728x90
반응형
SMALL
키워드 인증기준 차이점
이상행위 2.9.5 로그및 접속기록 점검 로그및 접속기록 점검에서의 이상접속,이상행위에 대한 모니터링및
점검은 정보시스템 등 내부시스템에서 정상적인 사용자의 정상적인
로그기록을 점검해서 이상행위(과다조회 및 특정범위조회등)를 찾는다는
의미이고
2.11.3 이상행위 분석및 모니터링 이상행위 분석및 모니터링에서의 이상행위란 외부의 비정상적인
해킹시도나 침해시도를 말하는 것이다.
모바일 기기 및
단말기 		2.6.6 원격접근통제
(IP VPN 외부) 		외부근무자를 위해서 근무자의 개인 핸드폰에 업무용 모바일앱을 설치
하는 경우 적절한 보호대책을 하고 있는지츨 체크하는 것이
2.6.6 원격접근통제이고

사례: 외부근무자를 위해 개인 스마트기기에 업무용 모바일앱을 설치하여
       운영하고 있으나 악성코드,분실,도난 등에 의한 개인정보 유출을 방지
       하기 위한 적절하 보호대책을 적용하고 있지 않은 경우
사례 : 장애대응을 위해 장애 대응 전담인원의 핸드폰에 업무용 앱을
        설치하여 내부 시스템 제어를 할수 있게 하였으나 백신 등 보안조치
        를 별도로 적용하지 않은 경우
2.10.6 업무용 단말기의 보안 사무실에서 회사가 제공하는 업무용 PC나 모바일 즉 업무용 단말기들에
대한 보호 및 보안대책을 체크하는 것이 업무용 단말기 보안이다.

사례: 개인정보 업무처리에 이용되는 모바일 기기에 대하여 비밀번호
       설정 등 분실에 대한 보호대책이 적용되어 있지 않은 경우
책상서랍 2.2.3 보안서약 제출된 보안서약서들을 사무실 책상서랍에 방치하는 거나
외주인력에게 징구한 보안서약서를 담당자의 책상서랍에 방치하는건
2.2.3 보안서약 결함이고
2.4.7 업무환경보안 가입신청서 등 개인정보가 포함된 서류를 사무실 책상
서랍에 방치하는 건 2.4.7 업무환경 보안 결합이다.
2.10.7 보조저장매체 관리 개인정보가 포함된 보조저장매체를 사무실 책상서랍에
방치하는 건 2.10.7 보조저장매체 관리의 결함이다.
단순 조회자 2.5.3 사용자 인증 단순 조회업무라고 해도 외부에서 개인정보처리시스템 접속시 안전한
인증수단(OTP) 을 적용해야 한다.

"개인정보의 기술적 관리적 보호조치 기준"에 따르면 개인정보취급자가
외부에서 개인정보처리시스템에 접속시 안전한 인증수단을 적용해야한다.(제4조4항)
여기서 개인정보취급자란 신청기관의 직원뿐만아니라 협력사 및 알바생도
포함된다. 또한 "개인정보취급자"란 이용자의 개인정보를 수집,보관,처리,
이용,제공,관리,파기 등의 업무를 하는 자를 말한다. 그러므로 조회 업무만
하더라도 협력사 직원이 인터넷에서 개인정보처리시스템에 접속시 안전한
인증수단(OTP)을 적용해야 한다.
2.6.7 인터넷 접속 통제 망분리의 경우는 단순조회자의 PC는 망분리 대상이 아니다.
2.6.3 응용프로그램 접근 관리자 전용 응용프로그램은 비인가자가 접근할수 없도록 접근을 통제해
야 하나, 관리자전용 프로그램이 아닌 경우 단순조회권한을 가진 사용자가
로그인시 추가인증 수단(OTP)을 적용해야 하는 것은 아니다.
동의 받을 때
알려야하는
사항 		개인정보 유출시 정보주체에게 알려야할 사항
개인정보보호법 - 1.유출된 개인정보의 항목
                     2.유출된 시점과 그 경위
                     3.피해를 최소화하기 위해 정보주체가 할수 있는 방법
                     4. 개인정보처리자의 대응조치 및 피해 구제절차
                     5.담당부서 및 연락처
정보통신망법 - 1. 유출된 개인정보 항목
                   2. 유출등이 발생한 시점
                   3. 이용자가 취할 수 있는 조치
                   4. 정보통신제공자의 대응조치
                   5. 부서및 연락처
개인정보 수집,이용 동의시  개인정보보호법(목항기거)      정보통신망법(목항기)
1.수집.이용 목적               1.수집.이용 목적
2.항목                             2.항목
3.보유및 이용기간             3.보유및 이용기간
4.동의를 거부할 권리
간접수집 출처 고지 요청  2. 통지해야 할 사항 (출목정)
   - 개인정보의 수집 출처
   - 개인정보의 처리 목적
   - 개인정보 처리의 정지를 요구할 권리
공고성정보 수신동의 내용 통지 1. 전송자의 명칭
2. 수신자의 수신동의 사실과 수신 동의한 날짜
3. 수신동의에 대한 유지 또는 철회의 의사를 표하는 방법

(예) OO쇼핑몰 수신동의 내역을 알려드립니다.
      …………………………….
    가. 광고정보 수신 동의여부및 동의일자
         광고성 문자 : 미동의
         광고성 Email : 동의 (2020-05-17)
         광고성 전화 : 미동의
         APP Push : 동의 (2020-05-17)
    나. 동의 철회방법
         .......................................
공공기관 목적외 이용,제공시 제공대장에 기록 항목 명명 목항기 근형
[개인정보보호법 시행령]
제15조 (개인정보의 목적외 이용 또는 제3자 제공의 관리)
<목적외 이용 및 제3자 제공 대장 기록 항목>
1. 이용하거나 제공하는 개인정보 또는 개인정보파일의 명칭
2. 이용기관 또는 제공받는 기관의 명칭
3. 이용 목적 또는 제공받는 목적
4. 이용 또는 제공의 법적 근거
5. 이용하거나 제공하는 개인정보의 항목
6. 이용 또는 제공 날짜,주기 또는 기간
7. 이용하거나 제공하는 형태
3자 제공 동의     개인정보보호법(목항기거자)             정보통신망법(목항기자)
1.제공받는자                                    1.제공받는자
2.제공받는자의 이용목적                    2.제공받는자의 이용목적
3.제공하는 개인정보 항목                   3.제공하는 개인정보 항목
4.제공받는자의 보유및 이용기간          4.제공받는자의 보유및 이용기간
5.동의를 거부할 권리
업무 위탁 정통망법 에서만 위탁시 동의 필요
  (1) 처리위탁을 받은 자
  (2) 처리위탁하는 업무의 내용
영업 양도 시  1.개인정보를 이전하려는 사실
 2.이전받는자의 성명,주소,전화번호 및 연락처
   (이전하는 자의 정보는 고지 안해도 됨)
 3.이전을 원하지 않는 경우 조치방법 및 절차
국외 이전 시    개인정보법    - 목항기거자
   정보통신망법 - 목항기자 국일방
          - 이전되는 개인정보 항목
          - 이전되는 국가. 이전일시, 이전방법 (국일방)
          - 이전받는 자의 성명
          - 이전받는 개인정보의 목적및 보유.이용기간
 법률에 의해 장기간 보관 3.4.1 개인정보의 파기 콜센터에서 수집되는 민원처리 관련 개인정보(상담이력, 녹취 등)를 전자상거래법을 근거로 3년간 보존하고 있으나, 3년이 경과한 후에도 파기하지 않고 보관하고 있는 경우 
 -> 파기하지 않고 있다는게 결함
3.4.2 처리목적 달성 후 보유 시 조치 전자상거래법에 따른 소비자 불만 및 분쟁처리에 관한 기록을 법적 의무보존 기간인 3년을 초과하여 5년간 보존하고 있는 경우.
-> 파기는 했으나 3년만 보관하고 파기해야 하나 5년
   이나 보관한 후 파기했다는 것이 결함
과도한 권한부여 2.2.1 주요 직무자 지정 및 관리
(누포괄) 		사례: 부서단위로 개인정보취급자 권한을 일괄 부여하고 있어 실제 개인정보를 취급할 필요가 없는 인원까지 과다하게 개인정보취급자로 지정된경우
2.5.1 사용자 계정 관리
(발최본 공퇴어) 		사례: 정보시스템 또는 개인정보처리시스템 사용자에게 필요 이상의 과도한 권한을 부여하여 업무상 불필요한 정보 또는 개인정보 접근이 가능한
경우
조직구성 1.1.1 경영진의 참여

(권장절증) 		사례 : 경영진의 정보보호및 개인정보보호 업무에 참여를 명시한 정책 또는
        문서화된 증적이 없다.
1.1.3 조직구성 사례 : 정보보호 최고책임자(CISO), 개인정보 보호책임자(CPO), 개인정보보호 실무조직, 위원회 등 정보보호 및 개인정보호보 조직의 구성.운영 관련
사항이 정책서에 명시되지 않았다.
2.1.2 조직의 유지관리

(역평의명) 		사례: 정보보호 최고책임자 및 개인정보 보호책임자가 지정되어 있으나, 관련 법령에서 요구하는 역할 및 책임이 내부 지침이나 직무기술서 등에 구체적으로 명시되어 있지 않은 경우
내부관리계획 2.1.1 정책수립

(의전공열내) 		50만명 이상의 정보주체에 대한 개인정보를 보유하고 있는 중견기업에서
개인정보 관련 내규 및 내부관리계획을 수립하였으나 관련법규에서 요구하는 내부관리계획요건이 포함되어 있지 않다
 -> 내부관리계획은 작성했으나 항목구성이 불충분하다는 뜻.
2.1.1 정책의 유지관리

일신명변 		사례 5 : 개인정보 보호 관련 법령, 고시 등에 중대한 변경사항이 발생하였으나 이러한 변경이 개인정보보호 정책 및 시행문서에 미치는 영향을 검토
하지 않았거나 변경사항을 반영하여 개정하지 않은 경우
 -> 내부관리계획 항목은 맞게 작성했으나 일부 항목이 변경된 법령을 반영
     하지 못하고 있는 경우를 뜻한다.
외부에서 접근 2.5.3 사용자 인증
       (외실실B) 		사례 1 : 개인정보취급자가 공개된 외부 인터넷망을 통해서 개인정보처리시스템에 접근 시 안전한 인증수단(OTP)을 적용하지 않고 아이디․비밀번호
방식으로만 인증하고 있는 경우
2.6.6 원격접근 통제
   (IP VPN 외부) 		사례 3 : 외부 근무자를 위해 개인 스마트 기기에 업무용 모바일 앱을 설치하여 운영 하고 있으나 악성코드 , 분실․도난 등에 의한 개인정보 유출을
방지하기 위한 적절한 보호대책(백신, 초기화, 암호화 등)을 적용 하고 있지
않은 경우
취약점 2.8.2 보안 요구사항 검토 및 시험 사례 3 : 구현 또는 시험 과정에서 알려진 기술적 취약성이 존재하는지 여부를 점검하지 않거나, 타당한 사유 또는 승인 없이 확인된 취약성에 대한
개선조치를 이행하지 않은 경우
2.11.2 취약점 점검 및 조치 사례 2 : 취약점 점검에서 발견된 취약점에 대한 보완조치를 이행하지 않았거나,단기간 내에 조치 할 수 없는 취약점에 대한 타당성 검토 및 승인 이력이 없는 경우
직무분리 2.2.2 직무 분리 기타 : Devops 도입으로 인하여 개발과 운영직무를 별도 분리하고 있지 않는 정책을 운영하고 있지만 별도 보안통제가 이루어지지 않는 경우
2.8.3 시험과 운영 환경 분리 사례 2 : 불가피하게 개발시스템과 운영시스템을 분리하지 않고 운영 중에 있으나, 이에 대한 상호검토 내역, 모니터링 내역 등이 누락되어 있는 경우
법개정 반영 1.4.1 법적요구사항준수 검토 사례 1 : 정보통신망법 및 개인정보 보호법이 최근 개정되었으나, 개정사항이 조직에 미치는 영향을 검토하지 않았으며 정책서 및 시행문서에도 해당
내용을 반영하지 않아 정책서 및 시행문서의 내용이 법령의 내용과 일치
하지 않은 경우
2.1.1 정책의 유지관리

일신명변 		사례 5 : 개인정보 보호 관련 법령, 고시 등에 중대한 변경사항이 발생하였으나 이러한 변경이 개인정보보호 정책 및 시행문서에 미치는 영향을 검토
하지 않았거나 변경사항을 반영하여 개정하지 않은 경우
재위탁 2.3.3 외부자 보안 이행 관리 사례 3 : 정보통신서비스 제공자인 신청기관으로부터 개인정보 처리업무를
  위탁받은 수탁자 중 일부가 신청기관의 동의 없이 해당 업무를 재위탁한
  경우
3.3.2 업무위탁에 따른 정보주체고지 사례 3 : 정보통신서비스 제공자로부터 개인정보 처리업무를 위탁받은 수탁자가 위탁자의 승인없이 개인정보 처리업무를 재위탁 한 경우

 

728x90
반응형
LIST

'ISMS-P' 카테고리의 다른 글

ISMS-P 결함사례 (2/7)  (0) 2021.01.25
ISMS-P 결함사례(1/7)  (0) 2021.01.22
ISMS-P 유사 인증기준 항목 비교 (1/2)  (0) 2021.01.19
ISMS-P 인증기준 - 3. 개인정보 처리단계별 요구사항(3/3)  (0) 2021.01.17
ISMS-P 인증기준 - 3. 개인정보 처리단계별 요구사항(2/3)  (0) 2021.01.15
728x90
반응형
SMALL
키워드 인증기준 차이점
정책 1.1.5 정책수립 1.1 관리체계 기반마련 - 경최조범정자
•정책수립 - 경영진의 의지와방향, 역할과책임, 대상과 범위 , 활동의 근거
•지침/절차/매뉴얼, 승인 , 이해하기 쉬운,
•내부관리계획
•재.개정시 승인
*즉 정책.시행문서 작성을 하고 경영진의 승인을 받고 임직원들에게 공유
 되어야 한다는 뜻
예) 정책및 지침서가 최근 개정되었으나 임직원에게 공유가 안된 경우 
    (2.1.1 정책의 유지가 아님)
1.4.1 법적요구사항준수 1.4 관리체계 점검및 개선 - 법점개
 - 준수해야할 법규 요구사항반영 
2.1.1 정책의 유지관리 2.1 정책,조직,자산관리 - 정조자
•정책과 시행문서에 대한 정기적인 타당성 검토하고
•필요시 재.개정하고 재.개정 시 이해관계자 승인
•재개정에 대한 이력관리
  * 정책과 시행문서간의 일관성 결여
예) 지침서와 절차서간의 패스워드 설정규칙이 상이
예) DB접근통제솔루션을 신규로 도입했으나 내부보안 지침서에 별도의
    접근통제사항을 반영하지 않음
   (대내외 환경변화를 정책에 반영하지 않음)
예) 정책을 개정했으나 시행기준일을 명시하지 않음
예) 변경된 개인정보보호법 내용을 정책에 반영안함.
보호대책 1.2.4 보호대책 선정 이행계획 , 위험처리(회피,전가,수용,감소)
1.3.1 보호대책 구현 이행결과
1.3.2 보호대책 공유 시행부서,담당자들에 대한 공유&교육
정보자산 1.2.1 정보자산식별

