정보보호 관리체계 신청 가이드라인

□ 법적 근거

o ｢정보통신망 이용촉진 및 정보보호 등에 관한 법률｣ 시행령 제47조

제47조(정보보호 관리체계 인증의 방법·절차·범위 등) ① 법 제47조제1항 또는 제2항에 따라 정보보호 관리체계의 인증을 받으려는 자는 정보보호 관리체계 인증신청서(전자문서로 된 신청서를 포함한다)에 다음 각 호의 사항에 대한 설명이 포함된 정보보호 관리체계 명세서(전자문서를 포함한다)를 첨부하여 인터넷진흥원 또는 방송통신위원회가 지정한 기관(이하 "정보보호 관리체계 인증기관"이라 한다)에 제출하여야 한다.

1. 정보보호 관리체계의 범위

2. 정보보호 관리체계의 범위에 포함되어 있는 주요 정보통신설비의 목록과 시스템 구성도

3. 정보보호 관리체계를 수립·운영하는 방법과 절차

4. 정보보호 관리체계와 관련된 주요 문서의 목록

5. 정보보호 관리체계와 관련된 국내외 품질경영체제의 인증을 취득한 경우에는 그 명세

(이하 생략)

o ｢정보보호 관리체계 인증 등에 관한 고시｣ 제16조

제16조(인증의 신청 등) ① 법 제47조제1항 또는 제2항에 따라 정보보호 관리체계 인증을 받으려는 자는 별지 제10호서식의 정보보호 관리체계 인증 신청서를 인터넷진흥원 또는 인증기관에 제출하여야 한다.

② 신청기관은 인증의 범위 및 일정 등을 인터넷진흥원 또는 인증기관과 사전 협의하여 신청하여야 한다.

③ 인터넷진흥원 또는 인증기관은 제14조에 따른 인증 의무대상자가 사업자 등록일이 속한 분기가 끝나는 날의 1개월 전까지 인증 신청을 한 경우 인증심사를 우선적으로 처리할 수 있다.

□ 인증심사 절차

신청서 접수	➡	사전심사 (필요시)	➡	계약 체결	➡	인증 심사	➡	보완요청 및 확인	➡	인증위원회 심의·의결	➡	인증서 부여
							(부결시)

□ 제출 서류

o 정보보호 관리체계 인증신청서

o 정보보호 관리체계 명세서

※ 2개월 이상 구축․운영 사실 및 업체 자가 진단결과(대책명세서) 포함

o 법인사업자등록증 1부

□ 신청 방법 및 문의처

o 신청 방법 : 공문 제출을 통한 신청(출력물 1부, 전자문서 1부)

※ 우편 또는 직접 방문하여 접수 가능하나, 단18:00이후 접수 불가함

※ 전자문서의 경우, 이메일로 제출 가능함(공문 및 제출 자료 포함)

o 관련 문의처 : kisa_isms@kisa.or.kr, ☏ 02)405-5485

	< 인증 신청 제출 서류 >
1. 정보보호 관리체계 인증신청서 2. 정보보호 관리체계 명세서 - 정보보호 관리체계의 범위 - 주요 정보통신 설비의 목록과 시스템 구성도 - 정보보호 관리체계 수립․운영 방법 및 절차 - 정보보호 관리체계 관련 주요 문서 목록 - 국내외 품질경영체제 인증서 취득 명세 - [별지] 정보보호 관리체계 자가진단 대책 명세서 양식 3. 법인사업자등록증

1		정보보호 관리체계 인증신청서

■「정보보호 관리체계 인증 등에 관한 고시」 [별지 제10호서식] <개정 2013.1.17.>
정보보호 관리체계 인증 신청서
※ [ ]에는 해당되는 곳에 √표를 하고, 어두운 부분은 신청인이 작성하지 않습니다.
접수번호		접수일자		발급일		처리기간
신청인	업체명	사업자등록번호
주소	전화번호
대표자
인증신청의 구분	[ ]최초심사 [ ]사후심사 [ ]갱신심사
정보보호 관리체계의 범위
정보보호 관리체계의 범위에 포함되어 있는 종업원의 수
정보보호 관리체계의 범위에 포함되어 있는 서버의 수
「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조제1항 및 제9항, 같은 법 시행령 제47조에 따라 위와 같이 정보보호 관리체계의 인증을 신청합니다.
년 월 일
신청인(대표자)	(서명 또는 인)
(한국인터넷진흥원 또는 정보보호 관리체계 인증기관명)	귀중
신청(신고)인 제출서류	정보보호 관리체계 명세서 1부.	수수료 없음
담당공무원 확인사항	법인사업자등록증
210mm×297mm[백상지(80g/㎡)]

2		정보보호 관리체계 명세서

정보보호 관리체계 명세서
□ 정보보호 관리체계		□ 개인정보보호 관리체계
작성 항목	기재 내용(요약)
1. 정보보호 관리체계의 범위	※ 인증을 받고자하는 주요 서비스 명과 정의 등을 기재
2. 정보보호 관리체계의 범위에 포함되어 있는 주요 정보통신설비의 목록과 시스템 구성도	※ 인증범위 대상과 제외 대상을 적시하고 그 사유를 기재
3. 정보보호 관리체계를 수립·운영하는 방법과 절차	※ 정보보호 관리체계 운영현황, 자산식별 기준, 취약점 점검 등에 관한 내용을 기재
4. 정보보호 관리체계와 관련된 주요 문서의 목록	※ 정보보호 관리체계 관련 주요 문서 목록을 기재
5. 정보보호 관리체계와 관련된 국내외 품질경영체제의 인증을 취득한 경우에는 그 명세	※ 현재 국내외 품질경영체계 인증을 취득하였을 경우, 인증서 명, 인증기관, 취득일 등을 기재

※ 위 표에는 주요 내용만을 기재하고, 세부 사항은 이후 페이지부터 기재

Ⅰ		정보보호 관리체계의 범위(시행령 제47조제1항제1호)

□ 주요 서비스(사업) 현황

① 현재 제공 중인 주요 서비스 (인증범위 외 서비스 포함)

☞ 인증범위 포함여부와 상관없이 기업이 제공하는 주요 서비스를 모두 기술

② 인증을 받고자 하는 서비스

서비스명	예) 포털 서비스, 통합정보관리서비스 등
인증희망 이유	☞ 법적요구, 고객요구, 내부 정책 등 고려사항을 기술
이용자(고객)	☞ 개인(내국인, 외국인), 법인 등	이용자 수	________명
서비스 정의	☞ 주요 기능 기술
관련 외주업체 활용현황	☞ 위탁, 용역 수행업체 및 투입인력(xx명, 파견) 등 현황 기술 ☞ 서비스 관련 개발이나 운영 등을 위해 활용되는 외주업체 현황을 기술
기타	☞ 특이사항 기술

③ 기업 전체 조직도 및 정보보호 조직도

전체 종업원 수	xxx명(외주인력 포함)	인증범위 내 종업원 수	xxx명(외주인력 포함)
사업장 위치	사업장명	위치
	사업장명	위치
	사업장명	위치
	사업장명	위치
전체 조직도
☞ 인증 범위에 상관없이 기업 전체 조직도에 인증 범위에 해당하는 부서 표시, 부서별로 사업장 위치 등이 상이할 경우 상세 내용 기술
정보보호 조직도
☞ 정보보호 관련 부서, 정보보호최고책임자, 정보보호책임자, 정보보호실무자 등을 표기

Ⅱ		주요 정보통신 설비의 목록과 시스템 구성도(시행령 제47조제1항제2호)

□ 인증범위 대상

o 운영기간 : ___년 ___개월 (○○○○년 ○월 ~ ○○○○년 ○월)

o 대상 부서(인력)

구분	부서명 (업체명)	업 무	규모
내부 인력	네트워크 관리팀	네트워크 장비 및 보안장비 운영	xxx명
	…	…
	…	…
외부 인력	참조아라시스템즈	시스템유지보수 용역	xxx명
	…	…
	…	…

o 자산 목록 (서비스별 분류)

구분 (서비스별)	종류	수량	OS	자산 위치	관리 부서	사용 부서	중요도 등급
원격교육 시스템	서버
	네트워크
	보안장비
	PC
	S/W
	…
…

	< 작성 時 주요 착안사항 >
※ 정보자산 목록은 범위 확정과 위험 분석․평가에 활용되는 것으로 보호해야 할 가치가 있는 주요 자산은 반드시 정보자산 목록에 포함 ※ 종류는 신청기관의 자산 분류기준에 따른 자산 유형과 일치해야 함

o 제외 부서․시스템 목록 및 사유

구분	부서명(시스템구분)	대상 제외 사유	규모
부서(인력)	○○○팀		xxx명
	…
시스템	서버		xxx대
	…

□ 시스템 및 네트워크 구성도

	< 작성 時 주요 착안사항 >
※ 인증범위 서비스를 운영하는 시스템을 중심으로 시스템 구성도 제출시 다음사항이 포함되도록 한다. o DB 서버, 웹서버, 로그 모니터링 시스템 등 o IDC가 구분된 경우 해당 사항을 명시 o 시스템간의 네트워크 연결을 간략히 명시 ※ 인증범위 서비스를 연결하는 네트워크 구성도 제출시 다음사항이 포함되도록 한다. o 네트워크 장비(예. 라우터, 스위치 등) o 정보보호 관련 장비 (예. 방화벽, 침입탐지 시스템, 침입방지 시스템 등) o DMZ 구역, VPN 구간 등 (해당시)

Ⅲ		정보보호 관리체계 수립ㆍ운영 방법 및 절차(시행령 제47조제1항제3호)

□ 정보보호 규모 및 체계

o 정보보호 인력 및 예산 규모

- 정보보호 인력

(단위 : 명)

전체인력	IT 인력	정보보호 인력

- 정보보호 예산

(단위 : 백만원)

전체예산	IT 예산	정보보호 예산

o 홈페이지 등을 통한 정보보호 활동 내역 공개 여부(Y/N) :

o 의사결정체계

※ 정보보호관련 정책 승인 또는 정보보호활동에 대한 의사결정체계를 도식화

□ 정보보호 관리체계 운영현황

o 주요 정보보호 활동 목록(구축 운영 순서대로 작성)

주요 활동	주기	담당자 (부서/성함)	실시유무 (O/X)	최근 실시
정보보호정책수립	1회/3년	홍길동/보안관리팀	O	2012.12월
백업훈련	1회/1년	홍길동/보안관리팀	O	2013.1월
…

	< 작성 時 주요 착안사항 >
※ 정보보호 관리체계를 지속적으로 운영하기 위해서 주기적 또는 상시적으로 수행하는 정보보호 활동을 목록화하여 기재(주기, 담당자, 실시유무 등)

o 2개월 이상 구축․운영 증빙자료

※ 증빙할 수 있는 승인문서, 계약서 등의 스캔 이미지 첨부

※ 문서명, 기관명, 주요내용 등이 포함되어야 하나, 모든 증빙자료 또는 증빙자료의 모두를 첨부할 필요는 없음

	< 작성 時 주요 착안사항 >
※ 인증신청 2개월 전 운영날짜가 확인 가능한 관리적, 기술적 항목에 대한 운영증적(산출물) 1건씩 첨부 예)정보보호정책 또는 위험평가 승인문서, 백업정책 승인 문서 등 ※ 컨설팅을 받은 경우, 인증신청 2개월 이전의 계약서 또는 결과보고서 사본 예) 결과보고서 승인 문서, 컨설팅계약서

o 정보보호 자가진단 대책 명세서

	< 작성 時 주요 착안사항 >
o 정보보호 관리체계 인증 신청時 : [별지1](現기준 적용) 또는 [별지2](舊기준 적용) 중 택일하여 기재 o 개인정보보호 관리체계 인증 신청時 : [별지3](現기준 적용) 또는 [별지4](舊기준 적용) 중 택일하여 기재 ※ 舊기준을 적용하여 작성된 [별지2], [별지4]는 2013.12.31일까지 한시 적용하고, 2014년부터는 現기준으로만 적용

□ 정보자산 식별 및 평가

o 자산관리 담당부서 / 책임자 :

o 자산분류 기준 :

※ 자산을 분류한 유형을 기재. 예) S/W, 서버, 네트워크, 시설, 인력 등

o 자산 중요도 산정방법 :

※ 자산 중요도 산정기준, 자산 등급 선정 계산방법 등을 기재 (자산 중요도 산정기준은 자산분류별로 상이할 수 있음)

o 자산분류 증적자료

※ 업체가 보유한 자산목록표 일부를 첨부. 단, 자산목록표에는 자산 유형, 자산 식별번호, 자산 명, 용도, 중요도 등급, 위치, 소유자, 관리자 등이 기재되어 있어야 함

□ 정보자산 위험 분석

o 위험분석에 대한 단계별 수행 일정, 승인 체계, 산출물목록 작성

No.	단계	세부수행내역	수행일정	참여자	산출물 목록
1	위험관리 방법 및 계획 수립
	위험식별 및 평가	관리적분야
		기술적분야
		물리적 분야
		법적 분야
		…
	대책선정 및 이행계획수립	관리적분야
		기술적분야
		물리적 분야
		법적 분야
		…
	계획 이행에 대한 확인 및 내부 공유

o 위험평가 방법론 및 수용가능 한 위험수준

※ 위험평가 방법론, 수용 가능한 위험수준(DoA) 선정 기준, 승인결과를 기재

- 관리적 분야 :

- 기술적 분야 :

- 물리적 분야 :

- 법적 분야 :

□ 취약점 점검

o 취약점 점검 대상 선정방법 및 그 사유

※ 정보자산 중 취약점 점검으로 선정한 방법 및 그 사유를 기재

o 취약점 점검 현황

기간 (○.○월~○월)	대상 서비스	대상 자산 및 규모		점검툴	취약점건수 (점검시)	잔여취약점 (현재)
5개월 (2012.7월~11월)	웹서비스	서버	대		건	건
		네트워크장비	대		건	건
		보안장비	대		건	건
		PC	대		건	건
		S/W	대		건	건
		…	…		…	…
…

	< 작성 時 주요 착안사항 >
※ 최근 3년간 외부 정보보호 컨설팅업체를 통하여 취약점 점검을 받은 내용을 기재 ※ 취약점 발견 건수 : 취약점 점검 당시 발견된 취약점 건수 ※ 잔여 취약점(현재) : 당시 발견한 취약점이 보완되지 않고 남아 있는 건수

□ 법규준수에 따른 서비스 현황

관련서비스	관련 법규	비 고
예) 정보보호 관리체계 인증 심사	예) 정보통신망법 제47조
…

	< 작성 時 주요 착안사항 >
※ 국내・외 법규에 의거하여 신청기관이 의무로 시행하는 서비스를 기재

□ 내부감사 이력

No.	기간 (년.월.일~월.일)	수행 인력			감사결과 및 조치사항
		부서 (또는 외주업체명)	성명	수행업무
1	3개월 (2012.2.1일 ~2012.4.30일)	보안관리팀	홍길동	시스템개발 보안 점검	…
		(조아컨설팅)	아무개	보안취약점 점검	…
		…	…	…	…
…	…	…	…	…	…

Ⅳ		정보보호 관리체계 관련 주요 문서 목록(시행령 제47조제1항제4호)

구분	문 서 명	관리 번호	주요 내용	제개정 주체 (부서/성명)
정책	정보보호정책
	개인정보보호정책
	…
지침	정보보호조직관리지침
	자산분류 및 관리지침
	정보보호정책관리지침
	서버보안관리지침
	PC보안관리지침
	사업연속성계획관리지침
	아웃소싱보안지침
	…
절차	보안성검토절차
	문서보안관리절차
	침해사고대응절차
	서버보안관리절차
	PC보안관리절차
	백업관리절차
	암호관리절차
	…
기록 및 로그	임직원 보안서약서
	출입 관리대장
	정보보호 대책 명세서
	…

※ 신청기관이 보유한 정보보호 관리체계 관련 문서 및 기록을 최대한 기재

※ 위 표 “문서 명”은 단지 예시이며 해당 문서 명으로 존재해야 한다는 의미는 아님

Ⅴ		국내외 품질경영체제 인증서 취득 명세 (시행령 제47조제1항제5호)

인증 항목	예) ISO27001, BS7799, BS10012 등 ※ 1개 인증 항목 당, 개별 page를 할애하여 작성 요망
인증 기관		취득 일시	년 월 일
인증 번호
인증 목적	※ 해당 인증을 받은 목적에 대해 기술
인증 범위	※ 인증을 받은 범위에 대해 자유롭게 기술 (보호 자산이 명확하게 드러나도록 기술)
인증 혜택	※ 인증을 받은 후 혜택 사항(세금 감면, 우선 입찰 선정 등)
인증 결과	※ 인증 전과 비교하여 개선된 사항(긍정적인 내부 변화 등)
비고

[별지1] 정보보호 관리체계 자가진단 대책 명세서 양식A(신청기관이 現기준으로 정보보호 관리체계를 수립․운영한 경우)

□ 정보보호관리과정

	< 작성 時 주요 착안 사항 >
정보보호관리과정은 필수적인 항목으로 해당 인증기준을 모두 선택하여야 한다. 운영여부와 운영내용을 확인할 수 있도록 다음 항목을 상세히 작성하여야 한다. 항목별 설명은 다음과 같다. o 상세내용 : 신청기관 참고사항. 각 통제항목별로 의미하는 바를 기재하였음 (운영현황 등의 작성 공란이 부족할 경우 상세내용 삭제) o 수립여부 : 정보보호관리과정은 필수적으로 수립 및 구축해야 하므로 자가진단을 통해 Y/N으로 수립 및 구축을 확인 o 운영현황 : 각 인증기준의 요구사항에 대해 어떻게 대응한 것인지 작성하는 것으로 누가, 언제, 무엇을, 어떻게 적용하고 있는지 상세히 작성 o 관련문서 : 인증기준을 만족하는 내용이 포함되어있는 기관의 문서 제목을 작성하되 문서 내 부분에 해당할 경우 장, 절, 조 등을 표시. 문서번호가 있다면 문서번호도 표시 o 기록(증적자료) : 인증기준을 만족하는 내용이 포함되어있는 기관의 기록(증적자료) 제목 및 번호를 작성

통제항목		상세내용	수립 여부	운영현황	관련문서 (정책, 지침 등 세부조항번호까지)	기록(증적자료)
1. 정보보호정책수립 및 범위설정
1.1	정보보호정책의 수립	조직이 수행하는 모든 정보보호 활동의 근거를 포함할 수 있도록 정보보호정책을 수립하고 동 정책은 국가나 관련 산업에서 정하는 정보보호 관련 법, 규제를 만족하여야 한다.
1.2	범위설정	조직에 미치는 영향을 고려하여 중요한 업무, 서비스, 조직, 자산 등을 포함할 수 있도록 정보보호 관리체계 범위를 설정하고 범위 내 모든 자산을 식별하여 문서화하여야 한다.
2. 경영진 책임 및 조직구성
2.1	경영진 참여	정보보호 관리체계 수립 및 운영 등 조직이 수행하는 정보보호 활동 전반에 경영진의 참여가 이루어질 수 있도록 보고 및 의사결정 체계를 수립하여야 한다.
2.2	정보보호 조직 구성 및 자원 할당	최고경영자는 조직의 규모, 업무 중요도 분석을 통해 정보보호 관리체계의 지속적인 운영이 가능하도록 정보보호 최고책임자, 실무조직 등 정보보호 조직을 구성하고 정보보호 관리체계 운영 활동을 수행하는데 필요한 자원(예산 및 인력)을 확보하여야 한다.
3. 위험관리
3.1	위험관리 방법 및 계획 수립	관리적, 기술적, 물리적, 법적 분야 등 조직의 정보보호 전 영역에 대한 위험식별 및 평가가 가능하도록 위험관리 방법을 선정하고 위험관리의 전문성을 보장할 수 있도록 수행인원, 기간, 대상, 방법 등을 구체적으로 포함한 위험관리계획을 사전에 수립하여야 한다.
3.2	위험식별 및 평가	위험관리 방법 및 계획에 따라 정보보호 전 영역에 대한 위험 식별 및 평가를 연 1회 이상 수행하고 그 결과에 따라 조직에서 수용 가능한 위험수준을 설정하여 관리하여야 한다.
3.3	정보보호대책 선정 및 이행계획 수립	위험을 수용 가능한 수준으로 감소시키기 위해 정보보호대책을 선정하고 그 보호대책의 구현 우선순위, 일정, 담당부서 및 담당자 지정, 예산 등을 포함한 이행계획을 수립하여 경영진의 승인을 받아야 한다.
4. 정보보호대책 구현
4.1	정보보호대책의 효과적 구현	정보보호대책 이행계획에 따라 보호대책을 구현하고 경영진은 이행결과의 정확성 및 효과성 여부를 확인하여야 한다.
4.2	내부 공유 및 교육	구현된 정보보호대책을 실제 운영 또는 시행할 부서 및 담당자를 파악하여 관련 내용을 공유하고 교육하여야 한다.
5 사후관리
5.1	법적요구사항 준수검토	조직이 준수해야 할 정보보호 관련 법적요구사항을 지속적으로 파악하여 최신성을 유지하고 준수여부를 지속적으로 검토하여야 한다.
5.2	정보보호 관리체계 운영현황 관리	정보보호 관리체계 범위 내에서 주기적 또는 상시적으로 수행해야 하는 활동을 문서화하고 그 운영현황을 지속적으로 관리하여야 한다.
5.3	내부감사	조직은 정보보호 관리체계가 정해진 정책 및 법적 요구사항에 따라 효과적으로 운영되고 있는 지를 점검하기 위하여 연 1회 이상 내부감사를 수행하여야 한다. 이를 위해 감사 기준, 범위, 주기, 방법 등을 구체적으로 정하고 내부감사를 통해 발견된 문제점은 보완조치를 완료하여 경영진 및 관련 책임자에게 보고하여야 한다. 또한 감사의 독립성 및 전문성을 확보할 수 있도록 감사인력에 대한 자격요건을 정의하여야 한다.

