항목 : 2.12.1 재해·재난 대비 안전조치
■ 인증기준 : 자연재해, 통신·전력 장애, 해킹 등 조직의 핵심 서비스 및 시스템의 운영 연속성을 위협할 수 있는 재해 유형을 식별하고, 유형별 예상 피해규모 및 영향을 분석하여야 한다. 또한 복구 목표시간, 복구 목표시점을 정의하고 복구 전략 및 대책, 비상시 복구 조직, 비상연락체계, 복구 절차 등 재해 복구체계를 구축하여야 한다.
■ 주요 확인사항
- 조직의 핵심 서비스(업무) 연속성을 위협할 수 있는 IT 재해 유형을 식별하고, 유형별 피해규모 및 업무에 미치는 영향을 분석하여 핵심 IT 서비스(업무) 및 시스템을 식별하고 있는가?
- 핵심 IT 서비스 및 시스템의 중요도 및 특성에 따른 복구 목표시간, 복구 목표시점을 정의하고 있는가?
- 재해·재난 발생 시에도 핵심 서비스 및 시스템의 연속성을 보장할 수 있도록 복구 전략 및 대책, 비상시 복구 조직, 비상연락체계, 복구 절차 등 재해 복구 계획을 수립· 이행하고 있는가?
금융분야 추가확인사항
- 중요 정보시스템에 대하여 이중화 또는 예비장치를 확보하고 있는가?
- 시스템 오류, 자연재해 등으로 인한 전산센터 마비에 대비하여 재해복구센터를 핵심업무 수행이 가능한 상태로 유지하고 있는가?
■ 관련 법규
- 개인정보 보호법 제29조(안전조치의무)
- 개인정보의 안전성 확보조치 기준 제12조(재해·재난 대비 안전조치)
금융분야 추가확인사항
- 전자금융감독규정 제23조(비상대책 등의 수립･운용) 제7항, 제8항, 제9항
- 전자금융감독규정 제23조(비상대책 등의 수립･운용) 제1항, 제2항, 제3항, 제4항, 제5항, 제6항
■ 세부 설명
① 조직의 핵심 서비스(업무) 연속성을 위협할 수 있는 IT 재해 유형을 식별하고, 유형별 피해규모 및 업무에 미치는 영향을 분석하여 핵심 IT 서비스(업무) 및 시스템을 식별하여야 한다.
- 자연재해, 해킹, 통신장애 등 조직의 핵심 서비스(업무) 연속성을 위협할 수 있는 IT 재해 유형 식별
- 다음 사항을 고려하여 재해 유형별 조직의 핵심 서비스(업무) 중단 시 피해규모 및 영향을 분석하여 핵심 IT 서비스 및 시스템을 식별
- 매출감소, 계약위약금 지급 등 재무적 측면
- 손해배상 소송 등 법적 측면
- 대외 이미지 하락, 경쟁력 손상 등 정성적 측면
금융분야 추가확인사항
② 금융회사 또는 전자금융업자의 경우 중앙처리장치, 데이터저장장치 등 주요 전산장비에 대하여 이중화 또는 예비장치를 확보하여야 한다.
③ 금융회사는 시스템 오류, 자연재해 등으로 인한 전산센터 마비에 대비하여 업무지속성을 확보할 수 있도록 적정 규모･인력을 구비한 재해복구센터를 주전산센터와 일정거리 이상 떨어진 안전한 장소에 구축･운용하여야 한다.
- 재해복구센터를 구축해야 하는 금융회사 범위는 「전자금융감독규정」 제23조 제8항의 각 호 참고
④ 핵심 IT 서비스 및 시스템의 중요도 및 특성에 따른 복구 목표시간, 복구 목표시점을 정의하여야 한다.
- IT 서비스 및 시스템 중단시점부터 복구되어 정상가동될 때까지의 복구 목표시간(RTO : Recovery Time Objective)과 데이터가 복구되어야 하는 복구 목표시점(RPO : Recovery Point Objective)을 정의
금융회사 추가확인사항
- 금융회사의 경우 업무별로 업무지속성 확보의 중요도를 분석하여 핵심업무를 선정하여야 하며, 업무별 복구 목표시간 선정
- 핵심업무의 복구 목표시간을 3 시간 이내로 하되, 보험회사의 핵심업무의 경우에는 24시간 이내 설정
⑤ 재해·재난 발생 시에도 핵심 서비스 및 시스템의 연속성을 보장할 수 있도록 복구 전략 및 대책, 비상시 복구 조직, 비상연락체계, 복구 절차 등 재해 복구 계획을 수립·이행하여야 한다.
