A.5.5
관계 당국과의 연락
조직적 통제확인사항 5증적 5사례 5
통제 목적
조직이 정보보안과 관련된 관계 당국(감독/규제기관, 개인정보 감독기관, 침해대응 전문기관, 수사기관, 소방/재난 등 긴급대응기관)과 사전에 연락 체계를 수립하고 유지하도록 하는 통제입니다. 평시에는 법규/규제 변화를 파악하고 준수 지침을 확인하기 위해, 유사시에는 침해사고/재난을 적시에 신고하고 협조를 받기 위해 연락 창구가 필요합니다. 누구에게, 어떤 상황에서, 어떤 방법으로 연락할지를 미리 정해 두어야 사고 발생 시 신고 지연이나 법정 기한 초과 없이 신속하게 대응할 수 있습니다.
주요 확인사항
- 정보보안 및 개인정보 보호와 관련해 연락이 필요한 관계 당국(규제/감독기관, 개인정보 감독기관, 침해대응기관, 수사기관, 긴급대응기관 등)을 식별하고 목록화하였는가?
- 각 당국에 대해 연락 담당자, 연락 방법, 연락이 필요한 상황(신고 대상 사고 유형, 법정 신고 기한 등)을 사전에 정의하였는가?
- 침해사고/개인정보 유출 발생 시 법령에서 정한 신고 대상/기한/방법에 따라 관계 당국에 신고하는 절차가 사고대응 체계에 반영되어 있는가?
- 관계 당국 연락처와 담당자 정보를 최신 상태로 유지하고, 담당자 부재 시에도 연락이 가능하도록 관리하는가?
- 관계 당국과의 연락 이력(신고, 협조 요청, 지침 수신 등)을 기록하고 사후 개선에 활용하는가?
이행 지침
- 조직에 적용되는 규제/법령 및 사고 유형을 기준으로 연락이 필요한 관계 당국을 식별하고, 기관명, 관할 범위, 연락처, 담당 창구를 목록으로 관리합니다.
- 상황별(일반 문의, 침해사고 신고, 개인정보 유출 신고, 재난/긴급 상황 등) 연락 기준과 절차를 정의하고, 사고대응 계획(A.5.24 등)에 신고 대상/기한/방법을 명시합니다.
- 법정 보고 의무의 발생 요건과 기한을 사고 분류 절차에 반영하되, 내부 심각도 등급과 별도로 평가합니다. 내부 등급이 낮거나 조사 중이라는 이유로 보고 의무가 적용되는 건을 누락하지 않도록 합니다.
- 연락 담당자와 대체(백업) 담당자를 지정하고, 24/365 대응이 필요한 사고에 대비해 비상 연락 체계와 연락처를 유지합니다.
- 기관에 공유할 정보의 범위와 안전한 전송 채널, 담당자 및 대행 권한을 사전에 정합니다. 단일 창구 담당자와 연락이 닿지 않거나 내부 승인을 기다리느라 법정 기한을 넘기거나 긴급 지원 요청이 지연되지 않도록 합니다.
- 연락처/담당자 정보를 정기적으로 검증/갱신하고, 실제 연락(신고/협조) 이력을 기록하여 훈련 및 절차 개선에 반영합니다.
증적자료
- 관계 당국(규제/감독기관, 개인정보 감독기관, 침해대응기관, 수사기관, 긴급대응기관 등) 연락처 목록/대장
- 상황별 신고 대상/기한/방법을 명시한 사고대응 절차 또는 비상연락 체계도
- 개인정보 유출/침해사고 발생 시 관계 당국 신고 기록(신고서, 접수 확인 등)
- 관계 당국과의 연락 담당자 및 대체 담당자 지정 문서
- 연락처 정기 검증/갱신 이력, 협조 요청/지침 수신 등 연락 이력
부적합 사례
- 침해사고나 개인정보 유출이 발생했으나 신고 대상 기관과 법정 기한을 사전에 정의하지 않아 신고가 지연되거나 누락된 경우
- 관계 당국 연락처 목록이 오래되어 담당자 변경/연락처 변경이 반영되지 않아 유사시 연락이 되지 않는 경우
- 사고대응 계획에 관계 당국 신고 절차가 포함되어 있지 않아, 사고 발생 시 담당자가 누구에게 어떻게 신고할지 알지 못하는 경우
- 연락 담당자가 1인으로만 지정되어 부재/휴가 시 비상 연락과 신고가 불가능한 경우
- 법정 신고 기한(예: 유출 통지/신고 기한)을 초과하여 신고하거나, 신고 사실 및 이력을 기록하지 않은 경우