□ 정보보호대책

	< 작성 時 주요 착안 사항 >
정보보호 대책은 기업의 정보보호 운영현황에 따라 선택할 수 있다. 선택하지 않은 통제항목의 경우 미선택 사유를 작성하여야 한다. 선택한 경우에는 선택이유 및 구현내용을 확인할 수 있도록 선택사유, 적용내용, 관련문서, 기록(증적자료)을 상세히 작성하여야 한다. o 상세내용 : 신청기관 참고사항. 각 통제항목별로 의미하는 바를 기재하였음 (운영현황 등의 작성 공란이 부족할 경우 상세내용 삭제) o 선택여부 : 정보보호 대책의 선택여부에 대해 Y(Yes) / N(No)로 표시 (N은 해당통제사항이 기업의 운영환경 상 적용되지 않는 경우에 선택) o 운영현황(또는 미선택사유) : 해당 통제사항에 대한 구축 및 실제 운영내용을 요약하여 작성하되 구축의 특성 및 정당성을 파악할 수 있도록 인증기준보다 상세히 작성. 통제사항을 선택하지 않은 경우 위험관리(위험평가 및 처리)의 결과 및 분석에 따른 미선택의 사유를 반드시 작성. o 관련문서(정책 또는 매뉴얼) : 인증기준을 만족하는 내용이 포함되어있는 기관의 문서(정책, 규정, 지침, 절차, 매뉴얼 등)의 제목을 작성하되 문서 내 부분에 해당할 경우 장, 절, 조 등을 상세하게 표시. 선택하지 않을 경우, 해당 근거를 확인할 수 있는 문서 및 문서 내 부분을 작성. 문서번호가 있다면 문서번호도 표시. o 기록(증적자료) : 인증기준을 만족하는 내용이 포함되어있는 기관의 운영기록(증적자료)의 제목(파일명) 및 번호를 작성. 통제사항에 관련된 위험분석결과, 계획, 취약점분석관련 자료도 기록하여 대책명세서를 통해 관련내용을 확인할 수 있도록 함. 관련증적이 시스템으로 관리되는 경우 해당 시스템 위치, 시스템명 및 관련 메뉴를 작성.

통제항목		상세내용	선택 여부	운영현황 (또는 미선택사유)	관련문서 (정책, 지침 등 세부조항번호까지)	기록(증적자료)
1. 정보보호 정책
1.1 정책의 승인 및 공표
1.1.1	정책의 승인	정보보호정책은 이해관련자의 검토와 최고경영자의 승인을 받아야 한다.
1.1.2	정책의 공표	정보보호정책 문서는 모든 임직원 및 관련자에게 이해하기 쉬운 형태로 전달하여야 한다.
1.2 정책의 체계
1.2.1	상위 정책과의 연계성	정보보호정책은 상위조직 및 관련 기관의 정책과 연계성을 유지하여야 한다.
1.2.2	정책시행 문서수립	정보보호정책의 구체적인 시행을 위한 정보보호지침, 절차를 수립하고 관련 문서간의 일관성을 유지하여야 한다.
1.3 정책의 유지관리
1.3.1	정책의 검토	정기적으로 정보보호정책 및 정책 시행문서의 타당성을 검토하고, 중대한 보안사고 발생, 새로운 위협 또는 취약성의 발견, 정보보호 환경에 중대한 변화 등이 정보보호정책에 미치는 영향을 분석하여 필요한 경우 제･개정하여야 한다.
1.3.2	정책문서 관리	정보보호정책 및 정책 시행문서의 이력관리를 위해 제정, 개정, 배포, 폐기 등의 관리절차를 수립하고 문서는 최신본으로 유지하여야 한다. 또한 정책문서 시행에 따른 운영기록을 생성하여 유지하여야 한다.
2. 정보보호 조직
2.1 조직 체계
2.1.1	정보보호 최고 책임자 지정	최고경영자는 임원급의 정보보호 최고책임자를 지정하고 정보보호 최고책임자는 정보보호정책 수립, 정보보호 조직 구성, 위험관리, 정보보호위원회 운영 등의 정보보호에 관한 업무를 총괄 관리하여야 한다.
2.1.2	실무조직 구성	최고경영자는 정보보호 최고책임자의 역할을 지원하고 조직의 정보보호활동을 체계적으로 이행하기 위해 실무조직을 구성하고 조직 구성원의 정보보호 전문성을 고려하여 구성한다.
2.1.3	정보보호 위원회	정보보호 자원할당 등 조직 전반에 걸친 중요한 정보보호 관련사항에 대한 검토 및 의사결정을 할 수 있도록 정보보호위원회를 구성하여 운영하여야 한다.
2.2 역할 및 책임
2.2.1	역할 및 책임	정보보호 최고책임자와 정보보호 관련 담당자에 대한 역할 및 책임을 정의하고 그 활동을 평가할 수 있는 체계를 마련하여야 한다.
3. 외부자 보안
3.1 보안 요구사항 정의
3.1.1	외부자 계약 시 보안요구사항	조직의 정보처리 업무를 외부자에게 위탁하거나 정보자산에 대한 접근을 허용할 경우, 또는 업무를 위해 클라우드 서비스 등 외부 서비스를 이용하는 경우에는 보안요구사항을 식별하고 관련 내용을 계약서 및 협정서 등에 명시하여야 한다.
3.2 외부자 보안 이행
3.2.1	외부자 보안 이행 관리	외부자가 계약서 및 협정서에 명시된 보안요구사항의 이행여부를 관리 감독하고 주기적인 점검 또는 감사를 수행하여야 한다.
3.2.2	외부자 계약 만료 시 보안	외부자와의 계약만료, 업무종료, 담당자변경 시 조직이 외부자에게 제공한 정보자산의 반납, 정보시스템 접근계정 삭제, 중요정보 파기, 업무 수행 시 알게 된 정보의 비밀유지확약서 등의 내용을 확인하여야 한다.
4 정보자산 분류
4.1 정보자산 식별 및 책임
4.1.1	정보자산 식별	조직의 업무특성에 따라 정보자산 분류기준을 수립하고 정보보호 관리체계 범위 내 모든 정보자산을 식별하여야 한다. 또한 식별된 정보자산을 목록으로 관리하여야 한다.
4.1.2	정보자산별 책임할당	식별된 정보자산에 대한 책임자 및 관리자를 지정하여 책임소재를 명확히 하여야 한다.
4.2 정보자산의 분류 및 취급
4.2.1	보안등급과 취급	기밀성, 무결성, 가용성, 법적요구사항 등을 고려하여 정보자산이 조직에 미치는 중요도를 평가하고 그 중요도에 따라 보안등급을 부여하여야 한다. 또한 보안등급을 표시하고 등급 부여에 따른 취급절차를 정의하여 이행하여야 한다.
5. 정보보호 교육
5.1 교육 프로그램 수립
5.1.1	교육계획	교육의 시기, 기간, 대상, 내용, 방법 등의 내용이 포함된 연간 정보보호교육 계획을 수립하여야 한다.
5.1.2	교육대상	교육 대상에는 정보보호 관리체계 범위 내 임직원 및 외부자를 모두 포함하여야 한다.
5.1.3	교육내용 및 방법	교육에는 정보보호 및 정보보호 관리체계 개요, 보안사고 사례, 내부 규정 및 절차, 법적 책임 등의 내용을 포함하고 일반 임직원, 책임자, IT 및 정보보호 담당자 등 각 직무별 전문성 제고에 적합한 교육내용 및 방법을 정하여야 한다.
5.2 교육 시행 및 평가
5.2.1	교육 시행 및 평가	정보보호 관리체계 범위 내 임직원 및 외부자를 대상으로 연 1회 이상 교육을 시행하고 정보보호 정책 및 절차의 중대한 변경, 조직 내․외부 보안사고 발생, 관련 법규 변경 등의 사유가 발생할 경우 추가 교육을 수행하여야 한다. 또한 교육 시행에 대한 기록을 남기고 평가하여야 한다.
6 인적 보안
6.1 정보보호 책임
6.1.1	주요 직무자 지정 및 감독	인사정보, 영업비밀, 산업기밀, 개인정보 등 중요정보를 대량으로 취급하는 임직원의 경우 주요직무자로 지정하고 주요직무자 지정을 최소화 하는 등 관리할 수 있는 보호대책을 수립하여야 한다.
6.1.2	직무 분리	권한 오남용 등 고의적인 행위로 인해 발생할 수 있는 잠재적인 피해를 줄이기 위하여 직무 분리 기준을 수립하고 적용하여야 한다. 다만 인적자원 부족 등 불가피하게 직무분리가 어려운 경우 별도의 보완통제를 마련하여야 한다.
6.1.3	비밀유지서약서	임직원으로부터 비밀유지 서약서를 받아야 하고 임시직원이나 외부자에게 정보시스템에 대한 접근권한을 부여할 경우에도 비밀유지서약서를 받아야 한다.
6.2 인사규정
6.2.1	퇴직 및 직무변경 관리	퇴직 및 직무변경 시 인사부서와 정보보호 및 시스템 운영 부서 등 관련 부서에서 이행해야 할 자산반납, 접근권한 회수․조정, 결과 확인 등의 절차를 수립하여야 한다.
6.2.2	상벌규정	인사규정에 직원이 정보보호 책임과 의무를 충실히 이행했는지 여부 등 정보보호 활동 수행에 따른 상벌 규정을 포함하여야 한다.
7 물리적 보안
7.1 물리적 보호구역
7.1.1	보호구역지정	비인가자의 물리적 접근 및 각종 물리적, 환경적 재난으로부터 주요 설비 및 시스템을 보호하기 위하여 통제구역, 제한구역, 접견구역 등 물리적 보호구역을 지정하고 각 구역별 보호대책을 수립․이행하여야 한다.
7.1.2	보호설비	각 보호구역의 중요도 및 특성에 따라 화재, 전력이상 등 인․재해에 대비하여 온습도 조절, 화재감지, 소화설비, 누수감지, UPS, 비상발전기, 이중전원선 등의 설비를 충분히 갖추고 운영절차를 수립하여 운영하여야 한다. 또한 주요 시스템을 외부 집적정보통신시설에 위탁운영하는 경우 관련 요구사항을 계약서에 반영하고 주기적으로 검토를 수행하여야 한다.
7.1.3	보호구역 내 작업	유지보수 등 주요 설비 및 시스템이 위치한 보호구역 내에서의 작업 절차를 수립하고 작업에 대한 기록을 주기적으로 검토하여야 한다.
7.1.4	출입통제	보호구역 및 보호구역 내 주요 설비 및 시스템은 인가된 사람만이 접근할 수 있도록 출입을 통제하고 책임추적성을 확보할 수 있도록 출입 및 접근 이력을 주기적으로 검토하여야 한다.
7.1.5	모바일 기기 반출입	노트북 등 모바일 기기 미승인 반출입을 통한 중요정보 유출, 내부망 악성코드 감염 등의 보안사고 예방을 위하여 보호구역 내 임직원 및 외부자 모바일 기기 반출입 통제절차를 수립하고 기록․관리하여야 한다.
7.2 시스템 보호
7.2.1	케이블 보안	데이터를 송수신하는 통신케이블이나 전력을 공급하는 전력 케이블은 손상을 입지 않도록 보호하여야 한다.
7.2.2	시스템 배치 및 관리	시스템은 그 특성에 따라 분리하여 배치하고 장애 또는 보안사고 발생 시 주요 시스템의 위치를 즉시 확인할 수 있는 체계를 수립하여야 한다.
7.3 사무실 보안
7.3.1	개인업무 환경 보안	일정시간 동안 자리를 비울 경우에는 책상 위에 중요한 문서나 저장매체를 남겨놓지 않고 컴퓨터 화면에 중요정보가 노출되지 않도록 화면보호기 설정, 패스워드 노출 금지 등 보호대책을 수립하여야 한다.
7.3.2	공용업무 환경 보안	사무실에서 공용으로 사용하는 사무처리 기기, 문서고, 공용 PC, 파일서버 등을 통해 중요정보 유출이 발생하지 않도록 보호대책을 마련하여야 한다.
8. 시스템 개발보안
8.1 분석 및 설계 보안관리
8.1.1	보안 요구사항 정의	신규 정보시스템 개발 및 기존 시스템 변경 시 정보보호 관련 법적 요구사항, 최신 보안취약점, 정보보호 기본요소(기밀성, 무결성, 가용성) 등을 고려하여 보안요구사항을 명확히 정의하고 이를 적용하여야 한다.
8.1.2	인증 및 암호화 기능	정보시스템 설계 시 사용자 인증에 관한 보안요구사항을 반드시 고려하여야 하며 중요정보의 입․출력 및 송수신 과정에서 무결성, 기밀성이 요구될 경우 법적 요구사항을 고려하여야 한다.
8.1.3	보안로그 기능	정보시스템 설계 시 사용자의 인증, 권한 변경, 중요정보 이용 및 유출 등에 대한 감사증적을 확보할 수 있도록 하여야 한다.
8.1.4	접근권한 기능	정보시스템 설계 시 업무의 목적 및 중요도에 따라 접근권한을 부여할 수 있도록 하여야 한다.
8.2 구현 및 이관 보안
8.2.1	구현 및 시험	안전한 코딩방법에 따라 정보시스템을 구현 하고, 분석 및 설계 과정에서 도출한 보안요구사항이 정보시스템에 적용되었는지 확인하기 위하여 시험을 수행하여야 한다. 또한 알려진 기술적 보안 취약성에 대한 노출여부를 점검하고 이에 대한 보안대책을 수립하여야 한다.
8.2.2	개발과 운영 환경 분리	개발 및 시험 시스템은 운영시스템에 대한 비인가 접근 및 변경의 위험을 감소하기 위해 원칙적으로 분리하여야 한다.
8.2.3	운영환경 이관	운영환경으로의 이관은 통제된 절차에 따라 이루어져야 하고 실행코드는 시험과 사용자 인수 후 실행하여야 한다.
8.2.4	시험데이터 보안	시스템 시험 과정에서 운영데이터 유출을 예방하기 위해 시험데이터 생성, 이용 및 관리, 파기, 기술적 보호조치에 관한 절차를 수립하여 이행하여야 한다.
8.2.5	소스 프로그램 보안	소스 프로그램에 대한 변경관리를 수행하고 인가된 사용자만이 소스 프로그램에 접근할 수 있도록 통제절차를 수립하여 이행하여야 한다. 또한 소스 프로그램은 운영환경에 보관하지 않는 것을 원칙으로 한다.
8.3 외주개발보안
8.3.1	외주개발보안	정보시스템 개발을 외주 위탁하는 경우 분석 및 설계단계에서 구현 및 이관까지의 준수해야 할 보안요구사항을 계약서에 명시하고 이행여부를 관리․감독하여야 한다.
9 암호통제
9.1 암호 정책
9.1.1	암호 정책 수립	조직의 중요정보 보호를 위하여 암호화 대상, 암호 강도(복잡도), 키관리, 암호사용에 대한 정책을 수립하고 이행하여야 한다. 또한 정책에는 개인정보 저장 및 전송 시 암호화 적용 등 암호화 관련 법적 요구사항을 반드시 반영하여야 한다.
9.2 암호키 관리
9.2.1	암호키 생성 및 이용	암호키 생성, 이용, 보관, 배포, 파기에 관한 안전한 절차를 수립하고 필요 시 복구방안을 마련하여야 한다.
10. 접근통제
10.1 접근통제 정책
10.1.1	접근통제 정책 수립	비인가자의 접근을 통제할 수 있도록 접근통제 영역 및 범위, 접근통제 규칙, 방법 등을 포함하여 접근통제 정책을 수립하여야 한다.
10.2 접근권한 관리
10.2.1	사용자 등록 및 권한부여	정보시스템 및 중요정보에 대한 접근을 통제하기 위하여 공식적인 사용자 등록 및 해지 절차를 수립하고 업무 필요성에 따라 사용자 접근권한을 최소한으로 부여하여야 한다.
10.2.2	관리자 및 특수 권한 관리	정보시스템 및 중요정보 관리 및 특수 목적을 위해 부여한 계정 및 권한을 식별하고 별도 통제하여야 한다.
10.2.3	접근권한 검토	정보시스템 및 중요정보에 대한 접근을 관리하기 위하여 접근권한 부여, 이용(장기간 미사용), 변경(퇴직 및 휴직, 직무변경, 부서변경)의 적정성 여부를 정기적으로 점검하여야 한다.
10.3 사용자 인증 및 식별
10.3.1	사용자 인증	정보시스템에 대한 접근은 사용자 인증, 로그인 횟수 제한, 불법 로그인 시도 경고 등 안전한 사용자 인증 절차에 의해 통제되어야 하고. 필요한 경우 법적요구사항 등을 고려하여 중요 정보시스템 접근 시 강화된 인증방식을 적용하여야 한다.
10.3.2	사용자 식별	정보시스템에서 사용자를 유일하게 구분할 수 있는 식별자를 할당하고 추측 가능한 식별자 사용을 제한하여야 한다. 동일한 식별자를 공유하여 사용하는 경우 그 사유와 타당성을 검토하고 책임자의 승인을 받아야 한다.
10.3.3	사용자 패스워드 관리	법적요구사항, 외부 위협요인 등을 고려하여 패스워드 복잡도 기준, 초기 패스워드 변경, 변경주기 등 사용자 패스워드 관리절차를 수립․이행하고 패스워드 관리 책임이 사용자에게 있음을 주지시켜야 한다. 특히 관리자 패스워드는 별도 보호대책을 수립하여 관리하여야 한다.
10.3.4	이용자 패스워드 관리	고객, 회원 등 외부 이용자가 접근하는 정보시스템 또는 웹서비스의 안전한 이용을 위하여 계정 및 패스워드 등의 관리절차를 마련하고 관련 내용을 공지하여야 한다.
10.4 접근통제 영역
10.4.1	네트워크 접근	네트워크에 대한 비인가 접근을 통제하기 위해 필요한 네트워크 접근통제리스트, 네트워크 식별자 등에 대한 관리절차를 수립하고 서비스, 사용자 그룹, 정보자산의 중요도에 따라 내･외부 네트워크를 분리하여야 한다.
10.4.2	서버 접근	서버별로 접근이 허용되는 사용자, 접근제한 방식, 안전한 접근수단 등을 정의하여 적용하여야 한다.
10.4.3	응용 프로그램 접근	사용자의 업무 또는 직무에 따라 응용프로그램 접근권한을 제한하고 불필요한 중요정보 노출을 최소화해야 한다.
10.4.4	데이터베이스 접근	데이터베이스 접근을 허용하는 응용프로그램 및 사용자 직무를 명확하게 정의하고 응용프로그램 및 직무별 접근통제 정책을 수립하여야 한다. 또한 중요정보를 저장하고 있는 데이터베이스의 경우 사용자 접근내역을 기록하고 접근의 타당성을 정기적으로 검토하여야 한다.
10.4.5	모바일 기기 접근	모바일기기를 업무 목적으로 내․외부 네트워크에 연결하여 활용하는 경우 중요정보 유출 및 침해사고 예방을 위해 기기 인증 및 승인, 접근 범위, 기기 보안설정, 오남용 모니터링 등의 접근통제 대책을 수립하여야 한다.
10.4.6	인터넷 접속	인사정보, 영업비밀, 산업기밀, 개인정보 등 중요정보를 대량으로 취급․운영하는 주요직무자의 경우 인터넷 접속 또는 서비스(P2P, 웹메일, 웹하드, 메신저 등)를 제한하고 인터넷 접속은 침입차단시스템을 통해 통제하여야 한다. 필요시 침입탐지시스템 등을 통해 인터넷 접속내역을 모니터링하여야 한다.
11 운영보안
11.1 운영절차 및 변경관리
11.1.1	운영절차 수립	정보시스템 동작, 문제 발생 시 재 동작 및 복구, 오류 및 예외사항 처리 등 시스템 운영을 위한 절차를 수립하여야 한다.
11.1.2	변경관리	정보시스템 관련 자산의 모든 변경내역을 관리할 수 있도록 절차를 수립하고 변경 전 시스템의 전반적인 성능 및 보안에 미치는 영향을 분석하여야 한다.
11.2 시스템 및 서비스 운영보안
11.2.1	정보시스템 인수	새로운 정보시스템 도입 또는 개선 시 필수 보안요구사항을 포함한 인수 기준을 수립하고 인수 전 기준 적합성을 검토하여야 한다.
11.2.2	보안시스템 운영	보안시스템 유형별로 관리자 지정, 최신 정책 업데이트, 룰셋 변경, 이벤트 모니터링 등의 운영절차를 수립하고 보안시스템 별 정책적용 현황을 관리하여야 한다.
11.2.3	성능 및 용량관리	정보시스템 및 서비스 가용성 보장을 위해 성능 및 용량 요구사항을 정의하고 현황을 지속적으로 모니터링할 수 있는 방법 및 절차를 수립하여야 한다.
11.2.4	장애관리	정보시스템 장애 발생 시 효과적으로 대응하기 위한 탐지, 기록, 분석, 복구, 보고 등의 절차를 수립하여야 한다.
11.2.5	원격운영관리	내부 네트워크를 통하여 정보시스템을 관리하는 경우 특정 단말에서만 접근을 할 수 있도록 제한하고, 원격지에서 인터넷 등 외부 네트워크를 통하여 정보시스템을 관리하는 것은 원칙적으로 금지하고 부득이한 사유로 인해 허용하는 경우에는 책임자 승인, 접속 단말 및 사용자 인증, 구간 암호화, 접속단말 보안(백신, 패치 등) 등의 보호대책을 수립하여야 한다.
11.2.6	스마트워크 보안	재택근무, 원격협업 등과 같은 원격 업무 수행 시 이에 대한 관리적․기술적 보호대책을 수립하고 이행하여야 한다.
11.2.7	무선네트워크 보안	무선랜 등을 통해 무선인터넷을 사용하는 경우 무선 네트워크 구간에 대한 보안을 강화하기 위해 사용자 인증, 송수신 데이터 암호화 등의 보호대책을 수립하여야 한다.
11.2.8	공개서버 보안	웹사이트 등에 정보를 공개하는 경우 정보 수집, 저장, 공개에 따른 허가 및 게시절차를 수립하고 공개서버에 대한 물리적, 기술적 보호대책을 수립하여야 한다.
11.2.9	백업관리	데이터의 무결성 및 정보시스템의 가용성을 유지하기 위해 백업 대상, 주기, 방법 등의 절차를 수립하고 사고 발생 시 적시에 복구할 수 있도록 관리하여야 한다.
11.2.10	취약점 점검	정보시스템이 알려진 취약점에 노출되어 있는 지 여부를 확인하기 위하여 정기적으로 기술적 취약점 점검을 수행하고 발견된 취약점들은 조치하여야 한다.
11.3 전자거래 및 정보전송 보안
11.3.1	전자거래 보안	전자거래 서비스 제공 시 정보유출, 데이터 조작, 사기 등의 침해사고를 예방하기 위해 사용자 인증, 암호화, 부인방지 등의 보호대책을 수립하고 결제시스템 등 외부 시스템과의 연계가 필요한 경우 연계 안전성을 점검하여야 한다.
11.3.2	정보전송 정책 수립 및 협약 체결	타 조직에 중요정보를 전송할 경우 안전한 전송을 위한 정책을 수립하고 조직 간 정보전송 합의를 통해 관리 책임, 전송 기술 표준, 중요정보의 보호를 위한 기술적 보호조치 등을 포함한 협약서를 작성하여야 한다.
11.4 매체 보안
11.4.1	정보시스템 저장매체 관리	정보시스템 폐기 또는 재사용 시 중요정보를 담고 있는 하드디스크, 스토리지, 테잎 등의 저장매체 폐기 및 재사용 절차를 수립하고 매체에 기록된 중요정보는 복구 불가능하도록 완전히 삭제하여야 한다.
11.4.2	휴대용 저장매체 관리	조직의 중요정보 유출을 예방하기 위해 외장하드, USB, CD 등 휴대용 저장매체 취급, 보관, 폐기, 재사용에 대한 절차를 수립하여야 한다. 또한 매체를 통한 악성코드 감염 방지 대책을 마련하여야 한다.
11.5 악성코드 관리
11.5.1	악성코드 통제	바이러스, 웜, 트로이목마 등의 악성코드로부터 정보시스템을 보호하기 위해 악성코드 예방, 탐지, 대응 등의 보호대책을 수립하여야 한다.
11.5.2	패치관리	소프트웨어, 운영체제, 보안시스템 등의 취약점으로 인해 발생할 수 있는 침해사고를 예방하기 위해 최신 패치를 정기적으로 적용하고 필요한 경우 시스템에 미치는 영향을 분석하여야 한다.
11.6 로그관리 및 모니터링
11.6.1	시각동기화	로그기록의 정확성을 보장하고 법적인 자료로서 효력을 지니기 위해 정보시스템 시각을 공식 표준시각으로 정확하게 동기화 하여야 한다.
11.6.2	로그기록 및 보존	정보시스템, 응용프로그램, 보안시스템, 네트워크 장비 등 기록해야 할 로그유형을 정의하여 일정기간 보존하고 주기적으로 검토하여야 한다. 보존기간 및 검토주기는 법적요구사항을 고려하여야 한다.
11.6.3	접근 및 사용 모니터링	중요정보, 정보시스템, 응용프로그램, 네트워크 장비에 대한 사용자 접근이 업무상 허용된 범위에 있는 지 주기적으로 확인하여야 한다.
11.6.4	침해시도 모니터링	외부로부터의 침해시도를 모니터링 하기 위한 체계 및 절차를 수립하여야 한다.
12. 침해사고 관리
12.1 절차 및 체계
12.1.1	침해사고대응절차 수립	DDoS 등 침해사고 유형별 중요도 분류, 유형별 보고․대응․복구 절차, 비상연락체계, 훈련 시나리오 등을 포함한 침해사고 대응 절차를 수립하여야 한다.
12.1.2	침해사고 대응체계 구축	침해사고 대응이 신속하게 이루어질 수 있도록 중앙 집중적인 대응체계를 구축하고 외부기관 및 전문가들과의 협조체계를 수립하여야 한다.
12.2 대응 및 복구
12.2.1	침해사고 훈련	침해사고 대응 절차를 임직원들이 숙지할 수 있도록 시나리오에 따른 모의훈련을 실시하여야 한다.
12.2.2	침해사고 보고	침해사고 징후 또는 사고 발생을 인지한 때에는 침해사고 유형별 보고절차에 따라 신속히 보고하고 법적 통지 및 신고 의무를 준수하여야 한다.
12.2.3	침해사고 처리 및 복구	침해사고 대응절차에 따라 처리와 복구를 신속하게 수행하여야 한다.
12.3 사후관리
12.3.1	침해사고 분석 및 공유	침해사고가 처리되고 종결된 후 이에 대한 분석을 수행하고 그 결과를 보고하여야 한다. 또한 사고에 대한 정보와 발견된 취약점들을 관련 조직 및 임직원들과 공유하여야 한다.
12.3.2	재발방지	침해사고로부터 얻은 정보를 활용하여, 유사 사고가 반복되지 않도록 재발방지 대책을 수립하고 이를 위해 필요한 경우 정책, 절차, 조직 등의 대응체계를 변경하여야 한다.
13. IT 재해복구
13.1 체계 구축
13.1.1	IT 재해복구 체계 구축	자연재앙, 해킹, 통신장애, 전력중단 등의 요인으로 인해 IT 시스템 중단 또는 파손 등 피해가 발생할 경우를 대비하여 비상 시 복구조직, 비상연락체계, 복구절차 등 IT 재해복구 체계를 구축하여야 한다.
13.2 대책 구현
13.2.1	영향분석에 따른 복구대책 수립	조직의 핵심 서비스 연속성을 위협할 수 있는 IT 재해 유형을 식별하고 유형별 예상 피해규모 및 영향을 분석하여야 한다. 또한 IT 서비스 및 시스템 복구목표시간, 복구시점을 정의하고 적절한 복구전략 및 대책을 수립․이행하여야 한다.
13.2.2	시험 및 유지관리	IT 서비스 복구전략 및 대책에 따라 효과적인 복구가 가능한 지 시험을 실시하고 시험계획에는 시나리오, 일정, 방법, 절차 등을 포함하여야 한다. 또한 시험결과, IT 환경변화, 법규 등에 따른 변화를 반영하여 복구전략 및 대책을 보완하여야 한다.

