3.5.2 정보주체 권리보장

기준 판본: KISA ISMS-P 인증기준 안내서(2023.11.23). 관련 법령: 2026-07-26 기준. 내용 구분: §1은 KISA 안내서와 법령을 요약했다. §3~§4에는 작성자의 실무 경험을 반영했다.

1. ISMS-P 기준 요약

정보주체가 열람·전송·정정·삭제·처리정지·동의 철회와 자동화된 결정에 대한 권리를 쉽게 행사할 수 있도록 절차를 제공해야 한다. 요청은 법정 기한과 제한 사유에 따라 처리·통지하고 기록도 보관한다.

각 권리를 인정하거나 제한할 법적 사유는 일반적인 ITGC 범위 밖에서 판단한다. 다만 본인확인과 처리 기한 관리, 관련 시스템에 빠짐없이 조치하는 절차는 워크플로와 인터페이스 통제로 연결된다.

ISMS-P 요구사항	IT감사 연계 절차	모집단	표본
본인확인	채널별 인증·대리권 검증과 우회 가능성 시험	권리 요청	표본
기한·승인	접수시각, 담당자 배정, 기한 경보, 거절 승인 확인	요청 티켓	표본
조치 완전성	원천·연계·백업 등 대상 시스템 조치와 통지 대사	처리 완료 건	표본

권리별 적용·제한 사유와 자동화된 결정에 대한 설명·거부, 온라인 게시물의 권리침해 여부는 개인정보·법무 준거성 영역에서 판단한다.

A. 같은 절차가 아니다. 회원탈퇴의 처리 범위와 별개로 법에서 정한 삭제 요청을 접수해야 한다. 보존 예외와 연계 시스템 조치, 처리 결과 통지도 요청별로 관리한다.