A.6.6
기밀유지 또는 비밀유지 협약
인적 통제확인사항 6증적 6사례 6
통제 목적
조직의 정보 보호 필요성을 반영한 기밀유지/비밀유지 협약(NDA)의 요구사항을 식별하고, 이를 문서화하여 임직원 및 외부자로부터 서명을 받고 정기적으로 검토하도록 하는 통제입니다. 정보는 채용, 계약, 협업 과정에서 사람에게 공유될 수밖에 없으므로, 협약은 각 당사자가 지켜야 할 비밀유지 의무와 정보의 범위, 위반 시 책임을 명확히 하여 법적으로 강제할 수 있는 근거를 제공합니다. 이 통제는 정보 유출을 사전에 억제하고, 관계 종료 이후에도 지속되는 비밀유지 의무를 확립하며, 위반 발생 시 조직이 조치할 수 있는 토대를 마련하는 것을 목표로 합니다.
주요 확인사항
- 정보의 민감도와 보호 필요성을 반영하여 기밀유지/비밀유지 협약의 요구사항(대상 정보, 의무, 유효기간 등)을 식별하고 문서화하고 있는가?
- 임직원의 채용/배치 시점과 외부자의 계약 체결 시점에 협약 서명을 받고 그 기록을 관리하고 있는가?
- 협약 내용에 보호 대상 정보의 정의, 정보 취급/반환/파기 의무, 위반 시 책임 및 조치가 구체적으로 포함되어 있는가?
- 고용/계약 관계 종료 이후에도 유지되는 비밀유지 의무의 존속 기간이 명시되어 있는가?
- 관련 법규 변경, 조직 변화, 정보 환경 변화에 따라 협약 양식을 정기적으로 검토하고 갱신하고 있는가?
- 미서명자나 협약 갱신이 필요한 대상을 식별하고 후속 조치를 이행하는 절차가 있는가?
이행 지침
- 보호가 필요한 정보의 유형과 민감도를 분석하여 협약에 포함할 요구사항(대상 정보 범위, 비밀유지 의무, 허용/금지 행위, 유효기간)을 정의합니다.
- 임직원은 채용/배치 초기에, 외부자(수탁자, 협력사, 컨설턴트, 방문자 등)는 정보 접근 전 또는 계약 체결 시 협약에 서명하도록 절차화합니다.
- 보호 정보, 사용 제한, 반환/파기, 무단 공개 금지와 위반 책임을 명확히 합니다. 법령상 요구되거나 보호되는 신고/공개 등 적법한 예외와 처리 절차도 정하여 계약이 이를 부당하게 제한하지 않도록 합니다.
- 고용/계약 종료 후에도 지속되는 비밀유지 의무와 그 존속 기간을 협약에 명시하여 관계 종료 이후의 유출을 방지합니다.
- 서명 완료 여부를 대상자별로 기록/관리하고, 미서명자나 재서명 대상에 대한 후속 조치 절차를 운영합니다.
- 관련 법규, 계약 요구사항, 위협 환경의 변화를 반영하여 협약 양식을 정기적으로 검토하고 필요 시 갱신하며, 개정 시 기존 당사자의 재서명 여부를 판단합니다.
- 개인정보 등 별도 법적 보호가 적용되는 정보에는 해당 처리 의무를 반영합니다. 직원/수탁자의 비밀유지 서약은 정보주체의 동의나 다른 적법한 처리 근거를 대신하지 않으므로 별도로 확인합니다.
증적자료
- 기밀유지/비밀유지 협약 표준 양식(임직원용, 외부자용)
- 임직원별 서명된 보안 서약서/비밀유지 협약서 및 서명 대장
- 외부자(수탁사, 협력사 등) 계약서 내 비밀유지 조항 또는 별도 NDA 및 서명 기록
- 협약 양식 검토/개정 이력 및 개정 사유 문서
- 미서명자 식별 및 후속 조치 기록
- 고용/계약 종료 시 비밀유지 의무 고지 및 확인 문서
부적합 사례
- 비밀유지 협약 양식은 있으나 실제 서명 기록이 없거나 일부 대상자만 서명하여 이행이 확인되지 않는 경우
- 외부자에게 정보 접근 권한을 부여하면서 비밀유지 협약이나 계약 내 관련 조항을 확보하지 않은 경우
- 협약에 보호 대상 정보의 범위나 위반 시 책임이 명시되지 않아 실효성이 없는 경우
- 고용/계약 종료 이후 존속하는 비밀유지 의무나 존속 기간이 협약에 명시되지 않은 경우
- 관련 법규나 조직이 바뀌었는데도 협약 양식을 수년간 검토하거나 갱신하지 않아 현행 요구사항을 반영하지 못한 경우
- 서명은 받았으나 대상자가 협약 내용이나 자신의 비밀유지 의무를 이해하지 못한 채 형식적으로 처리된 경우