A.6.2
고용 조건
인적 통제확인사항 6증적 6사례 6
통제 목적
고용 계약 및 이에 준하는 약정에 임직원과 조직이 각각 부담하는 정보보안 책임을 명시하여, 채용 시점부터 재직 중은 물론 고용 종료 이후 일정 기간까지 적용되는 보안 의무의 근거를 문서로 확립하는 통제입니다. 계약에 보안 책임이 담겨 있지 않으면 위반 시 조치의 정당성과 강제력이 약해지고, 임직원이 자신의 의무 범위를 명확히 인지하기 어렵습니다. 이 통제는 비밀유지, 자산의 허용 가능한 사용, 정책 준수, 위반 시 결과 등을 고용 조건에 반영하고, 임직원이 이를 인지하고 수락하도록 요구합니다.
주요 확인사항
- 고용 계약(또는 별도 약정/서약)에 임직원의 정보보안 책임과 조직의 책임이 명시되어 있는가?
- 기밀정보 및 개인정보에 대한 비밀유지 의무와 그 유효기간(재직 중 및 퇴직 후)이 계약에 규정되어 있는가?
- 직무/직급/접근권한 수준에 따라 차등화된 보안 의무가 계약이나 서약에 반영되어 있는가?
- 임직원이 채용/배치 시점에 정보보안 정책 및 행동수칙을 준수하기로 서명 또는 확인하는 절차가 있는가?
- 계약에 지식재산권 귀속, 자산 반납, 위반 시 조치(징계 등)에 관한 조항이 포함되어 있는가?
- 임시직/계약직/파견 등 다양한 고용 형태에도 동등한 수준의 보안 조건이 적용되는가?
이행 지침
- 고용 계약서 또는 부속 문서(보안 서약서 등)에 임직원의 정보보안 책임, 정책 준수 의무, 위반 시 결과를 명확히 포함합니다.
- 재직 중은 물론 고용 종료 후에도 유지되는 비밀유지 의무와 그 존속 기간을 명시하고, 개인정보 보호 관련 법적 의무를 반영합니다.
- 직무 특성과 접근 권한 수준(주요 직무자, 관리자, 개인정보취급자 등)에 따라 추가되는 보안 의무를 계약이나 서약에 반영합니다.
- 채용/배치/직무변경 시점에 정책과 행동수칙을 안내하고, 서명 또는 전자적 동의로 인지하고 수락했다는 확인을 받아 기록합니다.
- 조직이 소유한 정보 및 자산에 대한 권리, 지식재산권 귀속, 퇴직 시 자산 및 접근권한 반납 의무를 고용 조건에 포함합니다.
- 정규직/계약직/파견/실습생 등 고용 형태와 무관하게 동등한 보안 조건이 적용되도록 표준 문안과 관리 절차를 마련합니다.
증적자료
- 정보보안 책임 조항이 포함된 고용 계약서 표준 양식
- 임직원이 서명한 보안 서약서 또는 비밀유지 서약서
- 채용/배치 시 정책과 행동수칙 안내 및 동의 기록
- 직무별/권한별 추가 보안 의무 서약(주요 직무자, 개인정보취급자 등)
- 계약직/파견/외주 인력에 대한 보안 조건 적용 문서
- 서약서 및 계약 문서의 보관/갱신 관리 대장
부적합 사례
- 고용 계약에 정보보안 책임이나 비밀유지 의무 조항이 전혀 없어 위반 시 조치할 근거가 없는 경우
- 비밀유지 의무의 존속 기간이 명시되지 않아 퇴직 후 의무 범위가 불분명한 경우
- 신규 입사자 일부만 보안 서약을 하고 나머지는 누락되어 인지/수락 기록이 일관되지 않은 경우
- 정규직에게서만 서약을 받고 계약직 및 파견 인력에는 동등한 보안 조건을 적용하지 않은 경우
- 주요 직무자나 개인정보취급자에게 요구되는 추가 보안 의무가 계약이나 서약에 반영되지 않은 경우
- 서약서를 받았으나 보관/관리가 되지 않아 특정 인원의 서명 여부를 확인할 수 없는 경우