JLabs

1.1.2 최고책임자의 지정

인증 기준

최고경영자는 정보보호 업무를 총괄하는 CISO와 개인정보보호 업무를 총괄하는 CPO를 예산·인력 등 자원을 할당할 수 있는 임원급으로 지정하여야 한다.

주요 확인사항

  • 최고경영자는 정보보호 및 개인정보보호 처리에 관한 업무를 총괄하여 책임질 최고책임자를 공식적으로 지정하고 있는가?
  • CISO 및 CPO는 예산, 인력 등 자원을 할당할 수 있는 임원급으로 지정하고 있으며, 관련 법령에 따른 자격요건을 충족하고 있는가?

결함 사례

  • 정보통신망법에 따른 CISO 지정 및 신고 의무 대상자임에도 CISO를 지정 및 신고하지 않은 경우
  • 개인정보 보호와 관련된 실질적인 권한 및 지위를 보유하지 않은 인원을 개인정보 보호 책임자로 지정하고 있어, 개인정보 처리에 관한 업무를 총괄해서 책임질 수 있다고 보기 어려운 경우
  • 조직도상에 CISO 및 CPO를 명시하고 있으나, 인사발령 등의 공식적인 지정절차를 거치지 않은 경우
  • ISMS 인증 의무대상자이면서 전년도 말 기준 자산총액이 5천억 원을 초과한 정보통신서비스 제공자이지만 CISO가 CIO를 겸직하고 있는 경우

함께 보는 항목

이 기준과 맞물려 나오는 개념

정보보호 최고책임자(CISO) 지정·신고

개념

  • 정보보호 필요성이 큰 ‘중기업’ 이상의 정보통신서비스 제공자는 정보보호 최고책임자(CISO)를 지정하고 과학기술정보통신부장관(위임: 중앙전파관리소장)에게 신고해야 한다.

법령 참조

  • 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제45조의3

주요내용

  • 지정·신고 대상
  • 정보보호 최고책임자(CISO) 지정·신고 설명 이미지
  • 겸직 금지 의무 대상: 자산총액 5조 원 이상, ISMS 의무대상자 중 자산총액 5천억 원 이상
  • 겸직 금지 대상은 이사(상법상 집행임원 포함)로 CISO 지정
  • CISO 자격 요건
  • 구분주요내용비고
    일반
    자격요건    		석사 학위 이상 (정보보호·정보기술 분야)관련 학과 졸업 요건 포함
    학사 학위 + 정보보호·정보기술 경력 3년 이상–
    전문학사 + 정보보호·정보기술 경력 5년 이상–
    정보보호 또는 정보기술 분야 경력 10년 이상–
    정보보호 관리체계(ISMS) 인증심사원 자격인증기관 자격 보유자
    정보보호 부서의 장으로서 1년 이상 근무 경력정보보호 업무를 담당하는 책임자와 담당자 등으로 구성된 조직을 말하며 장이란, 해당 조직의 책임자를 말함
    특별 자격요건
    (겸직금지 대상자의 경우 추가요건)    		일반 자격요건 충족 + 상근 근무'상근'은 매일 정해진 시간에 출근해 실근무하는 형태
    정보보호 분야 업무경력 4년이상 또는 정보보호와 정보기술 업무경력 합산 기간 5년이상단, 2년 이상 정보보호 분야 업무 경력 필요

참고

  • 정보보호 최고책임자(CISO)의 겸직 가능 업무: 정보보호 공시, 개인정보 보호 책임자 업무 등
  • 자회사의 지배·관리 업무만 수행하는 ‘순수지주회사’의 경우 겸직운영 예외로 규정하여 겸직금지 의무를 완화

정리

  • 신고 기한: 지정 또는 변경 사유 발생일로부터 180일 이내
  • MVNO 사업자는 규모와 상관없이 CISO를 지정해야 하며, 겸직 금지

개인정보 보호책임자(CPO) 지정

개념

  • 개인정보처리자는 개인정보 처리에 관한 업무를 총괄하는 개인정보 보호책임자(CPO)를 지정해야 하며, 일정 규모 이상은 전문 CPO를 지정해야 한다.

법령 참조

  • 개인정보 보호법 제31조(개인정보 보호책임자의 지정)

주요내용

  • CPO 자격요건
  • 구분설명
    민간기업 및
    단체    		 • 사업주 또는 대표자
    • 임원(임원이 없는 경우에는 개인정보 처리업무 담당 부서장)
    공공기관 • 국회, 법원, 헌법재판소, 중앙선거관리위원회의 행정사무를 처리하는 기관 및 중앙행정기관 : 고위공무원단에 속하는 공무원
    • 정무직공무원을 장(長)으로 하는 국가기관 : 3급 이상 공무원
    • 고위공무원, 3급 공무원 또는 그에 상당하는 공무원 이상의 공무원을 장으로 하는 국가기관 : 4급 이상 공무원
    • 국가기관 외의 국가기관: 해당 기관의 개인정보 처리 관련 업무를 담당하는 부서의 장
    • 시·도 및 시·도 교육청 : 3급 이상 공무원
    • 시·군 및 자치구 : 4급 이상 공무원
    • 각급 학교 : 해당 학교의 행정사무를 총괄하는 사람
    • 기타 공공기관 : 해당 기관의 개인정보 처리 관련 업무를 담당하는 부서의 장
  • 전문 CPO 지정 의무 대상:
    ①매출액 1,500억 + 이용자 100만 명 이상
    ②매출액 1,500억 + 민감·고유식별정보 5만 명 이상 처리
    ③재학생 2만 명 이상 대학
    ④상급종합병원·공공시스템운영기관
  • 전문 CPO 자격 요건: 개인정보보호·정보보호·정보기술 관련 경력 합계 4년 이상, 그 중 개인정보보호 업무 경력 최소 2년 이상.

결함 사례

  • 전문 CPO 지정 의무 대상임에도 자격 요건을 갖추지 못한 직원을 CPO로 지정한 경우.

참고

  • 경력 인정 요건: 2년(박사), 1년(석사, ISMS-P 인증심사원, PIA, 변호사, 기술사), 6개월(학사, 기사)

정리

  • CPO가 지정되지 않은 경우: 사업주 또는 대표자가 CPO가 됨.
  • 공공기관: 개인정보 보호법에 따라 CPO 지정 의무 반드시 암기.

핵심 키워드

  • CISO
  • CPO
  • 임원급 지정
  • 자원 할당
  • 법적 자격요건

헷갈리는 항목

이 항목을 카드로 외우고 결함 판별 문제로 확인하기

출처: ISMS-P 인증제도 누리집(isms-p.or.kr) 제도소개