Q. 기업 실사 중 다음과 같은 결함들을 발견하였다. 어떤 심사기준에 따라 결함으로 볼 수 있는지 알맞은 항목을 모두 고르시오.
- 주요 직무자 명단(개인정보취급자 명단, 비밀정보관리자 명단 등)을 작성하고 있으나, 대량의 개인정보 등 중요정보를 취급하는 일부 임직원(DBA, DLP 관리자 등)을 명단에 누락한 경우
- 분리 데이터베이스를 구성하였으나 접근권한을 별도로 설정하지 않아 업무상 접근이 불필요한 인원도 분리 데이터베이스에 자유롭게 접근이 가능한 경우
-
12.2.1 주요 직무자 지정 및 관리
-
22.4.1 보호구역 지정
-
32.5.6 접근권한 검토
-
43.3.4 개인정보의 국외이전
-
53.4.2 처리목적 달성 후 보유 시 조치
| 영역 | 보호대책 요구사항 |
|---|---|
| 분야 | 2.2. 인적 보안 |
| 항목 | 2.2.1 주요 직무자 지정 및 관리 자세히 보기 |
| 인증기준 | 개인정보 및 중요정보의 취급이나 주요 시스템 접근 등 주요 직무의 기준과 관리방안을 수립하고, 주요 직무자를 최소한으로 지정하여 그 목록을 최신으로 관리하여야 한다. |
| 영역 | 보호대책 요구사항 |
|---|---|
| 분야 | 2.4. 물리 보안 |
| 항목 | 2.4.1 보호구역 지정 자세히 보기 |
| 인증기준 | 물리적·환경적 위협으로부터 개인정보 및 중요정보, 문서, 저장매체, 주요 설비 및 시스템 등을 보호하기 위하여 통제구역·제한구역·접견구역 등 물리적 보호구역을 지정하고 각 구역별 보호대책을 수립·이행하여야 한다. |
| 영역 | 보호대책 요구사항 |
|---|---|
| 분야 | 2.5. 인증 및 권한관리 |
| 항목 | 2.5.6 접근권한 검토 자세히 보기 |
| 인증기준 | 정보시스템과 개인정보 및 중요정보에 접근하는 사용자 계정의 등록·이용·삭제 및 접근권한의 부여·변경·삭제 이력을 남기고 주기적으로 검토하여 적정성 여부를 점검하여야 한다. |
| 영역 | 개인정보 처리단계별 요구사항 |
|---|---|
| 분야 | 3.3. 개인정보 제공 시 보호조치 |
| 항목 | 3.3.4 개인정보의 국외이전 자세히 보기 |
| 인증기준 | 개인정보를 국외로 이전하는 경우 국외 이전에 대한 동의, 관련 사항에 대한 공개 등 적절한 보호조치를 수립·이행하여야 한다. |
| 영역 | 개인정보 처리단계별 요구사항 |
|---|---|
| 분야 | 3.4. 개인정보 파기 시 보호조치 |
| 항목 | 3.4.2 처리목적 달성 후 보유 시 조치 자세히 보기 |
| 인증기준 | 개인정보의 보유기간 경과 또는 처리목적 달성 후에도 관련 법령 등에 따라 파기하지 아니하고 보존하는 경우에는 해당 목적에 필요한 최소한의 항목으로 제한하고 다른 개인정보와 분리하여 저장·관리하여야 한다. |