ISMS-P / 1.1 관리체계 기반 마련 / 1.1.3 조직 구성

안녕하세요 IT몽상가 입니다.

ISMS와 ISMS-P 인증 심사 점검 항목 중 세번째 항목인데요.

조직 구성으로 정보보호를 위한 전문 조직을 구성하고 있는지 확인하는 항목 입니다.

해당 항목의 기준, 주요 확인 사항, 세부 내용, 증적 자료 그리고 결함 사례와 개선 방안까지 알아보도록 하겠습니다.

– 조직 구성

• 인증기준

최고경영자는 정보보호와 개인정보보호의 효과적 구현을 위한 실무조직, 조직 전반의 정보보호와 개인정보보호 관련 주요 사항을 검토 및 의결할 수 있는 위원회, 전사적보호활동을 위한 부서별 정보보호와 개인정보보호 담당자로 구성된 협의체를 구성하여 운영하여야 한다.

• 주요 확인사항

• 관련 법규

– 개인정보 보호법 제29조(안전조치의무) :

개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손되지 아니하도록 내부 관리계획 수립, 접속기록 보관 등 대통령령으로 정하는 바에 따라 안전성 확보에 필요한 기술적ㆍ관리적 및 물리적 조치를 하여야 한다.

– 개인정보의 안전성 확보조치 기준 제4조(내부 관리계획의 수립·시행 및 점검) :

② 개인정보처리자는 다음 각 호의 사항을 정하여 개인정보 보호책임자 및 개인정보취급자를 대상으로 사업규모, 개인정보 보유 수, 업무성격 등에 따라 차등화하여 필요한 교육을 정기적으로 실시하여야 한다.

1. 교육목적 및 대상
2. 교육 내용
3. 교육 일정 및 방법

③ 개인정보처리자는 제1항 각 호의 사항에 중요한 변경이 있는 경우에는 이를 즉시 반영하여 내부 관리계획을 수정하여 시행하고, 그 수정 이력을 관리하여야 한다.

④ 개인정보 보호책임자는 접근 권한 관리, 접속기록 보관 및 점검, 암호화 조치 등 내부 관리계획의 이행 실태를 연1회 이상 점검ㆍ관리 하여야 한다.

– 조직 구성 세부 설명

1. 조직의 규모, 업무 중요도 등의 특성을 고려하여 정보보호 및 개인정보보호 관리체계를 구축하고 지속적으로 운영하기 위하여 필요한 조직 구성의 근거를 정보보호 및 개인정보보호 정책서 등에 명시하고, 전문성을 갖춘 실무조직을 구성하여 운영하여야 한다.

• 정보보호 최고책임자, 개인정보 보호책임자, 개인정보보호 실무조직, 위원회 등 정보보호 및 개인정보보호 조직의 구성·운영에 대한 사항을 정책서, 내부 관리계획 등에 명시
• 실무조직의 구성형태 및 규모는 전사 조직의 규모, 업무, 서비스의 특성, 처리하는 정보 및 개인정보의 중요도, 민감도, 법 규제 등 고려
• 실무조직은 전담조직 또는 겸임조직으로 구성할 수 있으나, 겸임조직으로 구성하더라도 실질적인 역할 수행이 가능하도록 역할 및 책임이 공식적으로 부여되어야 함
• 실무조직의 구성원은 정보보호 및 개인정보보호 전문성과 다양한 서비스에 대한 이해도와 경험이 많은 직원으로 구성(관련 학위 및 자격증 보유, 실무 경험 보유, 관련 교육 이수 등)

-> 우선 해당 조직에 대하여 정책서에 명시되어 있어야 하는데요. 조직은 구성되어 있으나 정책서에 문서화 되어 있지 않은 경우 문제가 될 수 있는 부분입니다.

또한 구성된 조직은 겸임은 가능하나 업무상 정보보안에 업무가 상대적으로 많아야 하며, 가능하면 전문 조직이 좋습니다. 하지만 그렇지 못하는 경우에는 업무 만이라도 정보보안 업무에 전담으로 관리하는 인력이 있어야 합니다.

2. 조직 전반에 걸친 중요한 정보보호 및 개인정보보호 관련사항에 대하여 검토, 승인 및 의사결정을 할 수 있는 위원회를 구성하여 운영하여야 한다.

• 위원회는 정보보호 및 개인정보보호 관련하여 조직 내 이해관계를 대변하고 의사결정을 할 수 있도록 경영진, 임원, 정보보호 최고책임자, 개인정보 보호책임자 등 실질적인 검토 및 의사결정 권한이 있는 임직원으로 구성
• 정기 또는 사안에 따라 수시로 위원회 개최
• 위원회는 조직 전반에 걸친 주요 사안에 대한 검토, 승인 및 의사결정 수행

->정보보호 위원회 구성 및 운영입니다. 반드시 정보보호위원회라는 명칭을 꼭 사용할 필요는 없습니다. 하지만 동일한 업무를 진행하고 있는 위원회는 반드시 필요하며, 해당 위원회는 의사결정 권한이 있어야 하기에 회사 전반적으로 상위 직급으로 구성하여야합니다.

