그사람.net

항목 : 2.4.3 정보시스템 보호 ■ 인증기준 : 정보시스템은 환경적 위협과 유해요소, 비인가 접근 가능성을 감소시킬 수 있도록 중요도와 특성을 고려하여 배치하고, 통신 및 전력 케이블이 손상을 입지 않도록 보호하여야 한다. ■ 주요 확인사항 정보시스템의 중요도, 용도, 특성 등을 고려하여 배치 장소를 분리하고 있는가? 정보시스템의 실제 물리적 위치를 손쉽게 확인할 수 있는 방안을 마련하고 있는가? 전력 및 통신케이블을 외부로부터의 물리적 손상 및 전기적 영향으로부터 안전하게 보호하고 있는가? ■ 관련 법규(금융분야 추가확인사항) 전자금융감독규정 제10조(전원, 공조 등 설비에 관한 사항) 제1호, 제11조(전산실 등에 관한 사항) 제7호 ■ 세부 설명 ① 정보시스템의 중요도, 용도, 특성을 고려하여 ..

항목 : 2.4.2 출입통제 ■ 인증기준 : 보호구역은 인가된 사람만이 출입하도록 통제하고 책임추적성을 확보할 수 있도록 출입 및 접근 이력을 주기적으로 검토하여야 한다. ■ 주요 확인사항 보호구역은 출입절차에 따라 출입이 허가된 자만 출입하도록 통제하고 있는가? 각 보호구역에 대한 내·외부자 출입기록을 일정기간 보존하고 출입기록 및 출입 권한을 주기적으로 검토하고 있는가? ■ 관련 법규 개인정보 보호법 제29조(안전조치의무) 개인정보의 안전성 확보조치 기준 제11조(물리적 안전조치) 개인정보의 기술적·관리적 보호조치 기준 제8조(물리적 접근방지) 금융분야 추가확인사항 전자금융감독규정 제9조(건물에 관한 사항) 제1호, 제10조(전원, 공조 등 설비에 관한 사항) 제1호, 제10조(전원, 공조 등 설비에..

항목 : 2.4.1 보호구역 지정 ■ 인증기준 : 물리적·환경적 위협으로부터 개인정보 및 중요정보, 문서, 저장매체, 주요 설비 및 시스템 등을 보호하기 위하여 통제구역·제한구역·접견구역 등 물리적 보호구역을 지정하고 구역별 보호대책을 수립·이행하여야 한다. ■ 주요 확인사항 물리적·환경적 위협으로부터 개인정보 및 중요정보, 문서, 저장매체, 주요 설비 및 시스템 등을 보호하기 위하여 통제구역, 제한구역, 접견구역 등 물리적 보호구역 지정기준을 마련하고 있는가? 물리적 보호구역 지정기준에 따라 보호구역을 지정하고 구역별 보호대책을 수립· 이행하고 있는가? ■ 관련 법규 개인정보 보호법 제29조(안전조치의무) 개인정보의 안전성 확보조치 기준 제11조(물리적 안전조치) 개인정보의 기술적·관리적 보호조치 기준..

항목 : 2.3.3 외부자 계약 변경 및 만료 시 보안 ■ 인증기준 : 외부자 계약만료, 업무종료, 담당자 변경 시에는 제공한 정보자산 반납, 정보시스템 접근 계정 삭제, 중요정보 파기, 업무 수행 중 취득정보의 비밀유지 확약서 징구 등의 보호 대책을 이행하여야 한다 ■ 주요 확인사항 외부자 계약만료, 업무 종료, 담당자 변경 시 공식적인 절차에 따른 정보자산 반납, 정보시스템 접근계정 삭제, 비밀유지 확약서 징구 등이 이루어질 수 있도록 보안 대책을 수립·이행하고 있는가? 외부자 계약 만료 시 위탁 업무와 관련하여 외부자가 중요정보 및 개인정보를 보유하고 있는지 확인하고 이를 회수·파기할 수 있도록 절차를 수립·이행하고 있는가? ■ 관련 법규 개인정보 보호법 제26조(업무위탁에 따른 개인정보의 처리 제..

항목 : 2.3.3 외부자 보안 이행 관리 ■ 인증기준 : 계약서, 협정서, 내부정책에 명시된 정보보호 및 개인정보보호 요구사항에 따라 외부자의 보호대책 이행 여부를 주기적인 점검 또는 감사 등 관리･감독하여야 한다. ■ 주요 확인사항 외부자가 계약서, 협정서, 내부정책에 명시된 정보보호 및 개인정보보호 요구사항을 준수하고 있는지 주기적으로 점검 또는 감사를 수행하고 있는가? 외부자에 대한 점검 또는 감사 시 발견된 문제점에 대하여 개선계획을 수립·이행하고 있는가? 개인정보 처리업무를 위탁받은 수탁자가 관련 업무를 제3자에게 재위탁하는 경우 위탁자의 승인을 받도록 하고 있는가? ■ 관련 법규 개인정보 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한) 정보통신망법 제50조의3(영리목적의 광고성 정보 ..

