패스워드 설정 및 주기적 변경, 화면보호기 설정 등), 무선 네트워크 사용 제한

정보시스템 접근 허용 시 과도한 권한이 부여되지 않도록 접근권한 부여 및 해지 절차

재위탁 제한 및 재위탁이 필요한 경우의 절차와 보안 요구사항 정의

보안 요구사항 위반 시 처벌, 손해배상 책임, 보안사고 발생에 따른 보고 의무 등

※ 개인정보 처리업무 위탁 시 문서에 포함되어야 할 사항(개인정보 보호법 제26조제1항 및 동법 시행령

제28조제1항)

∙위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항

∙위탁업무의 목적 및 범위

∙재위탁 제한에 관한 사항

∙개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항

∙위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항

∙수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항

PART 2. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기준 설명

74 ･

금융회사가 정보처리 업무를 위탁하는 경우 「금융회사의 정보처리 업무 위탁에 관한 규정」의

전체 조문 · 1개

조문을 클릭하면 원문·위계(항·호·목)·연결 자산(판례·해석·비조치·제재)을 함께 볼 수 있습니다. 30개 단위로 접고 펼칠 수 있습니다.

제1조 ~ 제1조 (1개)

제1조 금융보안원 - 금융권에 적합한 ISMS-P 인증기준 점검항목 안내서(2023.12.)

금융권에 적합한 ISMS-P 인증기준 점검항목 안내서(2023.12.)

현재 수록본 한눈에 보기

이 법령의 연계 자료

제1조 원문

전체 조문 · 1개

관련 시행령·시행규칙·행정규칙

관련 자원