[별지2] 정보보호 관리체계 자가진단 대책 명세서 양식B(신청기관이 舊기준으로 정보보호 관리체계를 수립․운영한 경우)

□ 정보보호관리과정

	< 작성 時 주요 착안 사항 >
정보보호관리과정은 필수적인 항목으로 해당 인증기준을 모두 선택하여야 한다. 운영여부와 운영내용을 확인할 수 있도록 다음 항목을 상세히 작성하여야 한다. 항목별 설명은 다음과 같다 o 상세내용 : 신청기관 참고사항. 각 통제항목별로 의미하는 바를 기재하였음 (운영현황 등의 작성 공란이 부족할 경우 상세내용 삭제) o 수립여부 : 정보보호관리과정은 필수적으로 수립 및 구축해야 하므로 자가진단을 통해 Y/N으로 수립 및 구축을 확인 o 운영현황 : 각 인증기준의 요구사항에 대해 어떻게 대응한 것인지 작성하는 것으로 누가, 언제, 무엇을, 어떻게 적용하고 있는지 상세히 작성 o 관련문서 : 인증기준을 만족하는 내용이 포함되어있는 기관의 문서 제목을 작성하되 문서 내 부분에 해당할 경우 장, 절, 조 등을 표시. 문서번호가 있다면 문서번호도 표시 o 기록(증적자료) : 인증기준을 만족하는 내용이 포함되어있는 기관의 기록(증적자료) 제목 및 번호를 작성

통제항목		상세내용	수립 여부	운영현황	관련문서 (정책, 지침 등 세부조항번호까지)	기록(증적자료)
1. 정보보호 정책 수립
1.1	정보보호 정책의 수립	신청기관의 경영목표를 지원할 수 있도록 정보보호의 법적, 규제적 요건과, 전략적이고 조직적인 위험관리를 기술한 정보보호정책을 수립하여야 한다.
1.2	조직 및 책임 설정	정보보호활동에 대한 경영층의 명확한 지원 및 방향제시를 보증할 수 있는 조직을 수립하여야 한다. 또한 정보보호관리 활동을 수행하고 검증하는 인력들에 대한 책임, 권한 및 상호연관관계를 정의하고 문서화하여야 한다.
2. 관리체계 범위설정
2.1	정보보호 관리체계 범위 설정	신청기관의 특성, 위치, 기술, 자산 등 내ㆍ외적 환경에 중대한 영향을 미치는 요소를 고려하여 정보보호관리체계의 범위를 설정하여야 한다.
2.2	정보자산의 식별	신청기관의 정보자산으로 보호를 받을 가치가 있는 정보자산을 식별하고, 이를 정보자산의 형태, 소유자, 관리자, 특성 등을 포함하여 목록을 만들어야 한다.
3. 위험관리
3.1	위험관리 전략 및 계획 수립	신청기관의 목표 및 정책, 법적 요구사항 등을 고려하여 조직, 역할, 책임, 주요과정을 포함한 위험관리 전략 및 계획을 수립하고, 신청기관에 적합한 위험관리 방법을 선택하고 문서화하여야 한다. 이 위험분석 방법은 조직과 정보보호 환경변화에 대응할 수 있도록 지속적으로 검토하여야 한다.
3.2	위험분석	식별된 정보자산에 영향을 줄 수 있는 모든 위협과 취약성, 위험을 식별하고 분류하여야 하며, 이 정보자산의 가치와 위험을 고려하여, 잠재적 손실에 대한 영향을 식별ㆍ분석하여야 한다.
3.3	위험평가	정보자산에 대한 잠재적 및 알려진 위협과 취약성으로 나타날 수 있는 신청기관의 피해와 현재 구현된 정보보호대책의 실패 가능성 및 영향을 평가하고 수용 가능한 위험수준을 포함하여야 한다. 이를 통해 정보자산의 위험을 관리할 수 있는 적절한 정보보호대책 선택 및 우선 순위의 확보를 지원하여야 한다.
3.4	정보보호 대책 수립	신청기관의 정보보호정책과 목적에 부합하도록 위험을 수용 가능한 수준으로 감소시키기 위해, 위험분석 및 평가에 의거하여, 위험처리, 위험수용, 위험회피, 위험전가 등의 전략을 설정하고, 기준에서 제시하는 통제사항을 선택한다. 기준에서 제시되지 않은 통제사항을 추가할 경우에는, 정보보호관리과정의 각 단계간 일관성을 유지하도록 한다. 정보보호대책의 선택은 비용ㆍ효과 분석에 의해 정당화될 필요가 있다.
3.5	정보보호 계획 수립	정보보호대책의 선택이후 구현할 정보보호대책 및 구현의 우선순위, 일정계획, 예산, 책임, 운영계획 등을 포함한 정보보호계획을 수립하고, 각 위험에 대한 정보보호대책 및 선택하게 된 근거를 정보보호대책 명세서로 문서화하여야 한다.
4. 구현
4.1	정보보호 대책의 효과적 구현	정보보호대책은 적절한 관리 조치와 우선 순위에 의해 구현하여야 한다.
4.2	정보보호 교육 및 훈련	신청기관의 정보보호 관련직원들 및 최종사용자에게 정보보호에 대한 인식을 제고시키고, 정보보호대책의 필요성을 이해하도록 하며 구현될 정보보호대책들을 정확하게 사용할 수 있도록 교육 및 훈련 프로그램을 수립하고 이행하여야 한다.
5. 사후관리
5.1	정보보호 관리체계의 재검토	신청기관의 목표, 기술 등 내·외부의 변화와 내부감사 결과, 보안사고 등을 고려하여, 정보보호관리체계의 효율성, 범위의 적절성, 잔류위험의 수준, 절차 등의 문서를 공식적이고 정기적으로 재검토하여야 한다.
5.2	정보보호 관리체계의 모니터링 및 개선	정보보호관리체계가 신청기관의 정보보호정책과 목적을 충족시키는지 여부에 대하여 모니터링하여, 개선사항을 식별하고, 적절한 수정이나 예방 조치를 통하여 효과적으로 개선사항을 구현하여야 한다. 이에 관련된 조치와 결과는 신청기관의 임직원에게 전달하여야 하고, 관련자들에게 자문을 구하여야 한다.
5.3	내부감사	신청기관은 정보보호관리체계가 계획된 절차에 따라 효과적으로 실행되는지를 점검하기 위하여 감사의 기준, 범위, 주기 및 방법을 규정하고, 계획된 주기로 내부감사를 수행하여야 한다. 또한 감사의 기획 및 수행, 그리고 결과보고, 기록 유지 및 이행 모니터링에 대한 책임과 요구사항을 문서화된 절차에 의해 규정하여야 한다. 피감사분야의 관리자는 발견된 보완조치 사항을 처리하고, 검증ㆍ보고됨을 보장하여야 한다.

□ 문서화

	< 작성 時 주요 착안 사항 >
작성 방법은 “□ 정보보호관리과정“과 동일

통제항목	상세내용	수립 여부	운영현황	관련문서 (정책, 지침 등 세부조항번호까지)	기록(증적자료)
1. 문서요건	정보보호관리체계 수립 및 이행에 관련된 모든 문서는 해당 신청기관의 규모, 기능 등을 고려하여 문서화하여야 하며, 신청기관의 정보보호정책에 따라 필요한 모든 임직원 및 관련자들이 쉽게 이용할 수 있어야 한다.
2. 문서의 통제	「1. 문서요건」에 의해 작성된 문서는 문서의 발행전 타당성 승인, 주기적 또는 필요시 문서의 검토ㆍ갱신 및 재승인, 문서의 변경과 현재 개정상태의 식별, 문서배포, 폐기된 문서의 사용금지 등의 통제를 정의한 절차를 수립하여야 한다.
3. 운영기록의 통제	정보보호관리체계를 효과적, 효율적으로 운영하기 위해서 기록을 확인, 유지보수, 보존, 폐기하는 문서화된 절차를 수립하고 유지․관리하여야 한다. 이 문서화된 절차에는 접근자의 신원확인, 기록의 저장, 보호, 검색, 유지기간, 처분 등의 통제에 필요한 절차를 포함하여야 한다. 또한 기록은 읽기 쉽고, 식별 가능하며, 관련 활동을 추적할 수 있어야 한다.

□ 정보보호대책

	< 작성 時 주요 착안 사항 >
정보보호 대책은 기업의 정보보호 운영현황에 따라 선택할 수 있다. 선택하지 않은 통제항목의 경우 미선택 사유를 작성하여야 한다. 선택한 경우에는 선택이유 및 구현내용을 확인할 수 있도록 선택사유, 적용내용, 관련문서, 기록(증적자료)을 상세히 작성하여야 한다. o 상세내용 : 신청기관 참고사항. 각 통제항목별로 의미하는 바를 기재하였음 (운영현황 등의 작성 공란이 부족할 경우 상세내용 삭제) o 선택여부 : 정보보호 대책의 선택여부에 대해 Y(Yes) / N(No)로 표시 (N은 해당통제사항이 기업의 운영환경 상 적용되지 않는 경우에 선택) o 운영현황(또는 미선택사유) : 해당 통제사항에 대한 구축 및 실제 운영내용을 요약하여 작성하되 구축의 특성 및 정당성을 파악할 수 있도록 인증기준보다 상세히 작성. 통제사항을 선택하지 않은 경우 위험관리(위험평가 및 처리)의 결과 및 분석에 따른 미선택의 사유를 반드시 작성. o 관련문서(정책 또는 매뉴얼) : 인증기준을 만족하는 내용이 포함되어있는 기관의 문서(정책, 규정, 지침, 절차, 매뉴얼 등)의 제목을 작성하되 문서 내 부분에 해당할 경우 장, 절, 조 등을 상세하게 표시. 선택하지 않을 경우, 해당 근거를 확인할 수 있는 문서 및 문서 내 부분을 작성. 문서번호가 있다면 문서번호도 표시 o 기록(증적자료) : 인증기준을 만족하는 내용이 포함되어있는 기관의 운영기록(증적자료)의 제목(파일명) 및 번호를 작성. 통제사항에 관련된 위험분석결과, 계획, 취약점분석관련 자료도 기록하여 대책명세서를 통해 관련내용을 확인할 수 있도록 함. 관련증적이 시스템으로 관리되는 경우 해당 시스템 위치, 시스템명 및 관련 메뉴를 작성.

