보안 요구사항 검토 및 시험

정보시스템의 도입, 개발, 변경 시 분석 및 설계 단계에서 정의한 보안 요구사항이 효과적으로 적용되었는지를 확인하기 위한 검토기준과 절차를 수립하고 이에 따른 시험을 수행하여야 한다.

• 정보시스템 인수 전 인수기준 적합성 여부를 확인하기 위한 시험 수행
  • 정보시스템이 사전에 정의한 보안 요구사항을 만족하여 개발/변경 및 도입되었는지 확인하기 위한 인수기준 및 절차 수립
  • 정보시스템을 인수하기 전 사전 정의한 인수기준과의 적합성 여부를 테스트 등을 통하여 확인한 후 인수 여부를 결정
  • 시스템 보안 설정, 불필요한 디폴트 계정 제거 여부, 최신 보안취약점 패치 여부 등 확인 필요
• 개발/변경 및 구현된 기능이 사전에 정의된 보안 요구사항을 충족하는지 시험 수행
  • 시험 계획서, 체크리스트, 시험 결과서 등에 반영

정보시스템이 안전한 코딩 기준 등에 따라 안전하게 개발되었는지를 확인하기 위한 취약점 점검을 수행하여야 한다.

• 코딩 완료 후 안전한 코딩 표준 및 규약 준수 여부를 점검하고 기술적 보안 취약점이 존재하는 지 점검 수행
  • 시스템이 안전한 코딩표준에 따라 구현하는지 소스코드 검증(소스코드 검증도구 활용 등)
  • 코딩이 완료된 프로그램은 운영환경과 동일한 환경에서 취약점 점검도구 또는 모의진단을 통한 취약점 노출 여부 점검

시험 및 취약점 점검 과정에서 발견된 문제점이 신속하게 개선될 수 있도록 개선계획 수립, 이행점검 등의 절차를 이행하여야 한다.

• 발견된 문제점은 시스템 오픈 전에 개선될 수 있도록 개선계획 수립, 내부 보고, 이행점검 등의 절차 수립/이행
• 불가피한 사유로 시스템 오픈 전에 개선이 어려울 경우에는 이에 따른 영향도 평가, 보완 대책, 내부 보고 등 위험을 줄일 수 있는 대책 마련

공공기관은 관련 법령에 따라 개인정보처리시스템 신규 개발 및 변경 시 분석/설계 단계에서 영향평가기관을 통하여 개인정보 영향평가를 수행하고 그 결과를 개발 및 변경 시 반영하여야 한다.

• 공공기관은 개인정보처리시스템 신규 개발 또는 변경을 위한 계획 수립 시 개인정보 영향평가 의무대상 여부를 검토하여 의무 대상인 경우에 영향평가 계획을 수립하고 관련 예산 확보

  ★ 개인정보 영향평가 의무 대상(개인정보 보호법 시행령 제35조)

  1. (5만 명 조건) 민감정보 또는 고유식별정보의 처리가 수반되는 개인정보파일 : 구축/운용 또는 변경하려는 개인정보파일에 5만명 이상의 정보주체에 관한 개인정보가 포함된 경우
  2. (50만 명 조건) 다른 개인정보파일과 연계하려는 경우 : 해당 공공기관 내부 또는 외부에서 구축/운용하고 있는 다른 개인정보파일과 연계한 결과 50만명 이상의 정보주체에 관한 개인정보가 포함된 경우
  3. (100만 명 조건) 일반적인 개인정보 파일 : 구축/운용 또는 변경하려는 개인정보파일에 100만명 이상의 정보주체에 관한 개인정보가 포함된 경우
  4. (변경 시) 영향평가를 받은 후 개인정보 검색 체계 등 개인정보파일의 운용 체계를 변경하려는 경우 : 해당 개인정보파일 중 변경된 부분 ※ 대상 개인정보파일 : 개인정보를 전자적으로 처리할 수 있는 개인정보파일

• 공공기관은 개인정보처리시스템 신규 개발 및 변경 시 분석/설계 단계에서 개인정보 보호위원회가 지정한 영향평가기관을 통하여 영향평가를 수행하고 그 결과를 개발 및 변경 시 반영

