'개정안'에 해당되는 글 3건

 1. 제29조(개인정보의 파기) 2항
② 정보통신서비스 제공자등은 정보통신서비스를 1년의 기간 동안 이용하지 아니하는 이용자의 개인정보를 보호하기 위하여 대통령령으로 정하는 바에 따라 개인정보의 파기 등 필요한 조치를 취하여야 한다. 다만, 그 기간에 대하여 다른 법령 또는 이용자의 요청에 따라 달리 정한 경우에는 그에 따른다.

 사실상 크게 변경된 내용이 없다고 볼 수도 있겠는데요 그동안 1년이라는 미이용 기간을 시행령에서 정하고 있었지만 이번 개정안에서 1년을 법령으로 봇박았습니다. 또한 미이용 기간을 다른 법령이나 이용자의 요청에 따라 달리 정할 수 있도록 했습니다.
물론 이 부분도 기존에 정보통신망법 해설서에서 명시되어 시행되고 있는 내용이긴 하지만요...

※ 미이용 기간을 달리 정하는 방법은 링크 참조(클릭)

 2. 제47조(정보보호관리체계의 인증) 제2항

② 「전기통신사업법」 제2조제8호에 따른 전기통신사업자와 전기통신사업자의 전기통신역무를 이용하여 정보를 제공하거나 정보의 제공을 매개하는 자로서 다음 각 호의 어느 하나에 해당하는 자는 제1항에 따른 인증을 받아야 한다.  <신설 2012.2.17., 2015.12.1.>
1. 「전기통신사업법」 제6조제1항에 따른 허가를 받은 자로서 대통령령으로 정하는 바에 따라 정보통신망서비스를 제공하는 자
2. 집적정보통신시설 사업자
3. 연간 매출액 또는 세입 등이 1,500억원 이상이거나 정보통신서비스 부문 전년도 매출액이 100억원 이상 또는 3개월간의 일일평균 이용자수 100만명 이상으로서, 대통령령으로 정하는 기준에 해당하는 자

 이번 개정안에서 ISMS 인증심사 의무대상자가 엄청나게 확대됐습니다. 특히 2항 3호를 잘 보셔야 할텐데요 기존에는 정보통신서비스 부문 전년도 매출액이 100억원 이상 또는 3개월간의 일일평균 이용자수 100만명 이상인 기업만 해당되었기 때문에 비영리단체, 병원 등 개인정보를 많이 보유하고 있는 상당수의 기관이 ISMS 심사를 받지 않아도 괜찮았습니다.
하지만 매출액의 조항이 추가되면서 상당히 많은 기업이 추가되었으며 특히 교육기관, 병원 등이 많이 추가될 것으로 보입니다.
참고로 저는 대학과 직접적으로 연관된 일을 하는 회사에 근무하고 있기 때문에 ISMS 인증심사 대상자의 범위에 포함될 학교를 추려봤더니 대학알리미 공시자료 기준 39개 대학이 나오더군요.. 2015년 수입 기준입니다.

참고로 이 항목에 따라 ISMS 인증심사 의무대상자가 인증을 받지 아니한 경우 제76조(과태료) 제1항제6의3호가 신설되어 3천만원 이하의 과태료가 부과됩니다.

 3. 제47조(정보보호관리체계의 인증) 제3항
③ 미래창조과학부장관은 제2항에 따라 인증을 받아야 하는 자가 미래창조과학부령으로 정하는 바에 따라 국제표준 정보보호 인증을 받거나 정보보호 조치를 취한 경우에는 제1항에 따른 인증 심사의 일부를 생략할 수 있다. 이 경우 인증 심사의 세부 생략 범위에 대해서는 미래창조과학부장관이 정하여 고시한다.<신설>

 이번에 신설된 항목입니다. 현재 ISMS 심사를 받는 기관은 ISMS, PIMS, PIPL, ISO-27001까지 받으려면 같은 항목에 대해서 계속해서 받아야 하는 불편함이 있습니다. PIMS와 PIPL은 통합PIMS라는 이름으로 합쳐지기는 했습니다만 여전히 ISO-27001 등 많은 심사가 남아있습니다.
이번 신설된 내용에 따라 ISO-27001을 받은 기관에서 ISMS 심사를 받는 경우 중복된 항목은 생략이 가능하지 않을까라는 기대를 해봅니다. 물론 제가 근무하는 회사는 ISO-27001을 받지 않았기 때문에 해당사항은 없지만요...