      (누락 불일치) 		1.2 위험관리 - 자현위선
 - 자산 식별해서 목록 관리
 - 보안등급 부여
2.1.3 정보자산 관리

      (보안등급표시
       담당자&책임자
       취급절차) 		2.1 정책,조직,자산 - 정조자
 - 식별된 자산에 대한 보호대책수립및 책임자지정
 * 1.2.1 정보자산식별은 자산을 식별하고 보안등급을 설정하는것을 의미하고,
   2.1.3 정보자산 관리는 실제 보안등급을 제대로 현장에서 표시가 되고 있는가를 체크하고
          관리자를 지정했는지를 말한다.
인적보안 2.2.1. 주요 직무자 지정 및 관리 퇴사하거나 직무가 변경된 직원의 이름이 개인정보 취급자 명단에
그대로 남아 있으면 '2.2.1 주요 직무자 지정및 관리' 의 결함이고,
취급자 명단에서는 제외되었으나 해당 계정과 권한이 그대로 시스템에
남아 있는 경우는 '2.2.5 퇴직 및 직무변경 관리'의 결함이다.
(예) 최근 개인정보시스템에 개인정보취급자 명단에서 제외된
     인력중 3명의 계정과 권한이 그대로 남아있음
 -> 명단에서 제외되었으므로 "주요 직무자지정및 관리"는 충족된거구
     실제 계정이 삭제안되었으므로 "퇴직및 직무변경관리" 결함이다.    
2.2.5 퇴직 및 직무변경 관리
2.5.6 접근권한 검토 미사용한지 6개월이 넘은 계정이 여전히 비활성화안되어 있고
활성화되어 있는 경우는 접근기록을 주기적으로 검토하지 않았다는 뜻.
재직직원의 계정이 6개월이상 미사용했는데 계정이 여전히 활성화되어 있으면 접근기록 로그를
주기적으로 검토하지 않은 것이므로 2.5.6 접근권한검토 에 해당하고
재직직원이 아닌 퇴사나 직무변경된 직원이라면 2.2.5 퇴직및직무변경관리 이고
외부직원이라면 2.3.4 외부자계약변경및만료시보안 에 해당된다.
물리보안 2.4.1 보호구역 지정 2.4 물리보안 - 구출정설작반업
 - 통제구역.제한구역.접견구역 지정하고 보호대책 수립
 - 통제구역은 제한구역의 통제항목을 모두 포함하고 출입자격이
   최소한으로 유지되며, 출입을 위하여 추가적인 절차가 필요한 곳
   (전산실, 통신장비실,관제실,공조실,발전실)
2.4.2 출입통제 2.4 물리보안 - 구출정설작반업
 - 위 보호구역은 인가된 사람만이 출입할수있도록 보호대책 수립
 - 출입기록 주기적 검토
2.4.3 정보시스템 보호 2.4 물리보안 - 구출정설작반업
 - 배치 장소 분리
 - 전력 및 통신케이블 보호
2.4.4 보호설비 운영 2.4 물리보안 - 구출정설작반업
 - UPS, 항온항습기,소화기…..
2.4.7 업무환경보안 2.4 물리보안 - 구출정설작반업
 - 클린데스크
사용자 2.5.1 사용자계정관리
(발최본 공퇴어) 		2.5 인증및 권한관리 - 계식인비특접
 - 사용자계정및권한 등록,변경,말소절차 수립이행
 - 최소한의 권한만 부여
 - 사용자에게 보안책임이 있음을 인식
   (출장가면서 다른사람에게 개인정보취급자 계정을 알려준경우)
2.5.2 사용자 식별 2.5 인증 및 권한관리 - 계식인비특접
 - 유일한 식별자 할당
 - 동일계정 공유시 타당성검토및 승인 및 보완 대책 수립
2.5.3 사용자 인증 (외실실B) 2.5 인증 및 권한관리 - 계식인비특접
 - 로그인실패횟수,접속시간,동시접속제한, 불법 로그인 경고
 - 외부에서 접속 시 안전한 인증수단제공
자산식별 1.1.4 범위설정 1.1 관리체계 기반마련 - 경최조범정자
 - 핵심자산을 누락없이 관리체계(ISMS-P)에 포함
 - 예외사항은 승인필요
 - ISMS-P 범위확인을 위해 문서하
 * 다수의 자산혹은 시스템을 통제로 누락했다면
1.2.1. 정보자산 식별 1.2 위험관리 - 자현위선
 - ISMS-P 범위내의 모든 자산을 식별
 - 보안등급 부여
 - 최신으로 유지
 * 특정 자산이 식별되지 않고 누락된 경우
2.1.3 정보자산 관리 2.1 정책,조직,자산 - 정조자
 - 식별된 자산에 대해서 보호대책 수립하고
 - 책임자 및 관리자 지정

* 자산을 식별했으나 보안대응을 하지 않은 경우
* 1.2.1 정보자산식별은 자산을 식별하고 보안등급을 설정하는것을 의미
  2.1.3 정보자산 관리는 실제 보안등급을 제대로 현장에서 표시가 되고 
         있는가를 체크하는 것을 말한다
2.4.3 정보시스템 보호 2.4 물리보안 - 구출정설작반업
 - 물리적 분리 배치
 - 케이블,통신,전력 보호 : 랙 실장도
 * 랙실장도에만 누락된 경우
업무환경/단말기

 2.4.7 업무환경보안 공용PC,문서고,복합기,사무용기기 등 업무환경을 통해 정보가 노출되지
않도록 하는 것을 말함
 예) 클린데스크를 이행안함
 예) 가입자서류를 잠금장치가 없는 서랍에 보관
 예) 컴퓨터에 화면보호기, 및 패스워드 미설정
 예) 공용PC에 대한 대책이 수립되지 않아서 개인정보가 암호화되지 않은
      상태로 있거나 보안 업데이트 미적용, 백신 미설치 등 취약한 상태
2.10.6 업무용 단말기의 보안 * PC,모바일기기에 대한 네트워크 접근 통제절차 수립
  (신청,승인,등록,해지,기기인증이력)
* 업무용단말기를 통한 자료공유제한 (공용폴더)
* 업무용단말기의 분실,도난으로 인한 정보유출 대책
   (킬스위치 MDM설치)
예)모바일기기에 비밀번호 설정이 안되어있는 경우
예)업무용단말기의 공유폴더 사용금지했으나 사용

 

728x90
반응형
LIST

'ISMS-P' 카테고리의 다른 글

ISMS-P 결함사례(1/7)  (0) 2021.01.22
ISMS-P 유사 인증기준 항목 비교 (2/2)  (0) 2021.01.21
ISMS-P 인증기준 - 3. 개인정보 처리단계별 요구사항(3/3)  (0) 2021.01.17
ISMS-P 인증기준 - 3. 개인정보 처리단계별 요구사항(2/3)  (0) 2021.01.15
ISMS-P 인증기준 - 3. 개인정보 처리단계별 요구사항(1/3)  (0) 2021.01.13
728x90
반응형
SMALL
3. 개인정보 처리 단계별 요구사항 - 수보제파권
3.1 개인정보 수집 시 보호조치 수 - 제동 주민간 영홍 3.1.1 개인정보 수집제한
3.1.2 개인정보 수집동의
3.1.3 주민등록번호 처리제한
3.1.4 민감정보및고유식별정보처리제한
3.1.5 간접수집 시 보호조치
3.1.6 영상정보처리기기 설치.운영
3.1.7 홍보및 마케팅 목적 활용시 조치
3.2 개인정보 보유 및 이용시 보호조치 보 - 현품표 단목 3.2.1 개인정보 현황관리
3.2.2 개인정보 품질보장
3.2.3 개인정보 표시제한 및 이용시 보호조치
3.2.4 이용자 단말기 접근 보호
3.2.5 개인정보 목적외 이용 및 제공
3.3 개인정보 제공 시 보호조치 제 - 3위영국 3.3.1 개인정보 제3자 제공
3.3.2 업무위탁에 따른 정보주체 고지
3.3.3 영업의 양수에 따른 개인정보이전
3.3.4 개인정보의 국외이전
3.4 개인정보 파기 시 보호조치 파 - 파목휴 3.4.1 개인정보의 파기
3.4.2 처리목적 달성 후 보유 시 조치
3.4.3 휴면 이용자 관리 
3.5 정보주체 권리보장 권 - 처권통 3.5.1 개인정보처리방침 공개
3.5.2 정보추제 권리보장
3.5.2 이용내역 통지

 

3.4 개인정보 파기 시 보호조치 (파목휴)

항목 설명 및 사례 keyword
3.4.1 개인정보의 파기 •1)처리목적이 달성되거나
 2)보유기간이 경과,
 3)처리목적 달성후, 3.4.2 처리목적 달성후 보유시 조치에 의해 저장
   되었다가 법령에 따른 보존기관이 경과한경우
지체없이 개인정보를  파기하여야 한다. (5일 이내 파기)

• 개인정보 수집및 이용목적을 달성한 경우
   - 정보주체(이용자)가 웹사이트 회원에서 탈퇴한 경우
   - 이용자가 초고속인터넷을 해지한 경우
   - 정보주체(이용자)가 마일리지 회원에서 탈퇴를 요청한 경우
   - 개인정보를 수집하는 이벤트가 종료된 경우
   - 제3의 업체에게 텔레마케팅을 위해 정보를 제공한 후 해당 업체의
     TM업무가 종료된 경우
• 단, [전자상거래 등에서의 소비자보호에 관한 법률및시행령]에서는
  대금결재및 재화공급에관한 기록을 5년 간 보관하도록 하고 있으며
 ,요금미납,A/S 등에 해당하는 경우에는 5년 간 보관이 가능
 소비자불만및 분쟁처리에 관한 기록은 3년
•파기시 복구.재생되지 않도록 (현재의 기술수준에서 사회통념상 적정한 비용으로 파기한 정보의 복원이 불가능하도록 하는 방법)
 - 완전파괴 : 소각, 파쇄
 - 전용 소자방비 : 디가우저
 - 초기화 또는 덮어쓰기 (매직으로 마스킹처리도 가능)
•파기에 대한 대장관리 (하드디스크의 경우는 일련번호를 기록해야 한다.)		 보유기간 및 파기 정책,
불필요 시 파기,
안전한 방법 파기,
파기 기록 관리
3.4.2 처리목적 달성후 보유 시 조치 •목적달성,보유기간경과후에도 법령에 따라 보존하는 경우 최소한의
 기간과 최소한의 항목만 보존한다.
 ( 위 [전자상거래..] 법률에 의해서 대금결재,재화공급,요금미납,A/S 등
  때문에 5년간 보관이 허용되지만 대신 다른 개인정보와 분리해서
  보관해야한다)
•보관시 다른 개인정보와 논리적 또는 물리적으로 분리하여 보관한다.
•분리보관된 개인정보의 접근권한 최소한 인원으로		 불필요 시 최소 기간,
최소정보,
분리보관,
목적 범위 내 처리,
접근권한 최소인원 제한 
3.4.3 휴면 이용자 관리

(정통망법에만 규정되어있음)		 정보통신서비스 제공자(즉 정통망법) 등은 정보통신서비스를 1년의
기간 동안 이용하지 아니하는 이용자의 개인정보를 보호하기 위하여
지체 없이 파기하거나 분리 보관해야 함(개인정보 유효기간제)

•휴면이용자의 개인정보를 파기 또는 분리보관
     (물리적까지 분리는 아니고. 테이블분리만)
 - 1년동안 미이용시 파기하거나 분리보관 한다.
   (개인정보 유효기간제로 시행주기는 5일 이내) -> 한달단위로 하는 건 안됨(X)
 - 단순 광고이메일 클릭으로는 안되면 로그인 여부로 미이용여부를 판단

•이용자의 요청이 있는 경우 예외적으로 1년 이외의 서비스 미이용
 기간을 정할 수 있음. (즉 이용자의 요청이 없는 한 1년 기준적용)

•분리보관하는 항목은 최초 개인정보항목 뿐만 아니라 접속로그, 결제
 기록 등 서비스이용시 생성되는 정보도 포함하여 분리보관한다.

•이용자의 재이용 요청이 있는 경우를 대비하여 온라인 이용자의 편의
 성을 높이기 위한 목적으로 ID 등 최소한의 연결값을 서비스 중인 DB
 에 남겨두는 것은 가능함 (단 이름,연락처 등 과도한 개인정보를 남기
 는 건 안된다.)

•분리되어 저장․관리하는 휴면 이용자의 개인정보는 법령에 따른 보관
 목적 또는 이용자의 요청에 대해서만 이용 및 제공하여야 한다.

•통지항목(사만항)
  - 파기되는 사실
  - 기간 만료일
  - 파기되는 개인정보 항목 		파기 또는 분리보관,
알림,
보관목적 또는 이용자 요청 이용,
접근권한 최소인원 제한 

 

3.5 정보주체 권리보장 (처권통)

항목 설명 및 사례 keyword
3.5.1 개인정보처리방침 
       공개		 •개인정보 처리방침을 홈페이지등에 지속적으로 공개
 - '개인정보 처리방침' 이라는 표준화된 명칭 사용
 - 클자크기, 색상달리해서 쉽게 확인할수있도록
 인사 간신 관계 - 인터넷홈페이지, 사업장, 간행물 ,신문, 관보, 계약서
•홈페이지 없는 경우
 - 사업장 등의 보기쉬운 장소에 비치
 - 관보,일간신문,인터넷신문
 - 연2회 이상 발행하는 간행물,소식지,홍보지,청구서
 - 계약서

•단 개인정보 처리방침에 등록이 면제되는 개인정보파일
 (공공기관만 해당) - 국범조내비
 1.국가,안전,외교상비밀에 관련된 개인정보파일
 2.범죄의 수사,공소제기.형.감호,교정 집행,출입국관리
 3.조세범처벌법, 관세법 에 따른 범칙행위 조사사항
 4.공공기관의 내부적 업무처리용
 5.법령에 따라 비밀로 분류된 파일

* 개인정보파일을 등록하지 않아도 되므로 개인정보 처리방침에 공개
  안해도 된다
•개인정보 처리방침이 변경되는 경우 사유 및 변경 내용을 지체없이 공지하고 정보주체(이용자)가 언제든지 변경된 사항을 쉽게 알아 볼 수 있도록 조치하여야 한다.
  - 단, 변경 전.후를 비교할 수 있도록 공개하여야 한다.


•개인정보 처리방침에 포함해야할 필수사항
      개인정보보호법                              정통망법
목항기 3위권 부자파안
1.개인정보의 처리목적                         1.개인정보 수집.이용목적
2.개인정보의 처리 및 보유기간                 .수집하는 항목및 수집방법
3.제3자 제공에 관한사항                       2.제3자 제공하는 경우
4.위탁에 관한 사항                   :제공받는자의 성명,이용목적,제공항목
5.정보주체의 권리.의무 및 그 행사방법    
6.개인정보 보호책임자의 성명 또는       3.보유 및 이용기간, 파기 절차
   부서명과 그 연락처                         4.처리위탁을 하는 업무내용과
7.자동으로 수집하는 장치의 설치              수탁자
  ,운영 거부에 관한                               5.이용자의 권리,행사방법
<시행령>
8.처리하는 개인정보 항목                      6.자동으로 수집하는 장치
9.파기에 관한 사항                                 설치,운영,거부
10.안정성 확보조치에 관한                    7.개인정보 보호책임자의
                                                          성명, 부서명과 연락처

* 개보법이나 정통망법이나 거의 비슷하고 개보법에서만 안전성확보
   조치항목이 더 추가됐을뿐이다

* 개보법에서는
     1.개인정보의 처리목적,
     2.개인정보 처리및 보유기간,
     8.처리하는 개인정보항목
으로 목항기가 표현되는데 반해

* 정통망법에서는
     1.개인정보 수집.이용목적, 수집하는 개인정보의 항목및 수집방법  
     3. 개인정보의 보유및 이용기간, 개인정보의 파기절차 등
2개 항목으로 표현한다.


