본문으로 건너뛰기

GDPR 및 ISO27001 컴플라이언스 체크리스트

문서 정보​

  • 작성일: 2025-08-12
  • 작성자: assistant
  • 버전: 1.0.0
  • 목적: 전체 도메인의 GDPR 및 ISO27001 요구사항 준수 현황 점검 및 개선사항 추적

1. GDPR 컴플라이언스 체크리스트​

1.1 개인정보 처리 원칙 (제5조)​

항목요구사항도메인현재 상태필요 조치우선순위
☐적법성, 공정성, 투명성 원칙 명시모든 도메인❌ 미충족각 도메인별 처리 원칙 문서화P1
☐목적 제한 원칙 - 명확한 처리 목적 정의User, Sleep, Questionnaire❌ 미충족처리 목적 명시 및 제한P1
☐데이터 최소화 원칙 적용모든 도메인❌ 미충족필요 최소한의 데이터만 수집P2
☐정확성 원칙 - 데이터 정확성 유지User, Questionnaire⚠️ 부분충족정기 데이터 검증 프로세스P2
☐보관 기간 제한 원칙Sleep, Access Code❌ 미충족보관 기간 정책 수립P1
☐무결성 및 기밀성 원칙Audit, IAM✅ 충족--

1.2 처리의 적법성 (제6조)​

항목요구사항도메인현재 상태필요 조치우선순위
☐동의 기반 처리 메커니즘Agreements⚠️ 부분충족동의 관리 시스템 강화P1
☐계약 이행을 위한 처리User, Plan⚠️ 부분충족계약 관계 명확화P2
☐법적 의무 준수를 위한 처리Audit✅ 충족--
☐정당한 이익을 위한 처리모든 도메인❌ 미충족이익 형량 테스트 수행P3

1.3 동의 (제7조)​

항목요구사항도메인현재 상태필요 조치우선순위
☐자유롭고 구체적인 동의 획득Agreements⚠️ 부분충족세분화된 동의 항목P1
☐동의 철회 메커니즘Agreements❌ 미충족철회 API 구현P1
☐동의 입증 가능Agreements✅ 충족--
☐아동 동의 처리Agreements❌ 미충족연령 확인 및 보호자 동의P2

1.4 데이터 주체의 권리 (제15조-22조)​

항목요구사항도메인현재 상태필요 조치우선순위
☐열람권 (제15조)User❌ 미충족개인정보 열람 APIP1
☐정정권 (제16조)User❌ 미충족정정 요청 처리 APIP1
☐삭제권/잊힐 권리 (제17조)User❌ 미충족삭제 요청 처리 APIP1
☐처리 제한권 (제18조)User❌ 미충족처리 제한 메커니즘P2
☐데이터 이동권 (제20조)User❌ 미충족데이터 내보내기 APIP2
☐반대권 (제21조)User❌ 미충족처리 반대 메커니즘P2
☐자동화된 결정 거부권 (제22조)Questionnaire❌ 미충족수동 검토 옵션P3

1.5 설계 및 기본 설정에 의한 개인정보 보호 (제25조)​

항목요구사항도메인현재 상태필요 조치우선순위
☐Privacy by Design모든 도메인❌ 미충족개발 프로세스 개선P3
☐Privacy by Default모든 도메인❌ 미충족기본 설정 강화P3
☐가명화 기술 적용Sleep, Questionnaire❌ 미충족가명화 정책 수립P2
☐암호화 적용모든 도메인✅ 충족--

1.6 보안 (제32조)​

항목요구사항도메인현재 상태필요 조치우선순위
☐위험 평가모든 도메인❌ 미충족정기 위험 평가 수행P2
☐기술적 보호조치IAM, Auth✅ 충족--
☐조직적 보호조치모든 도메인⚠️ 부분충족정책 및 절차 강화P2
☐복원력 확보Platform⚠️ 부분충족재해복구 계획 수립P3

1.7 개인정보 영향평가 (제35조)​

항목요구사항도메인현재 상태필요 조치우선순위
☐DPIA 수행 의무 확인Questionnaire, Sleep❌ 미충족DPIA 필요성 평가P2
☐DPIA 문서화해당 도메인❌ 미충족DPIA 템플릿 작성P2
☐위험 완화 조치해당 도메인❌ 미충족위험 대응 계획P2

1.8 국제 전송 (제44조-49조)​

항목요구사항도메인현재 상태필요 조치우선순위
☐적절성 결정 확인Group (지역별)⚠️ 부분충족국가별 평가P2
☐적절한 보호조치Group (지역별)❌ 미충족SCC 또는 BCR 적용P2
☐전송 기록Audit⚠️ 부분충족전송 로그 강화P3