  • 영향평가기관 지정현황은 '개인정보 포털(www.privacy.go.kr)'에서 확인 가능
  • 영향평가 수행절차, 평가기준 등은 '개인정보 영향평가 수행안내서' 참고

• 공공기관은 개인정보 영향평가서를 개인정보처리시스템 오픈 전 및 영향평가 종료 후 2개월 이내에 개인정보 보호위원회에 제출

  • 개인정보보호 종합지원시스템(intra.privacy.go.kr)에 영향평가서 등록
  • 개인정보 보호위원회 또는 공공기관의 장은 영향평가서를 요약한 내용을 공개할 수 있음

• 개인정보 영향평가 결과에 따른 개선요구사항에 대하여 이행 여부를 관리

  • 개선요구사항에 대한 상세 이행계획 수립
  • 정기적인 이행 상황 점검
  • 불가피하게 기간 내 조치가 어려운 경우 타당한 사유를 기록/보고하고 향후 조치를 위한 이행계획 수립
  • 영향평가서를 받은 공공기관의 장은 개선사항으로 지적된 부분에 대한 이행현황을 1년 이내에 개인정보 보호위원회에 제출(개선계획 이행점검 확인서)

※ 개인정보 영향평가 절차

시스템 구축	영향평가
사업계획	사업준비단계
분석/설계	영향평가수행단계
개발	이행단계
테스트	이행단계
운영	이행단계

영향평가	평가 절차		수행 연도	수행 주체
사업준비단계	사업계획 작성(예산확보)	영향평가 필요성 검토 사업계획서 작성(예산확보)	평가직전연도	대상기관(공공기관)
사업준비단계	사업자 선정	제안요청서 작성 사업발주 영향평가 기관선정	평가수행연도	대상기관(공공기관)
영향평가수행단계	평가수행 계획수립	평가수행 계획수립 평가팀 구성	평가수행연도	영향평가기관(영향평가 수행 및 영향평가서 작성) 대상기관(업무 협조, 영향평가서 제출 및 개선계획 이행)
영향평가수행단계	평가자료 수집	내부자료 분석 외부자료 분석 대상시스템 관련자료 분석	평가수행연도	영향평가기관(영향평가 수행 및 영향평가서 작성) 대상기관(업무 협조, 영향평가서 제출 및 개선계획 이행)
영향평가수행단계	개인정보 흐름분석	개인정보 처리업무 현황분석 개인정보 흐름표 작성 개인정보 흐름도 작성 시스템 구조도 작성	평가수행연도	영향평가기관(영향평가 수행 및 영향평가서 작성) 대상기관(업무 협조, 영향평가서 제출 및 개선계획 이행)
영향평가수행단계	개인정보 침해요인 분석	평가항목 작성 개인정보 보호조치 현황파악 개인정보 침해요인 도출 개인정보 위험도 산정	평가수행연도	영향평가기관(영향평가 수행 및 영향평가서 작성) 대상기관(업무 협조, 영향평가서 제출 및 개선계획 이행)
영향평가수행단계	개선계획 수립	개선사항 도출 개선계획 수립	평가수행연도	영향평가기관(영향평가 수행 및 영향평가서 작성) 대상기관(업무 협조, 영향평가서 제출 및 개선계획 이행)
영향평가수행단계	영향평가서 작성	영향평가서 작성 → 영향평가서 제출(보호위원회)	평가수행연도	영향평가기관(영향평가 수행 및 영향평가서 작성) 대상기관(업무 협조, 영향평가서 제출 및 개선계획 이행)
이행단계	개선계획 반영/점검	개선계획 반영(개발단계) 개선계획 반영점검(테스트단계)	평가수행연도	대상기관 감리사업자
이행단계	개선사항 이행확인	개선사항 이행확인(1년이내) → 이행확인서 제출(보호위원회)	평가다음연도	대상기관

<출처> 개인정보 영향평가 수행안내서(개인정보 보호위원회, KISA)