CISO·CPO 가 보는 개인정보보호, 실무자가 체크할 것들

Summary

개인정보보호는 “동의서 잘 받았나” 한 줄로 끝나지 않아요. 위에서는 CPO(개인정보 보호책임자) 와 CISO(정보보호 최고책임자) 가 서로 다른 렌즈로 들여다보고, 그 점검을 실제로 통과하는 건 결국 실무자가 만들어 둔 증적과 절차예요.

이 글은 그 두 책임자가 무엇을 확인하는지 먼저 갈라보고, 그걸 통과하려면 실무자가 개인정보 라이프사이클 → 안전성 확보조치 → 정보주체 권리 → 위·수탁 → 유출 대응 순서로 무엇을 체크해야 하는지 정리했어요. 마지막엔 그대로 복사해서 쓸 수 있는 통합 체크리스트를 붙였습니다.

💡 이 글에서 다루는 것

• CISO 와 CPO 의 역할 차이와 각자 보는 포인트
• 개인정보 수집·이용·제공·파기 라이프사이클 점검 항목
• 안전성 확보조치 기준 8가지를 실무 증적으로 푸는 법
• 정보주체 권리·위수탁 관리·유출 대응의 실무 체크
• 가명정보/영향평가, 금융권(신용정보법·전자금융) 특화 항목
• 그대로 쓰는 실무자 통합 체크리스트

1. 큰 그림: CISO 와 CPO 는 뭘 다르게 보나

둘 다 “보호”라는 단어를 쓰지만 책임의 결이 달라요. 한 사람이 겸직하는 회사도 많은데, 점검할 때는 두 모자를 따로 쓰고 본다고 생각하면 깔끔합니다.

구분	CPO (개인정보 보호책임자)	CISO (정보보호 최고책임자)
근거	개인정보보호법 제31조	정보통신망법 제45조의3, 전자금융거래법
핵심 질문	“이 데이터를 이렇게 써도 되나?”	“이 데이터가 새지 않게 지키고 있나?”
관점	적법성·목적 적합성·정보주체 권리	기밀성·무결성·가용성(기술 통제)
주로 보는 산출물	처리방침, 동의서, 위탁계약, 영향평가	접근통제, 암호화, 접속기록, 취약점 점검
사고 시 역할	정보주체 통지·규제기관 신고 주관	원인 분석·차단·재발방지 기술 조치

쉽게 말하면 CPO 는 “써도 되는 데이터인가”, CISO 는 “안 새게 지키고 있나” 를 봐요. 그래서 실무자 입장에선 같은 시스템 하나를 두고도 동의·목적·보유기간 질문(CPO 라인)과 암호화·권한·로그 질문(CISO 라인)을 둘 다 받게 됩니다.

✅ 실무 팁: 점검 요청이 오면 “이건 적법성 질문이야, 보안 질문이야?” 부터 가른 뒤 담당 산출물을 꺼내세요. 처리방침을 들고 암호화 질문에 답하려다 시간만 버리는 경우가 많아요.

2. 개인정보 라이프사이클 점검 (CPO 라인)

CPO 점검의 뼈대는 개인정보가 들어와서 나갈 때까지의 흐름이에요. 단계마다 “근거가 있나 / 최소한인가 / 흔적이 남나” 세 가지를 봅니다.

2.1 수집·이용

• 수집 근거가 동의·법령·계약 이행 중 무엇인지 항목별로 매핑돼 있는지.
• 최소 수집 원칙 — 서비스에 꼭 필요한 항목만 받는지. “혹시 몰라서” 받아둔 필드가 가장 잘 걸려요.
• 동의의 분리 — 필수/선택 동의가 나뉘어 있고, 선택 동의를 거부해도 서비스가 되는지.
• 민감정보·고유식별정보(주민번호, 건강, 생체인식 등)는 별도 동의 또는 법령 근거가 있는지. 주민등록번호는 원칙적으로 법령 근거 없으면 수집 불가예요.
• 만 14세 미만 아동은 법정대리인 동의 흐름이 있는지.

