작은 물개의 개인정보보호 실무노트

ISMS와 ISO 27001을 함께 준비하면서, ISMS 심사를 위해 정리한 증적을 ISO 27001에도 연결해 사용하는 경우가 있었습니다.계정관리대장, 교육 결과보고서, 취약점 조치 내역처럼 공통으로 활용할 수 있는 자료가 있기 때문입니다. 다만 항목번호를 연결한 뒤에는 해당 증적이 ISO 인증범위와 통제 요구사항까지 설명하는지 확인해야 합니다. 30초 요약 구분 핵심 내용 실무에서 할 일 기존 증적 활용동일한 보안 활동의 기록을 두 인증에 연결 가능ISMS 증적목록에 ISO 통제번호 연결매핑 시 주의항목이 연결되어도 요구사항이 모두 충족되는 것은 아님범위·내용·운영기록의 부족한 부분 확인별도 확인Annex A 외에 본문 요구사항과 SoA도 검토 필요위험평가·내부심사·경영검토 자료 함께 점검매핑표 ..

엑셀 체크리스트 다운로드 안내전체 93개 통제항목과 적용 여부·이행 상태·증적을 기록할 수 있는 엑셀 파일입니다.파일에는 열기 비밀번호가 설정되어 있습니다. 필요하신 분은 이 글에 비밀댓글을 남겨주시면 답글로 비밀번호를 안내해 드리겠습니다. ISO 27001 인증 준비 시 참고할 수 있도록 2022년판 Annex A의 전체 통제항목을 정리했습니다.통제번호·통제명·핵심 내용 순서이며, 통제명과 설명은 이해를 돕기 위한 한글 요약입니다. 공식 번역문이나 요구사항 전문은 아닙니다. 구분 통제 번호 항목 수 조직적 통제A.5.1~A.5.3737개인적 통제A.6.1~A.6.88개물리적 통제A.7.1~A.7.1414개기술적 통제A.8.1~A.8.3434개합계 93개 A.5 조직적 통제 - 37개 통제번호 통..

법제처 법령해석 25-1025 (2026. 2. 19. 회신) / 질의기관: 공정거래위원회 해석례 원문은 국가법령정보센터 법령해석 검색에서 확인할 수 있습니다. 고객센터에서 문의가 넘어옵니다. 탈퇴한 회원이 자기 정보를 전부 지워달라고 했는데 어떻게 답해야 하느냐고요.이때 담당자가 자주 쓰는 답이 있습니다. 전자상거래법에 따라 계약과 청약철회 기록은 5년간 보존해야 하므로 삭제가 어렵다는 것입니다.그런데 올해 2월 법제처가 이 문제에 답을 내놨습니다. 공정거래위원회가 질의한 건인데, 동의를 철회한 소비자에 대해서까지 보존을 강제하는 것은 아니라는 결론입니다.조문이 두 개로 나뉘어 있습니다먼저 전자상거래법 제6조를 정확히 읽어볼 필요가 있습니다. 제1항과 제2항이 서로 다른 말을 하고 있기 때문입니다.① ..

대법원 2024. 8. 23. 선고 2020도18397 판결 (개인정보보호법위반) 판결문 원문은 대법원 종합법률정보(glaw.scourt.go.kr)에서 확인할 수 있습니다.관리실 문이 열리고 누군가 들어와서 말합니다. 어제 저녁에 여기서 무슨 일이 있었는지 CCTV 좀 볼 수 있냐고요. 파일로 달라는 것도 아니고 그냥 화면으로 확인만 하겠다고 합니다.이런 요청이 오면 담당자 머릿속에서 대개 이런 계산이 돌아갑니다. 복사해서 주는 건 안 되지만 잠깐 보여주는 정도는 괜찮지 않나. 어차피 파일이 밖으로 나가는 것도 아니고, 확인만 하고 가는 건데.대법원이 2024년에 이 계산에 답을 내놨습니다. 보여주는 것도 제공이 될 수 있다는 것입니다. 장례식장에서 벌어진 일강원도 양구의 한 장례식장에서 있었던 사건입..

앞선 3편에서는 개인정보처리시스템에 누가 접근할 수 있는지, 어디까지 접근할 수 있는지, 개인정보를 어떻게 암호화할지​를 살펴봤습니다.하지만 권한을 잘 설정해두는 것만으로는 충분하지 않습니다.실제로 누가 어떤 개인정보를 조회했는지 확인할 수 있어야 하고, 대량 다운로드와 같은 이상행위를 점검할 수 있어야 합니다. 시스템 취약점이나 악성프로그램으로 개인정보가 유출되지 않도록 운영단계의 보호조치도 필요합니다.이번 편에서는 접속기록, 개인정보 다운로드, 취약점, 악성프로그램 등 시스템 운영단계에서 확인할 사항​을 정리해보겠습니다.30초 요약ㅁ 개인정보 처리내역을 확인할 수 있는 접속기록이 생성되는가ㅁ 접속기록에 사용자, 접속일시, 처리대상, 수행업무 등이 남는가ㅁ 접속기록을 법령에서 정한 기간 동안 보관할 수..