• 기타 기재사항 (열변부구영)
 - 개인정보의 열람.정정.삭제.처리정지 요구권 관련
 - 개인정보 처리방침의 변경에 관한 사항
 - 개인정보 열람청구를 접수.처리하는 부서
 - 정보주체의 권익침해에 대한 구제방법
 - 영상정보처리기기 운영.관리에 관한 사항		 처리방침 공개,
요구내용 포함,
변경 시 공지,
이력관리 
3.5.2 정보주체 권리보장 •정보주체 또는 그 대리인이 열람,정정,삭제,처리정지,이의제기,동의철회(이하 열람)
 요구를 쉽게할 수 있도록 권리행사방법과 절차를 마련.
  (수집절차, 회원가입절차보다 쉽게해야 함)
•열람시 발생하는 수수료,우편료는 청구가능하나 사유가 개인정보처리자에게 있는 경우 청구할수없음
•열람요구를 받은 후 10일 이내 조치
  만약 처리하는데 10일이내에 조치가 불가하다면 10일 이내에 그 사유를 알려야함

•열람 거부가능 사유 (법생 조성 채보감)
 1.법률에 의해 금지된 경우
 2.다른 사람의 생명.신체를 해하거나 재산상 이익을 부당 하게 침해할
   우려가 있는 경우
 3.공공기관이 다음 업무 진행시 중대한 지장 초래시
   - 조세의 부과.징수.환급 업무
   - 성적평가. 입학자선발 업무
   - 학력.기능 및 채용에 관한 시험.자격심사에 관한 업무
   - 보상금.급부금 산정 업무
   - 진행중인 감사. 조사 업무


•처리정지 요구 거부 가능 사유 (법생 소계)
 1. 법률에 규정이 있거나 .법령상 의무준수하기 위하여 불가피한 경우
 2..다른 사람의 생명.신체를 해하거나 재산.이익을 부당하게 침해할
   우려가 있는 경우
 3. 공공기관의 소관업무 수행
 4. 처리하지 아니하면 계약한 서비스를 제공하기 곤란한 경우로서
   정보주체가 해지의사를 명확히 밝히지 않은 경우		 행사방법(열람, 정정·삭제, 처리정지)
   및 절차,
이의제기,
동의철회,
처리기록,
타인권리침해 
3.5.3 이용내역 통지 •개인정보 이용내역을 주기적으로 통지 (정통망법에 의한 정보통신서비스제공자에한함)
 - 대상 : ①전년도 말 기준 직전 3개월간 이용자수가
               일일평균 100만영 이상이거나
           ②정보통신서비스 전년도매출액이 100억원
              이상인 정보통신서비스 제공자
            * 망분리 대상이랑 동일함. 100,100
 - 주기 : 연 1회 이상
 - 방법 : 전자우편, 서면, 모사전송, 전화등 유사한방법
           (위 통지방법대신 홈페이지등에 게제하는 건 안된다.)
           (단, 연락처등 통지할수 있는 개인정보를 수집하지 아니한 경우
            에는 통지 안해도 된다.)		 이용내역 주기적 통지
    (100/100연1회),
통지항목 법 요구항목 포함 

 

728x90
반응형
LIST

'ISMS-P' 카테고리의 다른 글

ISMS-P 유사 인증기준 항목 비교 (2/2)  (0) 2021.01.21
ISMS-P 유사 인증기준 항목 비교 (1/2)  (0) 2021.01.19
ISMS-P 인증기준 - 3. 개인정보 처리단계별 요구사항(2/3)  (0) 2021.01.15
ISMS-P 인증기준 - 3. 개인정보 처리단계별 요구사항(1/3)  (0) 2021.01.13
ISMS-P 인증기준 - 2. 보호대책 요구사항 (3/3)  (0) 2021.01.11
728x90
반응형
SMALL
3. 개인정보 처리 단계별 요구사항 - 수보제파권
3.1 개인정보 수집 시 보호조치 수 - 제동 주민간 영홍 3.1.1 개인정보 수집제한
3.1.2 개인정보 수집동의
3.1.3 주민등록번호 처리제한
3.1.4 민감정보및고유식별정보처리제한
3.1.5 간접수집 시 보호조치
3.1.6 영상정보처리기기 설치.운영
3.1.7 홍보및 마케팅 목적 활용시 조치
3.2 개인정보 보유 및 이용시 보호조치 보 - 현품표 단목 3.2.1 개인정보 현황관리
3.2.2 개인정보 품질보장
3.2.3 개인정보 표시제한 및 이용시 보호조치
3.2.4 이용자 단말기 접근 보호
3.2.5 개인정보 목적외 이용 및 제공
3.3 개인정보 제공 시 보호조치 제 - 3위영국 3.3.1 개인정보 제3자 제공
3.3.2 업무위탁에 따른 정보주체 고지
3.3.3 영업의 양수에 따른 개인정보이전
3.3.4 개인정보의 국외이전
3.4 개인정보 파기 시 보호조치 파 - 파목휴 3.4.1 개인정보의 파기
3.4.2 처리목적 달성 후 보유 시 조치
3.4.3 휴면 이용자 관리 
3.5 정보주체 권리보장 권 - 처권통 3.5.1 개인정보처리방침 공개
3.5.2 정보추제 권리보장
3.5.2 이용내역 통지

 

3.2 개인정보 보유 및 이용시 보호조치 (현품표 단목)

항목 설명 및 사례 keyword
3.2.1 개인정보 현황관리 1)수집.보유하는 개인정보의 항목,보유량,처리목적,기간 등 현황을
   정기적 으로 관리
 - 개인정보현황표, 개인정보흐름표, 개인정보흐름도
2)공공기관이 개인정보파일을 운용,변경하는 경우 법률에서 정한 관계
  기관의 장에 등록
  ① 개인정보파일 등록 또는 변경 신청을 받은 개인정보 보호책임자는
      등록․변경 사항을 검토하고 그 적정성을 판단한 후 행정안전부에
      60일 이내에 등록
  ② 중앙행정기관,지방자치단체의 소속기관,기타 공공기관은 개인정보
      파일 등록 ․변경검토 및 적정성 판단을 상위기관에 요청한 후
     ,상위 관리기관의 확인을 받아서 -> 행안부에  60일 이내 등록
  ③ 국회,법원,헌재,중앙선관위는 국회규칙,대법원규칙, 헌재규칙,중앙
      선관위규칙을 따름
3)공공기관은 개인정보파일의 보유현황을 개인정보처리방침에 공개


• 단 아래 개인정보파일은 행안부에 등록안해도 됨.
국범 조내비 통안 공영 1금
 1.국가,안전,외교상비밀, 그 밖에 국가의 중대한 이익에 관한 사항을
   기록한 개인정보파일
 2.범죄의 수사,공소제기및유지,형및 감호의 집행,교정처분,보호처분
  ,보안관찰처분과 출입국 관리에 관한 사항을 기록한 개인정보파일
 3.[조세범처벌법]에 따른 범칙행위조사 및 [관세법]에 따른 범칙행위
   조사에 관한 사항을 기록한 개인정보파일.
 4.공공기관의 내부적 업부처리만을 위하여 사용되는 개인정보파일
 5.다른 법령에 따라 비밀로 분류된 개인정보파일
 6.[통계법]에 따라 수집되는 개인정보파일
 7.국가안전보장과 관련한 정보분석을 목적으로 수집제공 요청되는
   개인정보파일
 8.공중위생등 공공의 안전과 안녕을 위하여 긴급히 필요한 경우로서
   일시적으로 처리되는 개인정보파일
 9.영상정보처리기기를 통하여 처리되는 개인정보파일
 10.자료.물품 또는 금전의 송부, 1회성 행사 수행 등의 목적만을 위하여
운용하는 경우로서 저장하지 않고 폐기할 목적으로 수집된 개인정보파일
 11.[금융실명거래및 비밀보장에 관한법률] 에 따른  금융기관이
     금융업무 취급을 위해 보유하는 파일


<개인정보파일 등록항목>
명운항 처보반 명수담열 거평
- 개인정보파일 명칭
 - 개인정보파일의 운영근거 및 목적
 - 개인정보파일에 기록되는 개인정보 항목
 - 개인정보 처리방법
 - 개인정보 보유기간
 - 개인정보를 통상적 또는 반복적으로 제공하는 경우에는 그 제공받는자
 - 개인정보파일을 운용하는 공공기관의 명칭
 - 개인정보파일로 보유하고 있는 개인정보의 정보주체수
 - 해당 공공기관에서 개인정보처리 업무를 담당하는 부서
 - 개인정보의 열람요구를 접수.처리하는 부서
 - 열람을 제한하거나 거절할수 있는 개인정보의 범위및 제한 또는 거절 사유
 - 개인정보 영향평가를 실시한 경우 그 결과 첨부

* 파기에 대해서는 언급이 없다. 		현황 정기적 관리,
공공기관 개인정보파일 등록,
처리방침 공개 
3.2.2 개인정보 품질보장

  (주로 회원정보 변경 관련)		 •정확성,완전성,최신성이 보장되도록 정보주체에게 관리절차를 제공
  - 회원정보변경 시 본인확인절차
  - 온라인회원에서는 개인정보변경방법을 제공하나 오프라인 회원에게
    는 제공하지 않는 경우		 최신화,
정보주체 개인정보 품질(정확성, 완전성, 최신성) 유지 
3.2.3 개인정표 표시제한 및 이용 시 보호조치

Like마비		 •개인정보의 조회및 출력시 용도를 특정하고 출력항목을 최소화
•개인정보의 조회및 출력시 불필요한 개인정보는 마스킹처리 등 표시
  제한조치 수행
•종이등 인쇄물등에 개인정보 유출 방지
•검색시 Like검색등 과도한 검색이 안되게
•비식별화하여 이용.제공시 재식별화의 위험을 방지하고 '개인정보 비식
 별 조치 가이드라인' 에 따른 적정성 평가 수행
•가명처리기법만 단독 활용된 경우는 충분한 비식별 조치로 보기 어려움


<비식별화>
구성 - 3전과(법비) : 3명이상 전문가중 외부전문가 과반수
                           (법률전문가, 비식별화 기법 전문가 1명씩)
기법 - 가총삭범마 : 가명처리/총계처리/데이터삭제/데이터범주화
                           /데이터마스킹
프라이버시보호모델 - KLT : K-익명성 / L-다양성 / T-근접성 		출력항목 최소화,
마스킹 기준,
출력물 보호조치,
검색(일치,복합),
비식별 적정성평가,
재식별 모니터링 
3.2.4 이용자 단말기 접근 보호 •정보주체의 이동통신단말기내의 기능이나 정보이용 시 명확하게 알리
  고 동의를 받아야 한다
  - 2G폰, 단순 블루투스,와이파이 공기계는 제외
•이동통신단말장치 내에서 해당 접근권한에 대한 정보주체의 동의및
 철회방법을 마련해야 한다.		 이동통신단말장치
접근권한 고지,
동의,
거부권,
동의 및 철회방법 마련
3.2.5 개인정보 목적 외 이용 및 제공 •동의를 받은 목적 또는 법령에 초과하여 이용,제공시 추가 동의를 받거나
 법령에 적합한지 확인

 - 목적외 이용,제공이 가능한 경우 (개인정보보호법)
동법 급통 소약 범법형
  1.별도 동의를 받은 경우
  2.법령에 특별한 규정이 있는 경우
  3.사전동의를 받을수 없는 경우로서 급박한 생명…
  4.통계작성 및 학술연구 등의 목적으로 특정개인을 알아볼수 없는 형태로 개인정보를 제공하는 경우 (단 동의받은 개인정보를제공)

이하는 공공기관만 해당하며 관보,홈페이지에 공개해야함. (소약범법형)
  5.법률에서 정한 소관업무수행으로 보호위원회의심의.의결을 거친 경우
  6.조약, 국제협정을 위해 외국에 제공
  7.범죄의 수사와 공소제기 및 유지를 위하여
  8.법원의 재판업무 수행
  9.형및 보호 감호처분의 집행


•개인정보를 목적외 용도로 제3자에게 제공하는 경우 제공받는 자에게
 안정성 확보조치를 요청해야 함.
1)공공기관이 위 사유에따라 개인정보를 목적외의 용도로 이용하거나
 제3자에게 제공하는 경우 그 내용을 관보,인터넷 홈 페이지에 게제하여
 야 한다. (즉 동의 안받는 대신 게제해서 알려야 함)
  - 단, ①동의를 받았거나,  ②범죄의 수사등에 관련된 경우
   게제하지 않아도 된다.
  - 게제시점 : 이용.제공한 날로부터 30일 이내
    게제기간 : 홈페이지에 게제하는 경우 10일 이상
 예) 상품배송을 목적으로 수입한 개인정보를 동의받지 않고 상품의
     통신판매,광고등에 이용
 예) 경품행사때문에 수집한 개인정보를 자사의 할인판매행사 안내문자
     발송에 이용한 경우
 예) 공공기간이 민원인의 개인정보를 목적외로 타기관에 제공한 경우
     관보,홈페이지에 게제안한 경우
2)공공기관이 개인정보를 목적외의 용도로 이용하거나 제3자에게 제공
  하는 경우 '제공대장' 을 관리해야함.


[개인정보보호법 시행령]
제15조 (개인정보의 목적외 이용 또는 제3자 제공의 관리)
<목적외 이용 및 제3자 제공 대장 기록 항목> 명명 목항기 근형
1. 이용하거나 제공하는 개인정보 또는 개인정보파일의 명칭
2. 이용기관 또는 제공받는 기관의 명칭
3. 이용 목적 또는 제공받는 목적
4. 이용 또는 제공의 법적 근거
5. 이용하거나 제공하는 개인정보의 항목
6. 이용 또는 제공 날짜,주기 또는 기간
7. 이용하거나 제공하는 형태 		목적 내 외 별도 동의,
법적 근거,
제3자 안전조치,
공공기관은
  ①관보, 홈페이지에 게제
  ②제공대장 작성

정통망법에서는 목적외이용을
허용하는 조항은 없다.

'소약범법형' 은 공공기관이
(1) 민감정보,고유식별정보를 동의없이 처리가능한 경우
(2) 동의없이 목적외이용.제공이 가능한 경우
(단, 요경우는 관보,홈페이지 게시(30일 이내, 10일이상) 및 제공대장 기록)

 

3.3 개인정보 제공 시 보호조치 (3위영국)

항목 설명 및 사례 keyword
3.3.1 개인정보 제3자 제공 •개인정보를 제3자에게 제공하는 경우 명확하게 고지해서 동의를 별도
 받거나, 법령에 규정이 있어야 함.
 - 제3자란 정보주체와 그 정보주체의 개인정보를 수집 보유하고 있는
  개인정보처리자를 제외한 모든 자
   (회사내 타부서및 타조직은 제3자가 아님)
 - 여기서 말하는 제3자의 제공은 개인정보를 제공하는 자와 정보주체간의 계약이행을 위한것이 아니라 제공받는 자의 이익을 위해 수집하는 경우이다. 만일 제공받는자의 이익을 위해서 제3자에게 제공하는 것은 '위탁' 이다.

 - 3자 제공 예시
   1.저장매체나 출력물을 통한 물리적인 이전
   2.네트워크를 통한 전송
   3.제3자의 접근권한 부여
   4.제3자와 개인정보 공유
   5.기타 개인정보의 이전,공동이용상태를 초래하는 모든행위


•개인정보를 제3자에게 제공할 수있는 경우
       개인정보보호법                                  정보통신망법
 동법소급  / 동요법
1.정보주체의 동의를 받음                     1.이용자의 동의를 받음
2.법률에 규정, 법령상 의무준수 불가피    2.요금정산을 위하여
3.공공기관이 소관업무                         3.법률에 규정
4.사전동의받을수 없는 급박한 생명,신체.재산상

•개인정보 제3자 제공 동의시 알려야할 사항
      개인정보보호법(목항기거자)             정보통신망법(목항기자)
1.제공받는자                                    1.제공받는자
2.제공받는자의 이용목적                    2.제공받는자의 이용목적
3.제공하는 개인정보 항목                   3.제공하는 개인정보 항목
4.제공받는자의 보유및 이용기간          4.제공받는자의 보유및 이용기간
5.동의를 거부할 권리 		별도 동의,
거부권,
예외 법령 규정,
제3자 제공내역 기록보관,
제3자 보호절차 통제

공공기관 소관업무 예
 - 건강보험공단이 법률에 의해 진료내역을 수집하는 경우

급한한 이익 예
 - 조난.홍수로부터 실종되거나 고립된 사람을 구조하기위하여 연락처, 주소, 위치정보
    등 개인정보를 수집

 - 아파트안에 화재가 발생되어 집안에 있는 자녀를 구하기위해 부모의 핸드폰 번호를
   수집하는 경우

 - 의식불명이나 중태에 빠진 환자를 치료하기 위해 개인정보를 수집하는 경우

 - 고객이 보이스피싱에 걸린것으로 보여 은행이 임시로 자금이체를 중단시키고 고객
   애게 사실확인을 하고자하는 경우
3.3.2 업무 위탁에 따른 정보주체 고지 •개인정보 처리업무를 제3자에게 위탁하는 경우 홈페이지 등에 위탁하는
 업무의 내용과 수탁자를 현행화하여 지속적으로 공개해야 한다.
 (수탁자가 아무리 많아도 해당 수탁자명을 모두 열거)

• 정통망법상으로는 위탁시에도 동의를 받아야 함.

