내부관리계획·정보보호 정책의 최신 개정법령 미반영 쟁점

핵심 판단

개정된 개인정보보호법·신용정보법·고시 등이 내부관리계획과 정책·지침에 적시에 반영되고, 정보보호/개인정보 보호 위원회 심의·의결을 거쳐 공표되었는지가 핵심이다. 법적 준거성 검토가 정례화되어 있는지도 확인한다.

배경

법령은 개정이 잦으나 사내 규정 개정이 지연되어 신구 조문 불일치, 위원회 심의 생략, 본사-지사 규정 불일치가 발생한다. 안전성 확보조치 기준은 내부관리계획 수립·시행·점검을 요구한다.

주요 쟁점 및 심사 포인트

• 법령 개정 이력표·신구조문 대비표 관리 여부
• 규정 제·개정의 위원회 심의·의결 및 공표 절차 이행 여부
• 본사-지사·국문/영문 규정 간 정합성 여부

관련 인증기준

ISMS-P 인증기준(2023) 기준. 항목명은 「금융권 ISMS-P 인증기준 점검항목 안내서」로 검증함.

• 1.4.1 법적 요구사항 준수 검토
• 2.1.1 정책의 유지관리
• 1.1.5 정책 수립

관련 법령·가이드

조문 번호·명칭은 개정으로 달라질 수 있어, 실제 심사·인용 시 국가법령정보센터(law.go.kr) 최신본 재확인을 권장한다.

• 「개인정보 보호법」 제29조(안전조치의무) 및 「개인정보의 안전성 확보조치 기준」 제4조(내부 관리계획)
  • 내부 관리계획을 수립·시행하고 연 1회 이상 점검·개선 의무 → 법령 반영 포함.
• 「신용정보의 이용 및 보호에 관한 법률」 제19조
  • 신용정보 보안대책 수립·시행 의무 → 개정 사항 반영 필요.

참고 가이드

• 「개인정보의 안전성 확보조치 기준 안내서」 내부관리계획 부분
• 「금융권 ISMS-P 점검항목 안내서」 1.4.1

심사 시 확인사항 (증적)

• 내부관리계획 최신본 및 개정 이력·심의 결재
• 법령 개정 모니터링 절차 및 반영 조치 대장
• 연 1회 법적 준거성 점검(Compliance Review) 결과

주요 결함 사례

개정된 신용정보 관련 안전조치 기준이 내부 규정에 수년간 미반영되고, 규정 개정 시 위원회 심의 절차가 생략됨.

보완 대책

1. 연 1회 이상 법적 준거성 점검 정례화 및 개정 반영 SLA 설정
2. 규정 제·개정 시 위원회 심의·의결·공표 절차 표준화

연관 쟁점

• [ISSUE-005] CISO/CPO 법정 지정·겸직 제한 및 직무 상충 통제 쟁점
• [ISSUE-042] CISO·경영진 정기 보고 및 이사회 의결 쟁점

---

본 문서는 ISMS-P 인증심사 실무 참고용이며, 법적 자문이 필요한 사안은 법률 전문가 확인이 필요합니다. (v2 · 2026-08)