통제항목		상세내용	선택여부	운영현황 (또는 미선택사유)	관련문서 (정책, 지침 등 세부조항번호까지)	기록(증적자료)
1. 정보보호 정책
1.1 정책의 승인 및 공표
1.1.1	정책의 승인	문서화된 정보보호정책은 최고경영자의 승인을 받아야 한다.
1.1.2	정책의 공표	정보보호정책 문서는 모든 임직원 및 관련자에게 이해하기 쉬운 형태로 전달하여야 한다.
1.2 정책의 체계
1.2.1	상위 정책과의 일관성	정보보호정책은 신청기관의 사업목표 및 정보기술정책과 일관성을 유지하여야 한다.
1.2.2	정책 문서의 유형	정보보호정책을 구체적으로 시행하기 위한 정보보호 지침, 절차 및 표준을 수립하여야 한다. 또한 필요한 경우 특정 시스템 또는 서비스에 대한 상세한 정보보호정책을 수립할 수 있다.
1.3 정책의 유지관리
1.3.1	주기적 검토	정기적으로 정보보호정책의 타당성을 검토하여야 하며, 중대한 보안사고 발생, 새로운 위협 또는 취약성의 발생, 정보보호 환경에 중대한 변화 등이 발생했을 경우에는 관련된 사항의 타당성을 추가로 검토하여야 한다.
2. 정보보호 조직
2.1 조직의체계
2.1.1	조직의 구성	신청기관내 정보보호관리 활동을 계획, 관리하는 정보보호관리자가 있어야 하며, 필요에 따라 정보보호위원회를 구성할 수 있다.
2.1.2	외부의 전문가 활용	정보보호정책 수립, 위험분석ㆍ평가, 통제사항의 선택과 구현, 보안사고 대응 등 중요한 정보보호관리 활동에 도움을 받기 위하여 외부 전문가의 조언을 받을 수 있다.
2.2 책임과 역할
2.2.1	정보보호 관리자	최고경영자의 지정을 받은 정보보호관리자는 정보보호정책 수립, 정보보호 위원회의 구성 및 운영, 위험분석 및 관리, 보안사고 대응 및 복구 등의 정보보호에 관한 업무를 총괄 관리하여야 한다.
2.2.2	정보보호 위원회	신청기관 전반에 걸친 중요한 정보보호 관련 심의 및 승인 기능을 수행하며 필요한 자원할당을 통해 정보보호관리 활동이 적절히 수행될 수 있도록 하여야 한다.
3. 외부자 보안
3.1 계약 및 서비스 수준협약 보안관리
3.1.1	외부위탁 계약시 보안 요구사항	신청기관의 업무를 외부위탁 하는 경우에는 정보시스템, 네트워크, 인력 및 사무환경 등을 관리ㆍ통제하기 위한 보안요구사항을 계약서 상에 명시하여야 하고 요구사항을 서비스수준협약(SLA : Service Level Agreement)에 반영하여야 한다.
3.1.2	제3자와의 계약시 보안 요구사항	신청기관이 제3자에게 정보자산에 대한 접근을 허용하는 계약을 체결하는 경우에는 신청기관의 정보보호정책 준수 및 필수 보안요건을 포함하는 공식적인 계약을 하여야 한다.
3.2 외부자 보안 실행관리
3.2.1	외부위탁 보안관리	외부위탁 업체가 계약서 및 서비스 수준 협약 명시된 보안요구사항을 충분히 이행하는지 주기적으로 점검하고, 필요시 감사를 수행하여야 한다.
3.2.2	제3자 보안관리	신청기관의 정보자산에 대한 제3자의 접근을 통제하여야 한다. 업무상 불가피하게 접근을 허용해야 할 경우에는 접근유형 및 접근사유를 파악하고 위험 요소를 고려하여 관리하여야 한다.
4 정보자산분류
4.1 정보자산의 조사 및 책임할당
4.1.1	정보자산 조사	신청기관의 정보자산을 조사하고 정보자산별로 신청기관에서의 가치, 업무 영향, 법적 준수사항 등을 고려하여 중요도를 결정하여야 한다.
4.1.2	정보자산별 책임할당	조사된 정보자산에 대하여 소유자, 관리자, 사용자를 확인하고, 적절한 통제 유지를 위해 책임 소재를 명확히 하여야 한다.
4.2 정보자산의 분류 및 취급
4.2.1	정보자산의 분류	정보자산이 신청기관에서 차지하는 가치와 신청기관에 미치는 영향을 고려하여 분류방식을 선택하고 분류하여야 한다.
4.2.2	보안등급과 취급	중요도에 따라 분류된 정보자산에 보안등급을 부여하고, 물리적, 전자적 보안등급 표시를 부착, 관리하여야 한다. 또한 보안등급의 부여에 따른 취급 절차도 정의하여 이행하여야 한다.
5. 정보보호 교육 및 훈련
5.1 교육 및 훈련 프로그램 수립
5.1.1	교육 및 훈련 계획	정보보호 인식제고 및 실제 운영에 필요한 교육ㆍ훈련 계획을 종합적으로 수립하여 이행하여야 한다
5.1.2	교육 및 훈련 대상	교육 및 훈련의 대상에는 신청기관의 임직원 및 관련 외부자를 포함하여야 한다.
5.1.3	교육 및 훈련 내용	교육 및 훈련은 정보보호정책, 정보보호인식, 보안요구사항, 법적인 책임, 보안사고 대응절차, 업무연속성관리 등을 포함하여야 하고, 교육대상자의 직위 및 담당하는 업무의 특성에 따라 구분하여 실시하여야 한다.
5.2 시행 및 평가
교육 및 훈련은 정기적으로 실시하여야 하며, 정보보호정책이나 절차 및 역할의 변경이 있는 경우에는 수시로 실시하고 이에 대한 기록을 남겨야 한다. 또한 교육훈련 종료 후 검토를 통하여 차기 교육에 반영하여야 한다.
6. 인적보안
6.1 책임할당 및 규정화
6.1.1	책임할당	정보보호업무를 이행하는 역할과 책임을 문서화하여야 한다. 문서화의 내용에는 정보보호정책을 수립, 구현, 운영하는 일반적인 책임과 특정 정보자산의 보호와 활동에 대한 구체적인 책임을 포함하여야 한다.
6.1.2	인사규정	인사규정에는 정보보호에 대하여 직원이 지켜야 할 책임 및 관련 법규상의 책임을 명시하여야 한다. 특히, 정보보호업무를 담당하는 자와 정보시스템 사용자 및 관리자에 대해서는 보다 명확한 책임을 명시하여야 하며, 직원이 책임을 이행하지 않는 경우를 대비한 적절한 처벌규정을 포함하여야 한다.
6.2 적격심사 및 주요 직무담당자 관리
6.2.1	적격심사	계약직 및 임시직원은 물론 정식직원 채용 시 신원, 업무능력, 교육정도, 경력 등에 대한 적격심사가 이루어져야 한다. 직원들이 용역회사를 통하여 충원되는 경우에는 용역회사와의 계약서에 적격심사에 따르는 책임사항을 명문화하여야 한다.
6.2.2	주요직무담당자 관리	정보시스템 접근 권한을 포함하는 업무가 새로이 할당될 때, 특히 재무정보나 비밀정보와 같이 중요한 정보를 처리하는 담당자에 대해서는 별도의 관리를 수행하여야 한다.
6.3 비밀유지
6.3.1	비밀유지 서약서	직원으로부터 비밀유지 서약서에 서명을 받아야 하며, 임시직원이나 제3자에게 정보에 대한 접근 권한을 부여할 경우에도 그들로부터 비밀유지 서약서에 서명을 받아야 한다. 직원의 고용계약에 변경이 있을 경우, 특히 직원이 퇴사하거나 계약기간이 만료될 때에는 비밀유지 서약서를 환기시켜야 한다.
7. 물리적 보안
7.1 물리적 보안 대책
7.1.1	물리적 보호 구역	특별한 보호가 필요한 시설 및 장비를 권한 없는 자의 물리적 접근 및 각종 물리적, 환경적 재난으로부터 보호하기 위하여 보호구역을 정의하고 이에 따른 보안대책을 수립ㆍ이행하여야 한다. 이 경우 제한구역, 접견구역, 장비출하구역 등을 별도로 지정하여 각각에 적합한 보안 조치와 절차를 수립하여야 한다.
7.1.2	물리적 접근 통제	보호구역을 출입하는 자를 감시ㆍ통제하고 권한 없는 자의 출입을 방지하기 위하여 수립된 보안 절차에 따라 필요한 조치를 수행하고 주기적으로 검토하여야 한다.
7.2 데이터 센터 보안
7.2.1	위치 및 구조 조건	데이터센터는 물리적, 환경적 위험이 적은 곳에 위치하고 구조의 안정성을 확보하여야 한다.
7.2.2	출입통제	데이터센터의 출입은 적절한 출입통제절차에 의하여 이행되어져야 하며, 출입자를 식별하고 기록·관리하여야 한다. 또한 출입자 기록 대장은 정기적으로 점검하여야 한다.
7.2.3	내부설비	화재ㆍ수재 등의 각종 재해에 대비한 시설을 충분히 설치하여야 하고, 비상연락장치 및 비상구, 물리적 접근통제 및 시건장치를 설치하여야 한다.
7.3 장비보호
7.3.1	주요 시스템 보호	신청기관내의 주요 시스템에 대한 별도의 출입통제를 실시하거나 이중의 보호장치를 설치하고, 시스템관리자는 주요 시스템 접근에 대한 보안대책을 수립하여야 한다.
7.3.2	장비의 배치	장비는 환경적인 위협과 위험, 불법 접근에 대한 위험을 감소시키기 위해 적절한 위치에 배치하고 이를 보호하여야 한다.
7.3.3	전원공급	전원공급 이상이나 기타 전기관련 사고 발생시 전원을 지속적으로 공급하기 위하여 장비 제조업체의 사양에 따라 적절히 관리하여야 한다.
7.3.4	케이블 보호	데이터를 송ㆍ수신하거나 정보서비스를 지원하는 전력 및 통신 케이블은 방해되거나 손상을 입지 않도록 보호하여야 한다
7.3.5	장비의 보수	장비는 지속적인 가용성과 무결성을 위하여 장비 제공자가 지시한 명세에 따라 유지·보수를 하여야 하고 유지ㆍ보수에 대한 기록을 남겨야 한다.
7.3.6	장비의 안전한 폐기 및 사용	중요한 정보를 담고 있는 저장 매체의 폐기시에는 이를 물리적으로 파기하여야 하며, 중요 데이터나 정품 소프트웨어는 폐기하기 전에 매체에 기록된 내용이 완전히 삭제되어 복구가 불가능한지 확인하고 점검하여야 한다.
7.4 사무실 보호
책상 위에 중요한 문서나 저장 매체를 남겨놓지 않도록 하고, 통상 근무시간 동안이나 그 외의 시간에 비인가된 자에 의한 정보 접근, 손상을 방지하기 위하여 컴퓨터 화면에 정보처리에 관한 사항을 남겨놓지 않도록 하여야 한다.
8. 시스템 개발 보안
8.1 분석 및 설계 보안관리
8.1.1	보안 요구사항 정의	새로운 시스템 개발, 기존시스템 개선시 보안요구사항을 문서로 명확히 하여야 하며, 보안요구사항에는 사용자 접근권한의 부여원칙과 접근통제 유형 등을 포함하여야 한다.
8.1.2	입력 데이터 검증	응용시스템 설계시 입력 요구사항을 정의하고 문서화하여야 하며, 입력 데이터의 정확성, 무결성, 신뢰성을 판단하기 위한 표준을 마련하여야 한다.
8.1.3	내부 처리의 검증	응용시스템 설계시 내부처리 요구사항을 정의하고 문서화하여야 하며, 응용소프트웨어의 처리 작업을 검증하고, 무결성을 회복할 수 있는 기능을 포함하여야 한다.
8.1.4	출력 데이터 검증	응용시스템 설계시 출력 요구사항을 정의하고 문서화하여야 하며, 출력 데이터의 정확성, 무결성, 신뢰성을 판단하기 위한 대책을 마련하여야 한다.
8.1.5	인증 및 암호	응용시스템 설계시 반드시 사용자 인증에 대한 보안 요구사항을 고려하여야 한다. 중요한 메시지의 경우 무결성이 요구될 때 메시지 인증기법을 적용하고 비밀성이 요구될 시 암호화를 적용하여야 한다.
8.1.6	보안기록 관리	응용시스템 설계시 사용자의 인증, 데이터 분실, 수정, 오남용 등을 점검하고 방지하기 위하여 보안에 관련된 로그, 감사증적 등을 확보할 수 있는 기능을 반영하여야 한다.
8.2 구현 및 이행 보안관리
8.2.1	구현 및 시험	응용시스템 구현시 코딩표준에 따라 응용시스템을 구현하고, 보안요구사항에 대한 시험을 수행하여야 한다.
8.2.2	운영환경 이행보안	운영 프로그램의 수정은 적절한 권한을 지닌 사람만이 시행하여야 하고, 운영시스템은 실행코드만 보유하여야 한다. 실행코드는 성공적인 시험과 사용자 인수 후에 실행하여야 한다.
8.2.3	시험 데이터의 보안	시험 데이터는 운영데이터에 준하여 보호하고 통제하여야 하며, 운영환경에 대하여 적용되는 접근통제 절차를 시험환경에도 적용하여야 한다. 운영데이터가 시험환경으로 복사될 경우 허가절차를 수립하여 이행하고 시험 완료 후 운영데이터는 시험시스템에서 삭제하여야 한다
8.2.4	소스 프로그램의 접근보안	소스 프로그램은 실제 운영 환경에 보관하지 않는 것을 원칙으로 하며, 소스 프로그램 관리자는 각 운영시스템 별로 지정하여야 한다. 또한 소스 프로그램 접근에 대한 통제절차를 수립하고 이행하여야 한다.
8.3 변경관리
8.3.1	변경관리 절차	정보시스템의 파괴와 손상을 최소화하기 위하여 공식적인 변경관리 절차를 수립하고 이행하여야 한다.
8.3.2	운영체제 변경시의 검토	운영체제 변경이 필요한 경우 응용시스템의 운영이나 보안에 미치는 영향을 분석, 검토하여야 한다.
8.3.3	소프트웨어 패키지 변경	소프트웨어 패키지는 가능한 수정하지 않고 사용하고, 패키지 변경시에는 공급자의 동의를 얻으며, 수정이 가능한지 확인하여야 한다. 모든 변경사항은 시험하고 문서화하여야 한다.
9. 암호통제
9.1	암호정책	암호사용에 대한 정책을 수립하여야 한다.
9.2	암호사용	암호 정책에 따른 암호 사용시 적절한 알고리즘의 유형, 신뢰성 및 키 길이를 결정하여야 한다.
9.3	키관리	암호 키에 대한 관리지침, 절차 및 방법을 마련하고 필요시 복구 방안을 마련하여야 한다.
10. 접근통제
10.1 접근통제 정책
10.1.1	정책의 문서화	업무 요구사항에 따라 접근 통제의 방법과 범위 등을 정의하고 문서화하여야 한다.
10.1.2	정책의 내용	접근통제 정책은 데이터, 프로그램, 주요 시스템, 네트워크 등에 대한 접근제한을 포함하여야 하며, 여기에는 보안요구사항, 데이터 및 서비스 접근시의 법적, 계약적 제한, 분산 네트워크상의 접근권한 관리 등을 포함하여야 한다.
10.1.3	접근통제 규칙	항상 존재하는 규칙과 일정기간이나 선택적으로 존재하는 규칙에 대한 구분, 실행 전에 관리자의 승인을 필요로 하는 규칙과 그렇지 않은 규칙의 구분 등을 포함한 접근 통제 규칙을 명시하여야 한다.
10.1.4	접근통제 방법	접근통제 방법은 정책 및 절차에 의해 결정된 접근권한을 적절하게 반영하여야 한다.
10.1.5	접근통제 정책 검토	접근에 대한 모니터링을 통해 정책과의 일치성을 주기적으로 검토하고, 접근통제 정책의 적정성을 확인하여야 한다.
10.2 사용자 접근 관리
10.2.1	사용자 등록	정보시스템 및 서비스에 대한 접근을 통제하기 위한 공식적인 사용자 등록 및 해지 절차를 마련하여야 한다.
10.2.2	특수 권한 관리	시스템이나 응용프로그램에 대한 통제를 우회할 수 있는 특수권한의 할당 및 사용을 관리하여야 한다.
10.2.3	사용자 패스워드 관리	사용자 패스워드의 관리절차를 수립하고 이행하여야 한다.
10.2.4	사용자의 접근권한 검토	데이터나 정보 서비스에 대한 접근을 관리하기 위해서 정기적으로 접근 권한에 대하여서 점검을 하여야 한다.
10.2.5	사용자의 책임	시스템 및 패스워드 관리 책임은 사용자 자신에게 있음을 주지시키고 관리지침을 제공하여야 한다.
10.3 접근통제 영역
10.3.1	네트워크 접근	비인가된 접근을 막기 위해 네트워크의 내ㆍ외부 연결통제, 사용자 터미널과 컴퓨터 서비스간에 물리적 및 논리적 경로의 통제, 사용자 인증, 고장 진단 포트에 대한 접근 통제 등을 포함한 네트워크 접근정책을 수립하고 이행하여야 한다.
10.3.2	운영체제 접근	안전한 로그온 절차, 식별 및 인증관리, 필요시 터미널 자동확인 등을 포함하여 시스템의 운영체제 접근을 통제하여야 한다.
10.3.3	응용 프로그램 접근	사용자 접근이 허가되지 않은 응용 프로그램의 기능들에 대한 정보 제공을 제한하여야 한다. 또한 민감한 정보를 처리하는 응용 프로그램의 출력물은 허가된 위치에서만 전달하여야 한다. 민감한 응용 시스템은 반드시 일반적인 환경과 분리하여야 한다.
10.3.4	데이터베이스 접근	데이터베이스의 뷰, 레코드 또는 필드 레벨에서의 데이터에 대한 접근통제, 데이터사전 및 데이터베이스 유틸리티에 대한 접근통제, 민감 정보의 암호화 등을 통해 데이터베이스내의 정보를 보호하여야 한다.
11. 운영관리
11.1 운영절차와 책임
11.1.1	운영절차의 문서화	보안정책에 의해 정의된 운영지침과 절차는 문서화하여 관리하여야 한다. 운영관리를 외부에 용역을 주는 경우에도 계약서에 이를 반영하여야 한다.
11.1.2	정보자산의 변경관리	정보시스템 관련 자산들을 조사하고, 모든 변경사항들을 반영할 수 있는 공식적인 관리책임 및 절차를 수립하여야 한다
11.1.3	직무분리	부주의에 의한 또는 고의적인 시스템 오용의 위험을 감소시키기 위해 직무를 분리하고, 직무 분리가 어려운 특수한 경우 별도의 관리감독 대책을 수립하여야 한다.
11.1.4	개발과 운영 환경의 분리	원칙적으로 개발, 테스트, 운영 환경을 분리하여야 한다. 또한 응용프로그램을 개발환경으로부터 운영환경으로 이전하는 절차를 정의하고 문서화하여야 한다.
11.1.5	외부 운영 설비의 관리	외부계약자가 정보시스템 및 장비를 관리하는 경우 데이터의 손상, 손실 등의 상황을 고려하여 통제방안을 수립하고 계약서에 반영하여야 한다.
11.2 시스템 운영
11.2.1	시스템 도입	정보시스템의 도입을 위해서 도입계획 및 정책을 수립하여야 한다.
11.2.2	시스템 인수	새로운 정보시스템의 설치 또는 업그레이드에 따른 인수기준을 수립하고, 시스템 구매 계약서에 반영하여야 한다. 또한 시스템은 이 기준에 의해 테스트 한 후 인수하여야 한다.
11.2.3	성능관리	조직에서 요구되는 성능 요구사항을 충족시킬 수 있도록 성능관리를 수행하여야 한다.
11.2.4	용량관리	조직에서 요구되는 용량 요구사항을 충족시킬 수 있도록 용량계획을 통해 적정한 용량을 확보하고, 주어진 용량을 최적으로 사용할 수 있는 관리방안을 수립하여 이에 따른 용량관리를 수행하여야 한다.
11.2.5	백업 및 복구 관리	데이터 및 장비의 무결성과 가용성을 유지하기 위해 백업 계획을 수립하여 이행하여야 하며, 사고 발생시 적시에 복구할 수 있도록 관리하여야 한다.
11.2.6	장애관리	시스템의 장애시 효과적으로 대응하기 위해 탐지, 기록, 분석, 복구, 보고 등 적절한 조치를 취하여야 한다.
11.2.7	로그관리	시스템 운영의 확인이나 사고조사를 위해 활동에 대한 기록을 남기고 주기적으로 검토하여야 한다.
11.2.8	보안시스템 운영	보안시스템에 대해서는 그 유형별로 설치, 운영에 대한 절차를 수립하고, 절차이행을 주기적으로 검토하여야 한다.
11.3 네트워크 운영
11.3.1	네트워크 운영 대책	네트워크 운영 보안 유지를 위해 직무 분리, 접근권한 통제, 원격접속 설비 관리, 네트워크 분리 등을 위한 책임 및 절차 등을 포함한 대책을 수립하여야 한다.
11.3.2	인터넷 접속관리	인터넷망과 접속시 침입차단시스템을 통해 접근통제를 수행하여야 하며, 필요시 침입탐지시스템 등을 활용하여 접근을 모니터링 하여야 한다.
11.3.3	원격운영관리	네트워크를 통해 시스템을 운영하는 경우 원칙적으로 시스템 관리는 내부의 특정 터미널에서만 할 수 있도록 제한하고, 외부에서 네트워크를 통하여 시스템을 관리할 경우에는 사용자 인증, 암호 및 접근통제 기능을 설정하여야 한다.
11.4 매체 및 문서관리
11.4.1	매체 취급 및 보관	허가되지 않은 유출이나 오용으로부터 정보를 보호하기 위해, 매체의 취급 및 보관에 대한 절차를 수립하고 운영하여야 한다.
11.4.2	매체의 폐기	매체 폐기를 부주의하게 이행하여 외부자에게 주요정보가 누출되지 않도록 폐기지침을 수립하고 운영하여야 한다.
11.4.3	시스템 문서의 보안	보안절차, 운영매뉴얼, 운영기록 등 중요 시스템 문서들은 안전하게 보관하고 적절한 폐기절차에 따라 폐기하여야 한다.
11.5	악성소프트웨어 통제	바이러스 등의 악성 소프트웨어로부터 시스템을 보호하기 위해 악성 소프트웨어들을 예방하고 탐지, 대응하는 대책을 수립하여야 한다.
11.6 원격컴퓨터 및 원격작업
11.6.1	이동컴퓨팅	휴대용 정보통신기기의 사용 시에 사업 정보를 보호하기 위한 보안 정책을 수립하고, 내부 네트워크으로의 연결 및 공공 장소에서의 사용에 대한 정책을 수립하여야 한다.
11.6.2	원격작업	재택 근무와 같은 원격 작업 수행시 이에 대한 물리적, 논리적 보호를 위한 정책과 절차를 마련하여야 한다.
12. 전자거래보안
12.1	교환합의서	조직간의 정보 및 소프트웨어 교환시에는 이에 대한 합의가 이루어져야 하고, 관리적 책임 및 절차, 전송의 기술적 기준, 인증기준, 데이터의 책임성 등을 반영한 교환 합의서를 작성하여야 한다.
12.2	전자거래	전자거래 시 사기, 계약 분쟁, 정보의 노출 및 수정 등으로부터 보호하기 위해 신원확인, 무결성, 암호화, 부인방지 등의 대책을 수립하여 운영하여야 한다.
12.3	전자우편	전자 우편 서비스에 대한 가용성, 전자우편 내용에 대한 무결성 및 기밀성과 이에 따른 책임과 위험을 고려한 보안지침 및 대책을 수립하여 운영하여야 한다.
12.4	공개서버의 보안관리	웹서버 등에 정보를 공개할 경우 정보에 대한 수집, 저장 및 공개에 따른 허가 및 게시절차가 수립되어야 하고, 공개서버에 대한 물리적, 논리적 보안대책을 수립하고 운영하여야 한다.
12.5	이용자 공지사항	전자거래의 안전한 이행을 위하여 이용자에게 해킹위험, 계정 및 패스워드 관리, 접속관리 등에 대한 공지를 통해 안전거래 준수를 권고한다.
13. 보안사고관리
13.1 대응계획 및 체계
13.1.1	대응계획 수립	보안사고의 정의 및 범위, 긴급연락체계 구축, 보안사고 발생시 보고 및 대응 절차, 사고 복구조직의 구성, 교육계획 등을 포함한 보안사고 대응 계획을 수립ㆍ시행하여야 한다.
13.1.2	보안사고 대응체계 구축	보안사고의 대응이 신속하게 이루어질 수 있도록 중앙집중적인 대응체계를 구축하고, 대응체계에는 내부직원뿐 아니라 외부기관 및 전문가들과의 협조체계를 반영하여야 한다.
13.2 대응 및 복구
13.2.1	보안사고 대응교육 및 훈련	보안사고 대응 계획, 절차 및 방법에 대하여 정기적으로 교육을 실시하여야 하며 사고 처리 후 재발 방지를 위하여 필요한 교육ㆍ훈련을 실시하여야 한다
13.2.2	보안사고 보고	사고의 징후 또는 보안사고 발생을 인지한 때에는 보고체계에 따라 가능한 한 신속히 보고하여야 한다. 시스템이나 네트워크의 보안취약점과 소프트웨어 기능장애 또한 신속히 보고하여야 한다.
13.2.3	보안사고 처리 및 복구	보안사고 보고시 처리, 복구 절차에 따라 처리와 복구를 신속히 수행하여야 한다.
13.3 사후관리
13.3.1	보안사고 분석 및 정보의 공유	보안사고가 처리되고 종결된후 이에 대한 분석이 수행되어야 하며, 그 결과가 보고되어야 한다. 또한 사고에 대한 정보와 발견된 취약성들이 관련조직과 인력에 공유되어야 한다.
13.3.2	재발방지	보안사고로부터 얻은 정보를 활용하여, 유사 사고가 반복되지 않도록 재발방지 대책을 수립하여야 한다. 이를 위해 필요한 경우 정책, 절차, 조직 등의 보안체계에 대한 변경도 이루어져야 한다.
14. 검토, 모니터링 및 감사
14.1 법적요구사항 준수검토
14.1.1	요구사항 명시	정보시스템에 대해 관련된 모든 법, 규제, 계약, 정책, 기술상의 요구사항을 정의하고 문서화하여야 하며, 이들 요구사항을 만족시키기 위해 필요한 특정 통제나 개별 책임 등도 정의하고 문서화하여야 한다.
14.1.2	준수검토	정보통신망이용촉진및 정보보호등에관한법률, 신용정보등의보호에관한법률 등의 개인정보보호 관련법 및 저작권법, 컴퓨터 프로그램보호법 등 지적재산권법 등의 관련 법규의 준수여부를 검토해야 한다.
14.1.3	증거자료 수집	보안사고 처리 및 계약 증빙을 위하여 조직이나 개인에 대한 소송을 지원하기 위한 적정한 증거 자료를 확보하여야 한다.
14.2 정보보호정책 및 대책 준수검토
14.2.1	검토계획	검토의 대상, 주기, 방법, 범위, 절차, 검토자를 포함한 검토계획 및 정책이 수립되어야 한다. 이를 근거로 보안요구사항에 대한 통제와 책임의 준수에 대한 적정성이 검토되어야 한다.
14.2.2	정책의 준수	모든 정보보호 정책, 절차의 준수여부를 검토하여야 한다.
14.2.3	기술적 점검	정보시스템이 정보보호표준 및 절차에 따라 운영 관리되고 있는지 정기적으로 기술적 점검을 실시한다. 이에 따라 취약성들을 발견한 후 필요한 조치를 취한다.
14.3 모니터링
14.3.1	접근 및 사용 모니터링	사용자의 시스템 및 네트워크 사용 및 접근이 명확하게 허용된 범위 안에 있는지를 확인하기 위해 모니터링 절차를 수립하고 시행하여야 한다. 모니터링 결과는 정기적으로 점검하여야 하고 위험의 정도에 따라 점검 주기를 결정하여야 한다.
14.3.2	감사기록 분석 및 보관	모니터링을 위한 감사 기록을 생성하고, 분석하며 일정 기간 동안 보관하여야 한다.
14.3.3	시각동기화	감사 기록의 명확성을 보장하고 법적인 자료나 징계 자료로서 효력을 갖기 위해서는 시스템 시각을 정확히 설정하여야 한다.
14.4 보안감사
14.4.1	보안감사계획 및 이행	보안 감사 대상, 범위, 주기, 방법, 절차, 감사자, 감사도구를 포함한 보안감사 계획을 수립하고 시행하여야 한다.
14.4.2	감사결과 및 사후관리	감사의 결과에 따라 감사보고서를 작성하고 적정한 책임자에게 보고하며, 감사 지적 내용이 이행되도록 사후관리 하여야 한다.
15. 업무연속성 관리
15.1 업무연속성 관리 체계수립
15.1.1	업무연속성 관리과정 수립	개시단계, 업무연속성전략수립단계, 구현단계, 운영관리단계 등 업무연속성관리를 위한 과정을 사전에 정의하여야 한다. 개시단계에는 업무연속성관리에 대한 정책 수립 및 범위설정, 자원분배를 포함하여야 하며, 업무연속성전략수립단계는 업무영향분석을 통해 이루어져야 한다. 구현단계에는 재해복구 및 위험감소 대책, 업무연속성계획의 문서화를 포함하여야 하며, 운영관리단계에는 시험, 교육훈련, 검토 및 갱신을 포함하여야 한다.
15.1.2	업무연속성계획 프레임워크 수립	업무별 연속성 계획의 이행에 필요한 조건, 응급절차, 대체절차 등을 고려하여 연속성 계획들이 일관성을 유지할 수 있도록 프레임워크를 수립하여야 한다.
15.2 업무연속성계획 수립과 구현
15.2.1	업무영향분석	재난재해별로 업무에 미칠 수 있는 영향을 피해규모와 복구에 소요되는 시간 등을 고려하여 분석하고 그 결과를 기초로 구체적인 업무복구목표 및 복구를 위한 최소한의 요구사항을 설정하여야 한다.
15.2.2	업무연속성계획 수립	업무복구목표 및 최소 요구사항을 구현하기 위한 여러 대안들을 평가하여 업무연속성을 위한 전략을 수립하고 대책 구현을 위한 계획을 수립하여야 한다.
15.2.3	업무연속성계획 구현	업무연속성계획에서 수립한 위험감소 조치 및 재해복구를 위한 설비를 구현하며 필요한 계획 및 절차 등을 문서화하여야 한다.
15.3 업무연속성계획 시험 및 유지관리
15.3.1	업무연속성 계획 시험	환경의 변화 또는 부정확한 전제 등으로 인한 오류를 제거할 수 있도록 지속적인 시험을 수행하며, 시험 계획에는 시기, 방법, 절차 등을 포함하여야 한다.
15.3.2	업무연속성 계획 유지관리	업무연속성계획에 대해 정기적인 교육 및 훈련을 실시하고 지속적인 검토와 평가 및 변경관리를 수행하여야 한다.