     개인정보보보법                               정통망법
1.위탁시 동의 불필요                            1.위탁시 동의 필요
  *단, 홍보,판매업무를 위탁할때에는             - 처리위탁 받은 자
   위탁하는 업무의 내용과 수탁자를             - 처리위탁하는 업무내용
   정보주체에게 고지해야 한다.          * 단, 계약을 이행하고 이용자
                                           편의증진을 위하여 개인정보처리방침
                                              을 통하여 위탁사실을 공개한 경우
                                              동의 안받아도 됨 (고지와 동의절차
                                              안받아도 됨)

•홍보,판매를 권유하는 업무를 위탁하는 경우 서면, 전자우편,모사전송
 ,전화,문자를 통하여 정보주체에게 알려야 한다.(동의X, 공개X, 고지O)
•위탁하는 업무의 내용이 변경된 경우 내용을 알리거나 필요한 경우
 동의를 받아야 한다.
•수탁자가 다시 재위탁하는 경우 위탁자의 사전동의를 받아야 한다.
•정보통신서비스 제공자(즉 정통망법 적용대상자)이면서 정보통신서비스
 제공에 관한 계약이행과 무관한 개인정보 처리업무를 위탁하면서 개인
 정보 처리방침에만 공개하는 것으로 갈음하여 이용자의 동의를 받지
 않는 것은 안된다.		 위탁 내용과 수탁자 공개,
필요시 동의,
홍보 또는 판매업무 위탁시 통지,
재위탁 시 사전 동의

개보법     정통망법
동의 X       동의 O
홍보,판매  계약,편의  
고지         공개
(개고 망공)
3.3.3 업무의 양수 등에 따른 개인정보의 이전 •영업의 전부 또는 일부의 양도.합병 등으로 개인정보를 다른 사람에게
 이전하는 경우 다음 사항을 정보주체에게 알려야 한다. (사자철)
 1.개인정보를 이전하려는 사실
 2.이전받는자의 성명,주소,전화번호 및 연락처
   (이전하는 자의 정보는 고지 안해도 됨)
 3.이용자가 개인정보 이전을 원하지 아니하는 경우 그 동의를 철회할 수 있는 방법과 절차

•알리는 방법
 1.전자우편,서면,모사전송,전화. 또는 이와 유사한방법
 2.정보주체에게 직접 알릴수 없는 경우에는
   - 홈페이지에 30일 이상 기재로 갈음 가능
   - 홈페이지가 없는 경우 양도자의 보기쉬운 장소에  30일 이상 게시
     또는 일간신문에 1회이상 공고

•양수자는 법적 통지요건에 해당하는 경우 개인정보를 이전받은 사실을
 정보주체에게 지체없이 알려야한다.

•통지의무 대상
통지의무대상  개인정보보호법(개통면)           정통망법(망통통)
   양도자            통지필요                                통지필요
   양수자            통지필요                                통지필요
                    단, 양도자가 이미 이전
                    사실을 알린경우 면제
•이전받은 자가 목적외로 개인정보를 이용,제공하려는 경우 별도로
  정보주체에게 동의를 받아야함.		 양도·합병 이전 시 통지
   (개통면 망통통),
통지요건(사실, 받는자, 아니),
본래 목적 
3.3.4 개인정보의 국외이전 • 개인정보를 국외의 제3자에게 제공하는 경우 내용을 알리고 동의를
  받아야 한다
•정보통신서비스 제공자로서 계약을 이행하고 이용자 편의 증진을 위하
 여 필요한 경우로서 그 내용을 이용자에게 알리는 것으로 동의를 갈음
 할수 있다.

• 동의시 고지사항
     개인정보법  - 목항기거자
     정보통신망법 - 목항기자 국일방
          - 이전되는 개인정보 항목
          - 이전되는 국가. 이전일시, 이전방법 (국일방)
          - 이전받는 자의 성명
          - 이전받는 개인정보의 목적및 보유.이용기간

 예) 정보통신서비스제공자(정보통신망법)가 필수적인 서비스제공을
     위하여 해외 클라우드 서비스를 이용하여 개인정보 처리위탁 및
     보관을 하면서 이전되는 국가.이전방법 등 관련사항을 홈페이지에
     공개하거나 이용자에게 알리지 않은 경우
   (계약이행및 편의증진은 동의 안받는 대신 공개및 고지해야 함)

  -> 반면 개인정보처리자. 즉 개인정보보호법에서는 무조건 국외이전은
       정보주체에게 동의를 받아야 한다는 뜻


•개인정보 국외이전에 관한 계약 시 고려사항
     개인정보보호법                          정통망법
개인정보보호법을 위반하는     아래 사항을 미리 협의
내용으로 계약을 체결하면     1.개인정보보호를 위한 기술적관리적 조치
안됨                                  2.개인정보 침해에 대한 고충처리,분행
                                          해결 사항
                                       3.그밖에 개인정보보호를 위한 필요조치		 고지(목항기거자
    목항기자 국일방자) &동의,
동의갈음,
국외이전 계약,
국외 보호조치 
728x90
반응형
LIST

'ISMS-P' 카테고리의 다른 글

ISMS-P 유사 인증기준 항목 비교 (1/2)  (0) 2021.01.19
ISMS-P 인증기준 - 3. 개인정보 처리단계별 요구사항(3/3)  (0) 2021.01.17
ISMS-P 인증기준 - 3. 개인정보 처리단계별 요구사항(1/3)  (0) 2021.01.13
ISMS-P 인증기준 - 2. 보호대책 요구사항 (3/3)  (0) 2021.01.11
ISMS-P 인증기준 - 2. 보호대책 요구사항 (2/3)  (0) 2021.01.07
728x90
반응형
SMALL
3. 개인정보 처리 단계별 요구사항 - 수보제파권
3.1 개인정보 수집 시 보호조치 수 - 제동 주민간 영홍 3.1.1 개인정보 수집제한
3.1.2 개인정보 수집동의
3.1.3 주민등록번호 처리제한
3.1.4 민감정보및고유식별정보처리제한
3.1.5 간접수집 시 보호조치
3.1.6 영상정보처리기기 설치.운영
3.1.7 홍보및 마케팅 목적 활용시 조치
3.2 개인정보 보유 및 이용시 보호조치 보 - 현품표 단목 3.2.1 개인정보 현황관리
3.2.2 개인정보 품질보장
3.2.3 개인정보 표시제한 및 이용시 보호조치
3.2.4 이용자 단말기 접근 보호
3.2.5 개인정보 목적외 이용 및 제공
3.3 개인정보 제공 시 보호조치 제 - 3위영국 3.3.1 개인정보 제3자 제공
3.3.2 업무위탁에 따른 정보주체 고지
3.3.3 영업의 양수에 따른 개인정보이전
3.3.4 개인정보의 국외이전
3.4 개인정보 파기 시 보호조치 파 - 파목휴 3.4.1 개인정보의 파기
3.4.2 처리목적 달성 후 보유 시 조치
3.4.3 휴면 이용자 관리 
3.5 정보주체 권리보장 권 - 처권통 3.5.1 개인정보처리방침 공개
3.5.2 정보추제 권리보장
3.5.2 이용내역 통지

 

3.1 개인정보 수집 시 보호조치 (제동 주민간 영홍)

항목 설명 및 사례 keyword
3.1.1 개인정보 수집 제한   (최선거)

(일과단가)
일괄로 동의
과도한 정보 수집
선택 미동의시 다음 단계 거부
선택 미동의시 가입 가능		 •최소한의 정보만 수집 (동의,법령에 근거)
•최소한의 정보외에는 선택할수 있도록 (별도선택항목)
  - 일괄동의 안되고 필수와 선택으로 구분
•최소한의 정보외에 정보제공에 동의하지 않는다는 이유로 거부하지
 않아야 한다.
(즉 선택항목에 동의하지 않았다고 해서 서비스제공이 거부되면 안됨)
반대로 필수항목에 대해 동의하지 않는 경우 회원가입을 거부할 수 있다 		최소정보,
선택항목,
거부권 
3.1.2 개인정보의 수집 동의 •동의를 받거나 관계법령에 따라 적법하게 수집
  - 법령에 특별한 규정이 있는 경우 동의안받고 가능
•정보가 필요한 시점에 동의받고 수집 (미리 안됨)
•동의를 받을 때 관련 내용을 명확하게 고지 (홍민고기3목자)
  - 명확히 표시하여야 하는 중요한 내용
    1. 해당정보를 이용하여 연락할수 있다는 사실 (홍보.마케팅 항목)
    2. 처리하는 개인정보 항목중 민감정보,여권정보 ,운전면허번호,외국
       인등록번호 등 고유식별정보
    3. 개인정보의 보유 및 이용기간
    4. 제공받는자의 개인정보 이용 목적

  - 중요내용 표시 방법
    1. 9포인트 이상, 다른내용보다 20% 이상 크게
•만14세미만의 경우 법정대리인에게 동의 받음.
  - 법정대리인의 최소한의 정보만 수집하여야 하며 (법정대리인의 동의
     없이 아동으로부터 수집가능) 법정대리인의 자격요건을 확인하는
     방법.절차 마련
  - 법정대리인이 거부하는 경우 수집일로부터 5일이내 파기해야함.

예) 쇼핑몰 홈페이지 회원가입 시 회원가입에 필요한 개인정보 외에
    추후 물품 구매 시 필요한결제 배송 정보를 미리 필수 항목으로 수집
    하는 경우
     -> 최소한의 정보외에 추가적으로 배송정보를 수집한다는 점에서
         3.3.3 개인정보수집제한 에 위배된다고고 볼수 있으나 그보다는
         필요한시점에 수집하지 않고 미리 수집했다는 점이 더 포커스
        이므로 3.1.2 항목 위반에 해당

* 개인정보의 수집.이용이 가능한 경우 (동법 소계 급정 / 계요법)
       개인정보보호법                                정보통신망법
1.정보주체의 동의받은경우  
2.법률에 특별한규정이 있거나 법령상  1.계약의 이행을 위해 경제적,
  의무를 준수하기위해 불가피한경우      기술적인 사유로 통상적인
3.공공기관이 소관의 업무수행을 위해     동의를 받는 것이 경우
  불가피한 경우                                2.요금정산을 위하여
4.계약의 체결및 이행을 위해                3.다른 법률에 특별한 특별한 
 (예) 온라인 쇼핑몰에서 고객이 주문한     규정이 있는 경우
 상품을 배송하기 위하여 주소,.연락처를
 수집하는 경우
5.의사표시를 할수없거나 사전동의를
  받을수 없는 경우로서 명백히 정보주체
  또는 제3자의 급박한 생명,신체,재산의
  이익을 위하여 필요하다고 인정되는경우
  (예) 교통사고를 당한 의식불명환자의
     핸드폰에서 가족의 연락처를 수집
6.개인정보처리자의 정당한 이익달성으로
  명백하게 정보주체의 권리보다 우선
  (예) 문방구에서 외상을 갚지 않는 학생의
       집에 연락하기 위해 학생의 동의없이
       부모님 연락처를 수집


* 개인정보의 수집.이용 동의시 고지사항
 개인정보보호법(목항기거)      정보통신망법(목항기)
1.수집.이용 목적               1.수집.이용 목적
2.항목                             2.항목
3.보유및 이용기간             3.보유및 이용기간
4.동의를 거부할 권리 		고지(목항기거) 후 동의,
방법 및 시점,
명확 표시,
법정대리인(만14세),
동의 기록 보관 
3.1.3 주민등록번호 처리 제한 •주민등록번호는 법적근거가 있는 경우를 제외하고는 설사 동의를 받는
 다하더라고 수집할수 없다.

 - 수집이 가능한 경우
        개인정보보호법                                 정보통신망법
법급행                                            본법방
1.법률,대통령령,국회규칙,대법원규칙    1.본인확인기관으로 지정받은
  ,헌법재판소규칙,중앙선거관리위원        경우
   회규칙 및 감사원규칙에서 구체적      2.법령에서 허용
  으로 주민등록번호 처리를 요구.허용   3.정보통신제공자로서 방통위        한 경우                                          가 고시
2.급박한 생명,신체,재산상 이익으로       
  명백히 필요
3.행정안전부령으로 정함.
  (시행규칙,조례,훈련 X)


•법령에서 구체적으로 주민등록번호 처리근거가 명확해야 함.
  - 훈령,예규,고시,조례 등은 근거가 될수 없음
  - 법령에서 단순히 신원확인,연령확인등 의무규정만을 규정하고 있다면 이는 처리근거가 명확하지않음
•뒷자리 7자리만 수집한다고 해도 전체를 수집하는 것과 동일함.
•주민등록번호 수집이 가능하더라도 대체수단 제공		 법적 근거,
법조항 식별,
대체수단 제공 
3.1.4 민감정보및 고유식별정보의 처리 제한 •민감정보는 원칙적으로 처리하여서는 안된다.
 다만 별도의 동의를 받거나 법령에 근거가 있는 경우에 한해 처리가능
•민감정보유형 (노사정유범건성)
  :  노동조합, 사상, 정당가입.탈퇴, 유전정보, 범죄경력 , 건강, 성생활
    (이 외에는 민감정보로 인정하지 않는다.)
 - 혈액형은 민감정보에 해당하지 않음
 - 유전정보와 범죄경력정보는 공공기관이 업무수행을 위하여 처리하는 경우 민감정보로 보지 아니하므로 정보주체의 별도동의 없이 처리가능
 - 고유식별정보 : 주민번호,여권번호,운전면허번호,외국인등록번호
•다른 개인정보항목 동의와는 구분해서 갹각 하나씩 별도항목으로  동의받아야함.
 - 일괄동의 안됨.
• 공공기관이 업무수행을 위해 동의없이 민감정보,고유식별정보 처리가능경우
  소약범법형
  ①소관업무를 위해 보호위원회 심의.의결 거침
  ②조약, 국제협정이행 위하여 외국에 제공
  ③범죄의 수사, 공소제기,유지에 필요
  ④법원의 재판업무 수행을 위해
  ⑤형 및 감호, 보호처분의 집행을 위해 필요
* 정보통신망법에서는 '고유식별정보'에 대한 규정은 없어서 개인정보
  보호법을 준용하고 있다.		 별도 동의,
법령 근거 
3.1.5 간접수집 보호조치

1.인터넷등 공개된 개인정보
2.다른사람으로부터 받은 개인정보
3.쿠키등 자동수집장치		 •정보주체 이외로부터 수집한 개인정보를 처리할 때는 개인정보의 종류
 ,규모,법적요건에 해당하는 경우 필요한 사항을 정보주체에게 통지하여
 야 한다. (단, 이 통지의무는 개인정보보호법상 동의를 받아 개인정보를
 제공한 개인정보처리자로부터 수집한 개인정보에 대해서만 적용,)
 - 통지의무요건 및 방법
 1.통지의무가 부과되는 개인정보처리자의 요건
   - 5만명 이상의 민감정보 , 고유식별정보 처리자
   - 100만명 이상의 개인정보 처리자
  예) A사가 B사로부터 1만건의 개인정보를 수집.처리 하는경우 정보
     주체에게 수집출처를 고지안해도 된다. (5만건이 넘어야 고지의무)

 2. 통지해야 할 사항 (출목정)
   - 개인정보의 수집 출처
   - 개인정보의 처리 목적
   - 개인정보 처리의 정지를 요구할 권리
 3. 통지시기
   - 개인정보를 제공받는 날로부터 3개월 이내
 4. 통지방법
   - 서면,전화,문자전송,전자우편
 5. 고지예외
  ① 정보주체에게 알릴수있는 개인정보(연락처)가 없는 경우
  ② 범죄수사,공소제기.유지, 형집행감호,출입국관리사항 등의 개인정보 또는 다른사람의 생명,신체를 해할 우려 또는 재산,이익의 부당침해 우려시에는 적용 제외
• 공개된 개인정보 수집하는 경우 통상 동의의사가 있다고 인정되는
  범위내에서만 수집.
• 서비스제공과 관련이 없는 타깃마케팅 목적으로 쿠키정보 수집시에는
  별도 동의를 받아야 한다.
   --> 바꿔 말하면 서비스이행계약에 필요한 경우 동의없이 쿠키 수집 가능 		동의획득 책임(제공자),
사회통념 동의의사 이용,
자동수집장치,
출목정 통지
  (요구-3일,
   처리자-3개월),
보관


간접수집 고지는 2가지 조건에 해당할 때 입니다.
1. 정보주체 요구 시 고지 사항입니다.
 - 본 건은 보편법인 개보법, 특별법인 망법이나 신정법 등 어느 법이든지 해당합니다.

