전체 글 128

ISMS-P 인증기준 [2. 보호대책 요구사항] 2.2 인적 보안(2.2.5 퇴직 및 직무변경 관리)

항목 : 2.2.5 퇴직 및 직무변경관리 ■ 인증기준 : 퇴직 및 직무변경 시 인사·정보보호·개인정보보호·IT 등 관련 부서별 이행하여야 할 자산반납, 계정 및 접근권한 회수·조정, 결과확인 등의 절차를 수립·관리하여야 한다. ■ 주요 확인사항 퇴직, 직무변경, 부서이동, 휴직 등으로 인한 인사변경 내용이 인사부서, 정보보호 및 개인정보보호 부서, 정보시스템 및 개인정보처리시스템 운영부서 간 공유되고 있는가? 직 내 인력(임직원, 임시직원, 외주용역직원 등)의 퇴직 또는 직무변경 시 지체 없는 정보자산 반납, 접근권한 회수・조정, 결과 확인 등의 절차를 수립・이행하고 있는가? ■ 관련 법규 개인정보 보호법 제29조(안전조치의무) 개인정보의 안전성 확보조치 기준 제5조(접근 권한의 관리) 개인정보의 기술적..

ISMS-P 인증기준 [2. 보호대책 요구사항] 2.2 인적 보안(2.2.4 인식제고 및 교육훈련)

항목 : 2.2.4 인식제고 및 교육훈련 ■ 인증기준 : 임직원 및 관련 외부자가 조직의 관리체계와 정책을 이해하고 직무별 전문성을 확보할 수 있도록 연간 인식제고 활동 및 교육훈련 계획을 수립·운영하고, 그 결과에 따른 효과성을 평가하여 다음 계획에 반영하여야 한다. ■ 주요 확인사항 임직원 및 관련 외부자가 조직의 관리체계와 정책을 이해하고 직무별 전문성을 확보할 수 있도록 연간 인식제고 활동 및 교육훈련 계획을 수립·운영하고, 그 결과에 따른 효과성을 평가하여 다음 계획에 반영하여야 한다. 관리체계 범위 내 모든 임직원과 외부자를 대상으로 연간 교육 계획에 따라 연 1회 이상 정기적으로 교육을 수행하고, 관련 법규 및 규정의 중대한 변경 시 이에 대한 추가교육을 수행하고 있는가? 임직원 채용 및 외..

ISMS-P 인증기준 [2. 보호대책 요구사항] 2.2 인적 보안(2.2.3 보안 서약)

항목 : 2.2.3 보안 서약 ■ 인증기준 : 정보자산을 취급하거나 접근권한이 부여된 임직원·임시직원·외부자 등이 내부 정책 및 관련 법규, 비밀유지 의무 등 준수사항을 명확히 인지할 수 있도록 업무 특성에 따른 정보보호 서약을 받아야 한다. ■ 주요 확인사항 신규 인력 채용 시 정보보호 및 개인정보보호 책임이 명시된 정보보호 및 개인정보 보호 서약서를 받고 있는가? 임시직원, 외주용역직원 등 외부자에게 정보자산에 대한 접근권한을 부여할 경우 정보보호 및 개인정보보호에 대한 책임, 비밀유지 의무 등이 명시된 서약서를 받고 있는가? 임직원 퇴직 시 별도의 비밀유지에 관련한 서약서를 받고 있는가? 정보보호, 개인정보보호 및 비밀유지 서약서는 안전하게 보관하고 필요시 쉽게 찾아볼 수 있도록 관리하고 있는가? ..