항목 : 2.3.2 외부자 계약시 보안 ■ 인증기준 : 외부 서비스를 이용하거나 외부자에게 업무를 위탁하는 경우 이에 따른 정보보호 및 개인정보 보호 요구사항을 식별하고, 관련 내용을 계약서 또는 협정서 등에 명시하여야 한다. ■ 주요 확인사항 중요정보 및 개인정보 처리와 관련된 외부 서비스 및 위탁 업체를 선정하는 경우 정보보호 및 개인정보 보호 역량을 고려하도록 절차를 마련하고 있는가? 외부 서비스 이용 및 업무 위탁에 따른 정보보호 및 개인정보보호 요구사항을 식별하고 이를 계약서 또는 협정서에 명시하고 있는가? 금융분야 추가확인사항 신용정보회사등이 신용정보제공･이용자가 다른 신용정보제공･이용자 또는 개인신용평가회사, 개인사업자신용평가회사, 기업신용조회회사와 서로 신용정보를 제공하는 경우 신용정보 보..

항목 : 2.3.1 외부자 현황 관리 ■ 인증기준 : 업무의 일부(개인정보취급, 정보보호, 정보시스템 운영 또는 개발 등)를 외부에 위탁하거나 외부의 시설 또는 서비스(집적정보통신시설, 클라우드 서비스, 애플리케이션 서비스 등)를 이용하는 경우 그 현황을 식별하고 법적 요구사항 및 외부 조직·서비스로부터 발생되는 위험을 파악하여 적절한 보호대책을 마련하여야 한다. ■ 주요 확인사항 관리체계 범위 내에서 발생하고 있는 업무 위탁 및 외부 시설·서비스의 이용 현황을 식별하고 있는가? 업무 위탁 및 외부 시설·서비스의 이용에 따른 법적 요구사항과 위험을 파악하고 적절한 보호대책을 마련하고 있는가? ■ 관련 법규 개인정보 보호법 제26조(업무위탁에 따른 개인정보의 처리 제한) 정보통신망법 제50조의3(영리목적의..

항목 : 2.2.6 보안 위반 시 조치 ■ 인증기준 : 임직원 및 관련 외부자가 법령, 규제 및 내부정책을 위반한 경우 이에 따른 조치 절차를 수립·이행하여야 한다. ■ 주요 확인사항 임직원 및 관련 외부자가 법령과 규제 및 내부정책에 따른 정보보호 및 개인정보보호 책임과 의무를 위반한 경우에 대한 처벌 규정을 수립하고 있는가? 정보보호 및 개인정보 보호 위반 사항이 적발된 경우 내부 절차에 따른 조치를 수행하고 있는가? ■ 관련 법규(금융분야 추가확인사항) 전자금융감독규정 제8조(인력, 조직 및 예산) 제1항제5호 ■ 세부 설명 ① 임직원 및 관련 외부자가 법령과 규제 및 내부정책에 따른 정보보호 및 개인정보보호 책임과 의무를 위반한 경우에 대한 처벌 규정을 수립하여야 한다. 관련 법규 및 내부 규정 ..

항목 : 2.2.5 퇴직 및 직무변경관리 ■ 인증기준 : 퇴직 및 직무변경 시 인사·정보보호·개인정보보호·IT 등 관련 부서별 이행하여야 할 자산반납, 계정 및 접근권한 회수·조정, 결과확인 등의 절차를 수립·관리하여야 한다. ■ 주요 확인사항 퇴직, 직무변경, 부서이동, 휴직 등으로 인한 인사변경 내용이 인사부서, 정보보호 및 개인정보보호 부서, 정보시스템 및 개인정보처리시스템 운영부서 간 공유되고 있는가? 직 내 인력(임직원, 임시직원, 외주용역직원 등)의 퇴직 또는 직무변경 시 지체 없는 정보자산 반납, 접근권한 회수･조정, 결과 확인 등의 절차를 수립･이행하고 있는가? ■ 관련 법규 개인정보 보호법 제29조(안전조치의무) 개인정보의 안전성 확보조치 기준 제5조(접근 권한의 관리) 개인정보의 기술적..

항목 : 2.2.4 인식제고 및 교육훈련 ■ 인증기준 : 임직원 및 관련 외부자가 조직의 관리체계와 정책을 이해하고 직무별 전문성을 확보할 수 있도록 연간 인식제고 활동 및 교육훈련 계획을 수립·운영하고, 그 결과에 따른 효과성을 평가하여 다음 계획에 반영하여야 한다. ■ 주요 확인사항 임직원 및 관련 외부자가 조직의 관리체계와 정책을 이해하고 직무별 전문성을 확보할 수 있도록 연간 인식제고 활동 및 교육훈련 계획을 수립·운영하고, 그 결과에 따른 효과성을 평가하여 다음 계획에 반영하여야 한다. 관리체계 범위 내 모든 임직원과 외부자를 대상으로 연간 교육 계획에 따라 연 1회 이상 정기적으로 교육을 수행하고, 관련 법규 및 규정의 중대한 변경 시 이에 대한 추가교육을 수행하고 있는가? 임직원 채용 및 외..