GS칼텍스 지속가능성보고서 살펴보기! 세 번째, 거버넌스(Governance) 편

1) 디지털 보안 조직 구성
GS칼텍스는 급변하는 디지털 환경에 대응하고, 디지털 안전 보안을 위한 최고 의사결정 조직으로 CISO(Chief Information Security Officer, 정보보호최고책임 자), 위원장, 각 본부별 임원으로 구성된 ‘디지털 보안 위원회’를 운영하고 있습니다. 디지털 보안위원회는 ICT(Information and Communication Technology) 컴플라이언스, 개인정보보호, IT(Information Technology)·OT(Operation Technology) 보안, 임직원 보안의식 제고 등 전사 디지털 보안 강화를 위한 투자, 활동 및 각종 현안을 논의하고 있습니다.

2) 디지털 보안 관리체계 운영
내부 중요 데이터 및 IT·OT 보안과 관련된 각종 위협에 대비하고 고객 정보를 포함한 회사 유·무형 자산을 안전하게 관리하고 비즈니스 신뢰성을 확보하기 위해 디지털 보안 정책을 체계적으로 수립하였습니다. 또한, 국내외 법령 및 국제표준을 기반으로 한 높은 수준의 보안 관리체계를 운영하고 있습니다. 새로운 보안 위협에 대응할 수 있는 환경을 마련하기 위해 제로 트러스트 보안 모델(Zero Trust Security Model)1)*[efn_note]※ Zero Trust Security Model: 네트워크 경계를 내외부로 구분하여 신뢰하는 전통적인 방식과는 달리 신뢰할 수 있는 영역은 존재하지 않으며, 접근을 위해서는 보다 강화된 인증을 통해 적절한 권한을 받아야 함을 바탕으로 한 보안 전략[/efn_note]을 적용하는 한편, 전문가로 구성된 전담 부서인 ‘Digital 보안팀’이 최신 보안 트렌드를 적시 분석하여 GS칼텍스 디지털 보안 및 관리체계에 반영할 수 있도록 관리하고 있습니다. 이 밖에도 이상 징후 및 보안 위반 사항의 적시 적발과 위험 예측을 위한 보안수준 검증(Security Assurance) 활동을 수행하며, 문제 발생 시 피해를 최소화하기 위해 적발통제(Detection Control) 정책을 수립하여 운영하고 있습니다

3) 고객정보 보호 체계 및 보호 활동
GS칼텍스는 2013년 업계 최초로 정부에서 지정한 ‘개인정보보호 관리체계(PIMS : Personal Information Management System) 인증’을 획득하였으며, 개인정보의 안전한 관리체계를 위해 강화된 ‘정보보호 및 개인정보보호 관리체계(ISMS-P : Personal Information & Information Security Management System) 인증’을 유지하고자 매년 관계 기관으로부터 엄격한 심사를 받고 있습니다. 중요 정보의 저장 및 전송 시 암호화 조치를 통해 고객 개인정보의 안정성을 확보하고, 고객정보 저장 시 별도의 시스템을 통해 최소 한의 인원만이 업무를 수행할 수 있도록 제한하고 있습니다. 뿐만 아니라 개인정보 접근통제 시스템을 운영하여 개인정보취급자의 처리 이력 관리 및 이상 징후 모니터링을 실시하는 한편, 매년 개인정보 처리부서와 수탁업체를 대상으로 정기·비정기 진단 활동을 통해 불필요한 개인정보 취급이나 오남용 등의 프라이버시 침해 및 법규 위반 사항이 발생하지 않도록 사전 대비하고 있습니다. 또한, 국내 개인정보 관련법은 물론 EU 일반 개인정보보호법(GDPR: General Data Protection Regulation)을 철저히 준수하고 있습니다. GS칼텍스는 고객에게 연 1회 이상 고객 개인정보 처리 현황을 통지하여 고객의 자기정보 결정권과 권리를 보장하며, 다양한 정보 보안 활동을 통해 개인정보 보호역량을 강화하고 있습니다.