법제도와 표준 관계도

mindmap
  root((법제도 및 표준<br/>98개 토픽))
    정보보호 법제도
      개인정보 관련
        개인정보보호법
        개인정보 영향평가(PIA)
        가명정보 처리 / 비식별화 기법
        정보통신망법
        데이터3법
        GDPR
        DPO
        DPIA
        데이터 이동권
      금융보안 관련
        전자서명법
        전자금융거래법
        전자금융감독규정
        신용정보법
        마이데이터
      기반시설/통신
        주요정보통신기반시설 보호법
        통신비밀보호법
      국제이전/안심구역
        개인정보 안심구역 / 데이터 안심구역
        CBPR / 개인정보 국제이전
    전자정부/공공 법제도
      전자정부법
      공공데이터법
      지능정보화기본법
      디지털플랫폼정부법
      소프트웨어진흥법
      클라우드컴퓨팅법
      오픈소스 라이선스
      SBOM
      SW 공급망 보안
    디지털 신기술 법제도
      AI 규제
        AI 기본법
        EU AI Act
        저작권법과 AI
      가상자산 규제
        특정 금융정보법
        MiCA
      플랫폼 규제
        플랫폼 규제법
        EU DSA
        EU DMA
      기타 신기술
        위치정보보호법
        자율주행차법
        드론법
        데이터산업법
        디지털세
    보안 인증 및 규제
      국내 인증
        ISMS
        ISMS-P
        CSAP
        KCMVP
      국제 인증
        ISO 27001
        ISO 27002
        ISO 27005
        ISO 27701
        CC인증
        SOC 보고서
      산업별 규제
        PCI DSS
        SOX
      보안 조직/방법론
        CISO
        정보보호 위험관리 방법론
    소프트웨어공학 표준
      프로세스 표준
        ISO 12207
        ISO 15504(SPICE)
      품질 표준
        ISO 25010(SQuaRE)
        ISO 9001
      문서화 표준
        IEEE 830(SRS)
        IEEE 1471(아키텍처)
      국내 인증/기준
        GS인증
        SP인증
        SW사업 대가산정 가이드
        기능점수
        디지털서비스 전문계약제도
    IT 거버넌스 프레임워크
      거버넌스
        COBIT
        ISO 38500
        TOGAF
      서비스 관리
        ITIL
        ISO 20000
      리스크/연속성
        ISO 22301
        ISO 31000
      프로젝트 관리
        PRINCE2
    통신 표준 및 기관
      국제 기관
        ITU
        IEEE
        IETF
        3GPP
      국내 기관
        TTA
      통신 법규
        전파법
        전기통신사업법
        망중립성
    보안 프레임워크
      NIST CSF
      NIST SP 800-53
      제로 트러스트
      CIS Controls
      OWASP
      전자정부 표준프레임워크
      정보시스템 감리
      데이터 주권 / 마이데이터
      디지털자산기본법
      디지털콘텐츠법
      스마트도시법
    AI 규제 및 차세대 보안 표준
      AI 윤리 원칙
      적합성 평가
      ISO/IEC 42001
      AI RMF
      AI 신뢰성 검인증
      PQC(양자내성암호)

개인정보보호법 (일반법)
  ├─ 정보통신망법 (온라인 서비스 특화)
  ├─ 신용정보법 (금융 데이터 특화)
  ├─ GDPR (EU 개인정보보호)
  └─ 개인정보 영향평가(PIA) (사전 위험 평가)

데이터3법 (2020 개정)
  ├─ 개인정보보호법 → 가명정보 도입, 개인정보위 일원화
  ├─ 신용정보법 → 마이데이터 사업 도입
  └─ 정보통신망법 → 개인정보 조항 이관

GDPR 핵심 제도
  ├─ DPO (개인정보보호 책임자 지정 의무)
  ├─ DPIA (고위험 처리 사전 영향평가)
  ├─ 데이터 이동권 (정보주체 권리)
  └─ CBPR / 국제이전 (적정성 결정, BCR, SCC)

가명정보 처리 / 비식별화 기법
  ├─ 가명처리 (데이터3법 기반)
  ├─ 비식별화 기법 (가명처리, 총계처리, 데이터 삭제 등)
  └─ 개인정보 안심구역 (안전한 결합·분석 환경)

