공부

1.3.1 보호대책 구현 인증기준: 선정한 보호대책은 이행계획에 따라 효과적으로 구현하고, 경영진은 이행결과의 정확성과 효과성 여부를 확인하여야 한다. 결함사레 #1 ISMS-P 대책에 대한 이행완료 결과를 정보보호 최고책임자 및 개인정보 보호책임자에게 보고하지 않은 경우가 있다. '잊지말자 불조심'처럼 계속 외쳐야 한다. '잊지말자 경영진의 실질적 참여' 결함사레 #2 위험조치 이행결과보고서는 ʻ조치 완료ʼ로 명시되어 있으나, 관련된 위험이 여전히 존재하거나 이행결과의 정확성 및 효과성이 확인되지 않은 경우가 있다. 이거는 사실 놓치는 것에 고개가 끄덕여지는 사례는 아닌 것 같다. 안일함의 결과가 맞을 가능성이 크다. 그런데 결국 세부적으로 보면 다 드러나기 마련이다. ISMS-P 시험과 업무에 대해서..

1.2.1 정보자산 식별 인증기준: 조직의 업무특성에 따라 정보자산 분류기준을 수립하여 관리체계 범위 내 모든 정보자산을 식별·분류하고, 중요도를 산정한 후 그 목록을 최신으로 관리하여야 한다. 결함사례 #1 ISMS-P 관리체계 범위 내의 자산 목록에서 중요정보 취급자 및 개인정보 취급자 PC를 통제하는 데 사용되는 출력물 보안, 문서암호화, USB매체제어 등의 내부정보 유출통제 시스템이 누락된 경우가 있다. 자산을 식별한다는 것은 언제나 힘든 일이다. 자산이라는 게 세부적으로 들어가면 종류가 워낙 많기에 놓칠 수도 있을 것이다. 따라서 자산을 구분해서 문서화하는 것이 중요하다고 생각한다. 그러면 실수 없이 놓치지 않고 관리할 수 있을 것이다. 결함사레 #2 ISMS-P 관리체계 범위 내에서 제3자로부..

당분간 ISMS-P에 대해 깊게 파고들면서 결함사례에 대한 고찰을 해보고자 한다. 인증기준이 무엇이고, 확인 사항은 어찌 되며, 세부적인 내용은 어떻고, 그에 대한 증거자료는 무엇인지, 이에 대한 학습은 작년에도 한 바가 있는데, 결함사례에 대해서는 슥 보고만 넘어가고 생각해 보며 공부한 적이 없는 것 같다. 이에 따라 결함사례에 대해 제대로 알아보고자 한다. 1.1.1 경영진의 참여 인증기준: 최고경영자는 정보보호 및 개인정보보호 관리체계의 수립과 운영활동 전반에 경영진의 참여가 이루어질 수 있도록 보고 및 의사결정 체계를 수립하여 운영하여야 한다. 결함사례 #1 (개인)정보보호 정책서에 분기별로 현황에 대해 경영진에게 보고하도록 명시하는 것이 철칙이다. 그러나 장기간 그것을 수행하지 않은 경우가 있겠..

1. ISMS-P의 개념 개인정보보호 관리체계(ISMS-P)는 개인정보 관리체계(PIMS) 인증과 정보보호 관리체계(ISMS) 인증을 하나로 합한 통합 인증제도이다. 정보보호 및 개인정보보호를 위한 일련의 조치와 활동이 인증기준에 적합함을 인터넷진흥원 또는 인증기관이 증명하는 제도라 할 수 있다. ISMS-P가 등장했다고 해서 기존의 것들이 모두 사라진 것은 아니다. ISMS-P는 2단계 인증으로 구성된다. 1단계는 기존 ISMS 인증대상 기업이 수행해야 하는 것인 ISMS 인증이다. 그리고 2단계가 ISMS 인증을 받은 기업 중에서 개인정보 부분에 대해서 추가적인 통제항목을 이행하면 받을 수 있는 인증인 ISMS-P 인증인 것이다. ISMS-P 인증범위는 정보서비스의 운영 및 보호에 필요한 조직, 물리..