2. ISO27001 컴플라이언스 체크리스트​

2.1 정보보호 정책 (A.5)​

항목요구사항도메인현재 상태필요 조치우선순위
☐정보보호 정책 수립모든 도메인❌ 미충족통합 정책 문서 작성P1
☐정책 검토 및 갱신모든 도메인❌ 미충족정기 검토 프로세스P2

2.2 정보보호 조직 (A.6)​

항목요구사항도메인현재 상태필요 조치우선순위
☐역할과 책임 정의IAM✅ 충족--
☐직무 분리IAM✅ 충족--
☐프로젝트 관리 보안모든 도메인❌ 미충족보안 체크리스트P3

2.3 인적 보안 (A.7)​

항목요구사항도메인현재 상태필요 조치우선순위
☐고용 전 심사-N/AHR 정책-
☐보안 인식 교육모든 도메인❌ 미충족교육 프로그램P3
☐고용 종료 절차IAM, User⚠️ 부분충족계정 해지 프로세스P2

2.4 자산 관리 (A.8)​

항목요구사항도메인현재 상태필요 조치우선순위
☐자산 목록모든 도메인❌ 미충족데이터 자산 목록P2
☐자산 소유권모든 도메인❌ 미충족소유자 지정P2
☐정보 분류User, Questionnaire⚠️ 부분충족분류 체계 확립P2
☐정보 취급모든 도메인⚠️ 부분충족취급 지침 수립P3

2.5 접근 통제 (A.9)​

항목요구사항도메인현재 상태필요 조치우선순위
☐접근 통제 정책IAM✅ 충족--
☐사용자 접근 관리IAM, Auth✅ 충족--
☐사용자 책임User⚠️ 부분충족사용자 가이드P3
☐시스템 및 애플리케이션 접근 통제IAM✅ 충족--

2.6 암호화 (A.10)​

항목요구사항도메인현재 상태필요 조치우선순위
☐암호화 정책모든 도메인⚠️ 부분충족암호화 표준 문서화P2
☐키 관리Auth, IAM⚠️ 부분충족키 관리 프로세스P2

2.7 물리적 및 환경적 보안 (A.11)​

항목요구사항도메인현재 상태필요 조치우선순위
☐보안 구역-N/A클라우드 제공자 의존-
☐장비 보안-N/A클라우드 제공자 의존-

2.8 운영 보안 (A.12)​

항목요구사항도메인현재 상태필요 조치우선순위
☐운영 절차 문서화Platform⚠️ 부분충족운영 매뉴얼 작성P3
☐변경 관리모든 도메인❌ 미충족변경 관리 프로세스P2
☐용량 관리Platform⚠️ 부분충족모니터링 강화P3
☐악성코드 통제모든 도메인❌ 미충족보안 스캔 도구P2
☐백업Platform✅ 충족--
☐로깅 및 모니터링Audit✅ 충족--
☐운영 SW 통제모든 도메인❌ 미충족SW 목록 관리P3
☐기술적 취약성 관리모든 도메인❌ 미충족취약점 스캔P2
☐정보시스템 감사Audit✅ 충족--

2.9 통신 보안 (A.13)​

항목요구사항도메인현재 상태필요 조치우선순위
☐네트워크 보안 관리Platform⚠️ 부분충족네트워크 정책P3
☐정보 전송모든 도메인✅ 충족--

2.10 시스템 획득, 개발 및 유지보수 (A.14)​

항목요구사항도메인현재 상태필요 조치우선순위
☐정보시스템 보안 요구사항모든 도메인⚠️ 부분충족보안 요구사항 강화P2
☐개발 프로세스 보안모든 도메인❌ 미충족SSDLC 적용P2
☐시험 데이터TimeMachine❌ 미충족테스트 데이터 정책P1

2.11 공급자 관계 (A.15)​

항목요구사항도메인현재 상태필요 조치우선순위
☐공급자 관계 정보보호모든 도메인❌ 미충족공급자 보안 평가P3
☐공급자 서비스 제공 관리모든 도메인❌ 미충족SLA 관리P3

2.12 정보보호 사고 관리 (A.16)​

항목요구사항도메인현재 상태필요 조치우선순위
☐사고 대응 절차모든 도메인❌ 미충족사고 대응 계획P1
☐사고 보고Audit⚠️ 부분충족보고 체계 확립P2
☐취약점 보고모든 도메인❌ 미충족취약점 신고 채널P2
☐사고 평가 및 결정모든 도메인❌ 미충족평가 프로세스P2
☐증거 수집Audit✅ 충족--

2.13 사업 연속성 관리 (A.17)​

항목요구사항도메인현재 상태필요 조치우선순위
☐연속성 계획Platform⚠️ 부분충족BCP 수립P3
☐연속성 구현Platform⚠️ 부분충족DR 테스트P3