[별지3] 개인정보보호 관리체계 자가진단 대책 명세서 양식A(신청기관이 現기준으로 개인정보보호 관리체계를 수립․운영한 경우)

□ 개인정보보호 관리과정

	< 작성 時 주요 착안 사항 >
정보보호관리과정은 필수적인 항목으로 해당 인증기준을 모두 선택하여야 한다. 운영여부와 운영내용을 확인할 수 있도록 다음 항목을 상세히 작성하여야 한다. 항목별 설명은 다음과 같다 o 상세내용 : 신청기관 참고사항. 각 통제항목별로 의미하는 바를 기재하였음 (운영현황 등의 작성 공란이 부족할 경우 상세내용 삭제) o 수립여부 : 정보보호관리과정은 필수적으로 수립 및 구축해야 하므로 자가진단을 통해 Y/N으로 수립 및 구축을 확인 o 운영현황 : 각 인증기준의 요구사항에 대해 어떻게 대응한 것인지 작성하는 것으로 누가, 언제, 무엇을, 어떻게 적용하고 있는지 상세히 작성 o 관련문서 : 인증기준을 만족하는 내용이 포함되어있는 기관의 문서 제목을 작성하되 문서 내 부분에 해당할 경우 장, 절, 조 등을 표시. 문서번호가 있다면 문서번호도 표시 o 기록(증적자료) : 인증기준을 만족하는 내용이 포함되어있는 기관의 기록(증적자료) 제목 및 번호를 작성

통제항목		상세내용	수립 여부	운영현황	관련문서 (정책, 지침 등 세부조항번호까지)	기록(증적자료)
1. 개인정보보호 정책수립
1.1 개인정보보호 관련 정책 및 내부관리계획 수립을 통해 명확한 지원 및 방향제시를 보증하여야 한다.
1.1.1	개인정보보호 정책 수립	조직 내 개인정보 침해 가능성의 관리 및 책임을 기술한 개인정보보호 관련 정책을 수립하여야 하며, 동 정책은 국가나 관련 산업에서 정하는 법규제를 만족하여야 한다.
1.1.2	조직 및 책임 설정	개인정보보호활동에 대한 경영층의 명확한 지원 및 방향제시를 보증할 수 있는 조직을 구성하여야 한다. 또한 개인정보보호 관리활동을 수행하고 검증하는 인력들에 대한 역할 및 책임, 상호 연관관계 등을 정의하고 문서화하여야 한다.
1.1.3	내부관리계획의 수립	개인정보보호 정책에 따른 개인정보보호 조직구성 및 운영 등이 포함된 내부관리계획을 수립하여 이행하여야 한다.
2. 관리체계 범위설정
2.1 개인정보보호 관리체계의 범위를 설정하고, 개인정보 및 개인정보 관리 자산을 분류 및 식별하고 관리하여야 한다.
2.1.1	개인정보 식별	신청기관의 개인정보 및 개인정보 관리 자산을 분류 및 식별하고 개인정보 자산의 형태, 소유자, 관리자, 특성 등을 포함하여 목록을 만들어야 한다.
2.1.2	개인정보보호 관리체계 범위설정	신청사업자의 특성, 위치, 기술, 자산 등 내ㆍ외적 환경에 중대한 영향을 미치는 요소를 고려하여 개인정보보호 관리체계의 범위를 설정하여야 한다.
3. 위험관리
3.1 신청사업자는 개인정보 취급 서비스에 적합한 위험관리 계획을 수립하고, 위험관리 계획에 따라 보호대책을 수립하여야 한다.
3.1.1	위험관리 계획 수립	신청사업자의 목표 및 정책, 법적 요구사항 등을 고려하여 조직, 역할, 책임, 주요과정을 포함한 위험관리 계획을 수립하고, 신청기관에 적합한 위험관리 방법을 선택하여야 한다. 이 위험관리 방법은 조직과 개인정보보호 환경변화에 대응할 수 있도록 지속적으로 검토하여야 한다.
3.1.2	위험평가	위험관리계획에 따라 위험평가를 수행하고 개인정보침해를 방지할 수 있는 목표위험수준이 설정되어 관리되어야 한다.
3.1.3	위험관리를 위한 보호대책 및 이행 계획 수립	신청기관의 위험관리를 위한 보호대책과 목적에 부합하도록 위험을 수용 가능한 수준으로 감소시켜야 한다. 이를 위해, 위험평가에 의거한 위험처리, 위험수용, 위험회피, 위험전가 등의 전략을 설정하고, 이에 적합한 보호대책을 선정하여야 한다. 선정된 대책을 구현하기 위한 구체적인 일정계획을 수립하고 최고경영진의 승인을 받아야 한다.
4. 구현
4.1 개인정보보호대책의 이행계획에 따라 보호대책을 구현하고, 대책의 효과성에 대하여 주기적인 검토를 수행하여야 한다.
4.1.1	보호대책의 효과적 구현	개인정보보호대책의 이행계획에 따라 대책을 구현하여야 한다. 구현 후 검토 계획에 따라 일정 시간이 흐른 후 구현 성과를 검토 및 보고하여야 한다.
5. 사후관리
5.1 개인정보보호 관리체계에 대한 지속적인 개선활동이 문서화되고, 정기적으로 재검토하여야 한다.
5.1.1	모니터링 및 개선	개인정보보호 관리체계는 지속적으로 모니터링 하여 관련 문제점을 검출하고, 해결할 수 있도록 하며, 결과를 기록하여 분석한 후, 이를 평가하여 지속적인 개선활동을 수행한다.
5.1.2	개인정보보호 관리체계의 재검토	신청기관의 목표, 기술 등 내·외부의 변화와 내부감사 결과, 보안사고 등을 고려하여, 개인정보보호 관리체계의 효율성, 범위의 적절성, 잔류위험의 수준, 절차 등의 문서를 공식적이고 정기적으로 재검토하여야 한다.

□ 보호대책

	< 작성 時 주요 착안 사항 >
정보보호 대책은 기업의 정보보호 운영현황에 따라 선택할 수 있다. 선택하지 않은 통제항목의 경우 미선택 사유를 작성하여야 한다. 선택한 경우에는 선택이유 및 구현내용을 확인할 수 있도록 선택사유, 적용내용, 관련문서, 기록(증적자료)을 상세히 작성하여야 한다. o 상세내용 : 신청기관 참고사항. 각 통제항목별로 의미하는 바를 기재하였음 (운영현황 등의 작성 공란이 부족할 경우 상세내용 삭제) o 선택여부 : 정보보호 대책의 선택여부에 대해 Y(Yes) / N(No)로 표시 (N은 해당통제사항이 기업의 운영환경 상 적용되지 않는 경우에 선택) o 운영현황(또는 미선택사유) : 해당 통제사항에 대한 구축 및 실제 운영내용을 요약하여 작성하되 구축의 특성 및 정당성을 파악할 수 있도록 인증기준보다 상세히 작성. 통제사항을 선택하지 않은 경우 위험관리(위험평가 및 처리)의 결과 및 분석에 따른 미선택의 사유를 반드시 작성. o 관련문서(정책 또는 매뉴얼) : 인증기준을 만족하는 내용이 포함되어있는 기관의 문서(정책, 규정, 지침, 절차, 매뉴얼 등)의 제목을 작성하되 문서 내 부분에 해당할 경우 장, 절, 조 등을 상세하게 표시. 선택하지 않을 경우, 해당 근거를 확인할 수 있는 문서 및 문서 내 부분을 작성. 문서번호가 있다면 문서번호도 표시. o 기록(증적자료) : 인증기준을 만족하는 내용이 포함되어있는 기관의 운영기록(증적자료)의 제목(파일명) 및 번호를 작성. 통제사항에 관련된 위험분석결과, 계획, 취약점분석관련 자료도 기록하여 대책명세서를 통해 관련내용을 확인할 수 있도록 함. 관련증적이 시스템으로 관리되는 경우 해당 시스템 위치, 시스템명 및 관련 메뉴를 작성.

