ISO 27001·27701 디케이테크인 사례: 서비스 변경 때 정보보호 책임도 함께 넘기고 있나요?

1. 사례 카드: 확인한 발표와 남은 확인

조직

㈜디케이테크인 · IT 솔루션 개발 및 서비스 사업

공식 발표일

2025년 1월 13일

발표 내용

ISO 27001·27701·27017·27018 인증 4종 동시 취득

사업 맥락

공식 발표는 그룹웨어, 스마트홈, AI 커뮤니케이션, DX와 정보시스템 구축 등을 소개합니다.

근거 유형

B — 기업 공식 발표. 인증서 원본 및 실제 심사보고서와 구분합니다.

추가 확인

각 인증의 판본·인증기관·상세 범위·유효기간, 서비스별 적용 여부, 실제 변경 관리 절차와 처리 역할

자료 확인일

2026년 9월 29일

출처: 디케이테크인 공식 인증 발표.

2. 실제 사례에서 가져올 학습 주제

회사는 인증 취득을 그동안 축적한 보안 관리 역량이 인정받은 과정으로 설명하고, 이를 바탕으로 B2B 경쟁력을 강화하겠다는 계획을 밝혔습니다. 전자는 회사의 평가, 후자는 향후 계획입니다. 발표에는 인증 전후의 사고 건수나 비용·매출 변화를 비교한 수치가 없습니다.

출처: 2025년 1월 13일 공식 발표.

이 글에서는 IT 서비스 사업이라는 맥락을 바탕으로 변경된 기능을 운영으로 넘길 때 무엇을 확인할 것인가를 학습 주제로 삼습니다. 실제로 회사가 어떤 승인 체계나 인수 양식을 사용하는지는 공개 발표에서 확인되지 않습니다. 독자는 이후 질문을 자신의 조직과 계약에 맞게 적용하면 됩니다.

인증은 공급자를 검토하는 자료 중 하나입니다. 서비스 변경 후에도 우리 업무의 데이터 흐름과 운영 책임이 적절한지는 실제 설정·계약·기록을 통해 별도로 확인합니다.

3. 변경 요청부터 운영 인수까지 연결하기

① 변경 요청: 무엇이 달라지나요?

추가할 기능과 업무 목적을 정리하고, 변경 전후의 데이터 항목·외부 연결·접근자를 비교합니다. 화면에 작은 입력란 하나를 추가하는 변경도 정보의 수집 목적이나 보관 기준을 바꿀 수 있습니다. 기능 설명과 데이터 변화를 함께 남깁니다.

② 영향 검토: 데이터와 권한에 영향이 있나요?

새로 필요한 정보의 목적과 처리 근거, 불필요한 수집 여부, 역할과 권한을 확인합니다. 외부 서비스가 추가되면 위탁 관계와 처리 장소도 검토합니다. 여기서 말하는 영향 검토는 일반적인 변경 검토이며, 법정 개인정보 영향평가의 대상 판단이나 수행을 대신하지 않습니다.

③ 승인·배포: 검토한 내용대로 적용했나요?

승인된 변경 내용과 실제 배포한 버전·설정을 대조합니다. 테스트한 환경과 운영 환경의 차이, 임시 계정이나 시험용 데이터가 남아 있는지, 문제가 생겼을 때 되돌리는 방법을 확인합니다. 승인 서명만으로 적용 결과까지 확인한 것으로 보지 않습니다.

④ 운영 인수·확인: 누가 맡고 무엇을 확인하나요?

운영 담당자, 장애·사고 연락 체계, 점검할 기록, 보유·삭제와 권리 요청 처리 방법을 연결합니다. 인수 문서를 받았다는 표시와 실제 운영 준비가 된 상태는 구분합니다. 담당자가 필요한 권한과 절차를 갖추고 변경된 업무를 설명할 수 있는지 확인합니다.

4. 두 표준의 관점으로 변경 한 건 살펴보기

정보보안 관점에서는 접근, 변경의 승인과 적용, 서비스 운영의 안정성을 살펴봅니다. 개인정보보호 관점에서는 처리 목적·근거, 역할, 권리 요청과 외부 처리의 변화까지 연결합니다. 다음은 조직의 적용 기준에 맞춰 사용할 교육용 질문입니다.

작은 화면에서는 표를 좌우로 움직여 확인하세요.

이 표는 특정 양식을 반드시 만들라는 목록이 아닙니다. 같은 사실을 확인할 수 있는 다른 증거도 검토합니다. 처리 역할과 법적 의무는 조직 이름이나 계약 명칭만으로 정하지 않고 실제 처리 내용과 적용 법규를 함께 확인합니다.

5. 교육용 상황: 기능은 정상인데 삭제 담당자가 없다면?

지금 확인된 것은 기능 시험과 배포 승인 기록, 운영 담당자의 설명입니다. 아직 확인할 것은 기존 보유·삭제 기준이 첨부파일까지 포함하는지, 다른 부서에 책임이 정해져 있는지, 실제 삭제 기능과 처리 기록이 있는지입니다.

심사자는 “인수 문서가 없으니 부적합”이라고 바로 결론 내리지 않습니다. 적용 요구사항과 기존 절차, 역할 및 실제 처리 가능 여부를 대조합니다. 필요한 책임이나 통제가 정해지지 않았다는 객관적 증거가 확인될 때 그 사실에 근거해 판단합니다.

기능 시험의 성공은 필요한 증거이지만, 개인정보 처리와 운영 준비 전체를 설명하지는 못합니다. 변경 한 건의 목적부터 종료 처리까지 연결해 확인하는 이유가 여기에 있습니다.

6. 우리 조직의 최근 변경으로 해보는 15분 실습

실습을 위해 운영 시스템을 임의로 변경하거나 실제 개인정보를 복사할 필요는 없습니다. 승인된 기록과 가린 화면, 가상 자료로 확인 흐름을 연습할 수 있습니다.

심사자는 판단 조건을 분명히 하고, 피심사자는 변경 한 건의 기록을 연결해 준비합니다. 수강생은 확인된 사실·담당자의 설명·미확인 정보를 나누어 적어봅니다.

개선 효과를 측정하려면 운영 인수 누락, 배포 후 권한 재조정, 개인정보 안내의 뒤늦은 수정 건수 등을 같은 기준으로 비교해 볼 수 있습니다. 이는 우리 조직을 위한 측정 제안이며 해당 기업의 성과 수치가 아닙니다.

서비스 변경의 완료는 기능 배포에 더해 데이터·권한·운영 책임까지 연결해 확인해야 합니다.

함께 읽으면 좋은 사례

• 테스트 데이터와 마스킹 범위를 확인하는 가상 사례
• 개인정보 이용 목적과 접근권한을 함께 살펴보는 가상 사례
• 개인정보 삭제 범위와 예외를 확인하는 가상 사례
• ISO 27001·27701 통합심사 가상 사례 10선