거버넌스
투명경영으로 미래가치를 창출합니다.
개인정보 보호 및 보안
개인정보 보호 및 보안
SK네트웍스는 개인정보 및 IT 서비스 보안의 중요성을 깊이 인식하고, 고객을 포함한 당사의 정보를 안전하게 보호합니다. 정보보안 지침 및 가이드라인 제시, 정보보호 업무를 전문적으로 수행하는 조직의 운영, 정보보호위원회 및 CISO/CPO 실무협의체 운영, 구성원 대상 정보보호 교육 등 정보보안 관련 활동을 통해 기업 데이터의 유출 또는 도난 개인정보의 유출 또는 도난, 정보보호 관련 불만 사항이 발생하지 않도록 합니다.
정보보호센터는 대내외 보안 위험 최소화를 위해 보안관리체계 및 인증체계 강화를 추진하고자 합니다.
정보보안 지침 및 가이드라인
SK네트웍스는 데이터 3법 개정에 따라 취급하는 모든 개인정보를 안전하게 보호하고 철저히 관리하기 위하여 전사 개인정보보호/정보보호 규정을 개정하였습니다. 개정안은 구성원의 PC 사용 자율화에 따라 강화된 정보 관리 징계에 대한 내용을 반영하고 있으며, 구성원, 외부 업체 직원, 방문객 등 모든 이해관계자의 개인정보 관리 사항은 본 규정에 따라 처리하고 있습니다.
또한 IT서비스/보안관리 규정 및 규칙을 통해 정보자산에 대한 훼손, 위조, 변조, 도난, 유출 등을 방지하여 소중한 정보자산을 보호합니다. 해당 규정은 SK네트웍스에서 취급하는 정보와 정보를 수집, 가공, 처리, 전송, 저장, 관리하는 정보시스템과 관련된 모든 부서 및 임직원, 협력사에 적용하여 다양한 위협으로부터 안전을 확보하고 있습니다.
정보보호 및 개인정보 보호 관리체계 인증 운영
SK네트웍스는 2015년부터 법적 의무 사항인 ISMS/PIMS 인증을 취득하여 유지하였으며, ‘21년부터 통합된 인증 기준인 ISMS-P1) 심사를 통해 신규 인증서를 취득하였습니다. 이를 유지하기 위해 정보 자산 식별 및 위험 관리 계획을 수립하고, 취약점 진단 및 위험 평가, 위험 조치, 재발 방지 및 구성원 교육 등의 일련의 업무를 주기적으로 수행하고 있습니다. 당사의 3개년 목표는 2022~2023년 ISMS-P 인증 유지 및 2024년 인증 갱신이며, 이와 더불어 SK그룹의 표준 보안 지침인 ‘그룹 보안 Guideline‘ 이행 수준을 관계사 평균 수준 이상으로 유지하고자 합니다.
1) ISMS-P (Personal Information & Information Security Management System : 정보보호 및 개인정보보호 관리체계 인증)
- 법적 근거 : 정보통신망법 제47조 및 개인정보보호법 제32조의2 및 해당 법률의 시행령/시행규칙/고시
- 인증기관 : KISA(한국인터넷진흥원) / 과학기술정보통신부 지정 기관
- 통과기준 : 102개 인증항목에 대한 지속적인 관리체계 운영 여부 평가
- 의무대상 기준 : 정보통신서비스 부문 전년도 매출액 100억원 이상 또는 직전 3개월간 일일평균 이용자 수 100만명 이상
정보보안 관리 조직
정보보호위원회 및 CISO/CPO 실무협의체 조직도
- 정보보호위원회주요 임원 의결 기구
: CISO* 外 - CISO/CPO 실무협의체실무협의체 위원장
: CISO
- 정보보호센터
- 정보보안 책임자
- 정보보안 담당자
- 10개 보안 조직사업부문/자회사
CISO/CPO 실무협의체
*CISO: Chief Information Security Officer
SK네트웍스는 정보보호 업무 외 겸직이 금지된 임원급 전담 CISO(정보보호최고책임자)를 지정하고 정보보호 업무를 전문적으로 수행하는 정보보호센터를 운영하고 있습니다.
또한 분기별로 정보보호위원회, CISO/CPO* 실무협의체를 통해 정보보호 주요 정책을 논의하고 주요 Issue 사항을 공유하고 있으며 SK매직, SK렌터카 등 주요 자회사 CISO와의 정기적인 미팅 및 그룹 보안 지침을 기반으로 한 수준 진단을 통해 자회사의
보안 수준을 향상시키고 있습니다.
*CPO: Chief Privacy Officer
보안사고 대응
개인정보사고 대응 절차
- 사고 발생 사실 통보*
-
홈페이지에 사고 관련 정보 7일 이상 게제*
24시간 내 정보주체에 통지 및 전문기관에 신고 - 사고 종결 후 1개월 내 사고에 대한 사후 평가 및 재발방지 대책 수립
- 모의훈련 실시 및 결과 보고
*보고 절차: 사고 인지자→상위 팀장 및 전사 개인정보 총괄부서 담당자
→상위 팀장 및 전사 리스크관리 관련 부서 담당자→CPO 및 사내 유관부서 팀장/임원
→CEO 및 지주회사 담당임원
SK네트웍스는 보안 사고에 신속하게 대응하기 위하여 개인 정보 사고대응 Guideline 및 침해 사고 대응 규칙을 준수하고 있습니다. 사고 발견자는 즉시 담당자에게 보고해야 하며, 담당자는 사고의 심각성에 따라 조치합니다. 이후 사고 원인과 결과를 파악하여 재발 방지 조치를 시행하고, 위규자의 고의 여부, 회사의 손해 등을 고려하여 징계를 실시하고 있습니다.
정보보호 및 개인정보보호 위반 방지
SK네트웍스는 고객 개인정보의 중요성을 인식하며 안전한 관리를 위해 철저한 보호활동을 이행합니다. 자회사를 포함하여 모든 업무처리 과정에서 개인정보가 포함될 경우, 개인정보 보호정책이 적용됨을 명시하며 개인정보 이용 시 그 목적과 사유를 등록하여 보호하고 있습니다.
정보보안 교육
SK네트웍스는 모든 구성원이 정보보안 관련 규정을 인식할 수 있도록 공표하고 있으며, 매년 구성원을 대상으로 정보보안 교육을 시행합니다. 2020년부터 매년 정보보안 교육을 사내 교육 플랫폼 ‘mySUNI’에 연계하고 온라인 교육을 통해 교육 내용을 공유하고 있습니다. 이를 통해 오프라인으로 교육을 받지 못한 구성원들이 온라인으로 교육 자료를 확인할 수 있도록 하여 개인 정보 보호의 중요성 및 보안체계를 내재화하였습니다. 또한 워커힐 임직원에게도 개인정보보호의 중요성, 관련 법규, 개인정보 수집·이용·제공 등의 내용을 교육하여 개인정보보호 관련 의무 준수를 촉진하고 정보보안 리스크를 사전에 방지하고 있습니다.