⚠️ 자주 터지는 곳: 마케팅 수신 동의를 회원가입 필수 동의에 끼워 넣는 패턴. 이건 거의 항상 지적 대상이에요.

2.2 제공·위탁·국외이전

여기서 제공과 위탁을 헷갈리면 안 돼요. 성격이 완전히 달라요.

유형	의미	정보주체 동의
제3자 제공	받는 쪽이 자기 목적으로 사용	원칙적으로 동의 필요
위탁	우리 업무를 대신 처리(클라우드, 고객센터 등)	동의 불요, 단 처리방침 공개·관리·감독 의무
국외이전	해외로 제공·위탁·보관	별도 고지·동의(또는 법정 예외)

• 위탁사(수탁자) 목록이 처리방침에 최신 상태로 공개돼 있는지.
• 위탁계약서에 목적 외 이용 금지·재위탁 제한·안전조치·손해배상 조항이 들어가 있는지.
• 해외 클라우드(AWS·GCP 리전 등)를 쓰면 그게 국외이전 고지에 반영돼 있는지. SaaS 하나 도입하면서 빠뜨리기 쉬운 항목이에요.

2.3 보유·파기

• 항목별 보유기간이 정해져 있고, 그 근거(법령 또는 동의받은 기간)가 명확한지.
• 기간이 끝난 데이터를 실제로 파기하는 절차/주기가 도는지. 정책 문서만 있고 운영은 안 도는 경우가 제일 많아요.
• 분리보관 — 법령상 보존 의무가 있는 데이터는 다른 데이터와 분리해 최소 항목만 남기는지.
• 파기 시 복구 불가능한 방식(물리적 파기, 안전한 삭제)인지, 그 파기 기록이 남는지.

✅ 파기는 “했다”가 아니라 “했다는 증적” 까지가 한 세트예요. 파기 대장 또는 자동 파기 로그를 남겨두세요.

3. 안전성 확보조치 8가지 (CISO 라인 핵심)

CISO 점검의 뼈대는 개인정보보호위원회 고시 「개인정보의 안전성 확보조치 기준」 이에요. 항목이 많아 보여도 결국 8개 묶음이고, 실무자는 각 항목을 증적 한두 개로 답할 수 있게 준비하면 됩니다.

#	조치	실무자가 준비할 증적
1	내부관리계획 수립·시행	연 1회 이상 수립/현행화된 내부관리계획 문서, 교육 이력
2	접근권한 관리	권한 부여/변경/말소 대장, 입·퇴사 연동, 최소권한 검토 이력
3	접근통제	VPN·IP 제한, 세션 타임아웃, 외부망 접속 통제 설정값
4	개인정보 암호화	고유식별정보·비밀번호·생체정보 암호화, 전송구간 TLS
5	접속기록 보관·점검	접속로그 보관 기간 충족 + 정기 점검 이력
6	악성프로그램 방지	백신/EDR 설치율, 패턴 업데이트, 보안패치 주기
7	물리적 안전조치	전산실·문서고 출입통제, 보조저장매체 반출입 통제
8	재해·재난 대비	백업·복구 절차, 복구 테스트(모의훈련) 이력

몇 개는 숫자로 외워두면 점검 때 바로 답할 수 있어요.

• 접속기록 보관기간: 원칙 1년 이상. 단 5만 명 이상 정보주체의 개인정보를 처리하거나 고유식별정보·민감정보를 처리하면 2년 이상.
• 접속기록은 보관만으론 부족해요. “월 1회 이상 점검” 같은 정기 점검 흔적이 같이 있어야 합니다. 이게 가장 자주 빠지는 항목이에요.
• 암호화 대상: 주민번호 등 고유식별정보, 비밀번호(일방향), 생체인식정보, 신용카드번호·계좌번호 등. 비밀번호는 복호화 가능한 암호화가 아니라 일방향(해시) 이어야 해요.

🚨 단골 지적 3종 세트: ① 퇴사자 계정이 안 지워짐 ② 접속기록은 쌓이는데 점검 기록이 없음 ③ DB 는 암호화했는데 백업 파일·로그·엑셀 다운로드본은 평문. 이 셋만 막아도 절반은 잡힙니다.

