1) 정보보호 및 개인정보보호 조직 운영 체계

• 정보보호 조직은 본사와 사업장에 걸친 총 14개 팀으로 구성
• 침해사고 대응, 글로벌 규제 준수, 정기 보안 점검, 개인정보보호 내부관리 계획 수립 등 실무적인 보안 운영 업무
• 실무 조직은 정보보호 실무협의회를 통해 정보보호 및 개인정보보호 관련 주요 정책 및 이슈를 논의하고, 필요 시 해당 사안을 정보보호위원회에 상정하여 전사적 차원의 의사결정과 연계함으로써 보안 리스크에 대한 신속한 대응과 조직 간 협력을 강화
• 정보보호 전담 인력은 CISSP, CISA, CPPG, ISO 27001, ISMS-P 심사원 등 전문 자격증을 보유한 인력으로 구성
• 임직원의 개인 KPI에 정보보호 역량 개발 항목을 포함시켜 지속적인 역량 강화 지원

• • 전사 경영회의 및 이사회

    • 주관: 이사회사무국
    • 개최 주기: 반기 1회
  • 전사 정보보호 위원회가 전사 경영회의 및 이사회에 보고

  • 전사 정보보호 위원회

    • 주관: CRO(간사:정보보호담당)
    • 개최 주기: 반기 1회
    • 참석자: 주요 경영진
  • 전사 정보보호 위원회와 전사 정보보호 실무협의회가 협업

  • 전사 정보보호 실무협의회

    • 주관: 정보보호담당
    • 개최 주기: 분기 1회(필요시, 수시 개최)
    • 참석자: 담당/실장(R&D, IT, 법무 등 주요 현업부서)

2) 정보보호 및 개인정보보호 전략

3) 개인정보 영향평가(DPIA)

• 제품, 시스템, 앱 등에서 개인정보를 처리하는 서비스의 기획 단계를 점검 대상으로 하여, 주요 기능 변경 또는 신규 서비스 구축 시 ‘개인정보 영향평가(DPIA: Data Protection Impact Assessment)’를 수행
• 본 평가는 출시 전 개인정보 처리 과정에서의 취약점을 사전에 도출하고, 이를 기반으로 적절한 보호조치를 적용함으로써 리스크를 예방하는 것이 목적
• 개인정보 영향평가는 체크리스트 기반으로 수행되며, 개인정보의 수집, 저장, 이용, 제공, 전송, 역외이전, 파기 등 전체 처리 라이프사이클 전반에 걸쳐 정보 항목과 흐름을 분석하고, 기술적·관리적 보호조치 수준을 점검
• 외부 제3자 업체를 통해 3자 감사(Audit) 방식(DPIAC)으로 객관성을 확보하며 평가를 운영

1) 제품 보안 관리 체계

2) 제품 보안 리스크 관리

• LG전자는 제품 개발 전 주기에 걸쳐 보안 리스크를 체계적으로 관리하기 위해 ‘LG Secure Development Lifecycle(LG-SDL)’을 적용
• LG-SDL은 설계 초기 단계부터 제품 보안을 내재화하는 프로세스로, 보안 요구사항 정의, 위협 모델링, 코드 리뷰, 취약점 제거, 보안 테스트 등 각 단계별로 핵심 보안 활동을 수행
• 특히, 클라우드 연계, IoT 연결성, 생체인식·마이크·카메라 등 민감 기능이 포함된 제품의 경우, 기술별 위협 시나리오 기반의 보호 조치를 강화

LG-SDL. LG Secure Development Lifecycle

• 준비

  • 보안 교육

• 요구사항

  • 보안요구사항 분석

• 설계

  • 보안 설계 리뷰

• 구현

  • 시큐어코딩, 시스템 하드닝

• 테스트

  • 오픈소스 보안 취약점 분석
  • 정적 분석
  • 보안 기능 테스팅
  • 퍼즈 테스팅
  • 침투 테스팅

• 릴리즈

  • 최종 제품 보안 평가 (LG Shield 기준 만족 여부 점검)

• 대응

  • 보안 사고 대응
  • 보안 유지 보수