A.6.5
고용 종료 또는 변경 후 책임
인적 통제확인사항 5증적 5사례 5
통제 목적
퇴직, 계약 만료, 해고로 고용 관계가 끝나거나 부서 이동, 승진, 역할 전환으로 직무가 바뀐 뒤에도 유효하게 유지되어야 하는 정보보안 책임과 의무를 정의하고, 이를 해당 인원에게 명확히 통지하여 이행되도록 하는 통제입니다. 사람의 신분이나 소속이 바뀌더라도 재직 중 취득한 기밀정보에 대한 비공개 의무, 지식재산 보호, 미완료 업무의 인계 의무 등은 일정 기간 지속되어야 합니다. 이러한 존속 책임이 불명확하면 인력 변동 시기에 정보가 유출되거나 오용되기 쉽습니다. 이 통제는 종료/변경 처리 절차 안에 존속 책임의 내용, 유효 기간, 통지 방법을 포함시켜 인력 변동에 따른 통제 공백을 방지하는 것을 목표로 합니다.
주요 확인사항
- 고용 종료 또는 직무 변경 후에도 지속되는 정보보안 책임(기밀유지, 비공개, 자산 반납, 미완료 업무 인계 등)이 계약서/서약서/정책에 명시되어 있는가?
- 존속 의무의 기간과 범위를 명시하여 서면으로 통지하고, 확인 회신을 기록하거나 회신을 받을 수 없으면 전달 사실과 그 사유를 기록하는가?
- 직무 변경 시 이전 직무에서 부여된 접근권한과 책임이 회수 또는 재조정되고 신규 직무 기준으로 재설정되는가?
- 퇴직/직무 변경 처리 절차에 인사(HR), 정보보안, 현업 관리자의 역할과 통지 흐름, 인계 절차가 규정되어 있는가?
- 존속 의무 위반 시 적용되는 대응/제재 및 법적 조치의 근거가 마련되어 있는가?
이행 지침
- 고용 계약서 및 보안 서약서에 종료 이후에도 유효한 기밀유지/비공개/정보보호 조항을 포함하고, 조항별 유효 기간을 명시합니다.
- 퇴직/직무 변경 체크리스트를 운영하여 자산 반납, 접근권한 회수, 계정 비활성화, 지식/업무 인계가 누락 없이 처리되도록 합니다.
- 인사, 정보보안, 현업 관리자 간 인력 변동 통지 흐름을 정의하여 종료/변경 정보가 지체 없이 공유되고 후속 조치로 이어지도록 합니다.
- 직무 변경 시에는 최소권한 원칙에 따라 신규 직무에 필요한 권한만 재부여하고 불필요해진 이전 권한을 즉시 제거합니다.
- 퇴직/직무 변경 시 존속 의무를 서면으로 다시 통지하고 가능한 경우 확인을 받습니다. 거부, 부재 등으로 서명을 받을 수 없으면 전달 사실과 사유를 기록하며, 서명을 기다리느라 계정과 권한 회수를 지연하지 않습니다.
- 존속 의무 위반에 대한 대응 절차, 신고 채널, 법적 조치 근거를 정책에 반영하고 관련 부서가 이를 인지하도록 합니다.
증적자료
- 종료 후 유효 조항(기밀유지/비공개)이 포함된 고용 계약서/보안 서약서 양식
- 퇴직/직무 변경 처리 절차서 및 체크리스트
- 자산 반납 확인서, 접근권한 회수/계정 비활성화 기록
- 퇴직 브리핑/존속 의무 재고지 확인서(당사자 서명본, 서명을 받을 수 없으면 전달 기록과 그 사유)
- 인사-정보보안 간 인력 변동 통지 기록 및 업무 인계 문서
부적합 사례
- 퇴직자에게 존속하는 비밀유지 의무를 안내하지 않았고 통지 사실을 확인할 기록도 없는 경우
- 직무 변경 후에도 이전 부서/직무에서 부여된 접근권한이 회수되지 않고 그대로 남아 있는 경우
- 계약서/서약서에 종료 이후에도 유효한 정보보안 책임 조항이 포함되어 있지 않은 경우
- 퇴직 처리 시 자산 반납 및 계정 비활성화가 지연되어 재직 중 권한이 일정 기간 유지되는 경우
- 존속 의무 위반 시 적용할 대응/제재 기준이 마련되어 있지 않아 위반에 대응하지 못하는 경우