1편에서는 개인정보를 어떤 근거로 수집·이용하는지, 2편에서는 수집한 개인정보가 ​어디로 제공·위탁되고 언제까지 보관되는지를 살펴봤습니다.개인정보 처리구조를 정리했다면 이제 실제 시스템을 봐야 합니다.관리자 페이지에는 누가 접속할 수 있는지, 직원마다 필요한 권한만 부여되는지, 외부에서 관리자 시스템에 접속할 수 있는지, 개인정보는 안전하게 저장·전송되는지 등을 확인해야 합니다.이번 편에서는 개인정보처리시스템의 보호조치 중 접근권한, 접근통제, 암호화​를 중심으로 정리해보겠습니다.30초 요약신규 서비스라면 아래 항목부터 확인합니다. ㅁ 개인정보가 저장·조회·수정되는 시스템을 식별했는가 ㅁ 관리자 등 개인정보취급자의 계정을 개인별로 발급하는가 ㅁ 업무에 필요한 최소한의 권한만 부여하는가 ㅁ 조회·수정..

1편에서는 신규 서비스에서 어떤 개인정보를 왜 처리하는지를 중심으로 확인했습니다. 개인정보 항목과 처리 목적이 정리됐다면, 그다음에는 해당 개인정보가 우리 회사 안에서만 사용되는지 아니면 외부 업체나 다른 회사로 전달되는지를 봐야 합니다.실제로 신규 서비스를 검토하다 보면 본인인증, 문자·이메일 발송, CRM, 클라우드, SaaS 등 여러 외부 사업자가 붙는 경우가 많습니다.이번 글에서는 제3자 제공, 처리위탁, 재위탁, 국외이전 그리고 보유·파기까지 이어서 정리해보겠습니다.30초 요약 - 외부로 나가는 순간부터 확인합니다. 구분 확인할 사항 체크 외부업체개인정보를 처리하는 외부 사업자가 있는가□제공정보외부업체에 어떤 개인정보가 전달되는가□처리관계제3자 제공인지 처리위탁인지 구분했는가□제공근거제3자 ..

신규 서비스나 기능을 오픈할 때 개인정보보호 담당자에게 보안성 검토 요청이 들어옵니다. 보통 화면설계서와 개인정보 수집·이용 동의서를 먼저 받게 되는데, 실제 검토는 동의서보다 서비스에서 어떤 개인정보가 발생하고 어떻게 이용되는지 파악하는 것부터 시작하는 게 좋습니다. 동의서는 결국 실제 개인정보 처리구조를 사용자에게 보여주는 결과물이기 때문입니다.이번 글에서는 신규 서비스를 검토할 때 확인하는 내용 중 개인정보 수집·이용 단계를 체크리스트 형태로 정리해보겠습니다. ※ 여기서 말하는 '보안성 검토'는 개인정보 보호법에 해당 명칭의 절차가 별도로 있다는 의미가 아니라, 서비스 오픈 전 개인정보보호 관련 요구사항을 확인하기 위해 회사 내부에서 수행하는 사전 검토를 의미합니다.30초 요약 - 우선 이것부터 확..

헌법재판소 2025. 10. 23. 선고 2024헌바153 결정 (구 개인정보 보호법 제39조의15 제1항 제5호 위헌소원) 결정문 원문은 헌법재판소 판례정보(search.ccourt.go.kr)에서 확인할 수 있습니다. 유출 사고가 터지면 담당자 머릿속에 제일 먼저 떠오르는 질문이 있습니다. 우리가 조치를 안 해서 뚫린 건가, 아니면 조치를 다 했는데도 뚫린 건가. 그리고 그 답에 따라 과징금이 달라지는가.실무에서는 이 구분이 잘 안 됩니다. 침입차단시스템은 있었는데 룰이 느슨했다든가, 접속기록은 남기는데 위변조 방지가 안 되어 있다든가 하는 어중간한 상태가 대부분이기 때문입니다. 그래서 "그 미비점 때문에 털린 게 아닌데도 과징금을 맞나"라는 물음이 남습니다.작년 10월 헌법재판소가 이 물음에 정면으..

예전에 보안관제에 관한 글을 쓰면서, 보안담당자가 되기 위해 관제나 컨설팅에서 경력을 쌓는 경우가 있다고 적었다.이후 나도 비슷한 경로로 직무를 옮겼다. 보안관제 업무를 4년 5개월 정도 했고, 2021년에 개인정보보호 담당자로 이직했다.이번에는 당시 어떤 생각으로 이직을 준비했고, 관제 경험이 새로운 업무에 어떻게 도움이 됐는지 정리해보려고 한다. 관제에서 다른 보안 직무로 이동하려는 분들에게 하나의 참고 사례가 되었으면 한다. 1. 관제에서 개인정보보호로 관심이 옮겨간 이유당시에는 은행에 파견되어 관제 업무를 하고 있었다. ESM을 통한 보안 이벤트 분석과 패턴 관리, 침해 대응, 방화벽·IPS 등 보안장비 운영을 경험했고 엔드포인트 영역의 업무도 접했다.관제 업무 자체가 싫어서 이직을 생각한 것은 ..