최고책임자의 지정

※ 본 항목은 정보보호 관리체계 인증의 특례에 따른 **완화된 인증기준(별표 7의2)**이다. 위 인증기준/주요 확인사항은 완화/조정된 공식 원문이며, 아래 세부 설명/관련 법규/증거자료/결함사례는 동일 통제영역인 별표7 [1.1.2 최고책임자의 지정]의 「ISMS-P 인증기준 안내서」 내용이다(완화 기준에서는 위 인증기준/확인사항 범위로 적용된다).

최고경영자는 조직 내에서 정보보호 및 개인정보보호 관리 활동을 효과적으로 추진하기 위하여 이를 총괄하여 책임질 수 있는 정보보호 최고책임자 및 개인정보 보호책임자를 인사발령 등의 절차를 통하여 공식적으로 지정하여야 한다.

• 정보보호 최고책임자 및 개인정보 보호책임자는 인사발령 등을 통하여 공식으로 임명하여야 하며, 당연직의 경우 정보보호 및 개인정보보호 정책서에 그 직위를 명시하여야 함

정보보호 최고책임자 및 개인정보 보호책임자는 예산, 인력 등 자원을 할당할 수 있는 임원급으로 지정하고 관련 법령에 따른 자격요건을 충족하여야 한다(※ 정보통신망법 시행령 제36조의7 참고).

• 정보보호 최고책임자 및 개인정보 보호책임자는 조직의 정보보호 및 개인정보보호 업무를 실질적으로 총괄할 수 있도록 정보보호 및 개인정보보호 관련 지식 및 소양이 있는 자로서 예산, 인력 등 자원을 할당할 수 있는 임원급으로 지정

  ※ 정보통신서비스 제공자는 정보통신시스템 등에 대한 보안 및 정보의 안전한 관리를 위하여 대통령령으로 정하는 기준에 해당하는 임직원을 정보보호 최고책임자로 지정하고 과학기술정보통신부장관에게 신고. 다만, 대통령령으로 정하는 기준에 해당하는 경우 신고 예외

• 정보보호 최고책임자 지정에 대한 법적 요건 준수 필요(※ 정보통신망법 제45조의3 참고)

  정보보호 최고책임자는 다음 업무 수행

  1. 정보보호 최고책임자는 다음 각 목의 업무를 총괄한다.
     • 가. 정보보호 계획의 수립/시행 및 개선
     • 나. 정보보호 실태와 관행의 정기적인 감사 및 개선
     • 다. 정보보호 위험의 식별 평가 및 정보보호 대책 마련
     • 라. 정보보호 교육과 모의 훈련 계획의 수립 및 시행
  2. 정보보호 최고책임자는 다음 각 목의 업무를 겸할 수 있다.
     • 가. 「정보보호산업의 진흥에 관한 법률」 제13조에 따른 정보보호 공시에 관한 업무
     • 나. 「정보통신기반 보호법」 제5조제5항에 따른 정보보호 책임자의 업무
     • 다. 「전자금융거래법」 제21조의2제4항에 따른 정보보호 최고책임자의 업무
     • 라. 「개인정보 보호법」 제31조제2항에 따른 개인정보 보호책임자의 업무
     • 마. 그 밖에 이 법 또는 관계 법령에 따라 정보보호를 위하여 필요한 조치의 이행

  정보보호 최고책임자 지정요건(※ 정보통신망법 시행령 제36조의7 제1항)

  No	구분(정보통신서비스 제공자)	정보보호 최고책임자 지정 요건
  1	자본금 1억원 이하인 자 / 소기업 / 중기업으로서 전기통신사업자, 정보보호 관리체계 인증을 받아야 하는 자, 개인정보 처리방침을 공개해야 하는 개인정보처리자, 통신판매업자가 아닌 자	사업주 또는 대표자
  2	직전 사업연도 말 기준 자산총액이 5조원 이상인 자 / 법 제47조제2항에 따라 정보보호 관리체계 인증을 받아야 하는 자 중 직전 사업연도 말 기준 자산총액이 5천억원 이상인자	이사(「상법」 제401조의2 제1항 제3호에 따른 자와 같은 법 제408조의2에 따른 집행임원을 포함) ※ 겸직 제한 요건 준수 필요
  3	위의 1호, 2호에 해당하지 않는 자	사업주 또는 대표자 / 이사(「상법」 제401조의2 제1항 제3호에 따른 자와 같은 법 제408조의2에 따른 집행임원을 포함) / 정보보호 관련 업무를 총괄하는 부서의 장

• 개인정보 보호책임자 지정에 대한 법적 요건 준수 필요(※ 개인정보 보호법 시행령 제32조 등 참고)

  개인정보 보호책임자는 다음의 업무 수행

  1. 개인정보 보호 계획의 수립 및 시행
  2. 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선
  3. 개인정보 처리와 관련한 불만의 처리 및 피해 구제
  4. 개인정보 유출 및 오/남용 방지를 위한 내부통제시스템 구축
  5. 개인정보 보호 교육 계획의 수립 및 시행
  6. 개인정보파일의 보호 및 관리/감독
  7. 개인정보 처리방침의 수립/변경 및 시행
  8. 개인정보 보호 관련 자료의 관리
  9. 처리 목적이 달성되거나 보유기간이 지난 개인정보의 파기