JLabs

2.11.5 사고 대응 및 복구

인증 기준

침해사고 및 개인정보 유출 징후나 발생을 인지한 때에는 법적 통지 및 신고 의무를 준수하여야 하며, 절차에 따라 신속하게 대응 및 복구하고 사고분석 후 재발방지 대책을 수립하여 대응체계에 반영하여야 한다.

주요 확인사항

  • 침해사고 및 개인정보 유출의 징후 또는 발생을 인지한 경우 정의된 침해사고 대응 절차에 따라 신속하게 대응 및 보고가 이루어지고 있는가?
  • 개인정보 침해사고 발생 시 관련 법령에 따라 정보주체 통지 및 관계기관 신고 절차를 이행하고 있는가?
  • 침해사고가 종결된 후 사고의 원인을 분석하여 그 결과를 보고하고 관련 조직 및 인력과 공유하고 있는가?
  • 침해사고 분석을 통하여 얻은 정보를 활용하여 유사 사고가 재발하지 않도록 대책을 수립하고 필요한 경우 침해사고 대응절차 등을 변경하고 있는가?

결함 사례

  • 내부 침해사고 대응지침에는 침해사고 발생 시 내부 정보보호위원회 및 이해관계 부서에게 보고하도록 정하고 있으나, 침해사고 발생 시 담당 부서에서 자체적으로 대응 조치 후 정보보호위원회 및 이해관계 부서에 보고하지 않은 경우
  • 최근 DDoS 공격으로 의심되는 침해사고로 인하여 서비스 일부가 중단된 사례가 있으나, 이에 대한 원인분석 및 재발방지 대책이 수립되지 않은 경우
  • 외부 해킹에 의해 개인정보 유출사고가 발생하였으나, 유출된 개인정보 건수가 소량이라는 이유로 72시간 이내에 통지 및 신고가 이루어지지 않은 경우
  • 담당자의 실수에 의해 인터넷 홈페이지 게시판을 통해 1천명 이상 정보주체에 대한 개인정보 유출이 발생하였으나, 해당 정보주체에 대한 유출 통지가 이루어지지 않은 경우

함께 보는 항목

이 기준과 맞물려 나오는 개념

개인정보 유출 통지·신고

개념

  • 개인정보 유출 발생 시 개인정보처리자는 정보주체에게 72시간 이내 통지하고, 일정 기준 이상의 유출은 개인정보보호위원회 또는 KISA에 신고해야 한다.

법령 참조

  • 개인정보 보호법 제34조(개인정보 유출 등의 통지·신고)

주요내용

  • 정보주체 통지 기한: 72시간 이내 (공휴일·주말 포함).
  • 통지 내용: 유출된 항목, 유출 시점·경위, 피해 최소화 방법, 처리자 대응조치, 담당부서·연락처.
  • 신고 대상 유출 4가지: ①1천 명 이상 ②민감정보·고유식별정보 유출 ③해킹·악성프로그램 등에 의한 유출.
  • 신고 기관: 개인정보보호위원회 또는 KISA(한국인터넷진흥원).
  • 신고 기한: 72시간 이내.
  • 개인정보 보호법과 신용정보법 비교
  • 구분 개인정보 보호법
    제34조(개인정보 유출 등의 통지·신고)
    신용정보법
    제39조의4(개인신용정보 누설통지 등)
    법률간의 관계 일반법 특별법
    적용 대상 개인정보처리자 신용정보회사등에서의 상거래기업 및 법인에 한정
    적용 범위 개인정보 유출 등 개인신용정보 누설
    의무 사항 통지 및 신고
    벌칙 규정 3천만원 이하의 과태료
    유출통지 규모 - -
    시점 72시간 이내 72시간 이내
    방법 홈페이지, 서면 등의 방법으로 개별 통지
    항목 • 유출 등이 된 개인정보 항목
    • 유출 등이 된 시점과 그 경위
    • 유출 등으로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보
    • 개인정보처리자 대응조치 및 피해 구제절차
    • 피해 신고·상담 부서 및 연락처 등
    유출신고 규모 1. 1천명 이상
    2. 민감정보, 고유식별정보 유출 등
    3. 외부로부터의 불법적인 접근에 의해 개인정보가 유출 등
    1만명 이상
    시점 72시간 이내 72시간 이내
    기관 개인정보보호위원회 또는 한국인터넷진흥원(KISA)

결함 사례

  • 유출 인지 후 72시간이 넘어 정보주체에게 통지한 경우.
  • 100건 미만이라는 이유로 신고 대상이 아니라고 판단하였으나 민감정보가 포함된 경우.
  • 주말·공휴일이 포함되어 있다는 이유로 72시간 산정에서 제외한 경우.

참고

  • 이전 규정(2023년 개정 전)은 '5일 이내'였으나 72시간으로 강화.
  • 긴급한 조치가 필요한 경우 또는 천재지변이나 그 밖에 부득이한 사유엔 해당 사유가 해소된 후 지체없이 정보주체에게 알릴 수 있음.
  • 개인정보 유출 등의 경로가 확인되어 해당 개인정보를 회수·삭제하는 등의 조치를 통해 정보주체의 권익 침해 가능성이 현저히 낮아진 경우에는 신고하지 않을 수 있음.
  • 정보주체의 연락처를 알 수 없는 경우 자신의 인터넷 홈페이지에 30일 이상 게시.
    다만, 인터넷 홈페이지를 운영하지 아니 경우에는 사업장등의 보기 쉬운 장소에 30일 이상 게시.

정리

  • 72시간 기산: 처리자가 유출 사실을 알게 된 시점부터 기산.
  • 공휴일도 72시간에 포함 — '영업일 기준'이 아님.

핵심 키워드

  • 사고 인지·보고
  • 법적 통지·신고
  • 정보주체 통지
  • 사고 원인 분석
  • 재발방지

헷갈리는 항목

이 항목을 카드로 외우고 결함 판별 문제로 확인하기

출처: ISMS-P 인증제도 누리집(isms-p.or.kr) 제도소개