A.6.1
채용 신원 검증
인적 통제확인사항 6증적 6사례 6
통제 목적
채용 예정자가 정보에 접근하기 전에 신원, 경력, 자격 및 배경을 확인하여, 조직의 정보와 자산에 위협이 될 수 있는 사람을 부주의로 채용하는 위험을 낮추는 통제입니다. 사람은 정보보안의 첫 번째 방어선이자 가장 취약한 지점이 될 수 있으므로, 접근하게 될 정보의 중요도와 직무의 위험 수준에 비례하여 심사의 범위와 깊이를 정해야 합니다. 이 통제는 입사 전은 물론 재직 중에도 이러한 검증을 지속적으로 수행하도록 요구합니다. 검증은 관련 법률, 규정, 윤리(개인정보 보호, 동의, 차별 금지)에 맞게 직무 위험에 비례하여 진행하고, 정규직뿐 아니라 동등한 접근 권한이 있는 외부 인력에도 적용해야 합니다.
주요 확인사항
- 채용 예정자 전원에게 채용 전 또는 채용 시점에 적용되는 심사 절차가 문서화되어 있고, 사업 필요성, 정보 분류, 위험 수준에 비례하여 운영되는가?
- 신원 확인, 학력/경력/자격 검증, 추천인 확인, 법적으로 허용되는 경우의 범죄경력/신용 조회 등 심사 항목이 직무 민감도에 따라 정의되어 있는가?
- 민감정보를 다루거나 주요 직무를 수행하는 자에 대해서는 심사 범위와 깊이를 강화하고 있는가?
- 심사에 필요한 적법한 처리 근거, 최소 수집, 고지와 필요한 동의/허가, 차별 금지 등 적용 법규와 윤리 기준을 준수하는가?
- 계약직, 임시직, 위탁/파견 등 외부 인력에도 계약을 통해 동등한 심사 요구사항이 적용되는가?
- 심사 수행 내역과 적법한 근거를 기록하고, 재직 중 검증 방식(주요 직무의 정기 재검증, 더 민감한 직무나 접근권한으로 바뀌는 시점의 재검증 등)을 법적으로 허용되고 위험에 비례하는 범위에서 정하고 있는가?
이행 지침
- 채용 예정자 전원에게 적용되는 심사 정책/절차를 문서화하고, 접근할 정보의 분류와 직무 위험도에 비례하여 심사 범위를 차등화합니다.
- 직무별 심사 항목(신원 확인, 학력/자격, 경력, 추천인 확인 및 법적으로 허용되는 경우 고위험 직무에 적용하는 범죄경력/신용 조회)을 정의합니다.
- 개인정보를 수집하거나 검증하기 전에 적법한 근거를 확인하고, 필요한 고지 및 동의/허가 절차를 적용합니다. 동의만으로 금지된 조회가 허용된다고 가정하지 않으며, 직무에 필요한 최소 정보만 안전하게 처리합니다.
- 특권 접근, 재무, 개인정보 취급 등 민감/주요 직무자에게는 강화된 검증을 적용합니다. 재직 중에는 주요 직무자를 정해진 주기로, 더 민감한 직무로 옮기는 인원을 이동 시점에 다시 검증하도록 정하되 관련 법령이 허용하는 확인 방법만 사용합니다.
- 계약직, 파견, 위탁 등 외부 인력에도 계약 조항으로 심사 요구사항을 적용하고, 공급자가 동등한 심사를 수행했는지 확인합니다.
- 심사 기준, 수행 결과, 적법한 처리 근거 및 필요한 동의/허가 기록을 접근이 제한된 장소에 보관하고, 목적과 법규에 맞는 보존/파기 기준을 적용합니다.
증적자료
- 채용 신원 검증 정책서/절차서
- 후보자별 심사 체크리스트 및 기록(신원 확인, 학력/자격/경력 검증 결과)
- 신원 확인/개인정보 수집의 적법한 근거와 고지 기록, 필요한 경우 동의/허가서
- 추천인 확인 기록, 법적으로 허용되는 범죄경력/신용 조회 기록
- 외부 인력 심사를 요구하는 계약 조항 및 공급자의 심사 수행 확인 자료
- 주요 직무자 재심사 기록, 심사 결과물의 안전한 보관 및 접근통제 기록
부적합 사례
- 문서화된 심사 절차 없이 채용을 진행하여, 신원/경력 확인을 담당자 재량에 맡기거나 아예 수행하지 않는 경우
- 특권/관리자 계정 보유자나 개인정보 취급자 등 민감 직무자를 위험 수준에 맞는 배경 확인 없이 배치한 경우
- 정규직에게만 심사를 적용하고, 동등한 접근 권한이 있는 계약직/파견 인력에는 적용하지 않은 경우
- 적법한 처리 근거 또는 필요한 동의/허가 없이 신원 정보를 수집하거나 직무에 필요한 범위를 초과하여 수집하는 경우
- 심사 기록이 남아 있지 않아 심사가 실제로 수행되었는지 감사 시점에 입증하지 못하는 경우
- 위험 수준이 높아지는 직무로 이동했음에도 재심사나 검토가 이루어지지 않은 경우