1.3.1. 보호대책 구현

선정한 보호대책은 이행계획에 따라 효과적으로 구현하고, 경영진은 이행결과의 정확성과 효과성 여부를 확인하여야 한다.

 

1. 이행계획에 따라 보호대책을 효과적으로 구현하고 이행결과의 정확성 및 효과성 여부를 정보보호 최고책임자, 개인정보 보호책임자 등 경영진이 확인할 수 있도록 보고하고 있는가?

상세 기준

  - 이행계획에 따른 진행경과에 대하여 정기적으로 완료 여부, 진행 사항, 미이행 또는 지연이 있는 경우 사유 등을 파악하여 정보보호 최고책임자, 개인정보 보호책임자 등 경영진에게 보고

  - 경영진은 정보보호 및 개인정보보호 대책이 이행계획에 따라 정확하고 효과적으로 이행되었는지 여부를 검토

  - 미이행, 일정지연 등이 발생한 경우 이에 대한 원인을 분석하여 필요시 이행계획을 변경하고 경영진에게 보고 및 승인

  - 구현 결과에 대한 효과성 및 정확성 검토 결과 적절한 대책으로 판단하기 어렵거나 효과성에 상당한 의문이 제기되는 경우 대안을 수립하거나 추가 위험평가를 통하여 보완할 수 있는 절차 마련

 

2. 관리체계 인증기준별로 보호대책 구현 및 운영 현황을 기록한 운영명세서를 구체적으로 작성하고 있는가?

상세 기준

  - 인증기준 선정 여부(Yes/No) 확인 : ‘관리체계 수립 및 운영’ 영역은 필수사항

  - 운영 현황 : 해당기관의 정책 및 인증기준 대비 운영 현황을 상세히 기재

  - 관련문서(정책, 지침 등) : 해당 기준에 해당되는 관련 문서명과 세부 문서번호를 명확히 기재

  - 기록(증적자료) : 관련 문서, 결재 내용, 회의록 등 해당 기준이 실제 운영되는 과정에서 생성되는 문서 또는 증적자료 제시

  - 인증기준 미선정 시 사유 : 인증범위 내의 서비스, 시스템 등이 해당 항목에 전혀 관련이 없는 경우에 미선정 사유를 상세하게 기입

 

    운영 내역(증적) 예시

 

  • 정보보호 및 개인정보보호 이행계획서/위험관리계획서
  • 정보보호 및 개인정보보호 대책서
  • 정보보호 및 개인정보보호 이행계획 경과보고서(경영진 보고 포함)
  • 정보보호 및 개인정보보호 이행 완료 보고서(경영진 보고 포함)
  •  정보보호 및 개인정보보호 운영명세서

 

    ** 인증심사 결함사항 예시 ** (개정 23.11.23.)

 

  1. 정보보호 및 개인정보보호 대책에 대한 이행완료 결과를 정보보호 최고책임자 및 개인정보보호책임자에게 보고하지 않은 경우
  2. 위험조치 이행결과보고서는 ‘조치 완료’로 명시되어 있으나, 관련된 위험이 여전히 존재하거나 이행결과의 정확성 및 효과성이 확인되지 않은 경우
  3. 전년도 정보보호대책 이행계획에 따라 중 장기로 분류된 위험들이 해당년도에 구현이 되고 있지 않거나 이행결과를 경영진이 검토 및 확인하고 있지 않은 경우
  4. 이행계획 시행에 대한 결과를 정보보호 최고책임자 및 개인정보 보호책임자에게 보고하였으나, 일부 미이행된 건에 대한 사유 보고 및 후속 조치가 이루어지지 않은 경우 (개정 23.11.23.)
  5. 운영명세서에 작성된 운영 현황이 실제와 일치하지 않고, 운명명세서에 기록되어 있는 관련 문서, 결재 내용, 회의록 등이 존재하지 않는 경우 (개정 23.11.23.)

1.3.2. 보호대책 공유

보호대책의 실제 운영 또는 시행할 부서 및 담당자를 파악하여 관련 내용을 공유하고 교육하여 지속적으로 운영되도록 하여야 한다.

 

1. 구현된 보호대책을 운영 또는 시행할 부서 및 담당자를 명확하게 파악하고 있는가?

