🔒 4. 정보보안 및 컴플라이언스

WARNING

⚖️ 법적 면책 고지: 본 문서는 보안 가이드라인 및 컴플라이언스 종합 안내서이며 법률/보안 인프라 진단을 대체하지 않습니다. 세부인증 기준은 KISA(한국인터넷진흥원) 및 과학기술정보통신부 지침을 참고하십시오.
🌐 주요 관할권: 🇰🇷 대한민국 정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법), 개인정보보호법, 클라우드컴퓨팅법

---

1. 정보통신망법상 정보보호 의무 🇰🇷

• 기술적·관리적 보호조치 (정보통신망법 제28조 등):
  • 정보통신서비스 제공자는 악성코드 침입 방지, 접근 통제(IP 제한, 2FA), 통신구간 암호화(HTTPS/TLS), 개인정보 암호화 저장(DB 암호화) 조치를 취해야함.
• 최고정보보호책임자(CISO) 지정 의무:
  • 일정 규모 이상(자산 총액 또는 이용자 수 기준)의 기업은 전문성을 가진 CISO를 지정하고 과기정통부 장관에게 신고해야함.

---

2. 클라우드 보안인증 (CSAP) 개요 🇰🇷

• CSAP (Cloud Security Assurance Program):
  • 공공기관에 클라우드 서비스(IaaS, PaaS, SaaS)를 공급하기 위해 필수적인 보안인증 제도.
• 인증 등급 (상 / 중 / 하):
  • 하 등급: 공공기관의 비중요 데이터 및 웹사이트 (국외 클라우드 인프라 일부 수용 가능).
  • 중 등급: 행정 내부 업무 및 일반 개인정보 처리 시스템 (국내 물리적 인프라 분리 요건).
  • 상 등급: 국가 안보, 국방, 수사 등 핵심 공공 데이터.

---

3. 개인정보 영향평가 (PIA) 대상과 절차 🇰🇷

• 개인정보 영향평가 (Privacy Impact Assessment):
  • 시스템 구축·운용·변경 시 정보주체의 개인정보 침해 위험을 사전 분석하고 개선안을 도출하는 법적 절차.
• 의무 대상 (공공기관 및 대규모 데이터 처리):
  • 50만 명 이상의 정보주체에 관한 민감정보 또는 고유식별정보를 처리하는 시스템.
  • 500만 명 이상의 정보주체에 관한 개인정보를 연계·구축하는 시스템.

---

4. 취약점 발견 시 신고 의무와 화이트해커 면책 범위 🇰🇷

• 모의해킹 및 취약점 제보의 법적 위협:
  • 타인의 정보통신망에 정당한 권한 없이 접근하거나 권한을 넘어 침입하는 행위는 정보통신망법 제48조(정보통신망 침해행위 금지) 위반으로 처벌 대상.
• 화이트해커 면책 범위 및 안전지대(Safe Harbor):
  • 기업이 운영하는 공식 버그 바운티(Bug Bounty) 프로그램의 범위를 준수하고 사전 동의된 가이드라인 내에서 검증한 경우에 한해 법적 처벌 면책.
  • KISA 취약점 포털을 통한 비밀 제보 및 책임 있는 공표(Responsible Disclosure) 가이드 준수 필요.

---

5. 정보보호 관리체계 (ISMS-P) 인증 개요 🇰🇷

• ISMS-P (Information Security & Personal Information Management System):
  • 정보보호(ISMS) 80개 항목 + 개인정보 처리(P) 21개 항목, 총 101개 관리적·기술적 기준을 검증하는 국내 최고 권위 종합 보안 인증.
• 의무 대상자 (과태료 대상):
  1. 정보통신서비스 부문 매출액 100억원 이상 기업.
  2. 일일 평균 이용자 수(PV/UV) 10만명 이상인 기업.