개인정보 (식별 가능)
    ↓
가명정보 (추가 정보 없이 식별 불가, 결합 가능)
    ↓
익명정보 (식별 불가, 자유 활용)

전자금융거래법 (전자금융 안전성)
    ↓
전자금융감독규정 (세부 기술 기준)
  ├─ 망분리 의무화
  ├─ 취약점 분석·평가
  └─ 접근통제/암호화
    ↓
신용정보법 (신용정보 보호)
    ↓
마이데이터 (본인신용정보관리업)
  └─ 전송요구권, 표준 API

전자정부법 (전자정부 구현·운영)
    ↓
공공데이터법 (공공데이터 개방)
    ↓
지능정보화기본법 (AI/디지털 전환)
    ↓
디지털플랫폼정부법 (플랫폼 기반 행정)

소프트웨어진흥법 (SW산업 진흥)
  ├─ SW사업 대가산정 가이드
  ├─ GS인증
  ├─ 기능점수
  └─ 디지털서비스 전문계약제도

클라우드컴퓨팅법 (클라우드 도입)
  └─ CSAP (클라우드 보안인증)

SW 공급망 보안
  ├─ SBOM (소프트웨어 자재명세서)
  └─ 오픈소스 라이선스 (GPL, MIT, Apache 등)

AI 기본법 (한국, 2026년 시행)
  ├─ AI 산업 육성
  ├─ AI 윤리
  └─ 고위험 AI 규제

EU AI Act (EU, 2024년 발효)
  ├─ 금지 AI (사회 신용, 실시간 생체인식)
  ├─ 고위험 AI (채용, 교육, 의료)
  ├─ 제한적 위험 AI (챗봇, 딥페이크)
  └─ 최소 위험 AI (대부분)

AI 거버넌스 체계
  ├─ AI 윤리 원칙 (투명성, 공정성, 안전성)
  ├─ ISO/IEC 42001 (AI 관리체계 인증, AIMS)
  ├─ AI RMF (NIST AI 100-1, 리스크 관리)
  ├─ AI 신뢰성 검인증 (CAT)
  └─ 적합성 평가 (규제 적합성 검증)

특정 금융정보법 (한국)
  ├─ 사업자 신고제
  ├─ 트래블룰
  └─ AML/KYC

MiCA (EU)
  ├─ 통합 프레임워크
  ├─ 스테이블코인 규제 (EMT/ART)
  └─ 서비스 제공자 인가

디지털자산기본법 (한국, 제정 추진 중)
  └─ 투자자 보호, 시장 질서

GDPR (개인정보 보호)
  └─ 정보주체 권리, 역외 적용, 매출 4% 과징금

DSA (디지털 서비스)
  └─ 불법 콘텐츠, 플랫폼 투명성, 매출 6% 과징금

DMA (디지털 시장)
  └─ 게이트키퍼 규제, 공정경쟁, 매출 10% 과징금

국내 인증
  ├─ ISMS (정보보호 관리체계, 80개 기준)
  ├─ ISMS-P (ISMS + 개인정보, 101개 기준)
  ├─ CSAP (클라우드 보안, 117개 항목)
  └─ KCMVP (암호모듈 검증)

국제 인증
  ├─ ISO 27001 (ISMS 국제 표준, 93개 통제)
  │   ├─ ISO 27002 (통제 구현 지침)
  │   └─ ISO 27005 (위험관리)
  ├─ ISO 27701 (개인정보 관리, GDPR 매핑)
  ├─ CC인증 (보안제품 평가, EAL1~7)
  └─ SOC 보고서 (서비스 조직 감사)

보안 조직/방법론
  ├─ CISO (정보보호 최고책임자)
  └─ 정보보호 위험관리 방법론

ISMS (국내, 정보보호)
  └─ 80개 인증기준 (관리 16 + 보호 64)

ISMS-P (국내, 정보보호 + 개인정보)
  └─ 101개 인증기준 (관리 16 + 보호 64 + 개인정보 21)

ISO 27001 (국제, 정보보안)
  └─ 93개 통제항목 (Annex A, ISO 27002 기반)