4. 정보주체 권리 보장

개인정보보호법은 정보주체에게 여러 권리를 주고, 그걸 실제로 행사할 수 있는 창구가 있는지를 봅니다.

• 열람·정정·삭제·처리정지 요구를 받는 채널이 있고, 법정 기한(보통 10일 이내) 안에 처리되는지.
• 동의 철회가 가입만큼 쉬운지. 가입은 클릭 한 번인데 탈퇴는 전화해야 하면 지적 포인트예요.
• 자동화된 결정에 대한 권리 — AI·자동화로 정보주체에게 중대한 영향을 주는 결정을 한다면, 그에 대한 설명 요구·거부 절차가 있는지. (2023년 개정으로 들어온 비교적 새 항목이라 챙겨두면 좋아요.)
• 권리 행사 시 본인확인 절차가 과하지도, 허술하지도 않은지.

✅ 실무에선 “권리 행사 요청 접수 → 처리 → 회신”의 티켓 기록을 남기는 게 핵심이에요. 기한 준수를 증명하는 자료가 됩니다.

5. 위·수탁 관리: 우리 손을 떠난 데이터

데이터를 맡긴 곳에서 사고가 나도 위탁자(우리) 책임이 따라와요. 그래서 수탁사 관리는 점검에서 비중이 큽니다.

• 수탁사 목록과 위탁 업무 범위가 문서화돼 있고 처리방침에 공개돼 있는지.
• 위탁계약에 안전조치·재위탁 제한·목적 외 이용 금지 조항이 있는지.
• 수탁사 점검(실사) 을 정기적으로 하고 그 결과를 남기는지. 체크리스트 보내서 회신받는 것도 증적이 돼요.
• 재위탁(수탁사가 또 다른 곳에 맡김)이 통제되고 있는지.

⚠️ 클라우드·SaaS·외주 개발사도 전부 수탁사예요. “우리는 외주 안 줘요” 라고 했다가 협업 툴 하나에서 개인정보가 흐르고 있는 경우가 흔합니다.

6. 유출 대응: 터지기 전에 정해둬야 하는 것

유출은 속도 싸움이라, 사고 난 뒤에 절차를 찾으면 늦어요. 시나리오와 기한을 미리 박아둡니다.

• 통지: 정보주체에게 유출 사실을 알 수 있게 된 때로부터 72시간 이내 통지(시행령 기준). 통지 항목(유출 항목·시점·대응방법·문의처)이 템플릿으로 준비돼 있는지.
• 신고: 1천 명 이상 유출이거나 민감정보·고유식별정보 유출, 외부의 불법적 접근에 의한 유출이면 개인정보보호위원회 또는 KISA 신고.
• 대응 조직(IRT) 과 비상연락망이 최신인지. 야간·주말 시나리오까지 돌아가는지.
• 사고 후 원인분석·재발방지 보고서까지가 한 사이클이에요.

🚨 72시간은 “사고 발생”이 아니라 “인지한 시점” 기준이에요. 그래서 탐지(접속기록 점검·이상탐지)가 늦으면 기한도 같이 늦어집니다. 4장의 접속기록 점검이 여기서 연결돼요.

7. 가명정보·영향평가 (PIA)

데이터를 분석·연구에 쓰려는 조직이면 여기를 추가로 봅니다.

• 가명처리 — 통계작성, 과학적 연구, 공익적 기록보존 목적이면 동의 없이 가명정보를 쓸 수 있어요. 단 추가정보를 분리 보관하고, 재식별 시도를 금지·차단하는 통제가 있어야 합니다.
• 결합 — 서로 다른 출처의 가명정보를 합치려면 지정된 결합전문기관을 거쳐야 해요.
• 개인정보 영향평가(PIA) — 일정 규모 이상(공공 기준 예: 5만 명 이상 민감정보, 50만 명 이상 연계, 100만 명 이상 처리)의 시스템 구축·변경 시 사전 영향평가. 민간도 신규 대규모 처리 시 자율적으로 돌려두면 점검 때 강력한 증적이 됩니다.