2. 대량의 개인정보 처리자입니다.
 - 5만명 민감정보 또는 고유식별 정보, 100만명 정보주체 개인정보 처리를 하는 개인정보처리자입니다.
 - 본 법은 개보법에 따른 정보주체의 제3자 제공 동의를 받은 자로부터 간접수집한 경우에 해당합니다.
3.1.6 영상정보처리기기 설치.운영 •공개된 장소에 한정 영상정보처리기기를 설치,운영(법범시단교)
  1.법령에서 구체적으로 허용
  2.범죄의 예방 및 수사를 위해 필요한경우
  3.시설안전 및 화재 예방을 위하여
  4.교통단속을 위하여
  5.교통정보의 수집 및 분석. 제공을 위하여

•블특정 다수가 이용하는 목욕실,화장실,탈의실은 금지

•공공기관이 공개된 장소에 설치하려면 공청회,설명회 및 전문가,이해관
 계장의 의견을 수렴해야 한다.
  - 의견수렴절차 (행의 설설여)
     1.행정예고의 실시 또는 의견청취
     2.설명회,설문조사,여론조사  (사기업의 경우 공청회 필요없음)

•목욕탕,발한실 등 사생활침해가 우려되는 장소에는 설치불가,
  (단 교도소,정신보건시설에는 설치가능)

•안내판 설치내용 (목장 시범 관위)
  1.설치목적및 장소
  2.촬영범위 및 시간
  3.관리책임자 성명,연락처
  4.위탁받은 자의 명칭,연락처

•안내판 설치예외 (군중보)
   -군사시설,국가중요시설,국가보안시설 		허용장소,
공공 공청회,
안내판,
운영관리방침,
보관기관,
위탁시 절차 계약서

법범시단교
행의설설여
목장시범관위
군중보
3.1.7 홍보 및 마케팅 목적 활용 시 조치

(포괄 push default 2년)		 •홍보,마케팅 목적으로 수집하는 개인정보는 분리해서
  별도로 동의를 받아야 한다.
•2년마다 정기적으로 영리목적성 광고성정보 수신동의 여부 확인
•야간시간에 보낼려면 별도 동의 필요(단 메일은 에외)
•수신거부,회원탈퇴시 즉시 모든 광고 전송 중단
•광고수신거부처리시 연락처 이외의 정보를 요구할 수 없다.

•영리목적의 광고성 정보의 개념
 - 영업을 하는자가 고객에게 보내는 정보는 원칙적으로 광고성 정보에
   해당함.
 - 구체적인 재화,서비스의 홍보가 아니더라도 발신인의 이미지 홍보에
   해당하는 경우 광고성정보로 봄.
 - 주된 정보가 광고성 정보가 아니더라도 부수적으로 광고성 정보가
   포함되어 있으면 전체가 광고성정보

•개인정보보호법 상의 홍보,판매권유 목적의 동의는 광고성정보를 전송
  하기 위해 당신의 개인정보를 수집하겠다는 것에 대한 동의를 말하는
  거구,  정통망법상의 동의는 광고성정보를 수신하겠다는 것에 대한
  동의를 말하므로 두개의 동의는 구분 후 별개로 받아야 한다.

(1)거래관계에 의한 광고성 정보수신 동의 예외
  ① 재화등의 거래관계를 통하여 수신자로부터 직접 연락처를 수집한 자가 거래가 있은 날부터 6개월 이내 자신이 처리하고 수신자와 거래한 것과 동종의 재화 등에 대한 영리목적의 광고성 정보를 전송하려는 경우
  ② 방판법에 의한 전화권유판매자가 육성으로 수신자에게 개인정보수집 출처를 고지하고 전화권유하는  경우
   (예) 정보주체에게 별도의 동의를 받지않고 전화를 걸어 개인정보의 수집출처를 고지후 전화상으로 제품판매를시도하였다. (O)

(2)영리목적의 광고성 정보의 예외
 - 수신자와 이전에 체결하였던 거래를 용이하게 하거나 완성,확인하는 것이 목적인정보
 - 수신자가 사용하거나 구매한 재화 또는 서비스에 대한 설명,보증,리콜 ,안전,보안 관련 정보
 - 고객의 요청에 의해 발송하는 일회성 정보 (견적서 등)
 - 수신자가 금전적 대가를 지불하고 신청한 정보 (뉴스레터,주식정보,축산물거래정보)
 - 전송자가 제공하는 재화 또는 서비스에 대해 수신자가 구매 또는 이용과 관련한 안내 및 확인정보 (회원등급변경, 포인트 소멸 안내 등)
 - 정보제공을 서비스로 하는 자가 이용자와 명시적인 계약체결을 하여 정보를 전송하되 이를 대가로 직접적인 수익이 발생하지 않아야 하며, 정보의 내용이 서비스,재화 구매와 직접적인 관련이 없는 정보

< 공고성정보 수신동의 내용 통지>
1. 전송자의 명칭
2. 수신자의 수신동의 사실과 수신 동의한 날짜
3. 수신동의에 대한 유지 또는 철회의 의사를 표하는 방법

(예) OO쇼핑몰 수신동의 내역을 알려드립니다.
      …………………………….
    가. 광고정보 수신 동의여부및 동의일자
         광고성 문자 : 미동의
         광고성 Email : 동의 (2020-05-17)
         광고성 전화 : 미동의
         APP Push : 동의 (2020-05-17)
    나. 동의 철회방법
         .......................................		 별도 동의,
광고 사전 동의,
2년 확인,
영리목적광고 고지(전송자 , 수신거부),
야간 금지 
728x90
반응형
LIST

'ISMS-P' 카테고리의 다른 글

ISMS-P 인증기준 - 3. 개인정보 처리단계별 요구사항(3/3)  (0) 2021.01.17
ISMS-P 인증기준 - 3. 개인정보 처리단계별 요구사항(2/3)  (0) 2021.01.15
ISMS-P 인증기준 - 2. 보호대책 요구사항 (3/3)  (0) 2021.01.11
ISMS-P 인증기준 - 2. 보호대책 요구사항 (2/3)  (0) 2021.01.07
ISMS-P 인증기준 - 2. 보호대책 요구사항 (1/3)  (0) 2021.01.06
728x90
반응형
SMALL
2. 보호대책 요구사항 - 정인외물 인접암정 운보사재
2.1 정책,조직,자산 정 – 정조자  2.1.1 정책의 유지관리
2.1.2 조직의 유지관리
2.1.3 정보자산 관리
2.2 인적보안 인 – 직분서인퇴위 2.2.1 주요 직무자 지정 및 관리
2.2.2 직무 분리
2.2.3 보안 서약
2.2.4 인식제고 및 교육훈련
2.2.5 퇴직 및 직무변경 관리
2.2.6 보안 위반 시 조치
2.3 외부자보안 외 – 현계보변 2.3.1 외부자 현황 관리
2.3.2 외부자 계약 시 보안
2.3.3 외부자 보안 이행 관리
2.3.4 외부자 계약 변경 및 만료시 보안
2.4 물리보안 물 – 구출정설작반업  2.4.1 보호구역 지정
2.4.2 출입통제
2.4.3 정보시스템 보호
2.4.4 보호설비 운영
2.4.5 보호구역 내 작업
2.4.6 반출입 기기 통제
2.4.7 업무환경 보안
2.5 인증및 권한관리 인 – 계식인비특접 2.5.1 사용자 계정 관리
2.5.2 사용자 식별
2.5.3 사용자 인증
2.5.4 비밀번호 관리
2.5.5 특수 계정 및 권한관리
2.5.6 접근권한 검토
2.6 접근통제 접 – 네정응데무원인  2.6.1 네트워크 접근
2.6.2 정보시스템 접근
2.6.3 응용프로그램 접근
2.6.4 데이터베이스 접근
2.6.5 무선 네트워크 접근
2.6.6 원격접근 통제
2.6.7 인터넷 접속 통제
2.7 암호화적용 암 – 정키 2.7.1 암호정책 적용
2.7.2 암호키 관리
2.8 정보시스템 도입및개발보안 정 – 요검시데소운 2.8.1 보안 요구사항 정의
2.8.2 보안 요구사항 검토 및 시험
2.8.3 시험과 운영환경 분리
2.8.4 시험 데이터 보안
2.8.5 소스 프로그램 관리
2.8.6 운영환경 이관
2.9 시스템 및 서비스 운영관리 운 – 변성 백로 점시재  2.9.1 변경관리
2.9.2 성능 및 장애관리
2.9.3 백업 및 복구관리
2.9.4 로그 및 접속기록 관리
2.9.5 로그 및 접속기록 점검
2.9.6 시간 동기화
2.9,.7 정보자산 재사용 및 폐기
2.10 시스템 및 서비스 보안관리 보 – 보클 공거전 업보 패악 2.10.1 보안시스템 운영
2.10.2 클라우드 보안
2.10.3 공개서버 보안
2.10.4 전자거래 및 핀테그 보안
2.10.5 정보전송 보안
2.10.6 업무용 단말기 보안
2.10.7 보조저장매체 관리
2.10.8 패치관리
2.10.9 악성코드 통제
2.11 사고예방 및 대응 사 – 체취이훈대 2.11.1 사고예방 및 대응체계 구축
2.11.2 취약점 점검 및 조치
2.11.3 이상행위 분석 및 모니터링
2.11.4 사고대응훈련 및 개선
2.11.5 사고대응 및 복구
2.12 재해복구 재 – 안시 2.12.1 재해.재난 대비 안전조치
2.12.2 재해 복구 시험 및 개선

 

2.9 시스템 및 서비스 운영관리 (변성 백로 점시재)

항목 설명 및 사례 keyword
2.9.1 변경관리 •정보시스템자산의 모든 변경내역을 관리하는 절차 수립.이행
•변경전에 영향도 분석  실시
예) 신규장비 도입시 공식적인 절차 준수해야함		 변경 절차,
변경 전 영향 분석 
2.9.2 성능 및 장애관리 •가용성보장을 위해 성능,용량 모니터링 절차수립.이행
  : 성능및 용량관리 대상식별 -> 성능요구사항(임계치) 정의 -> 초과
   여부를 모니터링할수 있는 방안 수립
•임계치 초과시 대응절차 수립 및 이행
•장애발생시 대응절차 수립 (비상연락망)
•장애발생시 절차에 따라 조치하고 장애조치내역을 기록.관리한다.
•심각도가 높은 장애에 대해서는 재발방지책 수립		 성능 및 용량 모니터링 절차,
초과 시 대응절차,
장애 대응절차,
장애조치 기록,
재발방지대책 
2.9.3 백업 및 복구관리 •백업및 복구절차 수립.이행
•정기적인 복구 테스트
•중요백업매체는 물리적으로 떨어진 장소에 소산
※ 주요 백업 대상 (예시)
ㆍ중요정보(개인정보, 기밀정보 등)
ㆍ중요 데이터베이스
ㆍ각종 로그(정보시스템 감사로그, 이벤트로그, 보안시스템 이벤트로그)
ㆍ환경설정 파일 등 		백업 및 복구절차
(대상,주기,방법,절차),
복구테스트,
중요정보 저장 백업매체 소산 
2.9.4 로그 및 접속기록 관리 •로그관리절차 수립하고 로그를 셍성,보관
•로그기록은 별도 백업
•접속기록은 법적준수를 위해 일정기간 보관
*개인정보보호법
 - 접속기록 : 최소 1년 이상
 - 다만, 5만명이상이거나 고유식별정보,민감정보 처리시 2년 이상 보관
*정통망법
 - 접속기록 : 최소 1년 이상 보관
 - 단 기간통신사업자는 최소 2년 이상 보관

▶ 개인정보처리시스템 접속기록에 반드시 포함되어야 할 항목 
     • 계정 또는 식별자 : 개인정보취급자 아이디 등 
     • 접속일시 : 접속 날짜 및 시분초
     • 접속지 정보 : 접속자 IP주소 등  
     • 수행업무 : 개인정보 조회, 변경, 입력, 삭제, 다운로드 등
▶ 접속기록의 안전한 보관방법 (예시)
     • 물리적으로 분리된 별도의 저장장치에 백업 보관
     • DVD, WORM Disk 등 덮어쓰기가 방지된 저장매체에 보존 등		 관리 절차,
생성 보관,
별도 저장장치 백업,
로그 접근권한 최소화,
개처시 접속기록
2.9.5 로그 및 접속기록 점검 •이상접속, 이상행위에 대한 모니터링,알림정책 수립
•접속기록 점검주기
 - 월1회 이상 (개인정보법,정통망법 동일)

① 정보시스템 관련 오류, 오․남용(비인가접속, 과다조회 등), 부정행위
    등 이상 징후를 인지할 수 있도록 로그 검토 주기, 대상, 방법 등을
    포함한 로그 검토 및 모니터링 절차를 수립․이행하여야 한다
② 로그 검토 및 모니터링 결과를 책임자에게 보고하고 이상징후 발견
    시 절차에 따라 대응하여야 한다.
③ 개인정보처리시스템의 접속기록은 관련 법령에서 정한 주기에 따라
    정기적으로 점검하여야 한다.  (월1회이상)		 로그 검토기준
(비인가 접속, 과다조회),
주기적 점검,
문제 발생 시 사후조치 
2.9.6 시간 동기화 •표준시간으로 동기화
•주기적 점검 및 문제시 대응절차		 정보시스템 시간 동기화,
주기적 점검 
2.9.7 정보자산의 재사용및 폐기 •정보자산 재사용 및 폐기 절차수립
•폐기시에는 복원이 불가능하도록 처리
 - 복원이 불가능한 방법이란 현재의 기술수준에서 사회통념상 적정한
   비용으로 복원이 불가능하게 하는 조치
      : 완전파괴 (소각,파쇄)
        전용소자장비 (디가우저)
        초기화 또는 덮어쓰기
•폐기이력 관리		 재사용 및 폐기 절차,
복구 불가 방법,
폐기이력 및 증적,
폐기절차 계약서,
교체 복구시 대책 

 

2.10 시스템 및 서비스 보안관리 (보클 공거전 업보 패악)

항목 설명 및 사례 keyword
2.10.1 보안시스템 운영 •보안시스템에 대한 운영절차 수립.이행
•비인가의 접근통제
•정책의 신규등록,변경,삭제를 위한 공식적인 절차
•예외정책등록에 대한 절차, 최소한의 권한
•정책의 타당성여부의 주기적 검토
•법령에서 정한 기능을 수행하는 보안시스템의 설치
* 방화벽 정책 관련

1 : 침입차단시스템(IPS) 보안정책에 대한 정기 검토가 수행되지 않아 불필
    요하거나 과도하게 허용된 정책이 다수 존재하는 경우
2 : 보안시스템 보안정책의 신청, 변경, 삭제, 주기적 검토에 대한 절차 및
    기준이 없거나, 절차는 있으나 이를 준수하지 않은 경우
3 : 보안시스템의 관리자 지정 및 권한 부여 현황에 대한 관리감독이 적절
    히 이행되고 있지 않은 경우
4 : 내부 지침에는 정보보호담당자가 보안시스템의 보안정책 변경 이력을
    기록 ․보관하도록 정하고 있으나 정책관리대장을 주기적으로 작성하지
    않고 있거나 정책관리대장에 기록된 보안정책과 실제 운영 중인 시스템
    의 보안정책이 상이한 경우
기타 : 방화벽 정책 설정시 이에 대한 절차가 없어 장비 담당자가 임의로 정
         책을  설정하는 경우		 운영절차,
접근인원 최소화,
정책 변경절차,
예외 최소화,
정책 타당성 검토

