A.6.4
징계 절차
인적 통제확인사항 6증적 6사례 6
통제 목적
정보보안 정책 및 규정을 위반한 임직원 및 관련 인원에 대해 공식적이고 사전에 공지된 징계 절차를 마련하고 일관되게 적용하도록 하는 통제입니다. 위반에 따른 조치가 사전에 정의되어 있고 공정하게 집행되면 임직원이 규정 준수의 중요성을 인지하게 되므로, 위반을 억제하는 예방 효과가 생깁니다. 이 통제는 위반의 심각성, 고의성, 재발 여부, 법적 파급 등을 고려하여 조치 수위를 결정하고, 절차의 공정성과 적법성을 확보하는 것을 목표로 합니다.
주요 확인사항
- 정보보안 정책/규정 위반 시 적용되는 징계 절차가 공식 문서로 수립되어 있고 임직원 및 관련 인원에게 사전에 공지되어 있는가?
- 위반의 심각성, 고의/과실 여부, 재발 여부, 업무 영향도 등을 고려하여 조치 수위를 차등 적용하는 기준이 마련되어 있는가?
- 징계 절차가 관련 법령(근로 관계 법령 등)과 취업규칙/내규에 부합하도록 설계되어 있는가?
- 위반 사실 확인 시 사실관계 조사, 소명 기회 부여, 결정, 통지 등 절차가 정당하게 진행되고 기록되는가?
- 징계 절차의 존재와 위반 시 조치 내용을 교육/서약 등으로 임직원에게 알리고 있는가?
- 징계 결과가 재발 방지 및 관리체계 개선(정책 보완, 추가 교육 등)에 연계되고 있는가?
이행 지침
- 정보보안 위반 유형별로 적용 가능한 조치(경고, 재교육, 접근권한 회수, 인사 조치 등)를 정의한 공식 징계 절차를 수립하고 경영진 승인을 받습니다.
- 위반의 심각성, 고의성, 반복성, 조직에 미친 영향, 법적 파급 등을 종합적으로 고려하여 조치 수위를 결정하는 기준을 마련합니다.
- 근로 관계 법령, 취업규칙, 단체협약 등과의 정합성을 사전에 검토하여 절차의 적법성과 공정성을 확보합니다.
- 위반 처리 시 사실관계 조사, 당사자 소명 기회 부여, 심의/결정, 결과 통지의 단계를 준수하고 각 단계를 기록합니다.
- 징계 절차의 존재와 위반 시 조치를 채용 시 서약, 정기 보안교육 등으로 사전에 공지하여 예방 및 억제 효과를 확보합니다.
- 개인정보 및 인사 관련 민감정보가 다루어지므로 조사/징계 기록에 대한 접근을 제한하고 보관/파기 기준을 적용합니다.
- 징계 사례의 원인을 분석하여 정책/절차 보완, 추가 교육 등 재발 방지 조치에 반영합니다.
증적자료
- 정보보안 위반 시 적용되는 징계 절차/규정 문서 및 경영진 승인 기록
- 위반 유형별 조치 기준(수위 결정 기준표 등) 및 취업규칙/내규 연계 문서
- 위반 사실 조사 보고서, 당사자 소명 자료, 심의/결정 기록
- 징계 조치 결과 통지 문서 및 접근권한 회수 등 후속 조치 기록
- 징계 절차를 알리는 교육 자료, 보안 서약서
- 징계 사례 원인 분석 및 재발 방지(정책 보완, 추가 교육 등) 반영 기록
부적합 사례
- 정보보안 위반에 대한 공식 징계 절차가 문서로 없어 사안별로 자의적으로 처리되는 경우
- 징계 절차를 임직원에게 사전에 공지하지 않아 임직원이 위반 시 조치를 인지하지 못하는 경우
- 위반의 심각성/고의성 등을 고려하지 않고 동일 위반에 대해 일관되지 않게 조치하는 경우
- 사실관계 조사나 소명 기회 부여 없이 절차가 진행되어 공정성/적법성이 확보되지 않은 경우
- 명백한 보안 위반이 발생했음에도 아무런 조치나 기록 없이 종결된 경우
- 징계 사례가 원인 분석 및 재발 방지 조치로 연계되지 않아 동일 위반이 반복되는 경우