ISO27001:2022 6. 인적 통제항목에 대한 질문과 증적 예시

📑 ISO/IEC 27001:2022 Annex A.6 (인적 통제) 체크리스트


---

A.6.1 채용 전 검증 (Screening)

질문: A.6.1 – 신규 채용 시 배경조사 및 검증 절차가 수행되는가?

주요 증적: 채용 검증 기록, 신원조회 보고서, 인사 규정


A.6.2 고용 조건 (Terms and conditions of employment)

질문: A.6.2 – 직원들은 고용 계약 또는 정책을 통해 보안 책임을 인지하고 있는가?

주요 증적: 근로계약서 내 보안 조항, 보안 서약서, 인사정책 문서


A.6.3 정보보안 인식·교육·훈련 (Awareness, education and training)

질문: A.6.3 – 임직원은 정기적으로 정보보안 교육을 받고 있는가?

주요 증적: 연간 교육계획표, 교육 참석자 명단, 교육 수료증


A.6.4 징계 절차 (Disciplinary process)

질문: A.6.4 – 정보보안 위반 행위에 대해 공식적인 징계 절차가 존재하는가?

주요 증적: 징계 규정 문서, 징계 기록, 위반 사례 보고서


A.6.5 퇴직 및 직무 변경 (Termination or change of employment responsibilities)

질문: A.6.5 – 퇴직 또는 직무 변경 시 권한 회수와 인수인계 절차가 수행되는가?

주요 증적: 퇴직 체크리스트, 계정 비활성화 기록, 자산 반납 확인서


A.6.6 비밀 유지 및 기밀 의무 (Confidentiality or non-disclosure agreements)

질문: A.6.6 – 직원과 계약자들은 비밀유지 서약서(NDA)를 제출하는가?

주요 증적: NDA 문서, 서약서 보관 기록, 계약서 내 기밀조항


A.6.7 원격 근무 (Remote working)

질문: A.6.7 – 원격 근무 시 보안 요구사항과 통제가 적용되는가?

주요 증적: 원격근무 정책 문서, VPN 접속 로그, 보안 지침 메일

A.6.8 Information security event reporting

• 질문(체크리스트)
  • 직원들은 정보보안 이벤트(이상 징후, 보안 위협)를 즉시 보고할 수 있는 절차를 알고 있는가?
  • 조직은 보안 이벤트 보고 채널(담당자, 시스템)을 제공하고 있는가?
• 주요 증적(Evidence)
  • 보안 이벤트 보고 절차 문서
  • 사고/이벤트 보고 양식 및 포털 화면
  • 보고된 이벤트 기록(티켓, 로그, 이메일 등)
  • 임직원 대상 보안 이벤트 보고 교육 자료

-