ISO 27001 인증 준비 14일차.
오늘은 회사의 대표 홈페이지에 공개되어 있는 개인정보 처리방침을 다시 살펴봤다.
앞서 인사 프로세스와 정보보안 정책서, 절차서 등을 확인했다면 이번에는 실제 외부에 공개되어 있는 개인정보 처리방침이 회사의 업무와 제대로 맞아떨어지는지 확인하는 과정이었다.
처음에는 홈페이지에 게시된 문서를 수정하는 정도로 생각했다.
하지만 막상 내용을 살펴보니 단순히 문구 몇 개를 수정하는 것으로 끝날 일이 아니었다.
홈페이지에 공개된 개인정보 처리방침부터 다시 확인하다
대표 홈페이지의 개인정보 처리방침에는 회사가 개인정보를 어떤 목적으로 수집하고, 어떻게 이용하며, 얼마 동안 보관한 뒤 어떻게 파기하는지 등의 내용이 정확하게 담겨 있어야 한다.
문제는 문서에 적혀 있는 내용과 실제 업무가 다를 수 있다는 점이다.
예를 들어 개인정보를 수집하는 항목이 바뀌었는데 처리방침은 예전 내용 그대로라면 어떨까?
실제 보관기간이나 파기 절차가 변경됐는데 문서는 업데이트되지 않았다면?
문서만 보면 문제가 없어 보여도 실제 운영과 비교하면 차이가 생길 수 있다.
결국 중요한 것은 개인정보 처리방침을 작성해 홈페이지에 올려두는 일이 아니었다.
실제로 개인정보를 처리하는 방식과 외부에 공개한 내용이 일치하도록 관리하는 것이었다.
이번에 다시 확인하면서 개인정보 처리방침도 한 번 만들어두고 끝내는 문서가 아니라는 것을 느꼈다.
회사에서 사용하는 서비스가 바뀌거나 개인정보를 처리하는 방식이 달라지면 그에 맞게 확인하고 수정해야 하는 문서였다.
CCTV도 개인정보 관리의 일부였다
이번에는 영상정보처리기기, 즉 CCTV와 관련된 운영·관리 방침도 함께 확인했다.
그동안 CCTV는 시설을 보호하거나 출입자를 확인하기 위한 장비라는 생각이 강했다.
하지만 카메라에 촬영된 영상에도 사람을 식별할 수 있는 정보가 포함될 수 있다.
그러므로 CCTV를 설치했다는 사실만으로 관리가 끝나는 것이 아니었다.
어떤 목적으로 운영하는지, 누가 관리하는지, 영상은 얼마나 보관하는지, 누가 영상에 접근할 수 있는지, 열람 요청이 들어오면 어떻게 처리하는지 등을 확인해야 했다.
관련 방침 역시 실제 운영 현황에 맞게 현행화할 필요가 있었다.
이 부분을 살펴보면서 또 하나 느꼈다.
정보보안과 개인정보 보호는 서버나 데이터베이스 안에 있는 정보만 관리하는 일이 아니었다.
홈페이지에 공개하는 문서부터 사무실의 CCTV, 직원들이 사용하는 PC까지 회사에서 개인정보가 만들어지고 이동하고 보관되는 모든 과정이 연결되어 있었다.
손해배상책임보험도 확인해야 했다
개인정보를 처리하는 회사라면 개인정보 유출 사고에 대비하는 부분도 살펴봐야 한다.
그중 하나가 개인정보 손해배상책임보험 등의 가입 여부였다.
물론 개인정보를 처리하는 모든 회사가 동일한 조건으로 무조건 보험에 가입해야 하는 것은 아니다. 법령에서 정한 대상과 기준에 해당하는지 확인하고, 해당한다면 가입 여부와 보장 수준을 검토해야 한다.
이번 준비 과정에서도 우리 회사가 적절하게 대비하고 있는지를 확인해야 한다는 점을 알게 됐다.
정보보안은 사고가 발생하지 않도록 예방하는 것이 우선이다.
하지만 아무리 노력해도 사고 가능성을 완전히 없앨 수는 없다. 따라서 사고를 예방하기 위한 관리체계뿐만 아니라 사고가 발생했을 때의 대응과 피해에 대비하는 부분까지 함께 살펴볼 필요가 있었다.
특정 권한을 가진 담당자의 인터넷망도 중요한 문제였다
이번에 특히 인상 깊었던 부분은 개인정보를 처리하는 환경의 인터넷망 차단 문제였다.
개인정보를 다루는 PC에서 외부 인터넷에 자유롭게 접근할 수 있다면 악성코드 감염이나 정보 유출 등 여러 위험에 노출될 수 있다.
특히 법령에서 정한 기준에 해당하는 개인정보처리시스템의 특정 권한을 가진 담당자는 인터넷망 차단 등 별도의 보호조치가 요구될 수 있다.
여기서 중요한 것은 모든 개인정보 취급자의 인터넷 사용이 일률적으로 금지되는 것은 아니라는 점이다. 적용 대상과 구체적인 조치는 법령에서 정한 조건에 따라 확인해야 한다.
이번 과정을 통해 개인정보에 접근할 수 있는 권한이 누구에게 부여되어 있는지, 해당 담당자가 어떤 환경에서 업무를 수행하는지, 외부 인터넷을 통한 정보 유출 위험을 어떻게 줄일 수 있는지를 함께 살펴봐야 한다는 것을 알게 됐다.
