작은 물개의 개인정보보호 실무노트

[ISO 27001:2022] 정보보호 통제항목 93개 정리·엑셀 체크리스트

엑셀 체크리스트 다운로드 안내전체 93개 통제항목과 적용 여부·이행 상태·증적을 기록할 수 있는 엑셀 파일입니다.파일에는 열기 비밀번호가 설정되어 있습니다. 필요하신 분은 이 글에 비밀댓글을 남겨주시면 답글로 비밀번호를 안내해 드리겠습니다. ISO 27001 인증 준비 시 참고할 수 있도록 2022년판 Annex A의 전체 통제항목을 정리했습니다.통제번호·통제명·핵심 내용 순서이며, 통제명과 설명은 이해를 돕기 위한 한글 요약입니다. 공식 번역문이나 요구사항 전문은 아닙니다. 구분 통제 번호 항목 수 조직적 통제A.5.1~A.5.3737개인적 통제A.6.1~A.6.88개물리적 통제A.7.1~A.7.1414개기술적 통제A.8.1~A.8.3434개합계 93개 A.5 조직적 통제 - 37개 통제번호 통..

탈퇴한 회원 정보, 5년 보관해야 할까 - 법제처가 정리한 전자상거래법 제6조 제2항의 의미

법제처 법령해석 25-1025 (2026. 2. 19. 회신) / 질의기관: 공정거래위원회 해석례 원문은 국가법령정보센터 법령해석 검색에서 확인할 수 있습니다. 고객센터에서 문의가 넘어옵니다. 탈퇴한 회원이 자기 정보를 전부 지워달라고 했는데 어떻게 답해야 하느냐고요.이때 담당자가 자주 쓰는 답이 있습니다. 전자상거래법에 따라 계약과 청약철회 기록은 5년간 보존해야 하므로 삭제가 어렵다는 것입니다.그런데 올해 2월 법제처가 이 문제에 답을 내놨습니다. 공정거래위원회가 질의한 건인데, 동의를 철회한 소비자에 대해서까지 보존을 강제하는 것은 아니라는 결론입니다.조문이 두 개로 나뉘어 있습니다먼저 전자상거래법 제6조를 정확히 읽어볼 필요가 있습니다. 제1항과 제2항이 서로 다른 말을 하고 있기 때문입니다.① ..

대법원 2024. 8. 23. 선고 2020도18397 판결 (개인정보보호법위반) 판결문 원문은 대법원 종합법률정보(glaw.scourt.go.kr)에서 확인할 수 있습니다.관리실 문이 열리고 누군가 들어와서 말합니다. 어제 저녁에 여기서 무슨 일이 있었는지 CCTV 좀 볼 수 있냐고요. 파일로 달라는 것도 아니고 그냥 화면으로 확인만 하겠다고 합니다.이런 요청이 오면 담당자 머릿속에서 대개 이런 계산이 돌아갑니다. 복사해서 주는 건 안 되지만 잠깐 보여주는 정도는 괜찮지 않나. 어차피 파일이 밖으로 나가는 것도 아니고, 확인만 하고 가는 건데.대법원이 2024년에 이 계산에 답을 내놨습니다. 보여주는 것도 제공이 될 수 있다는 것입니다. 장례식장에서 벌어진 일강원도 양구의 한 장례식장에서 있었던 사건입..

앞선 3편에서는 개인정보처리시스템에 누가 접근할 수 있는지, 어디까지 접근할 수 있는지, 개인정보를 어떻게 암호화할지​를 살펴봤습니다.하지만 권한을 잘 설정해두는 것만으로는 충분하지 않습니다.실제로 누가 어떤 개인정보를 조회했는지 확인할 수 있어야 하고, 대량 다운로드와 같은 이상행위를 점검할 수 있어야 합니다. 시스템 취약점이나 악성프로그램으로 개인정보가 유출되지 않도록 운영단계의 보호조치도 필요합니다.이번 편에서는 접속기록, 개인정보 다운로드, 취약점, 악성프로그램 등 시스템 운영단계에서 확인할 사항​을 정리해보겠습니다.30초 요약ㅁ 개인정보 처리내역을 확인할 수 있는 접속기록이 생성되는가ㅁ 접속기록에 사용자, 접속일시, 처리대상, 수행업무 등이 남는가ㅁ 접속기록을 법령에서 정한 기간 동안 보관할 수..

1편에서는 개인정보를 어떤 근거로 수집·이용하는지, 2편에서는 수집한 개인정보가 ​어디로 제공·위탁되고 언제까지 보관되는지를 살펴봤습니다.개인정보 처리구조를 정리했다면 이제 실제 시스템을 봐야 합니다.관리자 페이지에는 누가 접속할 수 있는지, 직원마다 필요한 권한만 부여되는지, 외부에서 관리자 시스템에 접속할 수 있는지, 개인정보는 안전하게 저장·전송되는지 등을 확인해야 합니다.이번 편에서는 개인정보처리시스템의 보호조치 중 접근권한, 접근통제, 암호화​를 중심으로 정리해보겠습니다.30초 요약신규 서비스라면 아래 항목부터 확인합니다. ㅁ 개인정보가 저장·조회·수정되는 시스템을 식별했는가 ㅁ 관리자 등 개인정보취급자의 계정을 개인별로 발급하는가 ㅁ 업무에 필요한 최소한의 권한만 부여하는가 ㅁ 조회·수정..