ISMS-P 인증기준 [2. 보호대책 요구사항] 2.2 인적 보안(2.2.2 직무 분리)

항목 : 2.2.2 직무 분리 ■ 인증기준 : 권한 오·남용 등으로 인한 잠재적인 피해 예방을 위하여 직무 분리 기준을 수립하고 적용하여야 한다. 다만 불가피하게 직무 분리가 어려운 경우 별도의 보완대책을 마련하여 이행하여야 한다. ■ 주요 확인사항 권한 오·남용 등으로 인한 잠재적인 피해 예방을 위하여 직무 분리 기준을 수립하여 적용하고 있는가? 직무 분리가 어려운 경우 직무자 간 상호 검토, 상위관리자 정기 모니터링 및 변경 사항 승인, 책임추적성 확보 방안 등의 보완통제를 마련하고 있는가? ■ 관련 법규(금융분야 추가확인사항) 전자금융감독규정 제26조(직무의 분리) ■ 세부 설명 ① 권한 오·남용 등으로 인한 잠재적인 피해 예방을 위하여 다음과 같이 직무 분리 기준을 수립하여 적용하여야 한다. 개발..

ISMS-P 인증기준 [2. 보호대책 요구사항] 2.2 인적 보안(2.2.1 주요 직무자 지정 및 관리)

항목 : 2.2.1 주요직무자 지정 및 관리 ■ 인증기준 : 개인정보 및 중요정보의 취급이나 주요 시스템 접근 등 주요 직무의 기준과 관리방안을 수립하고, 주요 직무자를 최소한으로 지정하여 그 목록을 최신으로 관리하여야 한다. ■ 주요 확인사항 개인정보 및 중요정보의 취급, 주요 시스템 접근 등 주요 직무의 기준을 명확히 정의하고 있는가? 주요 직무를 수행하는 임직원 및 외부자를 주요 직무자로 지정하고 그 목록을 최신으로 관리하고 있는가? 업무상 개인정보를 취급하는 자를 개인정보취급자로 지정하고 목록을 최신으로 관리하고 있는가? 업무 필요성에 따라 주요 직무자 및 개인정보취급자 지정을 최소화하는 등 관리방안을 수립·이행하고 있는가? ■ 관련 법규 개인정보 보호법 제28조(개인정보취급자에 대한 감독) 표준..

ISMS-P 인증기준 [2. 보호대책 요구사항] 2.1 정책, 조직, 자산 관리(2.1.3 정보자산 관리)

항목 : 2.1.3 정보자산 관리 ■ 인증기준 : 정보자산의 용도와 중요도에 따른 취급 절차 및 보호대책을 수립·이행하고, 자산별 책임소재를 명확히 정의하여 관리하여야 한다. ■ 주요 확인사항 정보자산의 보안등급에 따른 취급절차(생성·도입, 저장, 이용, 파기) 및 보호대책을 정의하고 이행하고 있는가? 식별된 정보자산에 대하여 책임자 및 관리자를 지정하고 있는가? ■ 관련 법규(금융분야 추가확인사항) 전자금융감독규정 제13조(전산자료 보호대책) 제1항제3호, 제14조(정보처리시스템 보호대책) 제6호, 제15조(해킹 등 방지대책) 제3항 ■ 세부 설명 ① 정보자산의 보안등급에 따른 취급절차(생성·도입, 저장, 이용, 파기 등)를 정의하고, 이에 따라 암호화, 접근통제 등 적절한 보호대책을 정의하고 이행하여..

ISMS-P 인증기준 [2. 보호대책 요구사항] 2.1 정책, 조직, 자산 관리(2.1.2 조직의 유지관리)

항목 : 2.1.2 조직의 유지관리 ■ 인증기준 : 조직의 각 구성원에게 정보보호와 개인정보보호 관련 역할 및 책임을 할당하고, 그 활동을 평가할 수 있는 체계와 조직 및 조직의 구성원 간 상호 의사소통할 수 있는 체계를 수립하여 운영하여야 한다. ■ 주요 확인사항 정보보호 및 개인정보보호 관련 책임자와 담당자의 역할 및 책임을 명확히 정의하고 있는가? 정보보호 및 개인정보보호 관련 책임자와 담당자의 활동을 평가할 수 있는 체계를 수립하고 있는가? 정보보호 및 개인정보보호 관련 조직 및 조직의 구성원 간 상호 의사소통할 수 있는 체계 및 절차를 수립·이행하고 있는가? ■ 관련 법규 개인정보 보호법 제29조(안전조치의무), 제31조(개인정보 보호책임자의 지정) 정보통신망법 제45조의3(정보보호 최고책임자의..