개인적으로는 이 부분을 보면서 개인정보가 얼마나 중요하게 취급되어야 하는지 다시 생각하게 됐다.
결국 중요한 것은 인터넷을 무조건 차단하는 것 자체가 아니라, 개인정보에 접근하거나 내려받을 수 있는 권한을 가진 사람을 정확히 파악하고 그에 맞는 보호조치를 적용하는 것이었다.
이제 인증 준비의 전체적인 그림이 보이기 시작했다
14일차까지 진행하면서 한 가지는 확실하게 느끼고 있다.
ISO 27001 인증은 특정 문서 몇 개를 만들거나 보안 솔루션을 설치한다고 끝나는 일이 아니었다.
정보보안 정책서가 필요하고, 그에 따른 절차서가 필요하다.
각 부서의 업무분장이 정리되어야 하고, 정보자산도 관리해야 한다.
개인정보 처리방침을 실제 업무와 일치시켜야 하며, 서버와 네트워크를 점검하고, 계정과 권한을 관리하고, 필요한 기록과 증적도 남겨야 한다.
여기에 경영진의 인식과 의사결정까지 더해진다.
무엇 하나 독립적으로 움직이는 것이 아니라 모두 연결되어 있었다.
문서를 수정하다 보면 실제 업무를 확인해야 하고, 업무를 확인하다 보면 담당 부서를 만나야 한다. 담당자와 이야기를 나누다 보면 기존에 없던 절차를 만들거나 이미 만들어진 절차를 수정해야 하는 경우도 생긴다.
하나를 정리하면 또 다른 문제가 보이는 식이다.
인증을 준비한다는 것은 결국 회사 전체의 업무와 관리체계를 하나씩 들여다보고 정리하는 일이었다.
컨설팅이 왜 필요한지도 점점 알 것 같았다
처음에는 컨설팅을 받으면 필요한 문서를 만들고, 부족한 부분을 안내받고, 하나씩 개선하면 된다고 생각했다.
하지만 지금은 생각이 조금 달라졌다.
수많은 문서와 증적을 정리하는 일도 필요하고, 실제 회사의 업무 프로세스를 확인하는 일도 필요하다.
각 부서의 업무를 연결해야 하고, 발견된 문제를 개선하도록 담당자와 일정을 정리해야 한다. 경영진이 어떤 방향으로 의사결정을 하는지도 중요한 영향을 준다.
이 모든 것을 소수의 인력이 기존 업무와 함께 진행한다고 생각하면 정말 쉽지 않은 일이다.
물론 컨설팅을 반드시 받아야만 ISO 27001 인증을 받을 수 있다는 뜻은 아니다. 충분한 전문성과 인력을 갖춘 회사라면 자체적으로 준비할 수도 있을 것이다.
하지만 우리처럼 한정된 인력으로 기존 업무를 수행하면서 인증까지 준비해야 하는 회사라면 이야기가 달라진다.
어디서부터 시작해야 하는지 판단하는 일부터 어렵고, 필요한 문서를 정리하고, 부서별 협조를 얻고, 누락된 부분을 찾아 개선하는 일까지 모두 감당해야 하기 때문이다.
그래서 이번 과정을 거치면서 컨설팅은 단순히 문서를 대신 만들어주는 역할이 아니라는 생각이 들었다.
회사의 현재 상태를 객관적으로 살펴보고, 무엇이 부족한지 찾아내고, 여러 부서가 개선 작업을 진행할 수 있도록 방향을 잡아주는 역할도 중요했다.
이제는 인증 준비의 윤곽이 보인다. 하지만 할 일도 보인다
14일차가 되니 처음보다는 전체적인 구조가 눈에 들어오기 시작했다.
왜 자산을 관리해야 하는지, 왜 인사 프로세스가 중요한지, 왜 정책서와 절차서가 필요하고, 왜 증적을 남겨야 하는지도 조금씩 연결되었다.
이제는 무엇을 준비해야 하는지 대략적인 그림이 보인다.
하지만 그림이 보인다고 해서 일이 줄어드는 것은 아니었다.
오히려 어디에 무엇이 부족한지 알게 되면서 앞으로 정리하고 개선해야 할 부분이 더 선명해졌다.
개인정보 처리방침 하나를 현행화하는 일도 실제 업무와 연결되어 있었고, 인터넷망 차단과 보험 가입 여부를 확인하는 일도 각각 별도의 검토가 필요했다.
그동안 하나씩 따로 보였던 업무들이 결국 하나의 정보보안 관리체계로 연결되고 있었다.
ISO 27001은 인증서 한 장을 받기 위한 작업이 아니라, 회사의 정보보안을 실제로 관리할 수 있는 구조를 만드는 과정이었다.
그리고 지금까지의 경험으로는, 이 작업을 소수의 인력만으로 기존 업무와 병행하기가 결코 쉽지 않다는 것도 분명히 알게 되었다.
이제 준비 과정의 윤곽은 보이기 시작했다.
남은 것은 이 체계를 실제 회사 업무에 적용하고, 부족한 부분을 개선하며, 제대로 운영되고 있다는 것을 증명할 수 있도록 하나씩 완성해가는 일이었다.