A.5.20
공급자 계약 내 정보보안 반영
조직적 통제확인사항 6증적 6사례 6
통제 목적
공급자가 조직의 정보를 다루거나 조직 IT 환경의 일부를 대신 운영하면, 조직이 지는 위험이 조직 스스로 통제하지 못하는 영역으로 넘어갑니다. 따라서 그 관계의 성격과 위험 수준에 상응하는 정보보안 요구사항을 계약이나 합의서에 명시하고 공급자와 합의해야 합니다. 이 통제는 보안 책임, 통제 수준, 사고 통지, 감사 권한, 종료 시 조치 등을 계약 단계에서부터 문서화하여 공급망 위험을 사전에 통제하고 양 당사자의 의무와 책임 소재를 명확히 하는 것을 목적으로 합니다. 구두 합의나 관행에 의존하지 않고, 접근 범위와 정보 민감도에 비례하는 요구사항을 계약 조건으로 강제하는 것이 핵심입니다.
주요 확인사항
- 공급자 유형, 접근 수준, 취급 정보의 민감도에 따라 계약에 포함할 정보보안 요구사항을 정의하고 있는가?
- 계약서 또는 부속 보안합의서에 기밀유지, 접근권한 범위, 사고 통지, 감사/점검 권한, 재위탁(하도급) 통제 등이 구체적으로 명시되어 있는가?
- 공급자가 준수해야 할 보안 통제 수준과 성과 기준(정책/표준/SLA)이 계약에 연계되어 측정 가능하게 규정되어 있는가?
- 계약 종료나 해지 시 정보 반환/파기, 접근권한 회수, 자산 반납 절차가 계약에 규정되어 있는가?
- 계약 이행 중 요구사항 변경이나 위반이 발생할 경우의 조치, 시정, 제재 조항이 마련되어 있는가?
- 개인정보나 규제 대상 정보를 처리하는 공급자에 대해 법적/규제 요구사항(위탁 조항, 국외이전 등)이 계약에 반영되어 있는가?
이행 지침
- 계약 체결 전 공급자별 위험평가를 수행하여 접근 범위와 정보 민감도에 상응하는 보안 요구사항 목록을 도출하고 계약 조건에 반영합니다.
- 표준 계약 템플릿과 보안 부속서(security schedule)를 마련하여 기밀유지, 데이터 처리, 접근통제, 암호화, 로그/모니터링, 취약점 및 패치 관리 등 항목을 일관되게 규정합니다.
- 재위탁(하도급) 시 사전 승인 절차와 하위 공급자에게 동등 수준의 보안 의무를 부과하는 조항을 포함합니다.
- 적용 법규, 계약상 의무 및 대응에 필요한 시간을 고려하여 공급자의 사고 통지 기한, 기산점, 수신자, 채널, 조사 협력 의무를 정합니다. 조직의 외부 보고 기한을 지킬 수 있도록 초기 통지와 후속 갱신 기준도 정합니다.
- 감사/점검 권한, 증적 제출 의무, 재점검 조건을 정하고, 수용할 인증서(예: ISO 27001)와 보증 보고서(예: SOC 2)를 구분합니다. 각 자료의 대상 서비스, 범위, 유효기간 또는 평가기간, 예외사항과 고객 측 통제 책임을 검토합니다.
- 계약 종료나 해지 시 데이터 반환/파기 증빙, 계정/접근권한 회수, 자산 반납, 지속 의무(잔존 기밀유지 등) 조항을 포함합니다.
- 개인정보 처리 위탁 시 관련 법령이 요구하는 처리 목적/범위, 재위탁 제한, 안전조치, 국외이전 조건을 계약에 반영합니다.
증적자료
- 공급자 계약서 및 부속 보안합의서(NDA, 개인정보 처리위탁 계약, 보안 부속서 등)
- 공급자 보안 요구사항 정의서/체크리스트
- 계약 전 위험평가 및 공급자 실사(due diligence) 결과 기록
- SLA 및 보안 통제 수준 합의 문서
- 재위탁 사전 승인 기록 및 통지 이력
- 계약 종료 시 데이터 파기/반환 확인서 및 접근권한 회수 기록
부적합 사례
- 민감정보를 처리하는 공급자와의 계약에 기밀유지 및 보안 요구사항 조항이 누락되어 있는 경우
- 계약서에 사고 통지 기한이나 절차가 없어 공급자 측 사고 인지 및 대응이 지연되는 경우
- 공급자의 재위탁이 사전 승인 없이 이루어지고 하위 공급자에게 동등한 보안 의무가 부과되지 않는 경우
- 계약 종료 후에도 공급자 계정과 접근권한이 회수되지 않고 유지되는 경우
- 감사/점검 권한 조항이 없어 공급자의 보안 이행 여부를 확인할 방법이 없는 경우
- 개인정보 처리위탁 계약에 법령이 요구하는 안전조치나 재위탁 제한 조항이 반영되지 않는 경우