A.5.31
법률, 법령, 규제 및 계약 요구사항
조직적 통제확인사항 6증적 6사례 6
통제 목적
조직의 정보보안 및 개인정보보호와 관련된 법률/법령/규제/계약상 요구사항을 빠짐없이 식별하고 문서화하며, 이를 준수하기 위한 조직의 접근방식을 정의하고 최신 상태로 유지하기 위한 통제입니다. 사업을 수행하는 모든 관할지역(국내외)에 적용되는 의무를 파악하고, 각 요구사항을 충족하기 위한 절차와 책임을 정하도록 요구합니다. 요구사항을 책임자/자산/통제와 연결해 두면 준수 여부를 지속적으로 확인하기 쉽습니다. 궁극적으로는 법규 위반에 따른 벌칙/과징금/영업정지, 계약 위반에 따른 손해배상 및 신뢰 손실을 예방하고, 규제 요구를 관리체계와 위험평가의 입력으로 반영하는 것이 목적입니다.
주요 확인사항
- 정보보안/개인정보보호와 관련된 법률/법령/규제/계약 요구사항이 관할지역별로 식별되어 등록부(register) 형태로 문서화되고 최신 상태로 유지되는가?
- 각 요구사항에 대해 준수 책임자와 이를 충족하는 통제/절차가 매핑되어 있고, 준수 여부를 주기적으로 확인하는가?
- 법령 제/개정, 신규 규제, 계약 변경 등 요구사항 변화를 모니터링하여 등록부와 통제에 반영하는 절차가 있는가?
- 암호기술의 도입/수출입/사용에 관한 국가별 법적 제약을 검토하고 준수하는가?
- 개인정보 국외이전 등 국경 간 데이터 이동에 적용되는 법적 요구사항을 식별하고 대응하고 있는가?
- 고객/공급자 계약에 포함된 보안 및 개인정보보호 요구사항이 식별되어 실제 이행/증빙으로 연결되는가?
이행 지침
- 정보보안/개인정보보호 관련 법률/법령/규제/계약 요구사항을 항목별로 등록한 준수 요구사항 등록부를 구축하고, 각 항목에 관할지역, 근거 조항, 책임자, 대응 통제, 준수 상태를 기록합니다.
- 조직이 사업을 영위하는 모든 국가/지역의 의무를 파악하고, 다국적 운영 시 관할지역별로 상충하거나 추가되는 요구사항을 구분하여 관리합니다.
- 법령 제/개정 및 규제 동향을 상시 모니터링하는 체계(법무/컴플라이언스 부서, 법률 자문, 규제기관 공지 구독 등)를 운영하고, 변화를 등록부와 위험평가/통제에 반영합니다.
- 암호기술의 사용/도입/수출입에 관한 국가별 규제(허가/신고/알고리즘 제한 등)를 검토하고, 해당 제약을 암호 관련 통제(A.8.24)와 연계하여 준수합니다.
- 개인정보 국외이전, 데이터 현지화, 전자거래/전자금융 등 특정 도메인에 적용되는 요구사항을 식별하여 관련 절차 및 계약에 반영합니다.
- 고객/공급자 계약의 보안/개인정보 조항을 검토하여 이행 책임과 증빙 방법을 정합니다. 계약 종료 시에도 비밀유지, 기록 보존, 반환/파기 등 존속 의무를 식별하고 각 의무가 종료될 때까지 추적합니다.
- 준수 요구사항 등록부와 대응 통제의 정합성을 정기적으로 검토하고, 중대한 미준수 위험은 경영진에 보고하고 개선 과제로 관리합니다.
증적자료
- 정보보안/개인정보보호 관련 법률/법령/규제/계약 요구사항 등록부(관할지역, 근거 조항, 책임자, 대응 통제, 준수 상태 포함)
- 법령 모니터링/규제 동향 검토 기록 및 등록부 갱신 이력
- 법적 요구사항 준수 검토 보고서 및 미준수 사항 개선 조치 내역
- 암호기술 사용/수출입 관련 법적 제약 검토 자료
- 개인정보 국외이전 등 국경 간 데이터 이동에 대한 법적 검토/조치 근거
- 고객/공급자 계약서 내 보안/개인정보보호 요구사항 조항 및 이행/증빙 자료
부적합 사례
- 적용되는 법률/규제/계약 요구사항을 정리한 등록부가 없거나 수년간 갱신되지 않아 최신 법령이 반영되지 않는 경우
- 요구사항은 나열되어 있으나 준수 책임자나 이를 충족하는 통제가 매핑되지 않아 준수 여부를 확인할 수 없는 경우
- 신설/개정된 규제(예: 개인정보보호 관련 법령 개정)가 모니터링되지 않아 관리체계에 반영되지 않는 경우
- 해외 사업/서비스를 운영하면서 해당 관할지역의 법적 요구사항이나 데이터 국외이전 요건을 식별하지 않는 경우
- 암호기술을 도입/사용하면서 관련 법적 제약(수출입/사용 규제)을 전혀 검토하지 않는 경우
- 계약서에 명시된 보안/개인정보보호 요구사항이 식별되지 않아 실제 이행이나 증빙으로 연결되지 못하는 경우