통제항목		상세내용	선택 여부	운영현황 (또는 미선택사유)	관련문서 (정책, 지침 등 세부조항번호까지)	기록(증적자료)
1. 개인정보보호정책
1.1 개인정보보호정책은 최고경영자의 승인을 득하고 접근 용이한 형태로 공표되어야 한다.
1.1.1	정책의 승인	문서화된 개인정보보호정책은 최고경영자의 승인을 받아야 한다.
1.1.2	정책의 공표	개인정보보호정책은 이용자, 임직원 및 관련자에게 이해하기 쉬운 형태로 전달하여야 한다.
1.2 개인정보보호정책은 개인정보보호 관리체계를 체계적으로 수행할 수 있도록 구성되어야 한다.
1.2.1	지침, 절차 및 표준 수립	개인정보보호정책을 구체적으로 시행하기 위한 지침, 절차 및 표준을 수립하여야 한다.
1.2.2	정책 간의 일관성	개인정보보호정책을 구체적으로 시행하기 위한 지침, 절차 및 표준은 체계적으로 구성되어 있으며, 관련 정책 간의 일관성이 유지되어야 한다.
1.3 개인정보보호정책의 주기적인 타당성을 검토하고, 최신본으로 유지 및 관리하여야 한다.
1.3.1	정책의 주기적 검토	정기적으로 개인정보보호정책의 타당성을 검토하여야 하며, 중대한 개인정보 사고 발생, 새로운 위협 또는 취약성의 발생, 기업환경의 중대한 변화 등이 발생했을 경우에는 관련된 사항의 타당성을 추가로 검토하여 반영하여야 한다.
1.3.2	정책 문서 관리	개인정보보호정책과 정책 시행을 위한 관련 문서의 목록을 마련하고, 주기적으로 검토하여 최신본으로 유지하여야 한다.
2. 개인정보보호조직
2.1 개인정보보호 조직체계를 구성하여 개인정보관리책임자 및 개인정보 취급부서별 책임자, 담당자를 지정하여야 한다.
2.1.1	개인정보보호 조직체계 구성	개인정보보호 업무를 체계적으로 이행하기 위한 내부조직체계가 구축되어 있어야 한다.
2.1.2	개인정보관리책임자(CPO) 지정	이용자의 개인정보를 보호하고 개인정보와 관련한 이용자의 고충을 처리하기 위하여 개인정보관리책임자를 지정하여야 한다.
2.1.3	개인정보 취급부서별 책임자 및 담당자 지정	개인정보 취급부서의 개인정보보호 관련 의무 및 법 규정 준수 여부를 감독하고 관리할 책임자 및 담당자가 지정되어 있어야 한다.
2.2 개인정보 관련 책임자, 담당자에 대한 역할 및 책임을 정의하고, 상호 의사소통할 수 있는 보고체계를 수립하여야 한다.
2.2.1	역할 및 책임	개인정보관리책임자 및 개인정보를 취급하는 다양한 부서의 책임자, 담당자에 대한 역할 및 책임이 정의되어야 한다.
2.2.2	보고 및 의사소통체계	개인정보관리책임자 및 개인정보를 취급하는 다양한 부서의 책임자, 담당자가 상호 의사소통할 수 있는 보고라인, 방법 및 절차가 정의되어 있어야 한다.
3. 개인정보 자산분류
3.1 개인정보 취급 자산을 식별하고, 자산별 중요도를 결정하여 책임 소재를 명확히 하여야 한다.
3.1.1	개인정보 조사	신청사업자의 개인정보 및 개인정보 관리자산을 조사하고 개인정보 및 개인정보 관리 자산별로 신청기관에서의 가치, 업무 영향, 법적 준수사항 등을 고려하여 중요도를 결정하여야 한다.
3.1.2	개인정보 및 개인정보 관리 자산별 책임할당	조사된 개인정보 및 개인정보 관리 자산에 대하여 소유자, 관리자, 사용자를 확인하고, 적절한 통제 유지를 위해 책임 소재를 명확히 하여야 한다.
3.2 신청기관의 현황에 맞는 개인정보의 분류방식을 선택하여 개인정보 흐름도를 작성하고, 주기적인 검토를 통해 최신본으로 유지하여야 한다.
3.2.1	개인정보 흐름 분석	분류 및 식별된 개인정보의 수집, 이용 및 제공, 저장 및 관리, 파기 등 취급상의 개인정보 흐름을 파악하여야 한다. 또한, 개인정보 흐름도는 주기적으로 검토되어 취급상의 변화를 반영하여 재작성 하여야 한다.
3.2.2	개인정보 및 개인정보 자산 보안등급과 취급	분류 및 식별된 개인정보 및 개인정보 관리 자산에 대하여 보안등급을 부여하고, 보안등급 표시를 부착하여 관리하여야 한다. 또한 보안등급의 부여에 따라 취급 절차를 정의하여 이행하여야 한다.
4. 교육 및 훈련
4.1 개인정보보호 교육ㆍ훈련 계획을 수립하고, 관련자 모두에게 개인정보취급자가 필수적으로 알아야 하는 사항을 교육하여야 한다.
4.1.1	교육 및 훈련 대상	교육 및 훈련 대상에는 신청기관의 임직원, 개인정보취급자, 관련자 모두를 포함하여야 한다.
4.1.2	교육 및 훈련내용	교육내용은 개인정보보호 관련 법률 및 제도, 관리적 기술적 조치 및 이를 수행하기 위한 방법, 사내 규정 등 개인정보취급자가 필수적으로 알아야 하는 사항을 포함하여야 한다.
4.2 교육 및 훈련은 정기적으로 실시하여야 하며, 교육 및 훈련 종료 후 검토를 통하여 차기 교육에 반영하여야 한다.
4.2.1	교육 및 훈련 시행	교육 및 훈련은 정기적으로 실시하여야 하며, 개인정보보호정책의 절차 및 역할 변경이 있는 경우에는 정기적인 교육에 내용을 포함하고 이에 대한 기록을 유지한다.
4.2.2	교육 및 훈련 평가	교육 및 훈련 종료 후 검토를 통하여 차기 교육에 반영하여야 한다.
5. 인적보안
5.1 개인정보취급자는 최소한으로 제한하고 개인정보 취급자 명단 관리 및 책임명시, 처벌규정을 마련하여야 한다.
5.1.1	개인정보취급자 감독	업무상 개인정보를 취급해야 하는 개인정보취급자는 최소한으로 제한하고 개인정보 취급자 명단 관리 및 통제방안을 마련하여야 한다.
5.1.2	인사규정	인사규정 등에 임직원 및 개인정보취급자에 대한 회사 내규상 책임 및 관련 법규상의 책임을 명시하여야 한다. 또한 책임을 이행하지 않는 경우를 대비한 적절한 처벌규정을 포함하여야 한다.
6 침해사고 처리 및 대응절차
6.1 신청사업자는 실효성 있는 개인정보 사고 대응 계획을 수립ㆍ시행하여야 한다.
6.1.1	침해사고 대응계획수립	개인정보의 노출, 변경, 삭제에 대응하기 위한 긴급 연락체계, 개인정보보호 사고 발생 시 보고 및 대응 절차, 사고 대응 조직의 구성, 교육 계획 등을 포함한 개인정보 사고 대응 계획을 수립ㆍ시행하여야 한다.
6.1.2	침해사고 대응체계 구축	개인정보사고의 대응이 신속하게 이루어질 수 있도록 중앙 집중적인 대응체계를 구축하고, 대응체계에는 내부직원뿐 아니라 외부기관 및 전문가들과의 협조체계를 반영하여야 한다.
6.2 개인정보사고 대응 계획, 절차 및 방법에 대하여 정기적으로 교육을 실시하여야 하며 개인정보사고 대응 시 보고체계, 처리 및 복구 절차에 따라 신속히 수행하여야 한다.
6.2.1	침해사고 대응 교육 및 훈련	개인정보사고 대응 계획, 절차 및 방법에 대하여 정기적으로 교육을 실시하여야 하며 사고 처리 후 재발 방지를 위하여 필요한 교육ㆍ훈련을 실시하여야 한다.
6.2.2	침해사고 보고	사고의 징후 또는 개인정보사고 발생을 인지한 때에는 보고체계에 따라 가능한 한 신속히 보고하여야 한다. 시스템이나 네트워크의 보안취약점과 소프트웨어 기능장애 또한 신속히 보고하여야 한다.보고자에 대해서는 적절한 보상이 주어져야 하며 보고로 인해 불이익이 발생하지 않도록 해야 한다.
6.2.3	침해사고 처리 및 복구	개인정보사고 대응 시 처리, 복구 절차에 따라 처리와 복구를 신속히 수행하여야 한다.
6.3 개인정보사고 종결 후 이에 대한 분석결과가 보고 및 공유되고, 재발방지 대책을 수립하여 보안체계에 반영하어야 한다.
6.3.1	침해사고 분석 및 정보공유	개인정보사고가 처리되고 종결된 후 이에 대한 분석이 수행되어야 하며, 그 결과가 보고되어야 한다. 또한 사고에 대한 정보와 발견된 취약성들이 관련조직과 인력에 공유되어야 한다.
6.3.2	침해사고 재발방지	개인정보사고로부터 얻은 정보를 활용하여, 유사 사고가 반복되지 않도록 재발방지 대책을 수립하여야 한다. 이를 위해 필요한 경우 정책, 절차, 조직 등의 보안체계에 대한 변경도 이루어져야 한다.
7 기술적 보호조치
7.1 접근통제 정책을 수립하고, 개인정보취급자의 접근통제 및 모니터링을 이행하여야 한다.
7.1.1	접근통제 정책 수립	개인정보보호 요구사항에 기초하여 통합적인 접근통제를 위한 개인정보 취급자에 대한 접근통제 정책을 수립하고 문서화하여야 한다.
7.1.2	개인정보 취급자 등록	개인정보 및 개인정보처리시스템에 대한 접근을 통제하기 위한 공식적인 개인정보 취급자 등록 및 해지 절차를 마련하여야 한다.
7.1.3	개인정보취급자 권한관리	개인정보처리시스템에 대한 접근 권한이 서비스 제공을 위하여 필요한 최소한의 인원에게만 부여하고 그 내역을 기록 관리하여야 한다.
7.1.4	이용자 패스워드 관리	이용자 패스워드의 관리절차를 수립하고 이행하여야 한다.
7.1.5	개인정보 취급자의 접근권한 검토	개인정보 및 개인정보처리시스템에 대한 접근을 관리하기 위해서 정기적으로 접근 권한에 대하여서 점검을 하여야 한다.
7.1.6	개인정보취급자의 책임	개인정보처리시스템 및 패스워드 관리 책임은 개인정보 취급자 자신에게 있음을 주지시키고 관리지침을 제공하여야 한다.
7.1.7	네트워크 접근	비인가된 접근을 막기 위해 네트워크의 내ㆍ외부 연결통제, 사용자 터미널과 컴퓨터 서비스 간에 물리적 및 논리적 경로의 통제, 사용자 인증, 고장 진단 포트에 대한 접근 통제 등을 포함한 네트워크 접근정책을 수립하고 이행하여야 한다.
7.1.8	운영체제 접근	안전한 로그온 절차, 식별 및 인증관리, 필요시 터미널 자동 확인 등을 포함하여 시스템의 운영체제 접근을 통제하여야 한다.
7.1.9	응용프로그램 접근	개인정보 취급자 접근이 허가되지 않은 응용 프로그램의 기능들에 대한 정보 제공을 제한하여야 한다. 또한 중요 정보를 처리하는 개인정보 응용 프로그램의 출력물은 허가된 위치에서만 출력 되어야 한다.
7.1.10	데이터베이스 접근	데이터테이블 레벨에서 데이터에 대한 접근통제, 데이터사전 및 데이터베이스 유틸리티에 대한 접근통제, 중요 정보의 암호화 등을 통해 데이터베이스내의 정보를 보호하여야 한다.
7.2 개인정보 암호화 정책 및 암호키 관리방안을 수립하고, 이에 따라 개인정보 암호화를 시행하여야 한다.
7.2.1	암호정책	개인정보의 암호화를 위한 문서화된 정책을 수립하여야 한다.
7.2.2	암호사용	암호정책에 따라 암호 대상 개인정보의 암호화를 시행하여야 한다.
7.2.3	키관리	암호키에 대한 관리지침, 절차 및 방법을 마련하고 필요시 복구 방안을 마련하여야 한다.
7.3 개인정보처리시스템 관련 자산 변경관리 절차를 수립하고, 네트워크 운영 보안 유지를 위해 직무 분리, 접근권한 통제, 원격접속 설비 관리, 네트워크 분리 등을 위한 책임 및 절차 등을 포함한 대책을 수립하여야 한다.
7.3.1	정보 관련 자산의 변경관리	개인정보처리시스템 관련 자산들을 조사하고, 모든 변경사항들을 반영할 수 있는 공식적인 관리책임 및 절차를 수립하여야 한다.
7.3.2	직무분리	부주의에 의한 또는 고의적인 시스템 오용의 위험을 감소시키기 위해 직무를 분리하고, 직무 분리가 어려운 특수한 경우 별도의 관리감독 대책을 수립하여야 한다.
7.3.3	개발과 운영환경의 분리	원칙적으로 개발, 테스트, 운영 환경을 분리하여야 한다. 또한 개인정보 응용프로그램을 개발환경으로부터 운영환경으로 이전하는 절차를 정의하고 문서화하여야 한다.
7.3.4	네트워크 운영대책	네트워크 운영 보안 유지를 위해 직무 분리, 접근권한 통제, 원격접속 설비 관리, 네트워크 분리 등을 위한 책임 및 절차 등을 포함한 대책을 수립하여야 한다.
7.3.5	인터넷 접속 관리	개인정보취급자의 PC 및 개인정보처리시스템을 보호하기 위하여 인터넷과의 접속에 대한 통제 정책을 수립하고, 침입차단시스템 및 침입탐지시스템 등을 설치하여 보호한다.
7.3.6	원격운영관리	네트워크를 통해 시스템을 운영하는 경우 원칙적으로 시스템 관리는 내부의 특정 터미널에서만 할 수 있도록 제한하고, 외부에서 네트워크를 통하여 시스템을 관리할 경우에는 사용자 인증, 암호 및 접근통제 기능을 설정하여야 한다.
7.3.7	매체 취급 및 보관	허가되지 않은 유출이나 오용으로부터 개인정보를 보호하기 위해, 매체의 취급 및 보관에 대한 절차를 수립하고 운영하여야 한다.
7.3.8	매체의 폐기	매체 폐기를 부주의하게 이행하여 외부자에게 개인정보가 누출되지 않도록 폐기지침을 수립하고 운영하여야 한다.
7.3.9	악성 프로그램 통제	바이러스 등의 악성 프로그램으로부터 개인정보처리시스템 및 개인정보취급자의 PC를 보호하기 위해 악성 프로그램을 예방하고 탐지, 대응하는 대책을 수립하여야 한다.
7.3.10	이동컴퓨팅	휴대용 정보통신기기의 사용 시에 개인정보를 보호하기 위한 보안 정책을 수립하고, 내부 네트워크 으로의 연결 및 공공장소에서의 사용에 대한 정책을 수립하여야 한다.
7.3.11	원격작업	재택근무와 같은 원격 작업 수행시 이에 대한 물리적, 논리적 보호를 위한 정책과 절차를 마련하여야 한다.
7.3.12	공개서버 보안관리	웹서버 등을 통해 이용자들의 개인정보를 처리할 경우 이를 통해 개인정보 노출이 발생하지 않도록 공개서버에 대한 기술적, 물리적 보안대책을 수립하고 운영하여야 한다.
7.4 개인정보 처리시스템 개발 시 개인정보 영향평가를 수행하여야 하며, 보안요구사항에 따라 구현 및 테스트 등에 대한 공식적인 변경관리 절차를 수립하고 이행하여야 한다.
7.4.1	분석 및 설계보안관리	개인정보 처리시스템을 새로 개발 또는 구매하거나 기존 시스템 개선시 개인정보 영향평가를 수행하여야 하며 평가 결과에 따른 보안 요건을 포함하여 개발하여야 한다.
7.4.2	구현 및 시험	개인정보처리시스템에 대한 보안요구사항을 만족하는 대책을 구현하고 보안요구사항에 대한 시험을 수행하여야 한다.
7.4.3	운영환경 이행보안	개인정보 운영 프로그램의 수정은 적절한 권한을 지닌 사람만이 시행하여야 하고, 개인정보 운영시스템은 실행코드만 보유하여야 한다. 실행코드는 성공적인 시험과 사용자 인수 후에 실행하여야 한다.
7.4.4	테스트 데이터의 보안	운영데이터를 시험용으로 사용하고자 할 경우 중요 개인정보를 변경 또는 삭제하고 개인정보관리책임자의 승인 후에 시행하여야 한다. 또한 테스트 환경에 대하여 운영환경에 준하는 보안을 시행하고 테스트 완료 후 운영데이터는 테스트 시스템에서 삭제하여야 한다.
7.4.5	소스 프로그램의 접근보안	소스 프로그램은 실제 운영 환경에 보관하지 않는 것을 원칙으로 하며, 소스 프로그램 관리자는 각 운영시스템 별로 지정하여야 한다. 또한 소스 프로그램 접근에 대한 통제절차를 수립하고 이행하여야 한다.
7.4.6.	변경관리 절차	개인정보처리시스템의 변경에 따른 개인정보 노출, 손상, 파괴를 최소화하기 위하여 공식적인 변경관리 절차를 수립하고 이행하여야 한다.
7.4.7	운영체제 변경시의 검토	운영체제 변경이 필요한 경우 개인정보처리 시스템의 운영이나 보안에 미치는 영향을 분석, 검토하여야 한다.
7.4.8	소프트웨어 패키지 변경	개인정보처리를 위한 소프트웨어 패키지는 개인정보보호 정책 및 법적요건을 만족하여야 하며 패키지 변경시에는 공급자의 동의를 얻으며, 수정이 가능한지 확인하여야 한다. 모든 변경사항은 시험하고 문서화하여야 한다.
7.5 개인정보처리시스템에서 개인정보의 출력시 용도를 특정하여야 하며, 개인정보를 복사할 경우 필요한 사항을 기록하고 사전 승인을 받아야 한다.
7.5.1	출력, 복사 시 용도 특정	개인정보처리시스템에서 개인정보의 출력시 용도를 특정하여야 하며, 용도에 따라 출력 항목을 최소화하여야 한다.
7.5.2	출력, 복사시 기록 및 승인	개인정보를 테이프, 디스크, 출력물, 이동식 저장 장치 등에 복사할 경우 필요한 사항을 기록하고 사전 승인을 받아야 한다.
7.6 개인정보 업무처리를 목적으로 개인정보 조회, 출력 등의 업무를 수행하는 과정에서 개인정보를 마스킹을 통해 표시제한을 수행하여야 한다.
7.6.1	개인정보 마스킹	개인정보 업무처리를 목적으로 개인정보 조회, 출력 등의 업무를 수행하는 과정에서 개인정보를 마스킹을 통해 표시제한을 수행하여야 한다.
8. 물리적 보호조치
8.1 개인정보를 취급하는 공간에 대해 출입통제 등 물리적 보호조치를 취하고 접근가능한 인원은 허가받은 인력에 한해 최소화하여야 한다.
8.1.1	물리적 보호구역	개인정보의 취급, 처리 및 저장시설 및 장비를 권한 없는 자의 물리적 접근 및 각종 물리적, 환경적 재난으로부터 보호하기 위하여 보호구역을 정의하고 이에 따른 보안대책을 수립ㆍ이행하여야 한다.
8.1.2	물리적 접근통제	개인정보를 취급, 처리하는 보호구역에 대한 출입통제기록을 남기고, 주기적으로 타당성을 검토해야 한다.
8.2 전력 및 통신 케이블 등의 장비을 보호하고, 개인정보를 담고 있는 장비의 폐기 및 재사용시에는 기록된 완전히 삭제되어 복구가 불가능한지 확인하여야 한다.
8.2.1	케이블 보호	개인정보를 송ㆍ수신하거나 정보서비스를 지원하는 전력 및 통신 케이블은 방해되거나 손상을 입지 않도록 보호하여야 한다.
8.2.2	장비의 안전한 폐기 및 재사용	개인정보를 담고 있는 장비의 폐기 및 재사용시에는 이를 물리적으로 파기하거나 폐기하기 전에 저장 매체에 기록된 내용이 완전히 삭제되어 복구가 불가능한지 확인하여야 한다.
8.3 개인정보취급자에 대하여 책상 위에 개인정보 문서나 저장 매체를 남겨놓지 않도록 하고, 통상 근무시간 동안이나 그 외의 시간에 비인가된 자에 의한 정보 접근, 손상을 방지하기 위하여 컴퓨터 화면에 정보처리에 관한 사항을 남겨놓지 않도록 하여야 한다.
8.3.1	사무실 보호	개인정보취급자에 대하여 책상 위에 개인정보 문서나 저장 매체를 남겨놓지 않도록 하고, 통상 근무시간 동안이나 그 외의 시간에 비인가된 자에 의한 정보 접근, 손상을 방지하기 위하여 컴퓨터 화면에 정보처리에 관한 사항을 남겨놓지 않도록 하여야 한다.
9. 내부검토 및 감사
9.1 개인정보에 대해 적용되는 모든 법, 규제, 계약상의 요구사항을 문서화하고, 이에 대한 내용을 개인정보보호 관리체계에 포함시켜 준수여부를 검토해야 한다.
9.1.1	법적 요구사항 명시	기관의 개인정보에 대해 적용되는 모든 법, 규제, 계약상의 요구사항을 정의하고 문서화하여야 하며, 이들 요구사항을 개인정보보호 관리체계에 포함시켜 문서화 한다.
		개인정보 관련 법규에서 요구하는 사항의 준수여부를 검토해야 한다.
9.2 개인정보보호정책 및 대책 준수여부를 검토하고, 정기적인 점검 실시를 통해 문제점을 교정하여야 한다.
9.2.1	정책의 준수 검토	개인정보 관련 법규에서 요구하는 사항의 준수여부를 검토해야 한다.
9.2.2	기술적 점검	개인정보처리시스템이 절차에 따라 운영 관리되고 있는지 정기적으로 점검을 실시한다. 이에 따라 문제점들을 발견한 후 필요한 조치를 취한다.
9.3 개인정보처리 활동 모니터링 절차를 수립하고, 개인정보 열람기록 및 처리기록을 주기적으로 검토하여야 한다.
9.3.1	개인정보처리 활동 모니터링	인가되지 않은 개인정보처리 활동을 탐지하기 위해 모니터링 절차를 수립하고 시행하여야 한다. 모니터링 결과는 정기적으로 점검하여야 하고 위험의 정도에 따라 점검 주기를 결정하여야 한다.
9.3.2	개인정보 열람기록 검토 및 오남용방지	개인정보취급자의 오남용을 방지하기 위하여 개인정보 열람에 대한 기록을 남기고 주기적으로 검토하여야 한다.
9.3.3	개인정보 처리 기록 검토 및 위변조 방지	개인정보 처리 시스템에 대한 접근을 기록하고 정기적으로 검토하여야 하며, 위변조를 막기 위한 조치를 취해야 한다
9.3.4	시각동기화	이행점검 기록의 명확성을 보장하고 법적인 자료나 징계 자료로서 효력을 갖기 위해서는 시스템 시각을 정확히 설정하여야 한다.
9.4 보안감사 계획을 수립하고, 감사결과 보고 후 지적사항이 조치되도록 사후관리 하여야 한다.
9.4.1	보안감사 계획 및 이행	보안감사 대상, 범위, 주기, 방법, 절차, 감사자, 감사도구를 포함한 보안감사 계획을 수립하고 시행하여야 한다.
9.4.2	감사결과 및 사후관리	감사의 결과에 따라 감사보고서를 작성하고 적정한 책임자에게 보고하며, 감사지적 내용이 이행 되도록 사후관리 하여야 한다.

□ 생명주기

통제항목		상세내용	선택 여부	운영현황 (또는 미선택사유)	관련문서 (정책, 지침 등 세부조항번호까지)	기록(증적자료)
1. 개인정보수집에 따른 조치
1.1 최소한의 정보만을 수집하고, 추가 정보, 민감정보, 간접 수집한 개인정보 등에 대하여 이용자 동의 및 적절한 보호를 취해야 한다.
1.1.1	서비스 제공을 위해 필요한 최소한의 정보 수집	서비스 제공을 위해 필요한 최소한의 정보만을 수집하고, 수집시 주민등록번호 대체 수단을 제공하여야 하며, 추가적 정보의 수집을 원할 경우, 정보주체가 선택 제공할 수 있도록 필수와 선택 사항으로 구분하여 기재할 수 있도록 하여야 하며, 선택 사항의 정보를 제공하지 않는다는 이유로 서비스 제공을 거부하여서는 아니된다.
1.1.2	중요 정보 수집 제한	개인의 권리·이익이나 사생활을 뚜렷하게 침해할 우려가 있는 중요한 개인정보를 수집하지 않아야 하며, 필요한 경우 이용자의 동의를 받아야 한다.
1.1.3	간접 수집 시 조치	시스템에 의한 수집 또는 개인정보 처리를 통해 생성한 간접 수집한 개인정보에 대하여 적절한 보호를 취해야 한다.
1.2 개인정보는 정보주체 또는 법정대리인의 동의를 얻은 후에 수집하여야 하고, 이에 대한 기록을 보관하여야 한다.
1.2.1	정보주체의 동의	개인정보는 정보주체의 동의를 얻은 후에 수집하여야 한다.
1.2.2	법정대리인 동의획득 및 고지	만14세 미만의 아동의 개인정보를 수집 할 경우 법정대리인에게 필요한 사항을 고지하여야 한다.
1.2.3	동의기록 보관	이용자에게서 동의를 받은 기록은 보관하여야 한다.
1.3 개인정보취급방침을 마련하여 이용자가 언제든지 쉽게 확인할 수 있도록 적절한 방법에 따라 공개하여야 한다.
1.3.1	개인정보취급방침	개인정보취급방침을 마련하여 이용자가 언제든지 쉽게 확인할 수 있도록 적절한 방법에 따라 공개하여야 한다.
2. 개인정보이용 및 제공에 따른 조치
2.1 개인정보는 이용자에게 고지하고 동의 받은 범위를 벗어나 이용하지 않아야 하고, 만약 동의 범위를 벗어나 이용할 경우, 정보주체로부터 추가적으로 동의를 받아야 한다.
2.1.1	목적 내 개인정보 이용	개인정보는 이용자에게 고지하고 동의 받은 범위를 벗어나 이용하지 않아야 하고, 만약 동의 범위를 벗어나 이용할 경우, 정보주체로부터 추가적으로 동의를 받아야 한다.
2.2 신청사업자는 이용자의 불만 처리를 위한 상담창구를 운영하고, 이용자의 요청을 지체없이 처리하고 기록을 남겨야 한다.
2.2.1	이용자의 불만 처리	개인정보와 관련한 이용자의 의견 및 불만을 접수․처리하기 위하여 상담창구를 운영하여야 한다.
2.2.2	열람정정 요구권 보장 및 처리	이용자가 자신의 개인정보에 대한 열람 또는 이용 및 제공 내역을 요청할 경우 이에 대해 지체 없이 조치하여야 한다.
2.2.3	동의철회	이용자가 개인정보 수집ㆍ이용ㆍ제공 등의 동의 철회를 요청할 경우 지체 없이 조치하여야 한다.
2.2.4	이용자 요청의 처리	이용자의 요청을 지체 없이 처리하고 기록을 남겨야 한다
2.3 신청사업자는 제3자에게 개인정보처리 위탁 시 이용자 동의를 득하고, 계약서 및 서비스 수준 협약에 수탁사 책임을 명시하여 수탁사를 관리 감독하여야 한다.
2.3.1	이용자 고지 및 동의	제3자에게 이용자의 개인정보를 처리할 수 있도록 업무를 위탁하는 경우에는 관련 사항을 이용자에게 알리고 동의를 얻어야 한다.
2.3.2	위탁자 책임	개인정보의 위탁 시 위탁사는 수탁사가 안전하게 개인정보를 취급하도록 관리 감독하여야 하며, 수탁자가 법 규정을 위반한 경우 처리절차가 있어야 한다.
2.3.3	외부위탁관리 감독	외부위탁 업체가 계약서 및 서비스 수준 협약에 명시된 사항을 충분히 이행하는지 상시 관리 감독하고 주기적으로 점검 또는 감사하여야 한다.
2.3.4	위부위탁계약 관련사항	신청기관의 개인정보업무를 외부 위탁하는 경우에는 개인정보보호에 관한 요구사항 및 관리감독에 관한 사항을 계약서 및 서비스 수준 협약서 상에 명시하여야 한다.
2 개인정보이용 및 제공에 따른 조치
2.4 제3자 제공시 동의를 득하고, 제3자에게 제공한 개인정보에 대한 보안관리방안을 마련하여야 한다.
2.4.1	제3자 제공시 동의	이용자의 개인정보를 제3자에게 제공하는 경우 모든 사항에 대하여 이용자에게 알리고 동의를 얻어야 한다.
2.4.2	제공받은 개인 정보의 관리	개인정보를 타 기관으로부터 제공받은 경우 제공받은 목적 외의 용도로 이용하지 않아야 하며, 제3자에게 제공하지 않아야 한다.
2.4.3	제3자 보안관리	제3자에게 개인정보에 대한 접근을 제공하는 경우 절차에 따라 통제하여야 한다.
2.4.4	제3자 제공 시 계약 관련사항	제3자에게 개인정보 또는 개인정보에 대한 접근을 제공하는 경우, 제3자가 제공하는 기관의 개인정보보호정책 준수 및 법적 요건을 만족하기 위한 방안을 마련하여야 한다.
2.5 양도,양수,합병 등 개인정보 이전 시 적절한 조치를 취하여야 한다.
2.5.1	개인정보를 이전하는 경우 보호조치	영업의 양도, 합병 등으로 개인정보를 이전하는 경우 적절한 조치를 취하여야 한다.
2.5.2	개인정보를 이전받는 경우 보호조치	영업의 양도, 합병 등으로 개인정보를 이전받은 경우 적절한 조치를 취하여야 한다.
2.6 개인정보를 해외로 이전하는 경우 적절한 보호조치를 취해야 한다.
2.6.1	해외 이전 시 보호조치	개인정보를 해외로 이전하는 경우 적절한 보호조치를 취해야 한다.
3. 개인정보관리 및 파기에 따른 조치
3.1 신청사업자는 개인정보 파기 내부규정을 마련하고 이에 따라 개인정보의 수집 목적이 달성된 경우 개인정보를 안전한 방법으로 지체없이 파기하여야 한다.
3.1.1	개인정보의 저장 및 관리	수집된 개인정보는 안전하게 저장 및 관리 하여야 하며 정확성을 유지 하여야 한다.
3.1.2	파기규정	개인정보의 보유기간 및 파기 관련 내부 규정이 마련되어야 한다.
3.1.3	파기시점	개인정보가 저장된 매체, 문서 등은 서비스 이용계약 해지 등 개인정보의 수집 목적이 달성된 경우 이를 지체 없이 파기해야 한다.
3.1.4	파기방법	개인정보는 안전한 방법으로 파기하여야 한다.
3.1.5	목적 달성 후 보유	개인정보의 수집목적 달성 후에도 개인정보를 관련 법령 등에 의해 일부 또는 전부를 보유한다면 정보주체에게 보유근거, 목적, 보유기간 및 항목에 대해 고지하거나 약관에 명시하고 최소한의 항목으로 제한하여야 한다.