- IT 재해 발생 시 사전 정의한 서비스 및 시스템 복구 목표시간 및 복구 목표시점을 달성할 수 있도록 비용효과적인 복구전략 및 대책 수립
- IT 재해 발생 시 신속한 복구가 가능하도록 다음 내용을 포함한 IT 재해 복구 체계 구축
- 재해 시 복구조직 및 역할 정의 : IT 재해 발생 시 복구를 위한 관련부서 및 담당자 역할과 책임 부여
- 비상연락체계 : 조직 내 관련 부서 담당자, 유지보수 업체 등 복구 조직상 연락체계 구축
- 복구 전략 및 대책 수립방법론 : 업무영향분석, 복구 목표시간 및 복구 목표시점 정의, 핵심 IT 서비스 및 시스템 식별 등
- 복구 순서 정의 : 복구 목표 시간별로 정보시스템의 복구 순서 정의
- 복구 절차 : 재해 발생, 복구 완료, 사후관리 단계 포함
- 개인정보처리자의 경우 화재, 홍수, 단전 등의 재해·재난 발생 시 개인정보처리시스템 보호를 위한 위기대응 매뉴얼 등 대응절차를 마련하고 정기적으로 점검하여야 함(개인정보의 안전성 확보조치 기준 제12조).
금융분야 추가확인사항
⑥ 금융회사 또는 전자금융업자의 경우 장애･재해･파업･테러 등 긴급한 상황이 발생하더라도 업무가 중단되지 않도록 다음의 내용을 포함한 "업무지속성 확보방안"을 수립하고 최고경영자의 승인을 득하여야 한다.
- 상황별 대응절차
- 백업 또는 재해복구센터를 활용한 재해복구계획
- 비상대응조직의 구성 및 운용
- 입력대행, 수작업 등의 조건 및 절차
- 모의훈련의 실시
- 유관기관 및 관련업체와의 비상연락체계 구축
- 보고 및 대외통보의 범위와 절차 등
- 「업무지속성 확보방안」에 따른 업무지속성 확보대책에는 비상사태에 대비한 다음의 「안전 대책」이 반영되어야 함
- 파업 시 핵심전산업무 비상지원인력 확보･운영
- 비상사태 발생 시 정보처리시스템 운영 비상지원인력 또는 외부 전문업체 활용 방안 수립･운영
- 비상지원인력의 업무운용이 가능하도록 전산시스템 운영지침서, 사용자매뉴얼 등 작성 및 최신상태 유지
- 핵심전산업무 비상지원인력에 대한 연수 실시
- 「업무지속성 확보대책」은 ‘위기대응행동매뉴얼’ 또는 ‘비상대책’에 반영하여야 한다.
- 위기대응행동매뉴얼 : 「국가위기관리지침」에 따라 금융위원회가 지정한 금융회사는 금융 위원회의 「금융전산분야 위기대응실무매뉴얼」에 따라 수립
- 비상대책 : 금융위원회가 별도로 지정하지 아니한 금융회사 및 전자금융업자가 자연재해, 인적 재해, 기술적 재해, 전 자적 침해 등으로 인한 전산시스템의 마비 방지와 신속한 복구를 위해 수립
■ 증적예시
- IT 재해 복구 지침·절차
- IT 재해 복구 계획(RTO, RPO 정의 포함)
- 비상연락망
- 개인정보처리시스템 위기대응 매뉴얼
■ 결함사례
- IT 재해 복구 절차서 내에 IT 재해 복구 조직 및 역할 정의, 비상연락체계, 복구 절차 및 방법 등 중요한 내용이 누락되어 있는 경우
- 비상사태 발생 시 정보시스템의 연속성 확보 및 피해 최소화를 위하여 백업센터를 구축하여 운영하고 있으나, 관련 정책에 백업센터를 활용한 재해 복구 절차 등이 수립되어 있지 않아 재해 복구 시험 및 복구가 효과적으로 진행되기 어려운 경우
- 서비스 운영과 관련된 일부 중요 시스템에 대한 복구 목표시간이 정의되어 있지 않으며, 이에 대한 적절한 복구 대책을 마련하고 있지 않은 경우
- 재해 복구 관련 지침서 등에 IT 서비스 또는 시스템에 대한 복구 우선순위, 복구 목표시간, 복구 목표시점 등이 정의되어 있지 않은 경우 사례 5 : 현실적 대책 없이 복구 목표시간을 과도 또는 과소하게 설정하고 있거나, 복구 목표시점과 백업정책(대상, 주기 등)이 적절히 연계되지 않아 복구 효과성을 보장할 수 없는 경우
출처 : ISMS-P 인증기준 안내서 (2022.04)
금융권에 적합한 ISMS-P 인증 점검항목(2022.09)
_그사람