외부자 현황 관리

관리체계 범위 내에서 발생하고 있는 업무 위탁 및 외부 시설/서비스의 이용 현황을 명확히 식별하여야 한다.

• 관리체계 범위 내 업무위탁 및 외부 시설/서비스 이용현황 파악

  ※ 업무 위탁 및 외부 시설/서비스 이용(예시)

  • IT 및 보안 업무 위탁 : 정보시스템 개발/운영, 유지보수, 서버/네트워크/보안장비 운영, 보안관제, 출입관리 및 경비, 정보보호컨설팅 등
  • 개인정보 처리업무 위탁 : 개인정보 수집 대행, 고객 상담, 개인정보처리시스템 운영 등
  • 외부 시설 이용 : 집적정보통신시설(IDC) 등
  • 외부 서비스 이용 : 클라우드 서비스, 애플리케이션서비스(ASP) 등

• 업무위탁 및 외부 시설/서비스 이용현황에 대한 목록 작성 및 지속적인 현행화 관리

  ※ 업무 위탁 및 외부 시설/서비스 이용현황 목록에 포함되어야 할 사항(예시)

  • 수탁자 및 외부 시설/서비스명
  • 위탁하는 업무의 내용 및 외부 서비스 내용
  • 담당부서 및 담당자명
  • 위탁 및 서비스 이용 기간
  • 계약서 작성 여부, 보안점검 여부 등 관리/감독에 관한 사항 등

업무 위탁 및 외부 시설/서비스의 이용에 따른 법적 요구사항과 위험을 파악하고 적절한 보호대책을 마련하여야 한다.

• 개인정보 처리업무 위탁에 해당되는지 확인

• 개인정보 등의 국외 이전에 해당되는지 확인

• 개인정보 보호법, 정보통신망법 등 관련된 법적 요구사항 파악

• 법적 요구사항을 포함하여 업무 위탁 및 외부 시설/서비스 이용에 따른 위험평가 수행

• 위험평가 결과를 반영하여 적절한 보호대책 마련 및 이행(예를 들어, 고위험의 수탁자에 대해서는 점검주기 및 점검항목을 달리하여 집중 현장점검 수행 등)