데이터 보안 공통 기준

적용할 때 자료를 만들거나 받거나 내용·이용 목적이 바뀔 때

미확인일 때 분류가 모호하면 해당 규정상 검토 경로에 연결하고 확인되지 않은 등급 하향·공유 확대를 하지 않습니다.

처리 기준

• 자료의 내용·원천·업무 목적·이용 대상과 개인정보·기밀·국가핵심기술 해당 여부를 확인합니다.
• 업무별 분류 설명과 기존 보호등급을 연결합니다. 생성자·관리책임자 등 해당 규정의 역할에 따라 분류·검토하며 폴더명만으로 등급을 확정하지 않습니다.
• 등급·적용 조건·판단 근거를 관리 목록과 실제 보호 설정에 연결하고 변경 시 영향받는 자료·사본·사용처를 확인합니다.

역할과 판단

현업이 내용·업무 필요를 설명하고 규정상 역할이 분류·판단합니다. 거버넌스팀은 설명·등록·현업 적용, 보안은 보호 기준·어려운 분류 검토, IT는 설정을 맡습니다.

남길 기록

관리 목록의 분류·보호 조건·근거 위치와 요청·처리 기록의 검토·정정·설정 확인.

완료 확인

왜 해당 보호 조건을 적용하는지와 실제 설정·추가 검토 항목을 확인할 수 있습니다.

함께 적용할 기준

• 문서 유형·폴더·파일명 구분하기
• 설명정보 공개와 원본 접근 구분하기

적용할 때 접근이 필요하거나 이동·퇴사·협업 종료·정기 점검이 있을 때

미확인일 때 실제 승인자·위임이 미확인인 접근 확대는 보류하고 지정 확인에 연결합니다. 검토 주기는 적용 지침·회사 운영 기준에 따릅니다. 적용 대상의 현행 의무 주기를 새 협의값으로 바꾸지 않습니다. 접근권한 정기 검토·제한의 기존 규정상 역할과 보고 경로를 확인합니다.

처리 기준

• 대상 자료·목적·기간 또는 종료 조건·사용자·열람/수정/관리 범위와 적용 규정을 확인합니다. 목록 열람은 원본 접근 권한이 아닙니다.
• 정보자산·애플리케이션·인프라·보안시스템·개인정보처리시스템에 적용되는 기존 승인·위임 경로를 각각 확인하고 승인 범위를 실제 설정과 대조합니다.
• 인사 이동·퇴사·업무·계약 종료와 재검토 시 남은 업무 필요·과다 권한·외부 공유·링크 공개 범위를 확인하고 변경·회수 결과를 남깁니다.

역할과 판단

현업은 업무 필요, 기존 규정상 권한자는 승인·예외, 보안은 보호 조건, IT·운영은 설정·회수를 맡습니다. 거버넌스팀은 접수·담당 연결·결과 확인을 수행합니다.

남길 기록

기존 결재·권한 기록의 요청·승인 범위·실제 설정·검토·회수 결과와 데이터·요청 ID.

완료 확인

업무 필요·승인·현재 권한의 적정성을 검토한 근거와 유지·변경·회수 판단을 찾고, 실제 설정 결과는 연결된 운영 기록으로 확인합니다.

규정상 역할·조건: 접근권한 정기 검토·제한^[6]

함께 적용할 기준

• 승인과 실제 계정·권한 맞추기
• 책임 지정·위임·인계 연결하기

적용할 때 파일·링크·보고서·추출 자료를 사외로 제공할 때

미확인일 때 필수 승인·수신자·보호 조건이 확인되지 않으면 해당 제공을 보류합니다. 외부 공유가 의심스러우면 일반 접수를 기다리지 않고 보안 대응에 연결합니다.

처리 기준

• 대상·목적·수신자·필요 항목·보호등급·추가 조건과 제공 후 이용 범위를 확인합니다. 링크 공유도 실제 수신 범위와 재공유 가능성을 확인합니다.
• 업무상 정보 사외 반출·전송은 원칙적으로 금지되며, 불가피한 경우 P1의 소속 부서장 승인·회사 이메일 원칙을 확인합니다. 기밀·대외비 문서는 P1-2의 부서장(본부장) 및 팀장 결재, 기밀정보 전자적 전송의 암호화 조건을 함께 적용합니다.
• 개인정보·위수탁·국가핵심기술의 해당 조건과 실제 설정·수신 범위를 대조한 후 승인된 방법으로 제공합니다. Drive 링크가 있다는 사실만으로 승인된 제공으로 보지 않습니다. 제공 후 오류가 발견되면 기존 수신자·영향을 확인합니다. 정정본의 내용·목적·수신 범위를 기존 승인·보호 조건과 다시 대조하고 필요한 추가 승인을 거쳐 제공·통지 결과를 원래 기록에 연결합니다.

