주요사항

정책·시행문서 경영진 승인, 최신본 공유, 내부관리계획(책역교권·통암기·악물조사·위재위)

인증기준

정보보호와 개인정보보호 정책 및 시행문서를 수립·작성하며, 이때 조직의 정보보호와 개인정보보호 방침 및 방향을 명확하게 제시하여야 한다. 또한 정책과 시행문서는 경영진 승인을 받고, 임직원 및 관련자에게 이해하기 쉬운 형태로 전달하여야 한다.

확인사항

  • 조직이 수행하는 모든 정보보호 및 개인정보보호 활동의 근거를 포함하는 최상위 수준의 정보보호 및 개인정보보호 정책을 수립하고 있는가?
  • 정보보호 및 개인정보보호 정책의 시행을 위하여 필요한 세부적인 방법, 절차, 주기 등을 규정한 지침, 절차, 매뉴얼 등을 수립하고 있는가?
  • 정보보호 및 개인정보보호 정책∙시행문서의 제∙개정 시 최고경영자 또는 최고경영자로부터 권한을 위임받은 자의 승인을 받고 있는가?
  • 정보보호 및 개인정보보호 정책∙시행문서의 최신본을 관련 임직원에게 접근하기 쉬운 형태로 제공하고 있는가?

가상자산 사업자 확인사항

  • 가상자산 거래 서비스를 안전하게 제공/관리하기 위하여 취급업소의 주요 자산분류 및 작업에 대한 보안요구사항이 정책, 매뉴얼, 지침 등에 포함되어 있는가?
  • 핫/콜드월렛 관련 주요 작업 지침 및 절차는 비밀로 관리하고 업무상 열람이 필요한 인원으로 배포를 제한하고 있는가?

결함사례

  • 내부 규정에 따르면 정보보호 및 개인정보보호 정책서 제·개정 시에는 정보보호 및 개인정보보호 위원회의 의결을 거치도록 하고 있으나, 최근 정책서 개정 시 위원회에 안건으로 상정하지 않고 정보보호 최고책임자 및 개인정보 보호책임자의 승인을 근거로만 개정한 경우
  • 정보보호 및 개인정보보호 정책 및 지침서가 최근에 개정되었으나, 해당 사항이 관련 부서 및 임직원에게 공유 전달되지 않아 일부 부서에서는 구버전의 지침서를 기준으로 업무를 수행하고 있는 경우
  • 정보보호 및 개인정보보호 정책 및 지침서를 보안부서에서만 관리하고 있고 임직원이 열람할 수 있도록 게시판, 문서 등의 방법으로 제공하지 않는 경우
  • 확인사항
    • 정책 유무
    • 세부지침 유무
    • 경영진 승인 여부
    • 조직도
  • 내부관리계획 포함사항
    • 개인정보처리자
      (개인정보의 안전성 확보조치 기준 제4조1항)
      1. 개인정보 보호책임자의 지정에 관한 사항
      2. 개인정보 보호책임자 및 개인정보취급자의 역할 및 책임에 관한 사항
      3. 개인정보취급자에 대한 교육에 관한 사항
      4. 접근 권한의 관리에 관한 사항
      5. 접근 통제에 관한 사항
      6. 개인정보의 암호화 조치에 관한 사항
      7. 접속기록 보관 및 점검에 관한 사항
      8. 악성프로그램 등 방지에 관한 사항
      9. 물리적 안전조치에 관한 사항
      10. 개인정보 보호조직에 관한 구성 및 운영에 관한 사항
      11. 개인정보 유출사고 대응 계획 수립·시행에 관한 사항
      12. 위험도 분석 및 대응방안 마련에 관한 사항
      13. 재해 및 재난 대비 개인정보처리시스템의 물리적 안전조치에 관한 사항
      14. 개인정보 처리업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항
      15. 그 밖에 개인정보 보호를 위하여 필요한 사항
    • 정보통신서비스 제공자등
      (개인정보의 기술적·관리적 보호조치 기준 제3조1항)
      1. 개인정보 보호책임자의 자격요건 및 지정에 관한 사항
      2. 개인정보 보호책임자와 개인정보취급자의 역할 및 책임에 관한 사항
      3. 개인정보 내부관리계획의 수립 및 승인에 관한 사항
      4. 개인정보의 기술적·관리적 보호조치 이행 여부의 내부 점검에 관한 사항
      5. 개인정보 처리업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항
      6. 개인정보의 분실·도난·유출·위조·변조·훼손 등이 발생한 경우의 대응절차 및 방법에 관한 사항
      7. 그 밖에 개인정보보호를 위해 필요한 사항