보안정책 정기검토
보안정책 신청,변경 절차/기준
보안시스템 관리자 지정 감독
보안정책 변경이력 기록/보관
2.10.2 클라우드 보안 •클라우스 서비스 제공자의 정보보호에 대한 역할과 책임을 SLA에 반영

사례 1 : 클라우드 서비스 계약서 내에 보안에 대한 책임 및 역할 등에 대한
           사항이 포함되어 있지 않은 경우
사례 2 : 클라우드 서비스의 보안설정을 변경할 수 있는 권한이 업무상
           반드시 필요하지 않은 직원들에게 과도하게 부여되어 있는 경우
사례 3 : 내부 지침에는 클라우드 내 사설 네트워크의 접근통제 룰(Rule)
          변경 시 보안책임자 승인을 받도록 하고 있으나 승인절차를 거치지
          않고 등록․변경된 접근제어 룰이 다수 발견된 경우
사례 4 : 클라우드 서비스의 보안설정 오류로 내부 로그 파일이 인터넷을
           통해 공개되어 있는 경우
기타 : 클라우드 서비스에 대한 보안설정 변경이력을 별도로 검토한 증적이
        없는 경우		 CSP R&R SLA 반영,
이용시 보안 통제 정책수립·이행,
관리자권한 보호대책,
정기적 검토 
2.10.3 공개서버 보안 •웹서버등 공개서버를 운영하는 경우 보호대책 수립
•공개서버는 DMZ영역에 설치, 내부와 차단
•공개서버에 개인정보 게시,저장시 승인등 게시절차
•중요정보가 웹서버를 통해 노출되는지 주기적 검사
 - 공개된 웹사이트(홈페이지), 게시판등 웹프로그램 		공개서버 보호대책,
DMZ에 설치,
보안시스템 통해 보호,
게시 저장 시 절차,
노출 확인 및차단
2.10.4 전자거래 및 핀테크 보안 •결제시스템 연계시 보호대책 수립
 - 전자결재대행업체와 연계시		 전자거래 및 핀테크 보호대책, 
연계 시 송수신 정보 보호대책
2.10.5 정보전송 보안 •외부조직에 개인정보및 중요정보 전송시 안전한 정책
•조직간 상호교환시 안전한 전송을 위한 보호대책
 - 정보전송기술표준 정의
예)법규준수를 위해 주기적으로 금융감독원에 개인정보를 전송하면서
   외부기관별 연계시기,방식,담당자및 책임자, 연계정보, 법적근거 등에
   대한 현황관리가 적절히 이루어지고 있지 않은 경우		 외부에 개인정보 전송 정책 수립,
조직 간 개인정보 상호교환 시 협약체결 등 보호대책 
2.10.6 업무용 단말기 보안 •업무용 단말기(PC,노트북,태블릿)에 대한 통제절차(기기인증,승인)
•업무용 단말기에 자료공유프로그램 금지, 공유폴더금지
•업무용 모바일 단말기의 분실,도난에대한 보안대책 (MDM)
•업무용 단말기에 대한 통제정책의 주기적 점검 		업무용 단말기 접근통제 정책,
공유 시 DLP 정책,
분실 시 DLP 대책,
주기적 점검 
2.10.7 보조저장매체 관리 •외장하드USB,CD등 보조저장매체 취급,보관,폐기, 재사용 절차
•통제구역등에서 보조저장매체 사용 제한
•개인정보가 포함된 보조저장매체는 잠금장치가 있는 안전한 장소에
  보관

사례 1 : 통제구역인 서버실에서의 보조저장매체 사용을 제한하는 정책을
           수립하여 운영하고 있으나, 예외 승인절차를 준수하지 않고 보조
           저장매체를 사용한 이력이 다수 확인되었으며, 보조저장매체 관리
           실태에 대한 주기적 점검이 실시되지 않아 보조저장매체 관리대장
           의 현행화가 미흡한 경우
사례 2 : 개인정보가 포함된 보조저장매체를 잠금장치가 있는 안전한 장소
           에 보관하지 않고 사무실 서랍 등에 방치하고 있는 경우
사례 4 : 전산실에 위치한 일부 공용 PC 및 전산장비에서 일반 USB에 대한
           쓰기가 가능한 상황이나 매체 반입 및 사용 제한, 사용이력 기록
           및 검토 등 통제가 적용되고 있지 않는 경우
      (공용PC라고 해서 2.4.7 업무환경보안 은 아님, 매체반입 이라고해서
        2.4.6 반출입기기통제 아님.)		 보조저장매체 취급 정책,
주기적 점검,
통제구역 사용 제한,
악성코드 및 DLP 대책, 보관 
2.10.8 패치관리 •OS패치가 장기간 적용안되고 있는 경우
•지원이 종료된 EOS 버전을 사용중이거나
•주요 서버, 네트워크시스템, 보안시스템 등의 경우
 공개 인터넷 접속을 통한 패치를 제한하여야 한다		 패치관리 정책,
패치현황 관리,
불가시 보완대책,
인터넷 패치 제한,
PMS 보호대책 
2.10.9 악성코드 통제 •내부망PC에 대해서는 백신업데이트가 되지 않았다
•일부임직원의 PC에서 백신의 실시간 검사를 해제
•일부임직원이 도박사이트에 접속하여 악성코드에 감염되었으나 별도
 현황파악및 조치를 안했다.
•백신 패턴 배포시 무결성 검증을 하지않아 악의적인 행위자에 의해
 위변조되었다.		 악성코드 보호대책,
예방탐지 활동,
보안프로그램 최신상태 유지,
감염 시 대응절차

 

2.11 사고예방 및 대응 (체취이훈대)

항목 설명 및 사례 keyword
2.11.1 사고예방및 대응체계구축 •침해사고에 대비한 대응조직및  대응 절차 수립
•보완관제서비스와 계약시 침해사고 대응관련 내용이 누락되어 있는
 경우 (SLA에 누락)
•비상연락망이 현행화되어있지 않은 경우
  (대응조직도, 대외협조기관 연락처 현행화)

•침해사고 대응 7단계
 1단계 : 사고 전 준비
 2단계 : 사고 탐지
 3단계 : 초기 대응
 4단계 : 대응 전략 체계화 - 최적의 전략을 결정하고 관리자의 승인을
              획득, 초기조사결과를 참고하여 소송이 필요한 사항인지 결정
              하여 사고조사과정에 수사기관 공조여부 판단.
 5단계 : 사고 조사
 6단계 : 보고서 작성
 7단계 : 해결		 사고대응체계,
외부기관 침해사고 대응절차 계약서 반영,
외부기관 협조체계 수립 
2.11.2 취약점 점검 및 조치 •취약점 점검절차 수립
 - 모의침투테스트, 연1회 이상 취약점 점검 실시
•최신 보안취약점 발생여부 지속적 파악
•취약점 점검 이력 기록 관리.		 점검 절차 수립 및 정기적 점검,
결과 보고,
최신 보안취약점,
취약점 점검 이력 기록관리 
2.11.3 이상행위 분석및 모니터링 •임계치를 초과하는 이상 트래픽 대응
* 침해시도를 인지할 수 있는 모니터링 체계 수립
* 외부보완관제업체의 침해시도 모니터링 보고서를 검토한 이력이 없는
  경우
* 이상트래픽이 지속적으로 발생하나 조치를 안취함.		 내외부 침해시도,
개인정보 유출시도,
부정행위 모니터링,
임계치 정의 및 이상행위 판단 
2.11.4 사고대응훈련 및 개선 •모의훈련을 연1회 이상 실시
* 모의훈련 했으나 보고서를 작성안함
* 대응훈련을 계획했으나 수행하지 않은 경우		 모의훈련 계획수립,
모의훈련 연1회 실시,
대응체계 개선 
2.11.5 사고대응 및 복구  *개인정보 유출시 정보주체에게 알려야할 사항 *
개인정보보호법 - 1.유출된 개인정보의 항목
                     2.유출된 시점과 그 경위
                     3.피해를 최소화하기 위해 정보주체가 할수 있는 방법
                     4. 개인정보처리자의 대응조치 및 피해 구제절차
                     5.담당부서 및 연락처
정보통신망법 - 1. 유출된 개인정보 항목
                   2. 유출등이 발생한 시점
                   3. 이용자가 취할 수 있는 조치
                   4. 정보통신제공자의 대응조치
                   5. 부서및 연락처

 *개인정보 유출 신고 기준 *
구분                 개인정보법                             정통망법
신고대상건수  1천명이상 개인정보 유출시  유출건수 무관
신고시점        지체없이(5일이내)             정당한 사유가 없는한 그사실
                                                           을 안날부터 24시간이내
신고기관        행안부 or KISA                   방통위 or KISA   
신고방법        전자우편,팩스,인터넷사이트를 통해 유출사고 신고 및
                     신고서제출, 시간적여유가 없거나 특별한 사정이 있는
                    경우 전화를 통하여 통지내용 신고후 유출신고서를
                     제출할 수 있음.
홈페이지        7일 이상 게재                      30일이상 게재          

★위는 신고기준이고 1명이라도 유출되면 정보주체에게 통지해야 한다.
   구체적인 유출내용을 확인 못한 경우 일단 정보주체에게 먼저 통지한 후 나중에 추가 확인된 사항을 알려줄수 있다. 		사고 인지 시 대응 및 보고,
정보주체 통지 및 관계기관 신고,
종결 후 공유, 재발방지대책 

 

2.12 재해복구 (안시)

항목 설명 및 사례 keyword
2.12.1 재해.재난 대비 안전조치 •연속성을 위협할 수 있는
   IT재해유형 식별하고
   영향도 분석하여
   핵심IT서비스 및 시스템을 식별
•복구목표시간(RTO), 복구목표시점(RPO) 정의
•재해복구계획 수립.이행 (BCP)

예)재해복구절차서에 비상연락망이 누락
예)재해복구정책에 백업센터를 활용한 재해복구절차 등이 수립되어 있지
   않아 재해복구시험 및 복구가 효과적으로 진행되기 어려운 경우
예)중요시스템에대한 복구목표시간이 정의되어 있지 않은 경우		 IT재해유형 식별,
영향 분석,
핵심 IT서비스 및 시스템 식별,
RTO, RPO 정의,
BCP 
2.12.2 재해 복구 시험 및 개선 ① 수립된 IT 재해 복구체계의 실효성을 판단하기 위하여
   재해 복구 시험 및 훈련 계획을 수립 ․이행하고 있는가? Ÿ
② 시험결과, 정보시스템 환경변화, 법률 등에 따른 변화를 반영할 수
    있도록 복구전략 및 대책을 정기적으로 검토․보완하고 있는가?		 BCP 수립·이행,
복구전략 및 대책 정기적 검토·보완 

 

728x90
반응형
LIST

'ISMS-P' 카테고리의 다른 글

ISMS-P 인증기준 - 3. 개인정보 처리단계별 요구사항(2/3)  (0) 2021.01.15
ISMS-P 인증기준 - 3. 개인정보 처리단계별 요구사항(1/3)  (0) 2021.01.13
ISMS-P 인증기준 - 2. 보호대책 요구사항 (2/3)  (0) 2021.01.07
ISMS-P 인증기준 - 2. 보호대책 요구사항 (1/3)  (0) 2021.01.06
ISMS-P 인증기준 - 1. 관리체계 수립 및 운영  (0) 2021.01.06
728x90
반응형
SMALL

 

2. 보호대책 요구사항 - 정인외물 인접암정 운보사재
2.1 정책,조직,자산 정 – 정조자  2.1.1 정책의 유지관리
2.1.2 조직의 유지관리
2.1.3 정보자산 관리
2.2 인적보안 인 – 직분서인퇴위 2.2.1 주요 직무자 지정 및 관리
2.2.2 직무 분리
2.2.3 보안 서약
2.2.4 인식제고 및 교육훈련
2.2.5 퇴직 및 직무변경 관리
2.2.6 보안 위반 시 조치
2.3 외부자보안 외 – 현계보변 2.3.1 외부자 현황 관리
2.3.2 외부자 계약 시 보안
2.3.3 외부자 보안 이행 관리
2.3.4 외부자 계약 변경 및 만료시 보안
2.4 물리보안 물 – 구출정설작반업  2.4.1 보호구역 지정
2.4.2 출입통제
2.4.3 정보시스템 보호
2.4.4 보호설비 운영
2.4.5 보호구역 내 작업
2.4.6 반출입 기기 통제
2.4.7 업무환경 보안
2.5 인증및 권한관리 인 – 계식인비특접 2.5.1 사용자 계정 관리
2.5.2 사용자 식별
2.5.3 사용자 인증
2.5.4 비밀번호 관리
2.5.5 특수 계정 및 권한관리
2.5.6 접근권한 검토
2.6 접근통제 접 – 네정응데무원인  2.6.1 네트워크 접근
2.6.2 정보시스템 접근
2.6.3 응용프로그램 접근
2.6.4 데이터베이스 접근
2.6.5 무선 네트워크 접근
2.6.6 원격접근 통제
2.6.7 인터넷 접속 통제
2.7 암호화적용 암 – 정키 2.7.1 암호정책 적용
2.7.2 암호키 관리
2.8 정보시스템 도입및개발보안 정 – 요검시데소운 2.8.1 보안 요구사항 정의
2.8.2 보안 요구사항 검토 및 시험
2.8.3 시험과 운영환경 분리
2.8.4 시험 데이터 보안
2.8.5 소스 프로그램 관리
2.8.6 운영환경 이관
2.9 시스템 및 서비스 운영관리 운 – 변성 백로 점시재  2.9.1 변경관리
2.9.2 성능 및 장애관리
2.9.3 백업 및 복구관리
2.9.4 로그 및 접속기록 관리
2.9.5 로그 및 접속기록 점검
2.9.6 시간 동기화
2.9,.7 정보자산 재사용 및 폐기
2.10 시스템 및 서비스 보안관리 보 – 보클 공거전 업보 패악 2.10.1 보안시스템 운영
2.10.2 클라우드 보안
2.10.3 공개서버 보안
2.10.4 전자거래 및 핀테그 보안
2.10.5 정보전송 보안
2.10.6 업무용 단말기 보안
2.10.7 보조저장매체 관리
2.10.8 패치관리
2.10.9 악성코드 통제
2.11 사고예방 및 대응 사 – 체취이훈대 2.11.1 사고예방 및 대응체계 구축
2.11.2 취약점 점검 및 조치
2.11.3 이상행위 분석 및 모니터링
2.11.4 사고대응훈련 및 개선
2.11.5 사고대응 및 복구
2.12 재해복구 재 – 안시 2.12.1 재해.재난 대비 안전조치
2.12.2 재해 복구 시험 및 개선

 

2.5 인증 및 권한관리 (계신인비특접)

