securityse lab

ㅇ 정책은 정보보호 활동을 규정한 상위 정보보호정책과 상위 정책 시행을 위한 문서(지침, 절차, 매뉴얼 등)로 구분하여 제정할 수 있다. 

ㅇ 문서의 제 ∙ 개정 시에는 이해 관련자의 검토(협의 및 조정 등)를 통해 조직 내에서 실제 수행하고 있는 정보보호 활동이 내용에 반영될 수 있도록 하여야 한다.

- 또한, 실무협의회를 운영하고 있는 경우 이 협의회를 통해 검토할 수 있다.

ㅇ 이해관련자는 상위정책과 정책시행 문서의 시행주체가 되는 부서 및 담당자(정보보호부서, 정보시스템 운영 및 개발 부서, 현업부서)를 의미한다. 

 ㅇ 정보보호 활동에 대한 최고경영자 등 경영진의 참여와 지원을 보장하기 위하여 상위 수준의 정보보호정책은 최종적으로 최고경영자의 승인을 받아야 한다. 

 ㅇ 정책시행을 위하여 필요한 세부 방법, 절차, 주기 등을 규정한 정보보호 지침, 절차, 매뉴얼의 제 ∙ 개정 시 최고경영자의 위임 규정에 따라 정보보호 최고책임자 등의 승인을 받아야 한다.

 ㅇ 정보보호정책 및 정책시행 문서의 제 ∙ 개정 시 그 내용과 시행사실을 관련 임직원이 알 수 있도록 공표(교육, 메일, 게시판 등 활용)하여야 한다.

ㅇ 정보보호정책 및 정책시행 문서를 관련 임직원이 용이하게 참고할 수 있는 형태(예 : 전자게시판, 책자, 교육 자료 등)로 전달하여야 하며 최신 정책 및 정책시행 문서를 언제든지 확인할 수 있도록 하여야 한다.

 ㅇ 정보보호정책이 상위조직 및 관련 기관 정보보호정책과의 연계성이 있는 지 분석하여 내용상 상호 부합되지 않은 요소가 있는 지 확인하고 정책간 상하체계가 적절한 지 여부를 검토하여야 한다. (예 : 자회사의 경우 본사 정책과의 연계성 검토 등)

ㅇ 다음과 같은 상황이 발생한 경우를 포함하여 주기적으로 정보보호정책 및 정책시행 문서의 타당성을 검토하여 제 ∙ 개정을 통해 관련 문서에 반영하여야 한다.

- 내부감사 수행 결과

- 중대한 보안사고 발생

- 개인정보 및 정보보호 관련 법령 제 ∙ 개정

- 새로운 위협 또는 취약점 발견

- 정보보호 환경의 중대한 변화

- 조직 사업 환경의 변화 (예 : 신규 사업)

- 정보시스템 환경의 중대한 변화 (예 : 차세대 시스템 구축)

ㅇ 보안점검, 내부감사 결과 분석 등을 통해 정책, 정책시행 문서에서 규정하고 있는 정보보호 활동의 주기, 방법 등이 적절한 지 정기적으로 검토하여야 하며 필요한 경우 제 ∙ 개정을 통해 문서에 반영하여야 한다.

 ㅇ 다음과 같은 상황이 발생한 경우 정보보호정책 및 정책시행 문서에 미치는 영향을 분석하고 필요 시 문서에 반영하여야 한다.

- 중대한 보안사고 발생

- 정보보호 및 개인정보 관련 법률 제 ∙ 개정

- 새로운 위협 또는 취약성의 발견

- 비즈니스 환경의 변화 (신규 사업 영역 진출 등)

- 정보보호 및 IT 환경의 중대한 변화 등

ㅇ 정보보호정책 및 정책시행 문서의 제정, 개정, 폐기 시 이력(일자, 내용, 작성자, 승인자 등)을 확인할 수 있는 관리절차를 수립하고 이행하여야 한다.

- 제 ∙ 개정으로 인한 문서의 효력 발생일은 일반적으로 최고경영자 혹은 정보보호책임자의 승인일 혹은 공표일로 하여야 한다. 

 정보보호정책 및 정책시행 문서는 최신본으로 유지하여야 한다.

 ㅇ 정보보호 활동 수행 과정에서 생성된 각종 양식, 대장, 로그, 결재문서 등 운영기록의 보관방법, 보호대책, 유지기간, 접근통제 등 관리절차를 마련하여야 한다. 

ㅇ 운영기록 확인을 통해 관련 활동의 정상적인 이행 여부를 확인할 수 있어야 하며 정보보호 관리체계 인증기준(104개)의 이행 확인이 가능하도록 운영기록(증적)을 확보하고 있어야 한다.

ㅇ 정보보호 관리체계 구축 및 운영에 있어서 조직이 준수해야 하는 법령의 관련 조항, 세부 내용을 파악하고 준수여부를 주기적으로 검토할 수 있는 절차를 수립하여야 한다.

(관리과정 1.1 정보보호정책의 수립, 3.2 위험 식별 및 평가 참고)

※ 참고 ※

- 정보통신망 이용촉진 및 정보보호 등에 관한 법률

- 전자금융거래법

- 개인정보보호법

- 부정경쟁방지 및 영업비밀보호에 관한 법률 등

ㅇ 관련 법규의 제 ∙ 개정 현황을 최소 연 1회 이상 검토하여 조직에 미치는 영향을 분석하고 조직의 정책 및 절차에 바로 반영하여 법규 미준수로 인한 과태료 부과 등과 같은 상황이 발생하지 않도록 대응하여야 한다.

ㅇ 조직이 준수해야 할 법규가 존재하는 경우 법적 요구사항을 명시한 문서(지침 등), 해당 법규 준거성을 점검하기 위한 체크리스트는 최신 법규 사항을 반영하고 있어야 한다.

ㅇ 조직 내 정책, 지침, 절차 등에 규정화 되어 있는 정보보호 관리체계 운영활동을 식별하고 그 운영현황을 확인할 수 있도록 수행 주기, 수행 주체(담당부서, 담당자)를 정의한 문서(운영현황표)를 관리하고 최신성을 유지하여야 한다.

ㅇ 법적 요구사항 및 조직 내 수립된 정보보호정책에 따라 정보보호 관리체계 활동이 효과적으로 수행되는 지 여부를 검토하기 위하여 다음과 같은 항목이 정의된 내부감사 지침을 수립하여야 한다.

- 내부감사 기준

- 내부감사 범위

- 내부감사 수행 주기 (예 : 연 1회 이상)

- 감사인력 자격요건 : 감사의 객관성을 확보하기 위해 제3자가 감사를 수행하는 것이 원칙임. 다만, 불가피한 경우 제3자 인력을 포함하여 정보보호조직이 감사를 수행할 수 있음 

ㅇ 내부감사 지침에 따라 연 1회 이상 감사가 수행될 수 있도록 연간 계획을 수립한 후 정보보호 최고책임자 등 경영진에게 보고하여 승인을 득한 후 계획에 따라 내부감사를 수행하여야 한다.

ㅇ 내부감사 중 지적사항이 발견된 경우 일정 기간 동안 피감사 부서 혹은 담당자가 대책을 마련하여 보완하게끔 한 후 보완조치여부를 확인하여야 한다.

ㅇ 감사결과 보고서에 다음과 같은 내용을 작성하여 정보보호 최고책임자 등 경영진 등에게 보고하여야 한다.

- 일정 및 범위

- 감사 내용 (감사 방법, 검토 문서, 면담자 등)

- 지적사항 및 보완조치 내용 (보완조치 완료 여부, 대책 등 포함) 등