상세 기준

  ※ 보호대책의 운영 또는 시행 부서(예시)

    - 인프라 운영부서 : 서버 및 네트워크 장비 보안설정, 인프라 운영자 계정관리 권한관리 등

    - 개발 부서 : 개발보안, 소스코드보안, 개발환경에 대한 접근 등

    - 개인정보 취급부서 : 취급자 권한 관리(응용프로그램), 개인정보 파기, PC 저장시 암호화 등

    - 정보보호 운영부서 : 접근통제 장비 운영, 보안 모니터링 등

    - 인사부서 : 퇴직자 보안관리 등

 

2. 구현된 보호대책을 운영 또는 시행할 부서 및 담당자에게 관련 내용을 공유 또는 교육하고 있는가?

상세 기준

  - 공유 내용 : 정보보호 및 개인정보보호 정책과 시행문서의 제·개정 사항, 정보보호 및 개인정보보호 대책 이행계획 및 구현결과, 보안시스템 신규 도입 및 개선사항 등

  - 공유 대상 : 해당 정책 지침 및 보호대책을 실제 운영 또는 시행할 부서 및 담당자

  - 공유 방법 : 게시판 및 이메일 공지(간단한 이슈인 경우), 회의, 설명회, 교육 등

 

    운영 내역(증적) 예시

 

  • 정보보호 및 개인정보보호 대책별 운영 또는 시행부서 현황
  • 정보보호 및 개인정보 관리계획 내부공유 증적(공지 내역, 교육/공유 자료 등)

 

    ** 인증심사 결함사항 예시 **

 

  1. 정보보호대책을 마련하여 구현하고 있으나 관련 내용을 충분히 공유 교육하지 않아 실제 운영 또는 수행 부서 및 담당자가 해당 내용을 인지하지 못하고 있는 경우

1.3.3. 운영현황 관리

조직이 수립한 관리체계에 따라 상시적 또는 주기적으로 수행하여야 하는 운영활동 및 수행 내역은 식별 및 추적이 가능하도록 기록하여 관리하고, 경영진은 주기적으로 운영 활동의 효과성을 확인하여 관리하여야 한다.

 

1. 관리체계 운영을 위하여 일· 주· 월· 분기· 반기· 년 단위의 주기적 또는 상시적으로 수행하여야 하는 정보보호 및 개인정보보호 활동을 식별하고 그 운영현황을 쉽게 확인할 수 있도록 수행 주기 및 시점, 수행 주체(담당부서, 담당자) 등을 정의한 문서(운영현황표)를 작성하여 관리하고 있는가? (개정 23.11.23.)

상세 기준

  ※ 주기적인 정보보호 및 개인정보보호 활동(예시)

    - 주요직무자, 개인정보취급자의 접속기록 검토

    - 주요직무자의 접근권한 검토

    - 정기 정보보호 및 개인정보보호위원회 개최 

    - 정보보호 및 개인정보보호 교육

    - 사무실 보안점검

    - 정보보호 및 개인정보보호 정책· 지침 개정 검토

    - 법적 준거성 검토

    - 침해 대응 모의훈련, IT 재해복구 모의훈련

    - 내부감사 등

 

2. 경영진은 주기적으로 관리체계 운영활동의 효과성을 확인하고 문제점이 발견된 경우 이를 개선하는 등 관리하고 있는가?

상세 기준

  - 관리체계 운영활동이 운영현황표에 따라 주기적· 상시적으로 이루어지고 있는지 정기적으로 확인하여 경영진에게 보고

  - 경영진은 관리체계 운영활동의 효과성을 평가하여 필요시 개선 조치(수행주체 변경, 수행 주기 조정, 운영활동의 추가· 변경· 삭제 등)

 

    운영 내역(증적) 예시

 

  • 정보보호 및 개인정보보호 연간계획서
  • 정보보호 및 개인정보보호 운영현황표
  • 정보보호 및 개인정보보호활동 수행여부 점검 결과

 

    ** 인증심사 결함사항 예시 **

 

  1. 정보보호 및 개인정보보호 관리체계 운영현황 중 주기적 또는 상시적인 활동이 요구되는 활동 현황을 문서화하지 않은 경우
  2. 정보보호 및 개인정보보호 관리체계 운영현황에 대한 문서화는 이루어졌으나, 해당 운영현황에 대한 주기적인 검토가 이루어지지 않아 월간 및 분기별 활동이 요구되는 일부 정보보호 및 개인정보보호 활동이 누락되었고 일부는 이행 여부를 확인할 수 없는 경우