역할과 판단

현업은 제공 필요·내용·수신자를 설명하고 각 규정상 권한자가 승인합니다. 보안은 보호·추가 조건을 검토하며 운영 역할이 승인된 범위의 설정·제공을 수행합니다.

남길 기록

기존 결재·제공 기록의 대상·수신자·목적·조건·승인 근거·전송/설정·결과·종료 시 조치.

완료 확인

승인된 대상·방법·수신 범위와 실제 제공 결과를 대조할 수 있습니다.

적용할 사내 기준: 정보보호 업무처리 규정^[7] · 문서관리 지침^[8]

규정상 역할·조건: 업무상 정보 사외전송^[9] · 기밀·대외비 문서 대외발송^[10]

함께 적용할 기준

• 개인정보·국가핵심기술 등 추가 조건 확인하기
• 협력사·위탁·회사 간 외부 처리 조건 확인하기
• 보안 점검·이상 발견·사고 대응 연결하기

적용할 때 개인정보·전문 규정 대상·국가핵심기술을 처리하거나 제공할 때

미확인일 때 해당 여부가 불명확하면 확인할 항목과 담당 기능을 남기고 추가 제공·보호 완화를 진행하지 않습니다.

처리 기준

• 적용 대상·목적·필요 범위·관할·이용·제공·보존 조건을 해당 개인정보·법무·보안·전문 기능에 확인합니다. 범용 데이터 기준으로 전문 요구를 대체하지 않습니다.
• 개인정보 취급·처리시스템 접근, 암호화·키 관리, 위탁 여부와 파기 조건은 P2 계열의 해당 조항에 연결합니다. 확인되지 않은 의무·보존기간·승인자를 임의로 만들지 않습니다.
• 국가핵심기술 해당 시 P3에 따라 분류·반출의 관리책임자 승인 및 제3자 공개의 정보보호위원회 심의·승인 등 적용 조건과 부서 SOP를 확인합니다.

역할과 판단

자료 내용·필요성은 현업이 설명하고 기존 규정상 역할·관련 전문 기능이 해당 조건을 판단합니다. IT는 확인된 기술 보호를 구현합니다.

남길 기록

대상 데이터의 적용 조건·검토 근거·승인·보호·보존 연결. 목록에 민감정보·키 원문을 불필요하게 복제하지 않습니다.

완료 확인

적용 조항·검토 역할·추가 승인·기술 보호 조건의 확인 결과를 찾을 수 있습니다.

함께 적용할 기준

• 이용 목적과 권리·영향 확인하기
• 보존기간·보류 사유·처리 권한 확인하기
• 개인정보 열람·정정·삭제·처리정지 요청 연결하기

적용할 때 정보주체의 열람·정정·삭제·처리정지·동의 철회 요청을 받았을 때

미확인일 때 신원·대리권·자료 범위가 미확인이면 임의로 열람·정정·삭제를 실행하지 않고 기존 개인정보 경로에서 확인합니다. 기한·적용 조건을 확인 중이라는 이유로 접수·전달을 늦추거나 요청을 해결 완료로 표시하지 않습니다.

처리 기준

• P2 제29~31조의 기존 개인정보 접수·처리 경로에 바로 연결하고 요청 내용·접수 시점·적용 조항을 확인합니다. 거버넌스 일반 접수나 새 도구 선정을 추가 선행 조건으로 두지 않습니다.
• 기존 개인정보 역할이 본인·정당한 대리인 여부, 대상 자료·원천·제공처·사본과 보존·제한 사유를 확인합니다. P2 제29조 제5항에 따라 수집 시 요구하지 않은 증빙서류·추가 절차를 요구하지 않는 조건도 대조합니다. 제29조 제1항·제30조 제1항·제31조 제1·3·4항의 해당 열람·정정/삭제·처리정지 요청에는 요구서 수령일부터 10일 이내 처리·통지 조건과 제한·예외를 적용합니다. 제31조 제2항의 동의 철회는 해당 예외가 없으면 지체 없이 필요한 조치를 합니다. 해외 관할·전문 요구의 적용 조건은 해당 기능이 확인합니다.
• 기존 제한된 개인정보 기록에 조치·제한/거절 사유·결과 통지·이의제기 안내를 남깁니다. P2 제30조 제2항의 삭제는 복구·재생되지 않게 처리하며 남은 사본을 공통 기록만으로 처리 완료로 보지 않습니다. 다른 회사에서 받은 자료의 정정·삭제는 제30조 제5항에 따라 직접 조치하거나 제공한 기관의 장에게 지체 없이 알리고 결과에 따른 조치를 합니다. 일반 기록에는 필요한 상태·역할·원기록 위치만 연결하고 신분증·민감 원문을 복제하지 않습니다.

