곧 도입되는 PIPL 인증제, 언제 고시되나?

‘개인정보보호 관리체계’와 ‘개인정보보호 대책 구현’ 분야 심사

[보안뉴스 김경애] 21일 고시 예정이던 ‘개인정보보호 인증제’(PIPL)가 다음주 정도로 연기되어 고시될 예정이다.

21일로 예정된 PIPL 제도 고시가 연기된 것과 관련해 안전행정부 관계자는 “고시의 경우 보통 차관님의 승인을 받아 절차가 이뤄지지만 이번 개인정보보호 인증제와 관련해서는 장관님의 승인을 받아 진행하기로 내부적으로 결정됐다”고 밝혔다. 이에 따라 다음주 정도쯤이면 PIPL 인증제가 고시될 예정이다.

이번 PIPL 제도의 인증기관은 한국정보화진흥원으로 고시된 날로부터 1개월 이후 인증제가 시행되면 △인증심사의 실시 및 인증·인증취소 △인증서 발급, 인증마크의 교부 및 인증사실의 관리 △개인정보보호 인증위원회의 구성·운영 △인증심사기준 및 인증심사기법의 연구개발 △인증심사원의 자격인정, 교육·승급 및 인증심사 경력의 관리 △인증제도 관련 연구 및 동향 조사·분석, 그밖에 인증제도의 운영에 필요한 업무를 수행할 예정이다.

개인정보보호 심사기준을 살펴보면 ‘개인정보보호 관리체계’와 ‘개인정보보호 대책구현’으로 크게 나뉜다. ‘개인정보보호 관리체계’의 심사영역은 ①보호 관리체계의 수립으로 심사항목은 △관리계획 수립 △범위 설정 △조직과 책임 △경영진의 참여 △자원의 확보 등이다.

②실행 및 운영 영역에서의 심사항목은 △문서화 △개인정보 식별 △위험관리계획 △위험평가 수행 △위험평가 이행계획 △이행계획에 따른 보호대책 구현 등이다.

③검토 및 모니터링의 경우 △보호 관리체계 검토 △내부 모니터링에 대해 심사하고, ④교정 및 개선 항목은 △개인정보보호 개선 활동 △내부 공유 및 인식제고에 대해 심사가 이루어지게 된다.

‘개인정보보호 대책구현’ 심사 기준은 ①개인정보 처리 심사영역의 경우 △개인정보 수집 제한 △정보주체의 동의 △법정대리인 동의 및 고지 △민감정보 및 고유식별정보의 수집제한 △간접수집 보호조치 △대체가입수단의 제공 △개인정보처리방침의 수립 및 공개 △개인정보 제3자 제공 △개인정보의 목적 외 이용 및 제공 △개인정보의 이전 △개인정보 품질보장 △개인정보 파일 관리 △개인정보 파기 절차 △개인정보 파기 등이다.

②‘정보주체 권리보장’ 영역의 경우는 △개인정보 열람·정정·삭제·처리정지 △권리행사의 방법 및 절차에 대해 심사한다.

③관리적 안전성 확보조치 영역은 △개인정보보호책임자 지정 △교육 및 훈련 시행 △교육 및 훈련 평가 △개인정보취급자 감독 △보안서약서 △외부위탁계약 △정보주체 고지 △위탁자 관리·감독 △개인정보 유출사고 대응계획 수립 및 운영 △개인정보 유출사고 대응 등이다.

④기술적 안전성 확보조치 영역에서는 △개인정보취급자 등록 △개인정보취급자 권한관리 △접근권한 검토 △개인정보처리시스템 접속기록 관리 △접속기록 검토 △비밀번호 관리 △악성소프트웨어 통제 △개인정보처리 시스템에 대한 보호조치 활동 △개인정보 표시제한 △접근통제시스템 설치 및 운용 △네트워크 접근 통제 △네트워크 운영관리 △암호화 계획 수립 △암호화 적용 △개인정보 영향평가 △개발 시 보안조치에 대해 평가할 예정이다.

⑤물리적 안전성 확보조치 영역의 경우 △영상정보처리 기기의 설치·운영제한 △영상정보처리 기기의 설치·운영 사무의 위탁 관리 △출입통제 및 사무실 보안 △이동컴퓨팅 보안관리 △개인정보처리 시스템 저장매체 폐기 △휴대용 저장매체 관리 △저장매체의 보관에 대해 심사하게 된다.

[김경애 기자(boan3@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)