새로 도입될 ‘개인정보 보호수준 인증제’ 심사기준은?

개인정보보호 관리체계와 개인정보 보호대책 구현 등 9개영역 심사

[보안뉴스 김경애] 개인정보 보호체계 수립을 통해 개인정보 침해 가능성을 최소화하도록 유도하는 ‘개인정보 보호수준 인증제’가 올해 말 늦어도 내년 초에는 도입될 예정이다.

이와 관련 안전행정부 관계자는 “당초 8월경부터 ‘개인정보 보호수준 인증제’를 추진 중이었으나 규제 성격이다 보니 기업에게 부담을 줄 수 있다는 의견이 있어 규제심사가 조금 늦춰지고 있는 상황”이라며 “국무조정실의 규제심사 통과에 따라 빠르면 올해 연말 또는 내년 초에 시행될 예정”이라고 전했다.

‘개인정보 보호수준 인증제’는 기업 및 기관의 개인정보 보호체계 및 개인정보 보호활동의 수준을 객관적으로 측정해 인증하는 제도로 공공기관, 대기업, 중소기업, 소상공인용으로 인증마크가 분류된다.

이를 통해 기관 및 기업의 자율적인 개인정보보호 인식 제고 및 문화를 확산하고, 개인정보보호 관리체계를 보다 효과적으로 수립할 수 있도록 한다는 계획이다. 또한, 이 제도로 개인정보 처리단계별 기준·절차의 준수, 안전한 관리, 정보주체의 권리보장 등을 꾀한다는 방침이다.

인증심사 적용 대상은 모든 공공 및 민간 개인정보처리자로 병원, 학원, 제조업, 서비스업 등 72개 업종 350만 민간사업자는 물론 국회, 법원, 헌법재판소, 중앙선거관리위원회 등 헌법기관, 중앙부처, 지자체, 공사·공단, 학교 등 공공기관, 사업자, 협회, 동창회 등 비영리 단체이다.

인증심사는 △신청기관이 처음으로 인증을 신청하거나 인증 취득 실패 후 다시 인증을 신청한 때 실시하는 최초심사 △인증의 유효기간 내에 보호수준을 지속적으로 유지관리하고 있는지 여부를 확인하는 유지관리심사 △인증의 유효기간 내에 인증대상의 범위가 확대 혹은 축소 등의 변경이 발생해 실시하는 변경심사 △인증취득기관이 유효기간 만료일 이전에 인증 유효기간을 연장하기 위해 실시하는 갱신심사로 나뉜다.

인증심사 절차는 심사단계, 인증단계, 유지관리 단계를 거친다. 심사단계에서는 서류 및 현장 심사 등 인증심사와 보완조치에 대해 심사하고, 인증단계에서는 인증위원회를 개최해 신청기관의 인증심사 결과 및 보안조치 사항에 대한 심의·의결을 거쳐 인증기관에 통보해 인증서를 발급하게 된다.

유지관리 단계의 경우 인증취득기관은 연 1회 이상 유지관리심사를 받아 인증을 유지해야 하고, 인증범위의 변경이나 관리체계의 변화가 발생할 경우에도 변경심사를 받아야 한다. 또한, 갱신심사는 유효기간(3년) 만료 전 심사를 받아야만 인증을 유지할 수 있다.

심사기준은 개인정보보호 관리체계와 개인정보 보호대책 구현 9개 심사영역과 68개 심사항목, 150개 점검항목이다.

개인정보보호 관리체계는 △보호체계의 수립 △실행 및 운영 △검토 및 모니터링 △교정 및 개선 등에 대해 심사하고, 개인정보 보호대책 구현은 △개인정보 처리제한 △정보주체 권리보장 △ 관리적 안전성 확보 △기술적 안전성 확보 △물리적 안전성 확보에 대해 심사한다.

먼저 개인정보보호 관리체계의 경우 보호체계 수립은 개인정보 계획 수립과 개인정보보호 조직 구축 여부, 경영진의 책임 등의 항목을 심사하게 된다. 실행 및 운영의 경우 보호체계의 문서화, 개인정보자산 식별, 위험관리방안 수립 및 보호대책을 이행해야 하는 조항이 포함된다. 검토 및 모니터링은 개인정보 관리계획과 보호체계 이행 간의 일치 여부를 검토해야 하고, 교정 및 개선에 대해서는 주기적인 개선활동여부 및 각종 개인정보 관리계획의 공유 상황이 심사대상이다.

개인정보 보호대책 구현에 있어 개인정보 처리제한은 개인정보 처리단계별로 수집-이용·제공-보관-파기하는 순의 보호조치 여부를 확인해야 한다. 정보주체 권리보장은 정보주체의 열람, 정정, 삭제요구 등의 처리를 의미하며, 관리적 안전성 확보는 CPO 지정, 개인정보보호 교육 및 훈련 실시, 위탁업무 관리현황, 유출사고 대응절차를 마련했는지의 여부를 평가하게 된다.

또한, 기술적 안전성 확보는 접근권한 및 접속기록 관리, 암호화 적용여부 등을 의미하며, 물리적 안전성 확보는 CCTV 설치·운영, 출입통제장치 구비여부 등을 점검하는 것이다.

[김경애 기자(boan3@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)