2.3.4 외부자 계약 변경 및 만료 시 보안

1.통제 목적

외부자 계약 만료, 업무 종료, 담당자 변경 시에는 제공한 정보자산 반납, 정보시스템 접근 계정 삭제, 중요정보 파기, 업무 수행중 취득정보의 비밀 유지 확약서 징구 등의 보호대책을 이행하여야 한다.

 

2.주요 확인 사항

• 외부자 계약 만료, 업무 종료, 담당자 변경시 공식적인 절차에 따른 정보자산 반납, 정보시스템 접근계정 삭제, 비밀유지 확약서 징구 등이 이루어질수 있도록 보안대책을 수립·이행하고 있는가?
• 외부자 계약 만료 시 위탁 업무와 관련하여 외부자가 중요정보 및 개인정보를 보유 하고 있는지 확인하고 이를 회수·파기 할 수 있도록 절차를 수립·이행 하고 있는가?

 

3.결함 사례

 

1)일부 정보시스템에서 계약 만료된 외부자의 계정 및 권한이 삭제되지 않고 존재하는 경우

 

2)외주용역 사업 수행과정에서 일부 용역 업체 담당자가 교체되거나 계약 만료로 퇴직하였으나 관련 인력들에 대한 퇴사시 보안서약서 등 내부 규정에 따른 조치가 이행되지 않은 경우

 

3)개인정보 처리 위탁한 업체와 계약 종료 이후 보유하고 있는 개인정보를 파기했는지 여부를 확인·점검하지 않은 경우