공공기관 개인정보보호
수준평가 컨설팅
개인정보보호법 제11조의2 기반 · 공공기관 전용
현황 진단부터 현장 실사 대응까지 전 과정 지원
중앙부처 · 지자체 · 교육청 · 공공기관 대상 · 우수기관 공표 · ISMS-P 인증 보유 기관 수준평가 가점 적용
Legal Basis & Benefits
개인정보보호법 제11조의2 — 수준평가의 법적 근거
개인정보보호위원회는 매년 공공기관을 대상으로 개인정보보호 수준을 평가하고, 결과를 공표합니다. ISMS-P·ISO 27001 등 인증을 보유한 기관은 수준평가에서 가점 혜택을 받습니다.
개인정보보호법 제11조의2 (개인정보보호 수준평가)
"① 보호위원회는 공공기관의 개인정보보호 수준 향상을 위하여 대통령령으로 정하는 공공기관의 개인정보보호 수준을 평가할 수 있다."
법적 의무화
개인정보보호법 제11조의2에 따라 개인정보보호위원회가 공공기관 대상 매년 수준평가를 실시합니다.
ISMS-P 인증 보유 시 가점
ISMS-P·ISO 27001 등 인증을 보유한 기관은 수준평가에서 가점(최대 2점 수준)을 받아 유리한 출발점에서 시작합니다.
우수기관 공표
평가 결과 우수기관으로 선정되면 개인정보보호위원회 홈페이지에 공표되어 기관 신뢰도가 높아집니다.
매년 반복 평가
매년 실시되는 정기평가로, 지속적인 관리 없이는 전년도 대비 점수가 떨어지는 사례가 빈번합니다.
Pain Point
이런 어려움을 겪고 계신가요?
평가 지표가 너무 복잡합니다
수십 개의 세부 지표를 기관 담당자가 혼자 파악하고 준비하기에는 너무 방대합니다. 어느 항목에서 감점이 나올지 예측이 어렵습니다.
증빙 자료 작성이 막막합니다
각 지표마다 요구하는 증빙 형식이 다르고, 어떤 자료를 어떻게 제출해야 인정받는지 알기 어렵습니다.
담당자 공백이 치명적입니다
개인정보보호 담당자 교체 또는 부재 시 평가 준비가 사실상 처음부터 시작됩니다. 업무 연속성 확보가 어렵습니다.
현장 실사 대응이 어렵습니다
서면 평가 이후 현장 실사에서 추가 소명 요청이 있을 수 있습니다. 전문가 없이 현장 대응은 감점 위험이 높습니다.
Evaluation Areas
주요 평가 지표 영역
개인정보보호위원회 수준평가의 6개 핵심 영역을 전문가가 직접 점검합니다
개인정보보호 계획 수립
- ▸개인정보보호 중장기 계획 및 연간 계획 수립
- ▸개인정보보호 조직 구성 및 역할 분장
- ▸개인정보보호 예산 편성 및 집행
개인정보 관리체계
- ▸개인정보 처리방침 수립 및 공개
- ▸개인정보 처리 현황 관리 (처리 목적·항목·보유기간)
- ▸개인정보 영향평가 실시 여부
기술적·관리적 보호조치
- ▸접근통제 및 접근권한 관리
- ▸개인정보 암호화 적용 현황
- ▸접속기록 보관 및 점검
개인정보보호 교육
- ▸전 직원 개인정보보호 교육 실시
- ▸개인정보취급자 전문 교육
- ▸교육 이수율 및 만족도 관리
개인정보 침해 예방·대응
- ▸개인정보 침해 사고 대응 체계 구축
- ▸침해 사고 신고 및 대응 절차
- ▸정보주체 권리 보장 체계
수탁사 및 제3자 관리
- ▸개인정보 처리 위탁 계약 및 감독
- ▸수탁사 개인정보보호 수준 점검
- ▸제3자 제공·국외 이전 관리
🔗 개인정보보호 자가진단 시스템
개인정보보호위원회 공식 자가진단 시스템(inno.pipc.go.kr)과 연계하여 현황을 점검합니다. 자가진단 결과를 바탕으로 전문가 컨설팅을 진행하면 더욱 효과적입니다.
