협력사가 보낸 보안 점검표, 어디까지 믿고 어디부터 확인해야 하나

연말이 가까워지면 협력사 보안 점검 일정이 잡힙니다. 업무를 맡긴 외부 업체에 점검표를 메일로 보내고 회신을 받아 결과를 정리하는 방식이 흔합니다. 돌아온 점검표에는 대부분 '예'가 표시되어 있고 보안서약서와 인증서 사본이 첨부됩니다.

이 서류만으로 점검을 마쳤다고 보고해도 되는지는 따로 따져 볼 문제입니다. 점검표는 협력사가 스스로 작성한 답변입니다. 답변이 실제 운영과 다르더라도 서류만 보고는 알 수 없습니다.

점검표의 '예'가 알려주는 것

점검표 항목에 '예'라고 답했다는 것은 협력사가 그런 규정이나 절차를 두고 있다고 답했다는 뜻입니다. 그 절차가 실제로 지켜졌는지는 서면에 나타나지 않습니다.

예를 들어 "퇴사자의 시스템 계정은 퇴사일에 삭제한다"는 항목에 '예'가 표시되어 있어도 퇴사자 계정이 남아 있는지는 실제 계정 목록을 봐야 확인됩니다. "위탁 업무가 끝난 자료는 파기한다"는 답변에 파기 확인서가 붙어 있어도 담당자 PC나 공유 폴더에 파일이 남아 있는지는 별도로 확인해야 합니다.

인증서도 같습니다. 인증서 사본은 인증을 받았다는 사실을 보여줍니다. 우리 회사 업무를 처리하는 부서와 시스템이 인증 범위에 들어 있는지는 인증서에 적힌 범위를 읽어 봐야 알 수 있습니다.

서면 답변과 함께 대조할 네 가지 기록

점검표의 답변을 기록과 하나씩 맞춰 보면 답변이 실제 운영과 일치하는지 확인할 수 있습니다. 위탁 업무 점검에서 자주 대조하는 기록은 다음 네 가지입니다.

1. 계정과 권한 목록

위탁 업무에 쓰이는 시스템에 접속할 수 있는 계정 전체의 목록입니다. 퇴사자 계정, 여러 사람이 함께 쓰는 공용 계정, 업무와 무관한 권한이 붙은 계정이 있는지를 협력사의 인사 기록과 맞춰 봅니다.

2. 시스템 접속 기록

누가 언제 접속해 어떤 정보를 조회했는지가 남는 기록입니다. 개인정보를 처리하는 시스템은 관련 고시에 따라 접속 기록을 일정 기간 보관해야 합니다. 그 기간만큼 기록이 실제로 남아 있는지, 업무 시간 외 접속이나 평소보다 많은 조회가 있었는지를 확인합니다.

3. 파기 기록과 실제 저장 위치

파기 확인서에 적힌 날짜와 대상을 실제 저장 위치와 대조합니다. 업무 PC, 공유 폴더, 메일 첨부처럼 자료가 흩어지기 쉬운 곳에 파기 대상 파일이 남아 있지 않은지 봅니다.

4. 업무용 PC의 사용 흔적

위탁 자료를 다루는 PC에는 외부 저장장치 연결, 개인 메일이나 클라우드 접속, 파일 열람 기록이 남습니다. 점검표에 외부 저장장치를 쓰지 않는다고 답했다면 이 기록으로 답변과 실제 사용을 비교할 수 있습니다.

네 가지를 모든 협력사에 매년 적용하기는 어렵습니다. 맡긴 정보의 양이 많고 민감한 협력사부터 대조 대상을 정하는 경우가 많습니다.

기록에서 차이가 보이면 바로 유출로 볼 수 있을까

이 대목에서 담당자들이 가장 많이 묻는 것은 서면 답변과 다른 기록이 나왔을 때 이를 사고로 봐야 하느냐는 점입니다. 기록마다 확인해 주는 사실의 범위가 다릅니다. 차이를 발견한 것과 유출을 확인한 것은 구분해서 다뤄야 합니다.

파기했다고 답한 파일이 PC에 남아 있다면 파기 절차가 지켜지지 않았다는 사실이 확인됩니다. 그 파일이 외부로 전달되었는지는 메일 발송 기록이나 외부 저장장치 복사 기록을 따로 봐야 합니다.

외부 저장장치 연결 기록은 장치가 연결되었다는 사실을 보여줍니다. 어떤 파일이 복사되었는지는 연결 기록만으로 알 수 없습니다.

접속 기록에 대량 조회가 있다면 조회가 있었다는 사실과 그 시각이 확인됩니다. 업무상 필요한 조회였는지는 당시의 업무 내용과 맞춰 봐야 합니다.

차이가 확인되면 먼저 그 내용을 기록으로 정리하고 관련 기록을 보존합니다. 유출 여부는 여러 기록을 시간 순서로 맞춰 본 다음에 판단합니다.

현장 확인은 계약서에 정한 범위 안에서 진행됩니다

협력사의 시스템과 PC는 협력사의 자산입니다. 위탁한 회사가 이를 직접 확인하려면 위탁 계약서에 점검 권한과 방법이 정해져 있어야 합니다. 개인정보 처리 업무를 맡긴 경우 개인정보 보호법은 위탁자가 수탁자를 교육하고 처리 현황을 점검하는 등 감독하도록 정하고 있으며 감독의 구체적인 방법은 계약에서 정하는 경우가 많습니다.

점검 계획을 세우기 전에 계약서와 지난 점검 결과에서 아래 사항을 확인해 둡니다.

위탁 계약서에 현장 점검이나 자료 제출을 요청할 수 있는 조항이 있는지

협력사가 업무를 다시 맡긴 업체(재위탁 업체)도 점검 대상에 포함되는지

인증서의 인증 범위에 위탁 업무를 처리하는 부서와 시스템이 들어 있는지

지난 점검에서 '예'로 답한 항목 가운데 기록과 대조해 본 항목이 무엇인지

대조 중 차이가 나왔을 때 기록 보존과 내부 보고를 누가 맡는지

협력사 점검표는 협력사가 갖춘 규정과 절차를 확인하는 자료입니다. 그 규정이 실제로 지켜졌는지는 계정 목록, 접속 기록, 파기 대상 자료의 저장 위치, 업무용 PC의 사용 흔적을 답변과 대조해 확인합니다. 대조에서 나온 차이가 무엇을 뜻하는지는 관련 기록을 함께 분석한 뒤에 판단합니다.

HM ADFS는 수탁사 개인정보 관리실태 진단에서 협력사의 서면 답변을 시스템과 PC의 기록으로 대조하며 차이가 나온 사안은 정보유출 조사로 이어서 분석합니다. 분석 결과는 KOLAS 공인 성적서로 발행할 수 있으며 서비스 안내는 www.hmadfs.com에 있습니다.

※ 해당 게시물은 생성형 AI를 이용해 제작되었고, 전문가 검토 후 게시하였습니다.