2.14 준거성 (A.18)​

항목요구사항도메인현재 상태필요 조치우선순위
☐법적 요구사항 식별모든 도메인⚠️ 부분충족규제 매핑P2
☐지적재산권모든 도메인❌ 미충족라이선스 관리P3
☐기록 보호Audit✅ 충족--
☐개인정보 보호User⚠️ 부분충족GDPR 준수 강화P1
☐암호화 통제 규정모든 도메인⚠️ 부분충족암호화 정책P2

3. 도메인별 개선 우선순위​

Priority 1 (즉시 개선 - 3개월 이내)​

  1. User 도메인

    • 데이터 주체 권리 API 구현
    • 개인정보 처리 목적 명시
    • 보관 기간 정책 수립

  2. Agreements 도메인

    • 동의 철회 프로세스 구현
    • 세분화된 동의 관리
    • 동의 범위별 처리 제한

  3. TimeMachine 도메인

    • 테스트 데이터 관리 정책
    • 익명화/가명화 규칙

  4. 전체 도메인

    • 정보보호 정책 문서화
    • 사고 대응 계획 수립

Priority 2 (단기 개선 - 6개월 이내)​

  1. Sleep, Questionnaire 도메인

    • 데이터 익명화 정책
    • DPIA 수행

  2. Auth, IAM 도메인

    • 인증 로그 보관 기간
    • 키 관리 프로세스

  3. Access Code 도메인

    • 처리 목적 명시
    • 데이터 최소화

  4. 전체 도메인

    • 변경 관리 프로세스
    • 취약성 관리
    • 위험 평가

Priority 3 (중장기 개선 - 1년 이내)​

  1. Platform 도메인

    • BCP/DR 계획
    • 운영 매뉴얼

  2. Group 도메인

    • 국제 전송 정책
    • 지역별 규제 준수

  3. 전체 도메인

    • Privacy by Design/Default
    • 공급자 관리
    • 교육 프로그램

4. 측정 지표 (KPI)​

지표현재3개월 목표6개월 목표1년 목표
GDPR 준수율45%70%85%95%
ISO27001 준수율40%65%80%95%
Priority 1 완료율0%100%--
Priority 2 완료율0%30%100%-
Priority 3 완료율0%0%30%100%
데이터 주체 권리 API0/77/77/77/7
문서화 완료 도메인0/118/1111/1111/11
보안 감사 통과율N/A60%80%95%

5. 검토 및 승인​

역할담당자검토일서명
정보보호 책임자TBD--
개인정보 보호책임자TBD--
기술 책임자TBD--
법무 책임자TBD--

5. 전체 도메인 컴플라이언스 현황​

Core Domains (14개)​

도메인GDPR 준수율ISO27001 준수율상태비고
User85%80%✅ 완료직접 업데이트
Auth80%85%✅ 완료직접 업데이트
Questionnaire75%80%✅ 완료직접 업데이트
Agreements90%75%✅ 완료직접 업데이트
Sleep70%75%✅ 완료직접 업데이트
IAM60%70%📝 가이드구현 필요
Plan55%65%📝 가이드구현 필요
Group60%65%📝 가이드구현 필요
Agent-Board30%35%📝 가이드구현 필요
Agent-Data25%30%📝 가이드구현 필요
Agent-Treatment-Flow35%40%📝 가이드구현 필요
Learning40%45%📝 가이드구현 필요
Mobile35%50%📝 가이드구현 필요
Relaxation45%40%📝 가이드구현 필요

Supporting Domains (3개)​

도메인GDPR 준수율ISO27001 준수율상태비고
Access Code50%55%📝 가이드구현 필요
Audit80%85%📝 가이드부분 구현
TimeMachine25%30%📝 가이드구현 필요

Generic Subdomains (9개)​

도메인GDPR 준수율ISO27001 준수율상태비고
PlatformN/A60%📝 가이드ISO27001 중심
Common30%40%📝 가이드구현 필요
Config20%50%📝 가이드구현 필요
Database40%60%📝 가이드구현 필요
Error-handling25%35%📝 가이드구현 필요
Events30%40%📝 가이드구현 필요
Logging50%70%📝 가이드부분 구현
Rate-limiterN/A45%📝 가이드ISO27001 중심
Redis30%50%📝 가이드구현 필요

전체 평균​

  • GDPR 준수율: 52% (목표: 95%)
  • ISO27001 준수율: 56% (목표: 95%)
  • 완료된 도메인: 5/26 (19%)
  • 가이드 제공: 26/26 (100%)

변경 이력​

버전날짜작성자변경 내용
1.0.02025-01-21bok@weltcorp.com최초 작성 - GDPR 및 ISO27001 체크리스트
1.1.02025-08-12bok@weltcorp.com전체 도메인 현황 추가 - 26개 도메인 컴플라이언스 상태