1편에서는 신규 서비스에서 어떤 개인정보를 왜 처리하는지를 중심으로 확인했습니다. 개인정보 항목과 처리 목적이 정리됐다면, 그다음에는 해당 개인정보가 우리 회사 안에서만 사용되는지 아니면 외부 업체나 다른 회사로 전달되는지를 봐야 합니다.실제로 신규 서비스를 검토하다 보면 본인인증, 문자·이메일 발송, CRM, 클라우드, SaaS 등 여러 외부 사업자가 붙는 경우가 많습니다.이번 글에서는 제3자 제공, 처리위탁, 재위탁, 국외이전 그리고 보유·파기까지 이어서 정리해보겠습니다.30초 요약 - 외부로 나가는 순간부터 확인합니다. 구분 확인할 사항 체크 외부업체개인정보를 처리하는 외부 사업자가 있는가□제공정보외부업체에 어떤 개인정보가 전달되는가□처리관계제3자 제공인지 처리위탁인지 구분했는가□제공근거제3자 ..

신규 서비스나 기능을 오픈할 때 개인정보보호 담당자에게 보안성 검토 요청이 들어옵니다. 보통 화면설계서와 개인정보 수집·이용 동의서를 먼저 받게 되는데, 실제 검토는 동의서보다 서비스에서 어떤 개인정보가 발생하고 어떻게 이용되는지 파악하는 것부터 시작하는 게 좋습니다. 동의서는 결국 실제 개인정보 처리구조를 사용자에게 보여주는 결과물이기 때문입니다.이번 글에서는 신규 서비스를 검토할 때 확인하는 내용 중 개인정보 수집·이용 단계를 체크리스트 형태로 정리해보겠습니다. ※ 여기서 말하는 '보안성 검토'는 개인정보 보호법에 해당 명칭의 절차가 별도로 있다는 의미가 아니라, 서비스 오픈 전 개인정보보호 관련 요구사항을 확인하기 위해 회사 내부에서 수행하는 사전 검토를 의미합니다.30초 요약 - 우선 이것부터 확..

헌법재판소 2025. 10. 23. 선고 2024헌바153 결정 (구 개인정보 보호법 제39조의15 제1항 제5호 위헌소원) 결정문 원문은 헌법재판소 판례정보(search.ccourt.go.kr)에서 확인할 수 있습니다. 유출 사고가 터지면 담당자 머릿속에 제일 먼저 떠오르는 질문이 있습니다. 우리가 조치를 안 해서 뚫린 건가, 아니면 조치를 다 했는데도 뚫린 건가. 그리고 그 답에 따라 과징금이 달라지는가.실무에서는 이 구분이 잘 안 됩니다. 침입차단시스템은 있었는데 룰이 느슨했다든가, 접속기록은 남기는데 위변조 방지가 안 되어 있다든가 하는 어중간한 상태가 대부분이기 때문입니다. 그래서 "그 미비점 때문에 털린 게 아닌데도 과징금을 맞나"라는 물음이 남습니다.작년 10월 헌법재판소가 이 물음에 정면으..

6년 전에 글을 쓰면서 이런 말을 적었다. 보안담당자가 되려고 관제나 컨설팅을 거치는 사람이 많을 것이다, 담당자 자리는 대부분 경력을 선호하기 때문이다, 파견관제에 나가면 담당자가 무슨 일을 하는지 최소한 엿볼 수는 있다고.그 글을 쓸 때는 남 얘기였다. 그런데 그러고 1년 뒤에 내가 그 길을 갔다. 관제를 4년 5개월 하고 개인정보보호 담당자로 옮겼고, 지금은 담당자로 5년째다.글끝에 다음 편에서는 근무패턴과 회사 고르는 팁을 쓰겠다고 해놓고, 글에서 근무패턴만 다루고 6년을 묵혔다. 회사 고르는 팁 대신 이 이야기를 적는 게 지금은 더 쓸모 있을 것 같다. 왜 옮겼나관제 업무 자체가 싫었던 건 아니다. 은행에 파견을 나가 있었으니 절차는 촘촘했고, ESM으로 패턴을 관리하고 침해 대응을 하고 방화벽..

기획부서에서 검토 요청이 옵니다. 쇼핑몰에서 새 이벤트를 하려는데 개인정보 쪽에 문제가 없는지 봐달라는 겁니다. 열어보면 그대로는 어려운 경우가 대부분입니다.당연한 일입니다. 그쪽은 매출을 만드는 게 목표고 법을 모르는 게 정상입니다. 그리고 우리 역할도 그 기획을 못 하게 막는 데 있지 않습니다. 어떤 방식이면 가능한지를 찾아주고, 남는 위험을 줄이고, 나중에 문제가 되더라도 설명할 수 있도록 근거를 남겨두는 것. 그게 검토라는 일입니다.그러려면 법을 읽을 줄 알아야 하는데, 개인정보 보호법 조문부터 외우는 건 순서가 아닙니다. 그 조문이 어디에 놓여 있는지를 먼저 알아야 합니다. 같은 문장이라도 법률에 있는지 고시에 있는지에 따라 무게가 다르고, 우리 회사에 적용되는 법이 개인정보 보호법이 아닐 수도..