| 2.1.1 | 정책의 유지관리 | 정보보호 및 개인정보보호 관련 정책과 시행문서는 법령 및 규제, 상위 조직 및 관련 기관 정책과의 연계성, 조직의 대내외 환경변화 등에 따라 주기적으로 검토하여 필요한 경우 제∙개정하고 그 내역을 이력관리하여야 한다. |
| 2.1.2 | 조직의 유지관리 | 조직의 각 구성원에게 정보보호와 개인정보보호 관련 역할 및 책임을 할당하고, 그 활동을 평가할 수 있는 체계와 조직 및 조직의 구성원 간 상호 의사소통할 수 있는 체계를 수립하여 운영하여야 한다. |
| 2.1.3 | 정보자산 관리 | 정보자산의 용도와 중요도에 따른 취급 절차 및 보호대책을 수립·이행하고, 자산별 책임소재를 명확히 정의하여 관리하여야 한다. |
2.1.1 정책의 유지관리
사례 1 : 지침서와 절차서 간 패스워드 설정 규칙에 일관성이 없는 경우
사례 2 : 정보보호 활동(정보보호 교육, 암호화, 백업 등)의 대상, 주기, 수준, 방법 등이 관련 내부 규정, 지침, 절차에 서로 다르게 명시되어 일관성이 없는 경우
사례 3 : 데이터베이스에 대한 접근 및 작업이력을 효과적으로 기록 및 관리하기 위해 DB 접근통제 솔루션을 신규로 도입하여 운영하고 있으나 보안시스템 보안 관리지침 및 데이터베이스 보 안 관리지침 등 내부 보안지침에 접근통제, 작업이력, 로깅, 검토 등에 관한 사항이 반영되어 있지 않은 경우
사례 4 : 개인정보보호 정책이 개정 되었으나 정책 시행 기준일이 명시되어 있지 않으며, 관련 정책의 작성일자, 작성자 및 승인자 등이 누락되어 있는 경우
사례 5 : 개인정보 보호 관련 법령, 고시 등에 중대한 변경사항이 발생하였으나 이러한 변경이 개인 정보보호 정책 및 시행문서에 미치는 영향을 검토하지 않았거나 변경사항을 반영하여 개정 하지 않은 경우
2.1.2 조직의 유지관리
- 책임자와 담당자의 역할 및 책임을 시행문서에 구체적으로 정의
- 정보보호 최고책임자와 개인정보 보호책임자 역할
| 정보보호 최고책임자 | 개인정보 보호책임자 |
| 정보보호 관리체계의 수립 및 관리 ․ 운영 정보보호 취약점 분석 ․ 평가 및 개선 침해사고의 예방 및 대응 사전 정보보호대책 마련 및 보안조치 설계 ․ 구 현 등 정보보호 사전 보안성 검토 중요 정보의 암호화 및 보안서버 적합성 검토 그 밖에 정보통신망법 또는 관계 법령에 따라 정보보호를 위하여 필요한 조치의 이행 |
개인정보 보호 계획의 수립 및 시행 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선 개인정보 처리와 관련한 불만의 처리 및 피해 구제 개인정보 유출 및 오용 ․ 남용 방지를 위한 내부 통제시스템의 구축 개인정보 보호 교육 계획의 수립 및 시행 개인정보파일의 보호 및 관리 ․ 감독 개인정보 처리방침의 수립 ․ 변경 및 시행 개인정보 보호 계획의 수립 및 시행 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선 개인정보 처리와 관련한 불만의 처리 및 피해 구제 개인정보 유출 및 오용 ․ 남용 방지를 위한 내부 통제시스템의 구축 개인정보 보호 교육 계획의 수립 및 시행 개인정보파일의 보호 및 관리 ․ 감독 개인정보 처리방침의 수립 ․ 변경 및 시행 |
사례 1 : 내부 지침 및 직무기술서에 정보보호 최고책임자, 개인정보 보호책임자 및 관련 담당자의 역할과 책임을 정의하고 있으나 실제 운영현황과 일치하지 않는 경우
사례 2 : 정보보호 최고책임자 및 관련 담당자의 활동을 주기적으로 평가할 수 있는 목표, 기준, 지 표 등의 체계가 마련되어 있지 않은 경우
사례 3 : 내부 지침에는 부서별 정보보호 담당자는 정보보호와 관련된 KPI를 설정하여 인사평가시 반영하도록 되어 있으나, 부서별 정보보호 담당자의 KPI에 정보보호와 관련된 사항이 전혀 반영되어 있지 않은 경우
사례 4 : 정보보호 최고책임자 및 개인정보 보호책임자가 지정되어 있으나, 관련 법령에서 요구하는 역할 및 책임이 내부 지침이나 직무기술서 등에 구체적으로 명시되어 있지 않은 경우
2.1.3 정보자산 관리
사례 1 : 내부 지침에 따라 문서에 보안등급을 표기하도록 되어 있으나, 이를 표시하지 않은 경우
사례 2 : 정보자산별 담당자 및 책임자를 식별하지 않았거나, 자산목록 현행화가 미흡하여 퇴직, 전보 등 인사이동이 발생하여 주요 정보자산의 담당자 및 책임자가 변경되었음에도 이를 식별하지 않은 경우
사례 3 : 식별된 정보자산에 대한 중요도 평가를 실시하여 보안등급을 부여하고 정보 자산목록에 기록하고 있으나 보안등급에 따른 취급절차를 정의하지 않은 경우
'자격증 > ISMS-P 인증심사원' 카테고리의 다른 글
| 2.3 외부자 보안 (0) | 2021.05.14 |
|---|---|
| 2.2 인적 보안 (0) | 2021.05.14 |
| 1.4 관리체계 점검 및 개선 (0) | 2021.05.14 |
| 1.3 관리체계 운영 (0) | 2021.05.14 |
| 1.2 위험 관리 (0) | 2021.05.14 |