항목 설명 및 사례 keyword
2.5.1 사용자 계정 관리
 
    (발최본 공퇴어)
발급절차
최소한의 권한
본인
공유금지
퇴직 등 지체없이
어려운 계정으로		 •사용자계정및 접근권한 등록.변경.삭제 절차 수립 
•최소한의 권한만 부여  
•본인계정에 대한 보안책임은 본인에게 있음. 
  (공식적인 절차없이 다른직원에게 본인의 계정정보 알려줌) 
  (출장가면서 다른사람에게 개인정보취급자 계정을 알려준경우)
① 정보시스템과 개인정보 및 중요정보에 대한 비인가 접근을 통제하기 위하여 다음의 사항을 고려하여 공식적인 사용자 계정 및 접근권한 등록 ․변경․삭제․해지 절차를 수립 ․이행하여야 한다. 
  ▶ 사용자 및 개인정보취급자 별로 고유한 사용자 계정 발급 및  
      공유 금지  
  ▶ 사용자 및 개인정보취급자에 대한 계정 발급 및 접근권한 부여․변경 
      시 승인 절차 등을 통한 적절성 검토 
  ▶ 전보, 퇴직 등 인사이동 발생 시 지체없이 접근권한 변경 또는 말소 
      (계정 삭제 또는 비활성화 포함) 
  ▶ 정보시스템 설치 후 제조사 또는 판매사의 기본 계정, 시험 계정 등 
      은 제거하거나 추측하기 어려운 계정으로 변경 
  ▶ 사용자 계정 및 접근권한의 등록․변경․삭제․해지 관련 기록의 유지 
       관리 등
② 정보시스템과 개인정보 및 중요정보에 접근할 수 있는 사용자 계정  
    및 접근권한 생성․등록․변경 시 직무별 접근권한 분류 체계에 따라  
    업무상 필요한 최소한의 권한만을 부여하여야 한다. 
 ▶ 정보시스템 및 개인정보처리시스템에 대한 접근권한은 업무 수행  
     목적에 따라 최소한의 범위로 업무 담당자에게 차등 부여 
 ▶ 중요 정보 및 개인정보에 대한 접근권한은 알 필요(need-to-know),  
     할 필요(need-to-do)의 원칙에 의해 업무적으로 꼭 필요한 범위에  
     한하여 부여 
 ▶ 불필요하거나 과도하게 중요 정보 또는 개인정보에 접근하지 못하 
     도록 권한 세분화 
 ▶ 권한 부여 또는 변경 시 승인절차 등을 통하여 적절성 검토 등 

③ 사용자에게 계정 및 접근권한을 부여하는 경우 해당 계정에 대한  
    보안책임이 본인에게 있음을 명확히 인식시켜야 한다.
 발급절차(등록,변경,삭제),  
최소권한,  
계정책임(본인) 
2.5.2 사용자 식별 •사용자별로 유일하게 구분할수 있도록 식별자 할당 
  -.1인1계정으로 책임추적성 확보 
  -.운영계정은 일반사용자가 사용금지 
  -.제조사의 기본계정,시험계정은 변경해서 사용 
•추측가능한 식별자 사용 제한 
•불가피하게 식별자 공유시 승인을 받아야 함. 
(즉 공유는 가능하나 승인을 받아라)
 ★ 2.5.1 사용자계정관리의 공유는 자기 계정을 다른사람에게 알려주는 것을 말함.  여기서의 공유는 하나의 계정을 여러사람이 같이 사용하는 것을 말함
예) 다수의 개발자가 계정을 공용을 사용하고 있음 
     외주직원이 별도 승인없이 운영계정을 개인계정처럼 사용하고 있음		 유일식별자,  
추측제한,  
공유식별자 타당성,  
보완대책,  
승인 
2.5.3 사용자 인증

(외실실B)
외부에서 접속시
로그인 실패시
로그인 실패횟수
Brute Fore		 •안전한 인증절차와 강화된 인증방식 
•로그인횟수 제한, 불법로그인시도 경고 
•외부에서 접속시 인증수단 적용(인증서,보안토큰,OTP) 
예) 외부에서 접근시 아이디.비밀번호로만 인증  
    로그인실패시 왜 틀렸는지 자세히 알려줌 
    로그인실패 횟수에 대한 제한이 없음 
    Brute Force 비밀번호 공격에 취약하다		 인증 절차, 
로그인 횟수제한, 
불법 로그인 시도 경고, 
외부 개처시 안전 인증&접속 
2.5.4 비밀번호 관리 • 개인정보취급자의 비밀번호는 
 - 영문,숫자,특수문자 중 2종류 이상을 조합하여  최소10자리
 - 3종류 이상을 조합하여 최소8자리 이상
• 이용자의 비밀번호는 비밀번호 작성규칙을 따르면된다		 관리 절차, 
작성규칙(사용자, 이용자) 
2.5.5 특수 계정 및 권한관리 •관리자권한등 특수권한은 최소한으로 공식적인
  승인절차를 수립.이행
•특수목적용 계정및 권한 통제절차
(예, 방화벽 관리자 계정,네트워크관리자계정,분기별 외부 유지보수 계정)		 최소인원,
공식 승인,
별도 목록화,
검토 
2.5.6 접근권한 검토 •계정및 권한에 대한 등록,부여,이용,변경,삭제,말소에
  대한 이력을 관리
•계정및 권한에 대한 적성성 검토 절차 수립 및 이행
•적정성검토시 발견된 오남용 사례에 대한 조치이행
예) 내부지침에는 장기미사용자 계정은 삭제조치를 하도록 되어있으나
     6개월이상 미사용자 계정이 활성화되어 있음 (접근권한검토가 충실
     히 수행되지 않아 해당 계정이 식별되지 않은 경우)		 계정및 접근권한 변경이력 남김,
검토(기준, 주체, 방법, 주기),
문제점 조치 

 

2.6 접근통제 (네정응데무원인)

항목 설명 및 사례 keyword
2.6.1 네트워크 접근 •네트워크에 접근가능한 모든 경로식별 및 통제
  - 불필요한 서비스 및 포트 차단
•중요도에 따라 논리적,물리적 분리
  - DMZ,서버팜,DB판,운영환경,개발환경,외부자환경
•대역별로 IP주소 부여기준 마련
  - 내부망에서는 NAT , 사설IP 사용
•외부에서 접속시 VPN,전용선 사용
예) 내부규정과 달리 MAC주소인증, 필수보안 소프트웨어 설치 등의 보호
     대책을 적용시키지 않은상태로 네트워크 케이블만으로 사내 네트워
     크에 접속허용
예) 서버팜이 구성되어 있으나 네트워크접근설정 미흡으로 내부망에서
     서버팜으로의 과도한 접근이 발생
예) 내부망 일부 DB서버가 공인IP로 설정되어 있음 		내부망 인가 사용자 접근,
영역간 접근통제,
IP주소 기준(사설 IP),
원거리 전송구간 보호 
2.6.2 정보시스템 접근 •정보시스템의 OS운영체제에 접근가능한 사용자관리
 -접속한 서버에서 다른 미인가서버로 우회접속이 가능
   * 서버팜 내 서버간의 접근제어가 미흡한 경우
 -응용프로그램의 시스템에 접근가능한 IP를 제한
•일정시간 사용안할시 자동로그아웃(Session Timeout)
•침해사고 유발가능한 서비스(Telnet,FTP..), 포트 차단
 - Telnet  대신 안전한 SSH  사용
•주요서비스는 독립서버로 제공
① 서버, 네트워크시스템, 보안시스템 등 정보시스템 별 운영체제(OS)에
   접근이 허용되는 사용자, 접근 가능 위치, 접근 수단 등을 정의하여
   통제하여야 한다. ( 안전한 접근수단 적용 : SSH, SFTP )
② 정보시스템에 접속 후 일정시간 업무처리를 하지 않는 경우 자동으로
    시스템 접속이 차단되도록 조치 하여야 한다.
③ 정보시스템의 사용 목적과 관련이 없거나 침해사고를 유발할 수 있는
    서비스 또는 포트를 확인하여 제거 또는 차단하여야 한다
④ 주요서비스를 제공하는 서버는 독립된 서버로 운영하여야 한다
   (예를 들어 백업서버에 보안 솔루션 관리자 프로그램을 깔아서 같이
    서버를 사용하는 경우)		 서버, NW, 보안 Sys OS 접근통제
,세션타임아웃
,불필요 서비스, 포트
,주요서비스 독립서버 
2.6.3 응용프로그램 접근 •응용프로그램 자체 접근권한
•응용프로그램내 메뉴들에 대한 접근권한
•응용프로그램내 조회,화면표시,인쇄,다운로드시 중요정보 노출 최소화
 (과도한 Like 허용으로 전체정보조회)
•일정시간 세션 자동로그아웃 및 동시접속 제한
•관리자전용 응용프로그램 접근통제		 접근권한 차등부여,
정보노출 최소화,
세션타입아웃,
동시접속 제한,
관리자페이지 통제 
2.6.4 데이터베이스 접근 •무선AP및 네트워크 구간보호를 위해 인증,송수신데이터 암호화 보호
 대책 수립.이행  (SSID를 허용했다든지, 암호화를 안전하지 않은 방식
  으로 했다든지..)
•무선네트워크 사용신청 절차 수립.이행
•Ad-Hoc접속및 미인가 AP탐지
예) DB서버를 다른 응용프로그램서버와 물리적으로 동일한 서버에서
    운영
예) 계정을 공유하여 DB에 접속
예) 테이블현황이 파악되지 않아 개인정보가 임시저장된 테이블에
     불필요한 개인정보가 파기되지 않고 저장되어 있는 경우 		테이블 목록 식별,
접근통제(응용프로그램, 서버, 사용자
2.6.5 무선 네트워크 접근 •무선AP및 무선네트워크 구간을 위한 보호대책 수립,이행.
 - AP목록관리 , 무선네트워커 ACL설정
 - 정보송수신시 암호화 (WPA2-Enterprise)
 - 무선AP 접속단말 인증 (MAC인증)
 - SSID숨김기능 설정
 - WIPS 운영
•원격접속은 원천적으로 금지하고 불가피한 경우  IP기반으로 승인		 무선네트워크 보호대책 (인증, 암호화),
사용절차,
비인가 무선네트워크 대책 
2.6.6 원격접근 통제 •외부인터넷을 통한 정보시스템 원격운영 금지.
 허용한다면 보완대책마련 (백신,도난방지등)
•내부에서 원격으로 정보시스템 원격운영시 허용된 IP만 허용
•재택근무,장애대응,원격협업 시 보호대책 수립.이행
•개인정보처리시스템의 관리, 운영, 개발, 보안 등을 목적으로 원격으로
  개인정보처리시스템에 직접 접속하는 단말기(관리용 단말기)에 대하여
  보호조치(단말지정)를 적용하여야 한다.
•외부 근무자의 스마트기기에 업무용 모바일앱을 설치하여 운영하는
 경우 분실,악성코드에 의한 개인정보유출 방지하기 위한 보호대책
  적용해야함		 원칙금지,
보완대책(승인, 접근 단말 지정,허용범위, 기간,강화 인증, 암호화,보안) 
2.6.7 인터넷 접속 통제 •업무용 단말기의 인터넷접속 통제
  - P2P,웹하등
•정보시스템에서 불필요한 인터넷접속 통제
•망분리 적용 (100만명, 100억)  <- 이용내역 통지대상 조건도 100,100
  (단, 망분리는 정통망법에 의한 정보통신서비스제공자가 대상이지 공공기관은 아님)
•망간 자료전송(망연계시스템)에 대한 승인절차가 있어야 하고
 주기적으로 전송내역에 대한 검토를 해야한다		 주요 직무자, 취급 단말기
인터넷 접속 통제,
정보시스템(DB서버) 인터넷 접속
, 망분리 

 

2.7 암호화 적용 (정키)

항목 설명 및 사례 keyword
2.7.1 암호정책 적용 •법적 요구사항을 반영한 암호정책 수립
•암호정책에 따라 암호화 수행

예)암호정책을 수립하면서 정보통신망법 대상자에게 개인정보보호법
    암호화 요건을 적용한 경우
예)정보주체 비밀번호 암호화를 MD5로 지정한 경우
예)내부정책에 법적요구사항을 고려한 암호화 대상 및 강도 등이 명시
   되어 있지 않은 경우 		암호정책(대상, 강도, 사용),
저장, 전송, 전달 시 암호화 
2.7.2 암호키 관리 예)정책내에 암호키 관리와 관련된 절차,방법등이 명시되지 않아 담당자
   별로 암호키 관리 수준 및 방법이 상이함
예)암호키 관리대장에 일부 암호키가 누락되거나 현행화 되어 있지 않은
   경우		 암호키 관리절차(생성, 이용,변경,파기),
복구방안(보관, 접근권한 최소화) 


2.8 정보시스템 도입 및 개발보안 (요검시대소운)

항목 설명 및 사례 keyword
2.8.1 보안 요구사항 정의 •정보시스템 도입,개발,변경하는 경우 보안성 검증 기준 및 절차 명시
  (RFP,구매계약서)
•보안요구사항을 설계단계 및 내부개발지침에 적용
•개발표준정의서에 시큐어코딩 기준 마련
예) 정보시스템 인수 전 보안성검증절차가 마련되지 않은 경우
예) 개발표준정의서에 사용자 패스워드를 안전하지 않은 암호화알고리즘
    을 사용하도록 되어있는경우
예) 개발관련 내부지침에 보안요구사항이 정의되어 있지 않은 경우
① 정보시스템을 신규로 도입․개발 또는 변경하는 경우 정보보호 및
    개인정보보호 측면의 타당성을 검토 하고 인수할 수 있도록 절차를
    수립․이행하여야 한다
② 정보시스템을 신규로 도입․개발 또는 변경하는 경우 법적 요구사항,
    최신 취약점 등을 포함한 보안 요구사항을 명확히 정의하고
    설계 단계에서부터 반영하여야 한다
③ 정보시스템의 안전한 구현을 위한 시큐어 코딩 표준을 마련하고 적용		 도입 시 타당성 검토 및 인수절차
보안요구사항 정의
시큐어코딩 표준 
2.8.2 보안 요구사항 검토및 시험 •2.8.1에서 명시된 보안요구사항을 시험 및 검증수행
•취약점점검, 소스코드검증
•개인정보 영향평가 의무대상인지를 검토하여 대상이
 면 영향평가를 수행해야 한다.
 * 개인정보 영향평가 의무대상(PIA) *
 - 5만명 이상의 민감정보,고유식별정보 처리
 - 50만명 이상의 연계결과 개인정보처리 시
 - 100만명 이상의 정보주체에 대한 개인정보파일		 검토기준(법 요건, 보안취약점, 시큐어코딩, 개인정보영향평가)수립 및 점검, 개선조치 
2.8.3 시험과 운영환경 분리 •개발환경과 운영환경을 분리
•만약 분리안할려면 대신 상호체크, 상급자승인 ,모니터링, 책임추적성
 확보
예)별도의 개발환경이 없지만 계정분리를 통해서 개발자와 운영자가
   접근할 수 있는 디스크를 분리했다
   (개발환경이 따로없지만 대신 보완통제를 하고있다)
예)개발서버 다운으로 개발팀장 승인을 받아 운영서버에서 긴급 테스트
   후 배포 (상급자 승인을 거쳤음)		 개발 및 시험과 운영시스템 분리,
어려울 경우 보안대책(상호검토, 변경승인, 상급자, 백업) 
2.8.4 시험 데이터 보안 •개발환경에서 실제 운영데이터 사용제한
•불가피하게 사용시 통제방안 수립.이행
•개발서버에서 사용할 시험데이터 생성에 대한 절차
•테스트후에는 실데이터를 개발서버에서 삭제
•테스트DB에  운영DB의 실데이터를 복사해서 사용함에도 테스트DB에 대한 접근통제절차가 운영DB와 동일하지 않고 낮은 경우 		운영데이터 사용 제한,
불가피 사용 시 보완통제 (책임자,모니터링,시험후 삭제)
2.8.5 소스 프로그램 관리 •비안가자에 의한 소스프로그램 접근통제
•소스프로그램은 운영환경이 아닌 별도 안전한곳에
•소스변경이력 관리 (형상관리)
•소스프로그램 백업
예) 소스코드를 운영서버에 복사해서 컴파일한다.
(이관시 소스코드가 운영서버에 복사되는것은 2.8.6 운영환경 이관 결함) 		소스 접근통제 절차,
안전 보관, 변경이력 
2.8.6 운영환경 이관 •신규프로그램 운영이관에 대한 통제절차
•이관시 발생할 문제점 대응 (Rollback)
•이관시 불필요한 파일(소스파일,백업문서..)이 운영서버에 설치X
예)운영서버에 소스코드가 존재한다.		 변경 절차,
변경 전 영향 분석 

 