Process
컨설팅 진행 프로세스
현황 진단부터 평가 대응까지 — 5단계
현황 진단
기관 현황을 파악하고 수준평가 지표 대비 현재 점수를 산출합니다. 강점과 취약 영역을 명확히 식별합니다.
취약점 분석 보고서
지표별 감점 요인을 분석하고, 우선순위를 정하여 개선이 가장 효과적인 영역을 도출합니다.
개선 계획 수립
평가 일정을 역산하여 실현 가능한 개선 로드맵을 수립합니다. 기관 내부 역량을 고려한 맞춤형 계획을 제시합니다.
이행 지원
개선 조치 이행 과정에서 발생하는 실무적 어려움을 직접 지원합니다. 증빙 자료 형식 및 작성 방법을 지도합니다.
평가 대응
서면 자료 제출 및 현장 실사에 동행하여 소명 자료를 준비하고 평가위원 질의에 대응합니다.
Expert
개인정보보호위원회 기술위원 — 전문가가 직접 검토합니다
백남정 박사 / 대표 · 테크파이(TechFi) · contact@techfi.kr
공학박사
숭실대학교 — 정보보호관리체계 전공
ISMS-P 선임심사원 30회 이상
한국인터넷진흥원(KISA) 위촉
ISO 27001 선임심사원
국제 정보보안 관리체계
SW보안약점 진단원
행안부·KISA 기준
ISO 42001 인공지능심사원
AI 관리체계 국제표준
개인정보위원회 기술위원
PIPC 기술포럼
열린사이버대 객원교수
인공지능융합학과
CISA (공인정보시스템감사사)
국제정보시스템감사통제협회(ISACA)
FAQ
자주 묻는 질문
Q.어떤 공공기관이 수준평가 대상인가요?
A.개인정보보호법 제11조의2에 따라 개인정보보호위원회가 지정한 공공기관이 대상입니다. 중앙행정기관, 지방자치단체, 공공기관, 각급 학교(교육청 포함), 지방공기업 등이 포함되며, 매년 평가 대상이 발표됩니다.
Q.ISMS-P 인증이 있으면 수준평가에서 유리한가요?
A.네, 방향을 정확히 이해하는 것이 중요합니다. ISMS-P·ISO 27001 등 인증을 보유한 공공기관이 수준평가를 받을 때 가점(최대 2점 수준)을 받는 구조입니다. 반대로 수준평가 결과가 좋다고 ISMS-P 인증 심사에서 점수를 올려주는 제도는 없습니다. 인증 취득과 수준평가 준비를 함께 전략적으로 추진하면 시너지를 낼 수 있습니다.
Q.컨설팅은 언제 시작하는 것이 좋나요?
A.수준평가 공문 발송 후 즉시 시작하는 것이 이상적입니다. 일반적으로 평가 3~4개월 전에 현황 진단을 시작하면 개선 조치를 충분히 이행할 수 있습니다. 늦어도 2개월 전에는 시작하시길 권장합니다.
Q.이미 자가진단을 한 기관도 컨설팅이 필요한가요?
A.네, 개인정보보호위원회 자가진단 시스템(inno.pipc.go.kr) 결과와 실제 평가 점수는 다를 수 있습니다. 자가진단은 정성적 판단에 의존하지만, 전문가 컨설팅은 평가위원 관점에서 증빙 충족 여부를 객관적으로 검토합니다.
수준평가, 혼자 준비하지 마세요
개인정보보호위원회 기술위원이 직접 진단합니다.
현황 진단부터 현장 실사 대응까지 전 과정 지원.
🏛️ 공공기관 수의계약 지원 가능 — 조달청 등록 추진 중