프로세스 표준
  ├─ ISO 12207 (SW 생명주기 프로세스)
  └─ ISO 15504/SPICE (프로세스 능력 평가)

품질 표준
  ├─ ISO 25010 (SW 품질 모델, 8가지 특성)
  └─ ISO 9001 (품질경영시스템)

문서화 표준
  ├─ IEEE 830 → ISO 29148 (요구사항 명세)
  └─ IEEE 1471 → ISO 42010 (아키텍처 기술)

국내 인증
  ├─ GS인증 (제품 품질, ISO 25010 기반)
  ├─ SP인증 (프로세스 역량, CMMI 간소화)
  └─ 디지털서비스 전문계약제도 (공공 SW사업)

기능점수(FP) 방식
  ├─ 사용자 관점 기능 규모 측정
  ├─ 5가지 기능 유형 (EI, EO, EQ, ILF, EIF)
  └─ 개발비 = 총 FP × FP단가 × 보정계수

투입공수(MM) 방식
  └─ 개발비 = 투입 M/M × 노임단가

COBIT (IT 거버넌스/관리)
  ├─ 목표 중심, 40개 관리목표
  └─ EDM + APO/BAI/DSS/MEA

ISO 38500 (IT 거버넌스 원칙)
  └─ 평가(Evaluate) → 지시(Direct) → 모니터(Monitor)

ITIL (IT 서비스 관리/ITSM)
  ├─ 서비스 가치 시스템(SVS)
  └─ 34개 실무 관행

ISO 20000 (ITSM 인증 표준)
  └─ ITIL 기반 인증

TOGAF (엔터프라이즈 아키텍처)
  └─ ADM 방법론

ISO 22301 (업무 연속성/BCMS)
  └─ BIA, BCP, DRP

ISO 31000 (리스크 관리)
  └─ 식별 → 분석 → 평가 → 대응

PRINCE2 (프로젝트 관리)
  └─ 7원칙 × 7테마 × 7프로세스

국제 기구
  ├─ ITU (유엔 산하, 전파/통신 표준)
  │   ├─ ITU-T (통신표준화)
  │   ├─ ITU-R (전파통신)
  │   └─ ITU-D (개발)
  ├─ IEEE (전기전자 기술 표준)
  │   └─ 802.3(이더넷), 802.11(WiFi), 754(부동소수점)
  ├─ IETF (인터넷 표준, RFC)
  │   └─ TCP/IP, HTTP, TLS, DNS
  └─ 3GPP (이동통신 표준)
      └─ LTE, 5G NR

국내 기구
  └─ TTA (한국정보통신기술협회)

NIST CSF (사이버보안 프레임워크)
  └─ Govern → Identify → Protect → Detect → Respond → Recover

NIST SP 800-53 (보안/프라이버시 통제 카탈로그)
  └─ 20개 통제 패밀리, 1000+ 통제항목

제로 트러스트 (ZTA)
  └─ Never Trust, Always Verify

CIS Controls (기술 통제 우선순위)
  └─ 18개 통제 그룹, IG1/IG2/IG3

OWASP (웹 보안)
  └─ Top 10, ASVS, SAMM, ZAP

PCI DSS (카드 결제 보안)
  └─ 12가지 요구사항, Level 1~4

SOX (재무 보고 투명성)
  ├─ 302조: 경영진 인증
  ├─ 404조: 내부통제 평가
  └─ IT-SOX: IT 일반 통제(ITGC)

PQC (양자내성암호)
  ├─ NIST 표준화 (CRYSTALS-Kyber, CRYSTALS-Dilithium 등)
  ├─ 양자컴퓨터 위협 대비
  └─ KCMVP 연계 (국내 암호모듈 검증)

제로 트러스트
  ├─ NIST SP 800-207
  └─ 경계 보안 → 신원 기반 보안

디지털콘텐츠법 (콘텐츠산업진흥법)
  └─ 콘텐츠 산업 진흥, 유통 질서

스마트도시법
  └─ 스마트시티 조성, 데이터 활용

디지털세
  └─ OECD Pillar 1/2, 글로벌 최저세율 15%