현업에서 참고하는 ISMS 보안가이드라인

* 이 문서는 상업적으로 이용이 불가능하며, 저작권은 전문가(판매자)에게 있으며 무료폰트를 사용하여 작성되었습니다.

- 대상자

1. 회사에서 보안 강화를 위하여 조치를 하려고 하는데 가이드가 필요하신 분

2. PC, 서버, DBMS, 네트워크의 취약점 리스트를 확인하고 조치하는 보안 담당자.

3. ISMS 보안 심사로 참고할 취약점 가이드가 필요하신 분

- 문서의 목적

해당 문서는 실제로 현업에서 ISMS 심사 대상자인 기업에서 사용하고 있으며

PC, 서버, DBMS, 네트워크 등 취약점을 파악하고 보완하는데 목적이 있습니다.

ISMS 심사 대상자가 아니더라도 안전한 환경을 세팅하는 방법과 어떤 부분이 보안의 구멍이 될 수 있는지 확인하고 보안강화를 위한 취약점 진단, 조치를 위해서 활용하시면 좋습니다.

- ISMS 란?

ISMS는 정보보호관리체계(Information Security Management System)의 준말로, 조직이 정보 자산을 효과적으로 관리하고 보호하기 위해 수립하는 체계입니다. ISMS 심사는 조직의 ISMS가 규정된 국제 표준인 ISO/IEC 27001에 부합하는지를 평가하는 과정을 말합니다.

- 개인정보 유출로 인한 처벌과 보상

개인정보가 유출됐을 때 기업은 어떤 처벌을 받을까요? 개인정보가 유출되면 사업자에게 부과하게 되는 처벌은 행정제재, 형사처벌 등 공권력을 동원하는 ‘공적집행’과 개인이 민사소송 제기로 인한 ‘사적집행’으로 나뉩니다.

개인정보보호법에 따르면, 사업자가 개인정보보호법이 규정하는 의무를 위반했을 때 과징금과 과태료를 부과할 수 있습니다. 특정 개인을 알아보기 위해서 개인정보처리자가 정보를 별도로 처리한 경우엔 관련 매출의 3%를 과징금으로 내야 합니다. 주민등록번호가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되면 5억 원 이하의 과징금을 부과할 수 있고요. 이와는 별도로 개인정보호법을 위반했을 때 개인정보보호위원회(이하 개인정보위)가 ‘이러한 점을 고치세요’라고 시정명령을 내릴 수도 있습니다.

개인정보위는 개인정보호호법을 위반한 기업에 최대 5000만 원의 과태료를 부과할 수 있습니다. 개인정보보호법 34조에 따르면, 개인정보처리자는 정보가 유출된 것을 알게 되면 유출된 개인정보 항목, 유출 시점과 경위, 유출 피해를 최소화하기 위해 정보주체가 할 수 있는 조치, 개인정보처리자의 취할 대응 조치 및 피해 구제절차, 피해 신고를 접수할 담당부서 및 연락처를 정보주체에게 지체없이 알려야 합니다. 개인정보위에서 과태료를 부과할 땐 법령에서 정한 안전조치를 기업이 이행했는지를 따져보는데요. 사실상 과태료는 안전조치 여부와 관련해서 부과하는 것입니다. 지금 체계상 유출 피해가 밝혀진 뒤 안전조치를 점검하기 때문에 유출과 관련이 없다고 보기는 힘들지만요.

과태료 기준은 이렇습니다. 정보주체의 동의를 받지 않고 정보를 무단 수집하거나, 14세 미만 아동의 개인정보를 처리할 때 법정대리인의 동의를 받지 않은 경우 최대 5000만 원의 과태료가 부과됩니다. 또한, 개인정보 수집 동의를 받을 땐 정보 수집과 이용 목적, 수집할 개인정보 항목, 개인정보 보유 및 이용 기간, 개인정보를 제공받는 자, 동의를 거부할 권리가 있다는 사실 및 동의 거부에 따른 불이익이 있는 경우에는 그 불이익의 내용을 알려야 합니다. 이에 대한 변경이 있을 때도 정보주체에게 알리고 동의를 받아야 합니다. 정보주체에게 알려야 할 사항을 알리지 않은 자는 3천만 원 이하의 과태료를 부과받습니다.

계열사, 협력사 개인정보DB 판매상, 공공기관, 신문/잡지/웹사이트 등에서 공개된 자료를 활용하는 개인정보처리자는 정보주체의 요구가 있으면 ‘개인정보의 수집 출처, 개인정보의 처리 목적, 개인정보 처리의 정지를 요구할 권리가 있다는 사실’을 즉시 알려야 합니다. 정보주체에게 위의 각 사실을 알리지 않은 자는 3천만 원 이하의 과태료를 부과받습니다.

개인정보위가 사건을 조사하면서 개인정보처리자에게 개인정보보호 법규 위반에 따른 범죄혐의가 있다고 판단하면 관할 수사기관에 그 내용을 고발할 수 있습니다. 다만, 공소제기는 검사가 결정하며 유무죄 처벌은 법원이 판결합니다. 직무상 알게 된 비밀을 누설하거나 이를 직무 목적 외에 이용할 시, 동의 없이 고유식별 정보를 다룰 시, 정정과 삭제에 필요한 조치 없이 개인정보를 이용할 시, 권한 밖에 있는 개인정보를 훼손/멸실/변경/위조할 시, 부정한 방법으로 개인정보를 취득하고 부정한 목적으로 타인에게 제공할 시, 영상정보처리기기를 설치 목적과 무관하게 사용할 시 징역 혹은 벌금에 처할 수 있습니다.