역할과 판단

기존 개인정보 규정상 지정 역할이 요청 확인·판단·통지를 수행하고 현업·IT가 승인된 조치를 실행합니다. 거버넌스팀은 필요한 관리 기록의 연결과 누락 확인을 맡으며 개인정보 판단·승인을 대신하지 않습니다.

남길 기록

기존 개인정보 요구서·처리 및 통지 기록, 대상·접수 시점·적용 기한·근거·처리 결과·제공처 후속 확인과 제한된 원기록 위치.

완료 확인

해당 요청의 처리 또는 제한 근거·통지와 후속 조치가 추적되며 일반 기록에 불필요한 개인정보가 노출되지 않습니다.

적용할 사내 기준: 개인정보 보호 규정^[11] · 개인정보 내부관리 지침^[12]

함께 적용할 기준

• 개인정보·국가핵심기술 등 추가 조건 확인하기
• 보존기간·보류 사유·처리 권한 확인하기
• 폐기·반환·사본·목록 종료 확인하기
• 원인·정정·재검증으로 문제 닫기

적용할 때 외부 업체·서비스·해외 조직이 자료를 처리하거나 접근할 때

미확인일 때 실제 제공사업자·처리 위치·계약·적용 조건이 미확인이면 추가 제공·계정 연결은 진행하지 않고 확인을 요청합니다.

처리 기준

• 제공과 처리위탁을 구분하고 대상·목적·처리 위치·하위 처리·접근 주체·계약상 이용·보존·종료 조건을 확인합니다.
• 협력사 접근·보안 요구는 P1-8, 개인정보 위탁의 점검·분석·개선은 P2-3에 연결합니다. 회사 간·국외 처리의 적용 요건은 실제 자료·관할·계약에 따라 전문 기능에 확인합니다.
• 계약·업무 변경·종료 시 접근 회수·반환·삭제·남은 사본과 점검 결과를 확인합니다. 이용 범위 확대나 새 처리자를 기존 승인에 자동 포함하지 않습니다.

역할과 판단

업무·계약 담당과 규정상 역할이 처리 목적·계약·승인을 확인하고 보안·개인정보·법무 등 해당 기능이 조건을 검토합니다. IT는 접근 설정·회수를 지원합니다.

남길 기록

기존 계약·위탁·점검 기록의 범위·처리 위치·권한·개선·종료 증적을 관리 목록·요청 기록과 연결.

완료 확인

승인된 처리 범위·보호 조건·점검 결과와 종료 시 회수·반환·삭제 상태를 설명할 수 있습니다.

함께 적용할 기준

• 외부 공유·반출의 승인과 제공 범위 확인하기
• 폐기·반환·사본·목록 종료 확인하기

적용할 때 권한·공유 이상이나 유출·오남용 등 사고가 의심될 때

미확인일 때 실제 연락 경로는 기존 보안 대응 체계에서 확인합니다. 새 일반 접수 창구나 거버넌스 승인 대기를 사고 대응의 선행 조건으로 두지 않습니다.

처리 기준

• 승인과 실제 접근·공유, 보호 설정, 로그 공백 등 보안 점검 항목을 기존 기준과 실제 지원 기능에 맞춰 대조합니다.
• 사고 의심은 일반 데이터 접수·분류 완료를 기다리지 않고 P1-7 등 기존 보안 대응 절차에 즉시 연결합니다. 발견 시점·대상·사실과 증거 위치를 보전하고 불필요하게 유포하지 않습니다. 개인정보 관련 사고는 P2의 해당 통지·신고·처리 조건을 함께 확인합니다.
• 보안 역할의 대응과 IT의 기술 조치, 현업 영향 확인을 연결합니다. 처리 후 재발 방지와 남은 조건·증적을 해당 경로에서 확인합니다.

역할과 판단

보안이 보안 이상 판단·사고 대응을 맡고 IT가 기술 조치를 수행합니다. Owner는 업무 영향을 확인하며 거버넌스팀은 관리 기준·교육·이행 개선을 연결합니다.

남길 기록

기존 보안 사고·점검 기록의 식별자와 필요한 범위의 업무 영향·후속 조치만 요청·처리 기록에 연결.

완료 확인

기존 대응 경로로 전달됐고 조치·업무 영향·후속 개선의 담당과 확인 결과가 관리됩니다.

적용할 사내 기준: 비상대응 지침^[13] · 개인정보 보호 규정^[11]

함께 적용할 기준

• 기록 수집 공백·지연·실패 처리하기
• 요청 접수부터 결과 확인까지 이어가기
• 보존기간·보류 사유·처리 권한 확인하기