💡 가명처리는 “이름만 지웠다”가 아니에요. 다시 못 알아보게 통제했는지(추가정보 분리, 접근권한, 재식별 금지 서약·로그)까지가 핵심이에요.

8. 금융권 특화: 신용정보법·전자금융

금융 분야는 일반 개인정보보호법 위에 더 빡센 규제 한 겹이 더 얹혀요. 같은 데이터라도 신용정보면 추가 점검이 붙습니다.

• 개인신용정보는 신용정보법이 우선 적용돼요. 신용정보 활용·관리 실태를 점검·공시하는 의무가 있는지.
• 신용정보관리·보호인 지정과 그 역할(점검·교육·보고)이 도는지.
• 전자금융감독규정 — 망분리, 접근매체 관리, 이상금융거래탐지(FDS) 등 기술 통제 요건.
• 마이데이터(본인신용정보관리업) 를 한다면 API 보안·전송요구·정보 최소수집 요건이 추가로 따라와요.
• ISMS-P 등 인증을 받는 조직이면 위 항목 상당수가 인증 통제항목과 매핑되니, 인증 산출물을 점검 증적으로 재활용할 수 있어요.

⚠️ 금융권에서 “개인정보보호법은 지켰는데 신용정보법 관점이 빠졌다”가 자주 나와요. 같은 고객 데이터라도 신용정보면 별도 렌즈로 한 번 더 보세요.

9. 실무자 통합 체크리스트

위 내용을 점검 대비용으로 한 장에 모았어요. 그대로 복사해서 우리 시스템 기준으로 채워보세요.

라이프사이클 (CPO 라인)

• 수집 항목별 근거(동의/법령/계약)가 매핑돼 있다
• 필수/선택 동의가 분리돼 있고, 선택 거부해도 서비스가 된다
• 민감정보·고유식별정보는 별도 동의 또는 법령 근거가 있다
• 제3자 제공과 위탁이 구분돼 관리된다
• 수탁사·국외이전이 처리방침에 최신 상태로 공개돼 있다
• 항목별 보유기간이 정해져 있고 만료 데이터가 실제로 파기된다
• 파기 기록(대장/로그)이 남는다

안전성 확보조치 (CISO 라인)

• 내부관리계획이 연 1회 이상 현행화되고 교육이 돈다
• 권한 부여/말소가 입·퇴사와 연동되고 퇴사자 계정이 없다
• 외부 접속이 VPN/IP/세션으로 통제된다
• 고유식별정보·비밀번호·생체정보가 암호화돼 있다(백업·다운로드본 포함)
• 접속기록이 기간(1년/2년) 충족 보관되고 정기 점검 기록이 있다
• 백신/EDR·보안패치가 최신이다
• 백업·복구 테스트(모의훈련) 이력이 있다

권리·위수탁·사고

• 열람·정정·삭제·처리정지·동의철회 창구가 있고 기한 내 처리된다
• 자동화된 결정에 대한 설명·거부 절차가 있다
• 수탁사 정기 점검(실사) 결과가 남는다
• 유출 통지(72시간)·신고 템플릿과 IRT 연락망이 최신이다
• (해당 시) 가명처리·결합·영향평가 통제가 있다
• (금융권) 신용정보법·전자금융감독규정 관점이 별도로 점검됐다

✅ 이 체크리스트의 진짜 목적은 “예/아니오”가 아니라 각 항목 옆에 증적 파일 경로를 적을 수 있는가 예요. 적을 게 없는 줄이 곧 다음 주에 만들어야 할 일감입니다.

정리하면, CPO 는 “써도 되는 데이터인가”, CISO 는 “안 새게 지키는가”를 보고, 실무자는 그 두 질문에 증적으로 답할 수 있게 라이프사이클·안전성조치·권리·위수탁·사고대응을 미리 깔아두는 게 전부예요. 점검은 새 일을 시키는 자리가 아니라, 평소에 쌓아둔 흔적을 꺼내 보이는 자리에 가까워요.

일단 오늘은 여기까지…..
다음 글에서는 안전성 확보조치 8가지를 실제 점검 증적 양식으로 더 잘게 쪼개서 정리해볼게요.