관리 및 법규

목적은 “무서워서 올스톱”이 아니라, 어디에 얼마나 쓸지 정하기입니다.

• 자산 → 위협 → 취약점 → 영향·가능성을 연결해 기록
• 기준선(베이스라인): 공통 통제 기준으로 빠르게 수준 판단
• 델파이: 익명 전문가 의견을 반복 수렴 (정성). “정확한 확률 통계가 항상 필수”는 아님

정량식: SLE = AV × EF, ALE = SLE × ARO. 자산가치 1억 원, 1회 손실률 30%, 연간 발생률 0.2이면 SLE 3천만 원, ALE 6백만 원입니다. 통제비용은 감소한 ALE와 함께 비교하되 법적·안전 의무를 단순 금액만으로 무시하지 않습니다.

처리는 회피(활동 중단) · 감소(통제) · 전가(보험/계약) · 수용(승인 후 감시)입니다. 통제 전 고유위험과 통제 후 잔여위험을 구분하고 위험 소유자·기한·상태를 등록부로 추적합니다.

ISMS-P는 정보보호·개인정보보호 활동을 일회성 점검이 아니라 지속 운영하는 관리체계입니다. 현재 공식 인증기준 구조는 관리체계 수립 및 운영 16개, 보호대책 요구사항 64개, 개인정보 처리단계별 요구사항 21개입니다.

정책 체계는 일반적으로 정책(방향) → 지침/표준(공통 기준) → 절차(누가 언제 어떻게) → 기록(실행 증거)로 내려갑니다. 경영진 승인, 책임·권한, 직무분리, 예외 승인, 버전·배포 관리가 필요합니다.

ISO/IEC 27001도 조직 상황·리더십·계획·지원·운영·성과평가·개선의 관리시스템을 요구합니다. 인증서 취득 자체보다 위험에 맞춘 통제 운영과 증적이 핵심입니다.

수탁·외부자: 처리방침 공개만으로 부족. 계약·접근권한·감독·재위탁 조건이 필요합니다. 위탁해도 관리 책임이 통째로 사라지지 않습니다.

내부감사는 독립성 — 자기 업무를 혼자 감사하면 객관성이 깨집니다.

BIA는 핵심 업무, 중단 영향, 최대 허용 중단, 의존 자원과 복구 우선순위를 찾습니다. 그 결과로 RTO/RPO를 정하고 인력·장소·통신·공급자까지 포함한 계획과 훈련을 만듭니다.

백업은 3-2-1(3개 사본·2종 매체·1개 외부/분리)을 기본 사고틀로 삼고, 운영 계정과 분리·불변/오프라인·암호화·키 복구·정기 복원 훈련으로 랜섬웨어와 재해를 검증합니다.

• 개인정보는 살아 있는 개인에 관한 정보로 단독 또는 다른 정보와 쉽게 결합해 개인을 알아볼 수 있는 정보까지 포함합니다.
• 민감정보는 사상·건강 등 사생활 침해 우려가 큰 범주, 고유식별정보는 법령이 정한 식별번호 범주입니다. 둘은 같은 개념이 아닙니다.
• 가명정보는 추가정보 없이는 특정하기 어렵지만 재식별 가능성이 남고, 익명정보는 합리적으로 개인을 알아볼 수 없어 개인정보와 구분됩니다.
• 동의가 있어도 처리방침 공개 등 다른 의무가 남을 수 있음
• 선택 동의를 서비스 필수에 묶으면 자율성 훼손
• 비밀번호 등은 복호화 가능 저장이 아니라 일방향(느린 해시)+salt 관점
• 암호화 키는 데이터와 분리, 접근 기록
• 국외 이전·클라우드는 “우리 회사 형태”만으로 검토가 사라지지 않음

정보주체 권리는 열람·정정/삭제·처리정지·동의철회뿐 아니라 자동화된 결정이나 이용·제공 내역 통지처럼 현행법 확인이 필요한 축도 포함합니다. 요청자 확인, 법정 보존 등 제한 사유, 처리 결과와 근거를 기록합니다.

개인정보 규율이 다른 법에서 개인정보 보호법 중심으로 이동한 영역이 있고 하위 고시는 자주 개정됩니다. 오래된 교재의 법명·조문·기한 숫자를 그대로 암기하지 말고 현행 공식 자료와 대조합니다.

초기: 확산을 막으면서 로그·메모리를 지우지 않기. 종료 후 교훈을 반영해야 재발을 줄입니다.

교육은 수료율만으로 효과를 말할 수 없습니다. 모의훈련 클릭·보고율 등 행동 지표로 개선합니다.

개인정보 유출은 사실관계·영향범위·정보 종류·피해 가능성을 확인하고 차단·증거보존·내부 보고를 병행합니다. 통지·신고 대상과 기한은 사고별 현행 법령을 확인하며, 원인·조치·재발방지 기록을 남깁니다.