728x90
반응형
LIST

'ISMS-P' 카테고리의 다른 글

ISMS-P 인증기준 - 3. 개인정보 처리단계별 요구사항(1/3)  (0) 2021.01.13
ISMS-P 인증기준 - 2. 보호대책 요구사항 (3/3)  (0) 2021.01.11
ISMS-P 인증기준 - 2. 보호대책 요구사항 (1/3)  (0) 2021.01.06
ISMS-P 인증기준 - 1. 관리체계 수립 및 운영  (0) 2021.01.06
ISMS-P 인증기준항목 두음신공 정리  (0) 2021.01.06
728x90
반응형
SMALL
2. 보호대책 요구사항 - 정인외물 인접암정 운보사재
2.1 정책,조직,자산 정 – 정조자  2.1.1 정책의 유지관리
2.1.2 조직의 유지관리
2.1.3 정보자산 관리
2.2 인적보안 인 – 직분서인퇴위 2.2.1 주요 직무자 지정 및 관리
2.2.2 직무 분리
2.2.3 보안 서약
2.2.4 인식제고 및 교육훈련
2.2.5 퇴직 및 직무변경 관리
2.2.6 보안 위반 시 조치
2.3 외부자보안 외 – 현계보변 2.3.1 외부자 현황 관리
2.3.2 외부자 계약 시 보안
2.3.3 외부자 보안 이행 관리
2.3.4 외부자 계약 변경 및 만료시 보안
2.4 물리보안 물 – 구출정설작반업  2.4.1 보호구역 지정
2.4.2 출입통제
2.4.3 정보시스템 보호
2.4.4 보호설비 운영
2.4.5 보호구역 내 작업
2.4.6 반출입 기기 통제
2.4.7 업무환경 보안
2.5 인증및 권한관리 인 – 계식인비특접 2.5.1 사용자 계정 관리
2.5.2 사용자 식별
2.5.3 사용자 인증
2.5.4 비밀번호 관리
2.5.5 특수 계정 및 권한관리
2.5.6 접근권한 검토
2.6 접근통제 접 – 네정응데무원인  2.6.1 네트워크 접근
2.6.2 정보시스템 접근
2.6.3 응용프로그램 접근
2.6.4 데이터베이스 접근
2.6.5 무선 네트워크 접근
2.6.6 원격접근 통제
2.6.7 인터넷 접속 통제
2.7 암호화적용 암 – 정키 2.7.1 암호정책 적용
2.7.2 암호키 관리
2.8 정보시스템 도입및개발보안 정 – 요검시데소운 2.8.1 보안 요구사항 정의
2.8.2 보안 요구사항 검토 및 시험
2.8.3 시험과 운영환경 분리
2.8.4 시험 데이터 보안
2.8.5 소스 프로그램 관리
2.8.6 운영환경 이관
2.9 시스템 및 서비스 운영관리 운 – 변성 백로 점시재  2.9.1 변경관리
2.9.2 성능 및 장애관리
2.9.3 백업 및 복구관리
2.9.4 로그 및 접속기록 관리
2.9.5 로그 및 접속기록 점검
2.9.6 시간 동기화
2.9,.7 정보자산 재사용 및 폐기
2.10 시스템 및 서비스 보안관리 보 – 보클 공거전 업보 패악 2.10.1 보안시스템 운영
2.10.2 클라우드 보안
2.10.3 공개서버 보안
2.10.4 전자거래 및 핀테그 보안
2.10.5 정보전송 보안
2.10.6 업무용 단말기 보안
2.10.7 보조저장매체 관리
2.10.8 패치관리
2.10.9 악성코드 통제
2.11 사고예방 및 대응 사 – 체취이훈대 2.11.1 사고예방 및 대응체계 구축
2.11.2 취약점 점검 및 조치
2.11.3 이상행위 분석 및 모니터링
2.11.4 사고대응훈련 및 개선
2.11.5 사고대응 및 복구
2.12 재해복구 재 – 안시 2.12.1 재해.재난 대비 안전조치
2.12.2 재해 복구 시험 및 개선

 

2.1 정책,조직,자산 (정조자)

항목 설명 및 사례 keyword
2.1.1 정책의 유지관리 •정책과 시행문서에 대한 정기적인 타당성 검토하고 
•필요시 재.개정하고 재.개정 시 이해관계자 승인 
•재개정에 대한 이력관리 
  * 정책과 시행문서간의 일관성 결여 
예) 지침서와 절차서간의 패스워드 설정규칙이 상이 
예) DB접근통제솔루션을 신규로 도입했으나 내부보안지침서에 별도의  
     접근통제사항을 반영하지 않음 
   (대내외 환경변화를 정책에 반영하지 않음) 
예) 정책을 개정했으나 시행기준일을 명시하지 않음 
예) 변경된 개인정보보호법 내용을 정책에 반영안함.		 타당성 검토,  
환경 변화 제개정,  
이해관계자 검토,  
이력관리 
2.1.2 조직의 유지관리

      (역평의명)		 •구성원의 ①역할과 책임할당, ②평가체계 ,③의사소통 체계 ④명시 
 ① 정보보호 및 개인정보보호 업무 수행과 관련된 조직의 특성을 고려 
   하여 관련 책임자와 담당자의 역할 및 책임을 시행문서에 구체적으로 
   정의하여야 한다.  
 ② 정보보호 및 개인정보보호 관련 책임자와 담당자의 활동을 평가할  
   수 있는 체계를 수립하여야 한다 (KPI, MBO 주기적 체크) 
 ③ 정보보호 및 개인정보보호 관련 조직 및 조직의 구성원간 상호  
    의사소통할 수 있는 체계 및 절차를 수립․이행하여야 한다 

 < 정보보호 최고책임자 업무 >  (정취 침대보 암) 
 -. 정보보호 관리체계 수립및 운영,관리 
 -. 정보보호 취약점 분석 및 평가,개선 
 -. 침해사고 예방 및 대응 
 -. 사전 정보보호대책 마련및 보안조치 설계,구현 
 -. 정보보호 사전 보안성 검토 
 -. 중요정보 암호화 및 보안서버의 적합성 검토		 담당자 R&R,  
평가(MBO, KPI),  
의사소통체계 
  (주간보고,게시판) 
2.1.3 정보자산 관리

(보안등급표시,  
 담당자&책임자,  
 취급절차)
 •보안등급 ,자산목록 현행화, 정보자산별 담당자 
 - 식별된 자산에 대해서 보호대책 수립하고 
 - 책임자 및 관리자 지정 
 * 자산을 식별했으나 보안대응을 하지 않은 경우 
 * 지침서에는 보안등급을 표시한다고 했으나 실제 보안등급이 표시되어 
   있지 않은 문서가 발견됨 
 * 1.2.1 정보자산식별은 자산을 식별하고 보안등급을 설정하는것을  
   의미하고, 2.1.3 정보자산 관리는 실제 보안등급을 제대로 현장에서  
   표시가 되고 있는가를 체크하는 것을 말한다. 

 - 정보자산의 보안등급에 따른 취급절차(생성․도입, 저장, 이용, 파기 등) 
   를 정의하고 이에 따라 암호화, 접근통제 등 적절한 보호대책을 정의 
   하고 이행하여야 한다.  
 - 식별된 정보자산에 대하여 자산 도입, 변경, 폐기, 반출입, 보안관리  
   등의 책임을 질 수 있는 책임자와 자산을 실제 관리․운영하는 책임자 
  , 관리자(또는 담당자)를 지정하여 책임소재를 명확하게 하여야 한다. 		 보안등급 취급절차,  
책임자 

 

2.2 인적보안 (직분서인퇴위)

항목 설명 및 사례 keyword
2.2.1 주요 직무자 지정 및 관리 •주요직무자명단, 퇴사한 임직원 포함 ,과다한 주요직무자
 ① 개인정보및 중요정보의 취급, 주요시스템 접근 등 주요 직무의 기준
     을 명확히 정의.
 ② 주요 직무를 수행하는 임직원 및 외부자를 주요 직무자로 지정하고 
     그 목록을 최신으로 관리하여야 한다
 ③ 업무상 개인정보를 취급하는 자를 개인정보취급자로 지정하고 목록
     을 관리하여야 한다
    (※ 개인정보취급자의 정의 
       ㆍ임직원, 파견근로자, 시간제근로자 등 개인정보취급자의 지휘․
          감독을 받아 개인정보를 처리하는 자)
 ④ 업무 필요성에 따라 주요 직무자 및 개인정보취급자 지정을 최소화
     하는 등 관리방안을 수립․이행하여 야 한다. 
예)직무자명단에 DBA가 누락
예)퇴사한 직원이 개인정보취급자 목록에 포함되어 현행화가 안되어 
    있는 경우
예) 부서단위로 개인정보 취급자 권한을 부여하고있어 필요가 없는 
     인원에게까지 취급자 직무자로 지정
예)주요 직무자 지정시 보안팀의 승인을 받아 보안서약서를 징구하도
    록 되어있으나 보안팀 승인없이 직무자권한을 부여 		 기준, 지정, 최신
, 개인정보취급자
, 최소화 
2.2.2 직무 분리 •직무분리기준 수립
•직무분리가 어려운 경우 직무자간 상호검토, 책임추적성 확보등 보완통제 마련
① 권한 오․남용 등으로 인한 잠재적인 피해 예방을 위하여 
    직무 분리 기준을 수립하여 적용 하여야 한다. 
② 직무 분리가 어려운 경우 직무자간의 상호 검토, 직무자의 책임추적성 
     확보 등의 보완통제를 마련하여야 한다		 기준, 
보완통제(상호검토, 
상위관리자 승인, 
개인계정,로그감사) 
2.2.3 보안 서약 •임직원 ①채용시, 외부자에게 ②권한부여시, ③퇴사하는 경우에 각각 
  보안서약서 받음
* 주의할것은 외부업체에 대한 보안결함은 2.3.2 외부자 계약시 보안에 
  해당된다. 
 예) 외주계약시 계약서에 비밀유지에 대한 내용만 있고 개인정보보호에
     대한 내용은 없다. 
    -> 2.2.3 보안서약이 아닌 2.3.2 외부자계약시보안 결함이다		 채용, 
퇴직, 
외부자, 
보관 
2.2.4 인식제고 및 교육훈련 •개인정보보호관련 교육계획
•관리체계범위내 모든 임직원과 외부자가 교육대상임
 (전산실출입청소원,경비원,외주개발자까지도 대상)
•단, 외부업체에 대해서는 직접교육이 아니라 그 업체에서 교육을 하고 
  있는지만 관리.감독하면 된다.		 계획, 
승인, 
연1회, 
직무자 별도, 
평가 
2.2.5 퇴직 및 직무변경 관리 •퇴직 및 직무변경시
  정보자산반납,접근권한회수.조정 처리및 결과확인
  시스템간 계정정보 동기화
① 퇴직, 직무변경, 부서이동, 휴직 등으로 인한 인사변경 내용이 인사
    부서, 정보보호및 개인정보보호 부서, 정보시스템 및 개인정보처리
    시스템 운영부서 간에 공유되고 있는가?
② 조직 내 인력(임직원, 임시직원, 외주용역직원 등)의 퇴직 또는 직무
    변경 시 지체 없는 정보자산 반납, 접근권한 회수 ․조정, 결과 확인 
    등의 절차를 수립 ․ 이행하고 있는가?		 인사변경 공유, 
반납&회수&확인 
2.2.6 보안 위반 시 조치 •위반자에 대한 처리기준수립 및 조치수행
  인사규정, 위반자징계내역, 사고사례전파		 처벌규정, 
적발 시 절차 수행 

 

2.3 외부자보안 (현계보변)

항목 설명 및 사례 keyword
2.3.1 외부자 현황 관리 •외부 위탁 및 서비스 사용현황 목록
•내부시스템을 외부 클라우드로 이전시 식별 및 위험 평가수행		 위탁 업무/시설/서비스 식별, 
위험관리(파악, 보호대책) 
2.3.2 외부자 계약 시 보안 외부 서비스를 이용하거나 외부자에게 업무를 위탁하는 경우 이에 따른 정보보호 및 개인정보보호 요구사항을 식별하고, 관련 내용을 계약서 또는 협정서 등에 명시하여야한다.
•위탁 계약서에 정보보호관련 요구사항 명시

 * 위탁문서에 포함되어야 할 사항 7개 (금기 목재 안감배)
① 위탁업무 수행목적외 개인정보처리 금지
② 개인정보의 기술적.관리적 보호조치에 관한 사항
③ 위탁업무의 목적 및 범위
④ 재위탁 제한에 관한 사항
⑤ 개인정보접근에 대한 안정성 확보조치 사항
⑥ 위탁업무와 관련하여 보유하고 있는 개인정보의 
    관리 현황 점검 등 감독에 관한 사항
⑦ 수탁자가 준수하여야 할 의무를 위반한 경우의 
    손해배상 등 책임에 관한 사항		 위탁업체 역량, 
계약서(업무요건, 개발요건) 
2.3.3 외부자 보안 이행 관리 •외부자 보호대책의 이행여부 주기적 점검
•점검시 발견된 문제점에 대한 개선계획 수립.이해
•재위탁시 승인 받았는지		 점검&감사, 
개선계획, 
재위탁 시 승인 
2.3.4 외부자 계약 변경 및  만료 시 보안 •외부자 계약만료 및 담당자 변경 시
 - 정보자산반납,접근계정삭제,중요정보파기,비밀유지 확약서 징구
 - 외부자가 중요정보,개인정보 보유여부 확인 및 폐기,회수절차가 있는지		 회수(자산, 계정, 권한), 
서약서, 파기 

 

2.4 물리보안 (구출정설작반업)

항목 설명 및 사례 keyword
2.4.1 보호구역 지정 •물리적보호구역 지정 - 접견구역 < 제한구역 < 통제구역
•보호구역별 보호대책 마련		 기준(통제, 제한, 접견), 
대책 
2.4.2 출입통제 •물리적보호구역에 대한 출입통제절차를 마련하고, 출입가능 인원현황
  을 관리하며, 출입기록,접근기록을 주기적으로 점검하여 책임추적성을
  확보한다.  (출입대장)		 출입 통제 절차,
출입 기록 점검 
2.4.3 정보시스템 보호 •정보시스템을 전산랙,케이지등을 이용해서 분리 배치
•배치도 구비 (랙실장도 최신화.현행화)
•전력및 통신케이블 보호
 - 물리적 분리 배치
 - 케이블,통신,전력 보호 : 랙 실장도
 * 랙실장도에만 누락된 경우 		배치,
배치도(서버, 랙),
케이블(전력, 통신) 
2.4.4 보호설비 운영 •화재,수해,정전 등에 대비한 보호설비 운영
 - 항온항습기,UPS,소화기,CCTV,누수감지기,비상등
•IDC에 위탁시 계약서에 보호설비 명시		 보호설비(항온항습, 화재감지,소화, 누수, UPS, 발전기, 이중전원),
IDC 계약서&검토 
2.4.5 보호구역 내 작업 •보호구역내 작업시 작업신청및 수행절차 
•작업기록에 대한 주기적 검토		 보호구역 내 작업신청,
작업기록 검토 
2.4.6 반출입 기기 통제 •보호구역내 전산장비 반출입시 반출입내용 기록하고 서명
•통제구역내 노트북 반출입 통제절차수립 및 이해		 통제절차(서버, 모바일, 저장매체/보안스티커 , 보안SW설치),
기록 검토 
2.4.7 업무환경 보안 •공용 시설및 사무용기기를 통한 정보유출 대책수립
•개인PC, 책상등을 통한 정보유츌 대책 (Clean Desk)
   - 잠금장치, 화면보호기
   - 암호화안된 파일, 보안업데이트 미적용, 백신미설치		 시설(문서고) 기기(복합기 , 파일서버),
개인 업무환경(PC, 책상)대책, 검토 

 

728x90
반응형
LIST

'ISMS-P' 카테고리의 다른 글

ISMS-P 인증기준 - 3. 개인정보 처리단계별 요구사항(1/3)  (0) 2021.01.13
ISMS-P 인증기준 - 2. 보호대책 요구사항 (3/3)  (0) 2021.01.11
ISMS-P 인증기준 - 2. 보호대책 요구사항 (2/3)  (0) 2021.01.07
ISMS-P 인증기준 - 1. 관리체계 수립 및 운영  (0) 2021.01.06
ISMS-P 인증기준항목 두음신공 정리  (0) 2021.01.06

+ Recent posts

티스토리툴바