	< 작성 時 주요 착안 사항 >
정보보호 대책은 기업의 정보보호 운영현황에 따라 선택할 수 있다. 선택하지 않은 통제항목의 경우 미선택 사유를 작성하여야 한다. 선택한 경우에는 선택이유 및 구현내용을 확인할 수 있도록 선택사유, 적용내용, 관련문서, 기록(증적자료)을 상세히 작성하여야 한다. o 상세내용 : 신청기관 참고사항. 각 통제항목별로 의미하는 바를 기재하였음 (운영현황 등의 작성 공란이 부족할 경우 상세내용 삭제) o 선택여부 : 정보보호 대책의 선택여부에 대해 Y(Yes) / N(No)로 표시 (N은 해당통제사항이 기업의 운영환경 상 적용되지 않는 경우에 선택) o 운영현황(또는 미선택사유) : 해당 통제사항에 대한 구축 및 실제 운영내용을 요약하여 작성하되 구축의 특성 및 정당성을 파악할 수 있도록 인증기준보다 상세히 작성. 통제사항을 선택하지 않은 경우 위험관리(위험평가 및 처리)의 결과 및 분석에 따른 미선택의 사유를 반드시 작성. o 관련문서(정책 또는 매뉴얼) : 인증기준을 만족하는 내용이 포함되어있는 기관의 문서(정책, 규정, 지침, 절차, 매뉴얼 등)의 제목을 작성하되 문서 내 부분에 해당할 경우 장, 절, 조 등을 상세하게 표시. 선택하지 않을 경우, 해당 근거를 확인할 수 있는 문서 및 문서 내 부분을 작성. 문서번호가 있다면 문서번호도 표시. o 기록(증적자료) : 인증기준을 만족하는 내용이 포함되어있는 기관의 운영기록(증적자료)의 제목(파일명) 및 번호를 작성. 통제사항에 관련된 위험분석결과, 계획, 취약점분석관련 자료도 기록하여 대책명세서를 통해 관련내용을 확인할 수 있도록 함. 관련증적이 시스템으로 관리되는 경우 해당 시스템 위치, 시스템명 및 관련 메뉴를 작성.

[별지4] 개인정보보호 관리체계 자가진단 대책 명세서 양식B (신청기관이 舊기준으로 개인정보보호 관리체계를 수립․운영한 경우)

□ 개인정보보호 관리과정

	< 작성 時 주요 착안 사항 >
정보보호관리과정은 필수적인 항목으로 해당 인증기준을 모두 선택하여야 한다. 운영여부와 운영내용을 확인할 수 있도록 다음 항목을 상세히 작성하여야 한다. 항목별 설명은 다음과 같다 o 상세내용 : 신청기관 참고사항. 각 통제항목별로 의미하는 바를 기재하였음 (운영현황 등의 작성 공란이 부족할 경우 상세내용 삭제) o 수립여부 : 정보보호관리과정은 필수적으로 수립 및 구축해야 하므로 자가진단을 통해 Y/N으로 수립 및 구축을 확인 o 운영현황 : 각 인증기준의 요구사항에 대해 어떻게 대응한 것인지 작성하는 것으로 누가, 언제, 무엇을, 어떻게 적용하고 있는지 상세히 작성 o 관련문서 : 인증기준을 만족하는 내용이 포함되어있는 기관의 문서 제목을 작성하되 문서 내 부분에 해당할 경우 장, 절, 조 등을 표시. 문서번호가 있다면 문서번호도 표시 o 기록(증적자료) : 인증기준을 만족하는 내용이 포함되어있는 기관의 기록(증적자료) 제목 및 번호를 작성

통제항목		상세내용	수립 여부	운영현황	관련문서 (정책, 지침 등 세부조항번호까지)	기록(증적자료)
1. 개인정보보호 정책수립 및 범위설정
1.1	개인정보보호정책 수립	조직이 수행하는 모든 개인정보보호 활동의 근거를 포함할 수 있도록 개인정보보호정책을 수립하고 동 정책은 국가나 관련 산업에서 정하는 개인정보보호 관련 법, 규제를 만족하여야 한다.
1.2	범위설정	조직에 미치는 영향을 고려하여 중요한 업무, 서비스, 조직, 자산 등을 포함할 수 있도록 개인정보보호 관리체계 범위를 설정하고 범위 내 모든 자산을 식별하여 문서화하여야 한다.
1.3	개인정보 흐름 파악	조직의 개인정보 관련 서비스 및 업무에서 개인정보 흐름을 파악하여 개인정보 흐름도를 작성해야 한다. 개인정보 흐름도는 취급상의 변화 등을 반영하여 주기적으로 검토하고 최신성을 유지해야 한다.
2. 경영진 책임 및 조직구성
2.1	경영진 참여	개인정보보호 관리체계 수립 및 운영 등 조직이 수행하는 개인정보보호 활동 전반에 경영진의 참여가 이루어질 수 있도록 보고 및 의사결정 체계를 수립하여야 한다.
2.2	개인정보보호 조직 구성 및 자원 할당	최고경영자는 조직의 규모, 업무 중요도 분석을 통해 개인정보보호 관리체계의 지속적인 운영이 가능하도록 개인정보보호관리책임자(CPO), 실무조직 등 개인정보보호 조직을 구성하고 개인정보보호 관리체계 운영 활동을 수행하는데 필요한 자원(예산 및 인력)을 확보하여야 한다.
3. 위험관리
3.1	위험관리 방법 및 계획 수립	관리적, 기술적, 물리적, 법적 분야 등 조직의 개인정보보호 전 영역에 대한 위험식별 및 평가가 가능하도록 위험관리 방법을 선정하고 위험관리의 전문성을 보장할 수 있도록 수행인원, 기간, 대상, 방법 등을 구체적으로 포함한 위험관리계획을 사전에 수립하여야 한다.
3.2	위험 식별 및 평가	위험관리 방법 및 계획에 따라 개인정보보호 전 영역에 대한 위험 식별 및 평가를 연 1회 이상 수행하고 그 결과에 따라 조직에서 수용 가능한 위험수준을 설정하여 관리하여야 한다.
3.3	개인정보보호대책 선정 및 이행계획 수립	위험을 수용 가능한 수준으로 감소시키기 위해 개인정보보호대책을 선정하고 그 보호대책의 구현 우선순위, 일정, 담당부서 및 담당자 지정, 예산 등을 포함한 이행계획을 수립하여 경영진의 승인을 받아야 한다.
4. 개인정보보호대책 구현
4.1	개인정보보호대책의 효과적 구현	개인정보보호대책의 이행계획에 따라 대책을 구현하고 경영진은 이행결과의 정확성 및 효과성 여부를 확인하여야 한다.
4.2	내부 공유 및 교육	구현된 개인정보보호 대책을 실제 운영 또는 시행할 부서 및 담당자를 파악하여 관련 내용을 공유하고 교육하여야 한다.
5. 사후관리
5.1	법적요구사항 준수검토	개인정보보호법, 위치정보보호법 등 조직이 준수해야 할 개인정보보호 관련 법적요구사항을 지속적으로 파악하여 최신성을 유지하고 준수여부를 지속적으로 검토하여야 한다.
5.2	개인정보보호 관리체계 운영현황 관리	개인정보보호 관리체계 범위 내에서 주기적 또는 상시적으로 수행해야 하는 활동을 문서화하고 그 운영현황을 지속적으로 관리하여야 한다.
5.3	내부감사	개인정보보호 관리체계 정책 및 법적 요구사항의 이행여부를 확인하기 위해 독립성 및 전문성을 확보할 수 있는 보안감사 조직의 구성, 감사 대상, 범위, 방법 등을 포함한 보안감사계획을 수립한다. 연 1회 이상 내부감사를 수행하고, 발견된 문제점은 보완조치를 완료하여 경영진 및 관련 책임자에게 보고하고 사후관리를 수행해야 한다.

□ 보호대책

통제항목		상세내용	선택 여부	운영현황 (또는 미선택사유)	관련문서 (정책, 지침 등 세부조항번호까지)	기록(증적자료)
1. 개인정보보호 정책
1.1 정책의 승인 및 공표
1.1.1	정책의 승인	개인정보보호정책은 이해관련자의 검토와 최고경영자의 승인을 받아야 한다.
1.1.2	정책의 공표	개인정보보호정책은 모든 임직원 및 관련자에게 이해하기 쉬운 형태로 전달하여야 한다.
1.2 정책의 체계
1.2.1	상위 정책과의 연계성	개인정보보호정책은 상위조직 및 관련 기관의 정책과 연계성을 유지하여야 한다.
1.2.2	정책시행 문서수립	개인정보보호정책의 구체적 시행을 위한 지침, 절차, 표준 등을 수립하고 관련 문서간의 일관성을 유지해야 한다.
1.3 정책의 유지관리
1.3.1	정책 검토	정기적으로 개인정보보호정책 및 시행문서의 타당성을 검토하고, 중대한 보안사고 발생, 새로운 위협 또는 취약성의 발견, 시스템 환경에 중대한 변화 등이 개인정보보호정책에 미치는 영향을 분석하여 필요한 경우 제･개정하여야 한다.
1.3.2	정책문서 관리	개인정보보호정책 및 정책 시행문서의 이력관리를 위해 제정, 개정, 배포, 폐기 등의 관리절차를 수립하고 문서는 최신본으로 유지하여야 한다. 또한 정책문서 시행에 따른 운영기록을 생성하여 유지하여야 한다.
2. 개인정보보호 조직
2.1 조직 체계
2.1.1	개인정보보호관리책임자 (CPO) 지정	이용자의 개인정보보호 및 개인정보와 관련한 고충 처리를 위해 개인정보관리책임자를 지정하여야 한다. 개인정보관리책임자는 조직의 임원이나 개인정보와 관련하여 이용자의 고충처리를 담당하는 부서의 장이 수행할 수 있다.
2.1.2	실무조직 구성	최고경영자는 개인정보보호관리책임자(CPO)의 역할을 지원하고 조직의 개인정보보호활동을 체계적으로 이행하기 위한 실무조직을 구성하고 조직 구성원의 정보보호 전문성을 고려하여야 한다.
2.1.3	부서별 개인 정보취급 책임자 및 담당자 지정	개인정보 취급부서의 개인정보보호 관련 의무 및 법 규정 준수 여부 등 감독․관리할 책임자 및 담당자를 지정하여야 한다.
2.1.4	개인정보보호 의사결정 기구 구성 및 운영	조직 전반에 걸친 개인정보보호 관련 중요한 의사결정을 할 수 있는 의사결정 기구를 구성․운영하여야 한다.
2.2 역할 및 책임
2.2.1	역할 및 책임	개인정보관리책임자 및 개인정보를 취급하는 각 부서의 책임자, 담당자에 대한 역할과 책임을 정의하고, 그 활동을 평가할 수 있는 체계를 마련하여야 한다.
2.2.2	보고 및 의사소통 체계	개인정보관리책임자 및 각 부서의 개인정보취급자, 담당자가 상호 의사소통할 수 있는 보고체계, 방법 및 절차를 정의하여야 한다.
3. 개인정보 자산분류
3.1 개인정보의 식별 및 책임
3.1.1	개인정보 식별 및 관리 자산별 책임할당	조직의 개인정보 및 개인정보 관리자산을 식별하고 관리 자산별로 업무 영향, 법적 준수사항 등을 고려하여 중요도를 결정해야 한다. 또한, 소유자, 관리자, 개인정보취급자를 확인하고, 적절한 통제를 유지하기 위해 책임 소재를 명확히 정의하여야 한다.
3.2 개인정보의 분류 및 취급
3.2.1	개인정보 및 자산별 보안등급과 취급	개인정보 및 개인정보 관리 자산에 대하여 보안등급을 부여하고 관리해야 한다. 또한, 보안등급에 따라 취급 절차를 정의․이행하여야 한다.
4. 개인정보 보호교육
4.1 교육 프로그램 수립
4.1.1	교육 계획	교육의 시기, 기간, 대상, 내용, 방법 등의 내용이 포함된 연간 개인정보보호 교육 계획을 수립․이행해야 한다.
4.1.2	교육 대상	교육 대상에는 개인정보보호 관리체계 범위 내 임직원 및 외부자를 모두 포함하여야 한다.
4.1.3	교육 내용 및 방법	교육에는 개인정보보호 및 개인정보보호 관리체계 개요, 보안사고 사례, 내부 규정 및 절차, 법적 책임 등의 내용을 포함하고 일반 임직원, 책임자, IT 및 개인정보보호 담당자 등 각 직무별 전문성 제고에 적합한 교육내용 및 방법을 정하여야 한다.
4.2 교육 시행 및 평가
4.2.1	교육 시행 및 평가	개인정보보호 관리체계 범위 내 임직원 및 외부자를 대상으로 연 1회 이상 교육을 시행하고 개인정보보호정책 및 절차의 중대한 변경, 조직 내․외부 보안사고 발생, 관련 법규 변경 등의 사유가 발생할 경우 추가 교육을 수행하여야 한다. 또한 교육 시행에 대한 기록을 남기고 평가하여야 한다.
5. 인적보안
5.1 개인정보 취급자 관리
5.1.1	개인정보 취급자 지정 및 감독	업무상 개인정보 취급하는 임직원의 경우 개인정보취급자로 지정하고 개인정보취급자 지정을 최소화 하는 등 관리할 수 있는 보호대책을 수립하여야 한다.
5.1.2	개인정보보호 서약	개인정보취급자에게 이용자 개인정보 취급에 대한 보안서약서를 받아야 한다. 임시직원이나 제3자에게 개인정보에 대한 접근권한을 부여할 경우에도 개인정보보호 취급에 대한 보안서약서에 서명을 받아야한다.
5.1.3	퇴직 및 직무변경 관리	퇴직 및 직무변경 시 인사부서와 개인정보보호 및 시스템 운영 부서 등 관련 부서에서 이행해야 할 자산반납, 접근권한 회수․조정, 결과 확인 등의 절차를 수립하여야 한다.
5.1.4	상벌규정	인사규정에 직원이 개인정보보호 책임을 충실히 이행하거나 이행하지 않는 경우 등 정보보호 활동 수행에 따른 상벌 규정을 포함하여야 한다.
6 침해사고 관리
6.1 절차 및 체계
6.1.1	침해사고 대응절차 수립	개인정보의 노출, 변경, 삭제에 대응하기 위한 긴급 연락체계, 개인정보 침해사고 발생 시 보고 및 대응, 사고 대응 조직의 구성 등을 포함한 개인정보 침해사고 대응절차를 수립하여야 한다.
6.1.2	침해사고 대응체계 구축	개인정보 침해사고 대응이 신속하게 이루어질 수 있도록 중앙 집중적인 대응체계를 구축하고 외부기관 및 전문가들과의 협조체계를 수립하여야 한다.
6.2 대응 및 복구
6.2.1	침해사고 대응훈련	개인정보 침해사고 대응 절차를 임직원들이 숙지할 수 있도록 시나리오에 따른 모의훈련을 실시하여야 한다.
6.2.2	침해사고 보고	개인정보 침해사고 징후 또는 사고 발생을 인지한 때에는 침해사고 유형별 보고절차에 따라 신속히 보고하고 법적 통지 및 신고 의무를 준수하여야 한다.
6.2.3	침해사고 처리 및 복구	개인정보 침해사고 대응절차에 따라 처리와 복구를 신속하게 수행하여야 한다.
6.3 사후관리
6.3.1	침해사고 분석 및 정보공유	개인정보 침해사고가 처리되고 종결된 후 이에 대한 분석을 수행하고 그 결과를 보고하여야 한다. 또한 개인정보 침해사고에 대한 정보와 발견된 취약점들을 관련 조직 및 임직원들과 공유하여야 한다.
6.3.2	침해사고 재발방지	개인정보 침해사고로부터 얻은 정보를 활용하여, 유사 사고가 반복되지 않도록 재발방지 대책을 수립하고 이를 위해 필요한 경우 정책, 절차, 조직 등의 대응체계를 변경하여야 한다.
7 기술적 보호조치
7.1 접근통제
7.1.1	접근통제 정책 수립	개인정보보호 요구사항을 기반으로 비인가자의 접근을 통제할 수 있도록 접근통제 영역 및 범위, 접근통제 규칙, 방법 등을 포함하여 개인정보취급자의 접근통제 정책을 수립하여야 한다.
7.1.2	개인정보취급자 등록	개인정보 및 개인정보처리시스템의 접근을 통제하기 위한 공식적인 개인정보취급자 등록 및 해지 절차를 마련하고 업무 필요성에 따라 개인정보취급자 접근권한을 최소한으로 부여하여야 한다.
7.1.3	개인정보취급자 권한관리	개인정보처리시스템의 접근권한은 최소한의 업무수행자에게만 부여하고 관련 내역을 관리해야 한다.
7.1.4	개인정보취급자 접근 권한 검토	개인정보 및 개인정보처리시스템을 사용하는 개인정보취급자에게 부여된 접근권한 현황을 정기적으로 점검해야 한다.
7.1.5	개인정보취급자 인증 및 식별	개인정보처리시스템의 접근을 개인정보취급자 인증, 로그인 횟수 제한, 불법 로그인 시도 경고 등 안전한 인증 절차에 따라 통제하고, 필요한 경우 법적요구사항 등을 고려하여 개인정보처리시스템 접근 시 강화된 인증방식을 적용해야 한다. 또한, 동일한 식별자를 공유하여 사용하는 경우 그 사유와 타당성을 검토하고 책임자의 승인을 받아야 한다.
7.1.6	개인정보 취급자 책임	법적요구사항, 외부 위협요인 등을 고려하여 개인정보처리시스템 및 개인정보에 대한 접근이 허용된 PC의 보안책임은 개인정보 취급자 자신에게 있음을 주지시키고 관리지침을 제공하여야 한다.
7.1.7	개인정보취급자 및 사용자 패스워드 관리	법적요구사항, 외부 위협요인 등을 고려하여 패스워드 복잡도, 초기 패스워드 변경, 변경주기 등 사용자 패스워드 관리절차를 수립하고 패스워드 관리 책임이 사용자에게 있음을 주지시켜야 한다. 특히, 개인정보취급자 패스워드는 별도 보호대책을 수립하여 관리하여야 한다.
7.1.8	특수권한 관리	개인정보 및 개인정보처리시스템에 특수 목적을 위해 부여한 계정 및 권한을 식별하고 별도 통제하여야 한다.
7.1.9	네트워크 접근	네트워크에 대한 비인가 접근을 통제하기 위해 필요한 네트워크 접근통제리스트, 네트워크 식별자 등에 대한 관리절차를 수립하고 서비스, 사용자 그룹, 개인정보 자산의 중요도에 따라 내･외부 네트워크를 분리하여야 한다.
7.1.10	서버 접근	서버별로 접근이 허용되는 사용자, 접근제한 방식, 안전한 접근수단 등을 정의하여 적용하여야 한다.
7.1.11	응용 프로그램 접근	사용자의 업무 또는 직무에 따라 개인정보를 취급하는 응용프로그램 접근권한을 제한하고 불필요한 개인정보의 노출을 최소화하여야 한다.
7.1.12	데이터베이스 접근	데이터베이스 접근을 허용하는 응용프로그램 및 사용자 직무를 명확하게 정의하고 응용프로그램 및 직무별 접근통제 정책을 수립하여야 한다. 또한 개인정보를 저장하고 있는 데이터베이스의 경우 사용자 접근내역을 기록하고 접근의 타당성을 정기적으로 검토하여야 한다.
7.1.13	모바일 기기 접근	모바일기기를 업무 목적으로 내․외부 네트워크에 연결하여 활용하는 경우 개인정보 유출 및 침해사고 예방을 위해 기기 인증 및 승인, 접근 범위, 기기 보안설정, 오남용 모니터링 등의 접근통제 대책을 수립하여야 한다.
7.1.14	인터넷 접속 통제	개인정보처리시스템에 접근 가능한 개인정보취급자의 인터넷 접속 또는 서비스(P2P, 웹메일, 웹하드, 메신저 등)를 제한하고 인터넷 접속은 침입차단시스템을 통해 통제하여야 한다. 필요시 침입탐지시스템 등을 통해 인터넷 접속내역을 모니터링하여야 한다.
7.2 암호통제
7.2.1	암호 정책 수립 및 이행	조직의 개인정보보호를 위한 암호화 대상, 암호 강도(복잡도), 키관리, 암호사용 대한 정책을 수립하고 이행하여야 한다. 또한 정책에는 개인정보 저장 및 전송 시 암호화 적용 등 암호화 관련 법적 요구사항을 반드시 반영하여야 한다.
7.2.2	암호키 생성 및 이용	암호키 생성, 이용, 보관, 배포, 파기에 관한 안전한 절차를 수립하고 필요 시 복구방안을 마련하여야 한다.
7.3 운영통제
7.3.1	운영절차 수립	개인정보처리시스템 동작에 문제 발생 시 재 동작 및 복구, 오류 및 예외사항 처리 등 시스템 운영을 위한 절차를 수립하여야 한다.
7.3.2	직무 분리	고의적이거나 부주의로 인한 개인정보처리시스템의 오남용 예방을 위해 직무를 분리하고, 직무 분리가 어려운 특수한 경우 별도의 관리감독 대책을 수립 한다.
7.3.3	변경관리	권한 오남용 등 고의적인 행위로 인해 발생할 수 있는 잠재적인 피해를 줄이기 위하여 직무 분리 기준을 수립하고 적용하여야 한다. 다만 인적자원 부족 등 불가피하게 직무분리가 어려운 경우 별도의 보완통제를 마련하여야 한다.
7.3.4	원격운영 관리	내부 네트워크를 통하여 개인정보처리시스템을 관리하는 경우 특정 단말에서만 접근을 할 수 있도록 제한하고, 원격지에서 인터넷 등 외부 네트워크를 통하여 개인정보시스템을 관리하는 것은 원칙적으로 금지한다. 부득이한 사유로 인해 허용하는 경우에는 책임자 승인, 접속 단말 및 사용자 인증, 구간 암호화, 접속단말 보안(백신, 패치 등) 등의 보호대책을 수립하여야 한다.
7.3.5	스마트워크 보안	재택근무, 원격협업 등과 같은 원격 업무 수행 시 이에 대한 관리적․기술적 보호대책을 수립하고 이행하여야 한다.
7.3.6	무선 네트워크 보안	무선랜 등을 통해 무선인터넷을 사용하는 경우 무선 네트워크 구간에 대한 보안을 강화하기 위해 사용자 인증, 송수신 데이터 암호화 등의 보호대책을 수립하여야 한다.
7.3.7	공개서버 보안	웹사이트 등에 정보를 공개하는 경우 정보 수집, 저장, 공개에 따른 허가 및 게시절차를 수립하고 공개서버에 대한 물리적, 기술적 보호대책을 수립하여야 한다.
7.3.8	악성코드 통제	바이러스, 웜, 트로이목마 등의 악성코드로부터 정보시스템을 보호하기 위해 악성코드 예방, 탐지, 대응 등의 보호대책을 수립하여야 한다.
7.3.9	패치관리	소프트웨어, 운영체제, 보안시스템 등의 취약점으로 인해 발생할 수 있는 침해사고를 예방하기 위해 최신 패치를 정기적으로 적용하고 필요한 경우 시스템에 미치는 영향을 분석하여야 한다.
7.3.10	백업관리	데이터의 무결성 및 개인정보처리시스템의 가용성을 유지하기 위해 백업 대상, 주기, 방법 등의 절차를 수립하고 침해사고 발생 시 바로 복구할 수 있도록 관리하여야 한다.
7.3.11	취약점 점검	개인정보처리시스템이 알려진 취약점에 노출되어 있는지 여부를 확인하기 위하여 정기적으로 기술적 취약점 점검을 수행하고 발견된 취약점들은 조치하여야 한다.
7.4 매체 보안
7.4.1	개인정보처리시스템 저장매체 관리	개인정보처리시스템 폐기 또는 재사용 시 개인정보를 담고 있는 하드디스크, 스토리지, 테잎 등의 저장매체 폐기 및 재사용 절차를 수립하고 매체에 기록된 개인정보는 복구 불가능하도록 완전히 삭제하여야 한다.
7.4.2	휴대용 저장매체 관리	조직의 개인정보 유출을 예방하기 위해 외장하드, USB, CD 등 휴대용 저장매체 취급, 보관, 폐기, 재사용에 대한 절차를 수립하여야 한다. 또한 매체를 통한 악성코드 감염 방지 대책을 마련하여야 한다.
7.5 시스템 개발보안
7.5.1	분석 및 설계 보안	개인정보처리시스템을 신규 개발하거나 구매, 기존 시스템 개선 등 환경에 의한 변경이 있을 경우, 개인정보 영향평가를 수행하고 평가 결과에 따른 보안요구사항을 포함하여 개발해야 한다.
7.5.2	구현 및 시험	안전한 코딩방법에 따라 개인정보처리시스템을 구현하고, 분석 및 설계과정에서 도출한 보안요구사항이 개인정보처리시스템에 적용되었는지 확인하기 위하여 시험을 수행하여야 한다. 또한 알려진 기술적 보안 취약성에 대한 노출여부를 점검하고 이에 대한 보안대책을 수립하여야 한다.
7.5.3	개발과 운영 환경 분리	개발 및 시험 시스템은 운영시스템에 대한 비인가 접근 및 변경 위험의 감소를 위해 원칙적으로 분리하여야 한다.
7.5.4	운영 환경 이관	개인정보처리시스템 운영 관련 프로그램의 수정은 적절한 권한을 부여받은 직원만이 수행해야 한다. 개인정보처리시스템은 실행코드만을 갖고, 성공적인 시험절차와 개인정보취급자 인수 후에 실행해야 한다.
7.5.5	시험 데이터 보안	시스템 시험 과정에서 운영데이터 유출을 예방하기 위해 시험 데이터 생성, 이용 및 관리, 파기, 기술적 보호조치 관한 절차를 수립․이행하여야 한다.
7.5.6	소스 프로그램 보안	소스 프로그램에 대한 변경관리를 수행하고 인가된 사용자만이 소스 프로그램에 접근할 수 있도록 통제절차를 수립하여 이행하여야 한다. 또한 소스 프로그램은 운영환경에 보관하지 않는 것을 원칙으로 한다.
7.5.7	외주 개발 보안	개인정보처리시스템의 개발을 외주 위탁하는 경우 분석 및 설계단계에서 구현 및 이관까지의 준수해야 할 보안요구사항을 계약서에 명시하고 이행여부를 관리․감독하여야 한다.
7.6 접속기록 관리 및 모니터링
7.6.1	시각동기화	로그기록의 정확성을 보장하고 법적인 자료로서 효력을 지니기 위해 정보시스템 시각을 공식 표준시각으로 정확하게 동기화 하여야 한다.
7.6.2	개인정보처리시스템 접속기록 저장	응용프로그램, DB 등 개인정보처리시스템에 대한 개인정보취급자의 접속기록(식별자, 접속일시, 개인정보 열람․수정․삭제․출력 등의 작업내역)을 저장하여야 한다.
7.6.3	개인정보처리시스템 접속 기록의 위․변조 방지	개인정보처리시스템의 접속기록은 위변˙조되지 않도록 접근권한 통제, 별도의 물리적인 저장장치 보관 등의 보안통제가 적용되어야 한다.
7.6.4	개인정보 처리활동 모니터링 및 점검	개인정보보호 업무의 수행과 관련하여 오류 및 부정행위가 발생하지 하지 않도록 개인정보처리 활동에 대한 모니터링 및 정기적 점검활동에 대한 지침, 절차를 수립․이행해야 한다. 또한 모니터링 및 점검결과에 따라 사후조치가 적시에 이루어져야 한다.
7.7 출력, 복사 통제
7.7.1	개인정보 출력 용도의 특정 및 보호대책	개인정보 출력시 용도를 특정하고 용도에 따라 출력 항목을 최소화한다. 또한, 개인정보 출력방법(테이프, 디스크, 인쇄, 휴대용 저장매체 등)에 따라 출력 일시, 방법 등 필요한 사항의 기록․관리 등 보호대책을 수립하여야 한다.
7.8 개인정보표시 제한
7.8.1	개인정보 마스킹	업무를 목적으로 개인정보 조회, 출력 등을 수행할 경우, 마스킹 기술 등을 통해 개인정보 표시를 제한하여야 한다.
8. 물리적 보호조치
8.1 보호구역
8.1.1	보호구역 지정	비인가자의 물리적 접근 및 각종 물리적, 환경적 재난으로부터 주요 설비 및 시스템을 보호하기 위하여 통제구역, 제한구역, 접견구역 등 물리적 보호구역을 지정하고 각 구역별 보호대책을 수립․이행하여야 한다.
8.1.2	보호설비	각 보호구역의 중요도 및 특성에 따라 화재, 전력이상 등 인․재해에 대비하여 온습도 조절, 화재감지, 소화설비, 누수감지, UPS, 비상발전기, 이중전원선 등의 설비를 충분히 갖추고 운영절차를 수립하여 운영하여야 한다. 또한 주요 개인정보처리시스템을 외부 집적정보통신시설에 위탁․운영하는 경우 관련 요구사항을 계약서에 반영하고 주기적으로 검토를 수행하여야 한다.
8.1.3	보호구역 내 작업	유지보수 등 주요 설비 및 시스템이 위치한 보호구역 내의 작업 절차를 수립하고 작업에 대한 기록을 주기적으로 검토하여야 한다.
8.1.4	출입통제	보호구역 및 보호구역 내 주요 설비 및 시스템은 인가된 사람만이 접근할 수 있도록 출입을 통제하고 책임추적성을 확보할 수 있도록 출입 및 접근 이력을 주기적으로 검토하여야 한다.
8.1.5	모바일 기기 반․출입	노트북 등 모바일 기기 미승인 반출입을 통한 중요정보 유출, 내부망 악성코드 감염 등의 보안사고 예방을 위하여 보호구역 내 임직원 및 외부자 모바일 기기 반출입 통제절차를 수립하고 기록․관리하여야 한다.
8.2 사무실 보호
8.2.1	개인업무 환경 보안	일정시간 동안 자리를 비울 경우에는 책상 위에 중요한 문서나 저장매체를 남겨놓지 않고 컴퓨터 화면에 중요정보가 노출되지 않도록 화면보호기 설정, 패스워드 노출 금지 등 보호대책을 수립하여야 한다.
8.2.2	공용업무 환경 보안	사무실에서 공용으로 사용하는 사무처리 기기, 문서고, 공용 PC, 파일서버 등을 통해 중요정보 유출이 발생하지 않도록 보호대책을 마련하여야 한다.
8.3 영상정보처리기기 보안
8.3.1	영상정보처리기기 이용제한, 안내판 설치, 관리	영상정보처리기기를 운영 하는 경우 설치 목적에 따라 법적 요구사항(안내판 설치, 안전성 확보에 필요한 조치 등)을 준수하여야 한다.