ISMS-P 인증기준 [2. 보호대책 요구사항] 2.1 정책, 조직, 자산 관리(2.1.1 정책의 유지관리)

항목 : 2.1.1 정책의 유지관리 ■ 인증기준 : 정보보호 및 개인정보보호 관련 정책과 시행문서는 법령 및 규제, 상위 조직 및 관련 기관 정책과의 연계성, 조직의 대내외 환경변화 등에 따라 주기적으로 검토하여 필요한 경우 제·개정하고 그 내역을 이력관리하여야 한다. ■ 주요 확인사항 정보보호 및 개인정보보호 관련 정책 및 시행문서에 대한 정기적인 타당성 검토 절차를 수립·이행하고 있는가? 조직의 대내외 환경에 중대한 변화 발생 시 정보보호 및 개인정보보호 관련 정책 및 시행문서에 미치는 영향을 검토하고 필요시 제·개정하고 있는가? 정보보호 및 개인정보보호 관련 정책 및 시행문서의 제·개정 시 이해 관계자의 검토를 받고 있는가? 정보보호 및 개인정보보호 관련 정책 및 시행문서의 제·개정 내역에 대하여 ..

ISMS-P 인증기준 [1. 관리체계 수립 및 운영] 1.4 관리체계 점검 및 개선(1.4.3 관리체계 개선)

항목 : 1.4.3 관리체계 개선 ■ 인증기준 : 법적 요구사항 준수검토 및 관리체계 점검을 통하여 식별된 관리체계상의 문제점에 대한 원인을 분석하고 재발방지 대책을 수립·이행하여야 하며, 경영진은 개선 결과의 정확성과 효과성 여부를 확인하여야 한다. ■ 주요 확인사항 법적 요구사항 준수검토 및 관리체계 점검을 통하여 식별된 관리체계상의 문제점에 대한 근본 원인을 분석하여 재발방지 및 개선 대책을 수립·이행하고 있는가? 재발방지 및 개선 결과의 정확성 및 효과성 여부를 확인하기 위한 기준과 절차를 마련하고 있는가? ■ 관련 법규 개인정보 보호법 제29조(안전조치의무) 개인정보의 안전성 확보조치 기준 제4조(내부관리계획의 수립·시행) 개인정보의 기술적·관리적 보호조치 기준 제3조(내부관리계획의 수립·시행)..

ISMS-P 인증기준 [1. 관리체계 수립 및 운영] 1.4 관리체계 점검 및 개선(1.4.2 관리체계 점검)

항목 : 1.4.2 관리체계 점검 ■ 인증기준 : 관리체계가 내부 정책 및 법적 요구사항에 따라 효과적으로 운영되고 있는지 독립성과 전문성이 확보된 인력을 구성하여 연 1회 이상 점검하고, 발견된 문제점을 경영진에게 보고하여야 한다. ■ 주요 확인사항 법적 요구사항 및 수립된 정책에 따라 정보보호 및 개인정보보호 관리체계가 효과적으로 운영되는지를 점검하기 위한 관리체계 점검기준, 범위, 주기, 점검인력 자격요건 등을 포함한 관리체계 점검 계획을 수립하고 있는가? 관리체계 점검 계획에 따라 독립성, 객관성 및 전문성이 확보된 인력을 구성하여 연 1회 이상 점검을 수행하고 발견된 문제점을 경영진에게 보고하고 있는가? ■ 관련 법규 개인정보 보호법 제29조(안전조치의무) 개인정보의 안전성 확보조치 기준 제4조..