	< 작성 時 주요 착안 사항 >
정보보호 대책은 기업의 정보보호 운영현황에 따라 선택할 수 있다. 선택하지 않은 통제항목의 경우 미선택 사유를 작성하여야 한다. 선택한 경우에는 선택이유 및 구현내용을 확인할 수 있도록 선택사유, 적용내용, 관련문서, 기록(증적자료)을 상세히 작성하여야 한다. o 상세내용 : 신청기관 참고사항. 각 통제항목별로 의미하는 바를 기재하였음 (운영현황 등의 작성 공란이 부족할 경우 상세내용 삭제) o 선택여부 : 정보보호 대책의 선택여부에 대해 Y(Yes) / N(No)로 표시 (N은 해당통제사항이 기업의 운영환경 상 적용되지 않는 경우에 선택) o 운영현황(또는 미선택사유) : 해당 통제사항에 대한 구축 및 실제 운영내용을 요약하여 작성하되 구축의 특성 및 정당성을 파악할 수 있도록 인증기준보다 상세히 작성. 통제사항을 선택하지 않은 경우 위험관리(위험평가 및 처리)의 결과 및 분석에 따른 미선택의 사유를 반드시 작성. o 관련문서(정책 또는 매뉴얼) : 인증기준을 만족하는 내용이 포함되어있는 기관의 문서(정책, 규정, 지침, 절차, 매뉴얼 등)의 제목을 작성하되 문서 내 부분에 해당할 경우 장, 절, 조 등을 상세하게 표시. 선택하지 않을 경우, 해당 근거를 확인할 수 있는 문서 및 문서 내 부분을 작성. 문서번호가 있다면 문서번호도 표시. o 기록(증적자료) : 인증기준을 만족하는 내용이 포함되어있는 기관의 운영기록(증적자료)의 제목(파일명) 및 번호를 작성. 통제사항에 관련된 위험분석결과, 계획, 취약점분석관련 자료도 기록하여 대책명세서를 통해 관련내용을 확인할 수 있도록 함. 관련증적이 시스템으로 관리되는 경우 해당 시스템 위치, 시스템명 및 관련 메뉴를 작성.

□ 생명주기

	< 작성 時 주요 착안 사항 >
정보보호 대책은 기업의 정보보호 운영현황에 따라 선택할 수 있다. 선택하지 않은 통제항목의 경우 미선택 사유를 작성하여야 한다. 선택한 경우에는 선택이유 및 구현내용을 확인할 수 있도록 선택사유, 적용내용, 관련문서, 기록(증적자료)을 상세히 작성하여야 한다. o 상세내용 : 신청기관 참고사항. 각 통제항목별로 의미하는 바를 기재하였음 (운영현황 등의 작성 공란이 부족할 경우 상세내용 삭제) o 선택여부 : 정보보호 대책의 선택여부에 대해 Y(Yes) / N(No)로 표시 (N은 해당통제사항이 기업의 운영환경 상 적용되지 않는 경우에 선택) o 운영현황(또는 미선택사유) : 해당 통제사항에 대한 구축 및 실제 운영내용을 요약하여 작성하되 구축의 특성 및 정당성을 파악할 수 있도록 인증기준보다 상세히 작성. 통제사항을 선택하지 않은 경우 위험관리(위험평가 및 처리)의 결과 및 분석에 따른 미선택의 사유를 반드시 작성. o 관련문서(정책 또는 매뉴얼) : 인증기준을 만족하는 내용이 포함되어있는 기관의 문서(정책, 규정, 지침, 절차, 매뉴얼 등)의 제목을 작성하되 문서 내 부분에 해당할 경우 장, 절, 조 등을 상세하게 표시. 선택하지 않을 경우, 해당 근거를 확인할 수 있는 문서 및 문서 내 부분을 작성. 문서번호가 있다면 문서번호도 표시. o 기록(증적자료) : 인증기준을 만족하는 내용이 포함되어있는 기관의 운영기록(증적자료)의 제목(파일명) 및 번호를 작성. 통제사항에 관련된 위험분석결과, 계획, 취약점분석관련 자료도 기록하여 대책명세서를 통해 관련내용을 확인할 수 있도록 함. 관련증적이 시스템으로 관리되는 경우 해당 시스템 위치, 시스템명 및 관련 메뉴를 작성.

통제항목		상세내용	선택 여부	운영현황 (또는 미선택사유)	관련문서 (정책, 지침 등 세부조항번호까지)	기록(증적자료)
1. 개인정보수집에 따른 조치
1.1 최소한의 정보수집
1.1.1	서비스 제공을 위해 필요한 최소한의 정보수집	서비스 제공을 위해 필요한 최소한의 정보만을 수집해야 한다. 개인정보 수집 시 필수와 선택 사항으로 구분하여 기재할 수 있도록 하여야 하며, 선택 사항의 정보를 제공하지 않는다는 이유로 서비스 제공을 거부하여서는 아니 된다.
1.1.2	중요 개인정보 수집 제한	개인의 사생활을 현저하게 침해할 우려가 있거나 개인을 식별할 수 있는 민감하고 중요한 개인정보를 수집하지 않아야 하며, 수집이 필요한 경우 이용자의 별도 동의를 받아야 한다.
1.1.3	간접 수집 시 조치	시스템에 의한 수집 또는 개인정보 처리를 통해 생성하여 간접 수집한 개인정보에 대하여 적절한 보호대책을 수립․이행해야 한다.
1.1.4	주민등록번호 수집․이용 제한	법령에서 이용자의 주민등록번호 수집·이용을 허용한 경우를 제외하고 주민등록번호를 수집·이용하면 아니 된다.
1.1.5	주민등록번호 대체수단	법령에서 이용자의 주민등록번호 수집·이용을 허용한 경우에도 공인인증서, 아이핀 등 주민등록번호 대체수단을 제공해야 한다.
1.2 개인정보수집 시 고지 및 동의 획득
1.2.1	이용자 동의	개인정보는 이용자의 동의를 얻은 후에 수집해야 한다.
1.2.2	법정대리인 동의 획득 및 고지	만14세 미만의 아동의 개인정보를 수집 할 경우 법정대리인에게 필요한 사항을 고지해야 한다.
1.2.3	동의기록 보관	이용자 동의 기록은 이용자가 탈퇴하여 관련 기록을 파기․폐기 전까지 안전하게 보관해야 한다.
1.2.4	고유식별번호 별도 동의	고유식별번호를 수집하게 될 경우에는 다른 개인정보 동의와는 별도로 추가 동의를 얻은 후 수집해야 된다.
1.3 개인정보취급방침
1.3.1	개인정보취급방침 마련 및 게시	개인정보취급방침을 마련하고 이용자가 언제든지 쉽게 확인할 수 있도록 적절한 방법에 따라 공개해야 한다.
2. 개인정보이용 및 제공에 따른 조치
2.1 동의 범위 내 개인정보 사용
2.1.1	목적 내 개인정보 이용	개인정보는 이용자에게 고지하고 동의 받은 범위를 벗어나 이용하지 않아야 하고, 만약 동의 범위를 벗어나 이용할 경우, 이용자로부터 추가적으로 동의를 받아야 한다.
2.2 역할 및 책임
2.2.1	이용자의 불만 처리	개인정보와 관련한 이용자의 의견 및 불만을 접수․처리하기 위하여 상담창구를 운영해야 한다.
2.2.2	열람정정 요구권 보장 및 처리	이용자가 자신의 개인정보에 대한 열람 또는 이용 및 제공 내역을 요청할 경우 이에 대해 지체 없이 대응․조치해야한다.
2.2.3	동의철회	이용자가 개인정보 수집ㆍ이용ㆍ제공 등의 동의 철회를 요청하면 지체 없이 대응․조치해야한다.
2.2.4	개인정보 이용내역 통지	수집한 이용자의 개인정보 이용내역을 주기적으로 이용자에 통지해야 한다.
2.2.5	개인정보 누출 등 통지․신고 절차 및 방법	개인정보의 분실·도난·누출 사실은 지체 없이 이용자에 고지하고 소관 부처 및 전문기관에 신고해야 하며, 개인정보 누출에 따른 통지 및 신고 방법․절차를 수립․이행해야 한다.
2.2.6	개인정보 누출 등 대책 마련	개인정보 누출에 따른 통지 및 신고의 방법·절차를 수립․이행해야 한다.
2.3 외부 위탁 시 개인정보보호
2.3.1	이용자 고지 및 동의	개인정보 누출에 따른 통지 및 신고의 방법·절차를 수립․이행해야 한다.
2.3.2	위탁자 책임	제3자에게 이용자의 개인정보를 처리할 수 있도록 업무를 위탁하는 경우에는 수탁자, 수탁목적 등의 사항을 이용자에게 알리고 동의를 얻어야 한다.
2.3.3	외부위탁 관리 감독	위탁자는 개인정보의 위탁 시 수탁자가 안전하게 개인정보를 취급하도록 관리․감독해야 하고, 수탁자가 법․규정 위반한 경우를 대비하여 처리절차를 수립․이행해야 한다.
2.3.4	외부위탁계약 시 보안 요구사항	외부위탁 업체가 계약서 및 서비스 수준 협약에 명시된 사항을 충분히 이행하는지 상시 관리 감독하고 주기적으로 점검 또는 감시를 해야한다.
2 개인정보이용 및 제공에 따른 조치
2.4 제3자 제공시 개인정보보호
2.4.1	제3자 제공시 동의	이용자의 개인정보를 제3자에게 제공하는 경우, 제공받는 자, 제공목적 등 관련 내용을 이용자에게 알리고 동의를 얻어야 한다.
2.4.2	제공받은 개인정보의 관리	개인정보를 제공받은 경우 제공받은 목적 외의 용도로 이용하지 않고, 제3자에게 제공하지 않아야 한다.
2.4.3	제3자 보안	제3자에게 개인정보의 접근을 허용하는 경우 개인정보를 안전하게 보호하기 위한 보호절차에 따라 통제해야 한다.
2.5 개인정보이전 시 개인정보보호
2.5.1	개인정보 이전 시 보호조치	영업의 양도, 합병 등으로 개인정보를 이전하는 경우 적절한 보호대책을 수립․이행해야 한다.
2.5.2	해외 이전 시 보호조치	개인정보를 해외로 이전하는 경우 개인정보 항목 등에 대한 이용자 동의를 얻고 적절한 보호대책을 수립․이행해야 한다.
3. 개인정보관리 및 파기에 따른 조치
3.1 개인정보관리 및 파기
3.1.1	개인정보의 저장 및 관리	수집된 개인정보는 안전하게 저장 및 관리 하여야 하며 정확성을 유지 하여야 한다.
3.1.2	파기규정	개인정보의 보유기간 및 파기 관련 내부 규정이 마련되어야 한다.
3.1.3	파기시점	개인정보가 저장된 매체, 문서 등은 서비스 이용계약 해지 등 개인정보의 수집 목적이 달성된 경우 이를 지체 없이 파기해야 한다.
3.1.4	파기방법	개인정보는 안전한 방법으로 파기하여야 한다.
3.1.5	목적 달성 후 보유	개인정보의 수집목적 달성 후에도 개인정보를 관련 법령 등에 의해 일부 또는 전부를 보유한다면 정보주체에게 보유근거, 목적, 보유기간 및 항목에 대해 고지하거나 약관에 명시하고 최소한의 항목으로 제한하여야 한다.
3.1.6	휴면 이용자의 개인정보 파기	일정기간 동안 이용하지 않는 휴먼 이용자의 개인정보를 보호하기 위해 개인정보 삭제 예정고지와 삭제조치 및 안내를 등 보호조치를 취해야 한다.