필수적으로 정보보호 및 개인정보보호 최고책임자가 포함되어 있어야 하며, 앞서 이야기 했던 것 처럼 의사결정권을 가지고 있는 임직원으로 구성하고, 연 최소 1회 또는 반기별 회의를 통하여 정보보안 및 개인정보 보안관련 의사결정을 하여야 합니다.

또한 해당 업무에 관련된 증적(회의록) 등이 필요합니다.

3. 전사적 정보보호 및 개인정보보호 활동을 위하여 정보보호 및 개인정보보호 관련 담당자 및 부서별 담당자로 구성된 실무 협의체를 구성하여 운영하여야 한다.

• 조직의 규모 및 관리체계 범위 내 서비스의 중요도에 따라 실무 협의체 구성원, 조직체계 등을 결정
• 실무 협의체에서는 정보보호 및 개인정보보호 관련 사항에 대하여 실무 차원에서 공유·조정·검토·개선하고, 의사결정 및 경영진 지원이 필요한 경우에는 위원회에 상정하여 논의

-> 실제 업무를 하는 조직이라고 생각하면 됩니다. 물론 전문적인 지식이 필요한 부분은 아니기에 대부분 각 부서의 막내들이 협의체로 구성하여 운영하는 경우도 있습니다.

큰 권한은 없으나, 업무상 필요로 하는 부분과 정보보안 및 개인정보관련된 내용을 공유 및 의견을 수하는 조직이라고 생각하면 됩니다. 현실적으로 해당 조직인 원활에게 운영되는 경우는 많지 않으나, 정보보안 및 개인정보보호담당자 입장에서는 반드시 필요로 하는 조직입니다.

– 조지 구성 증거자료

• 정보보호 및 개인정보보호 위원회 규정·회의록

-> 정보보호 위원회 또는 해당 업무를 담당하는 조직의 구성이 문서화 되어 있어야 하며, 실제 진행한 증적이 필요합니다. 보편적으로 연 1회 정도 진행하고 있으나, 반기별 또는 분기별로 진행하는 것을 추천하고 입니다.

• 정보보호 및 개인정보보호 실무 협의체 규정·회의록

-> 실제 업무를 진행하는 조직으로 협의체의 역할 및 조직이 문서화되어 있어야 하며, 추가적으로 업무를 진행하는 과정에서 이루어지는 회의의 회의록이 필요합니다.

• 정보보호 및 개인정보보호 조직도

-> 정보보호 및 개인정보보호 조직도라고 하면 정보보호 및 개인정보업무를 진행하는 조직에 대한 것으로 반드시 부서가 필요로 하고 있지는 않습니다. 정보보호 및 개인정보 담당자, 책임자, 그리고 최고책임자의 조성에 대한 정보를 이야기하는 것으로, 꼭 부서화 되어있을 필요는 없으나, 조직에 대한 부분은 반드시 명시되어 있어야 합니다.

• 내부 관리계획

-> 증적으로 내부관리계획이 포함되어 있는 이유는 조직에 대한 정보가 해당 문서에 포함되어 있는 경우가 많기 때문이고, 해당 문서에 기본적으로 포함되어 있어야 하기 때문입니다.

그렇기에 내부관리계획에는 정보보안 및 개인정보보호 조직, 정보보호 위원회, 정보보호 실무 협의체 구성에 대한부분이 명시되어 있어야 합니다.

• 직무기술서

-> 정보보호 전담조직을 구성하는 경우에 앞서이야기 드린것 처럼 반드시 부서가 필요하지는 않다고 이야기 했습니다. 그렇기에 해당 인력이 정보보안 및 개인정보보안 전문인력이라는 것을 증명하기 위한 문서인데요.

그렇기에 직무기술서에는 정보보안 업무가 반드시 명시되어 있어야하며, 겸직은 괜찮으나, 가능하면 정보보안 및 개인정보보호 업무만 하도록 하는 것이 중요합니다.

또한 운영과 보안은 분리되어야 하기에 같은 부서는 존재하여도 가능하나, 업무는 동시에 운영과 보안은 같이 진행하여서는 안됩니다.(추후 다른 항목에서 결함 받을수 있음)

– 조직 구성 결함 개선 사례

• 정보보호 및 개인정보보호 위원회를 구성하였으나, 임원 등 경영진이 포함되어 있지 않고 실무 부서의 장으로 구성되어 있어 조직의 중요 정보 및 개인정보 보호에 관한 사항을 결정할 수 없는 경우

-> 정보보안 및 개인정보보호 업무는 현실적으로 업무에 어려움을 주는 경우가 많이 있습니다. 그렇기에 임원 및 경영진이 포함되어 있지 않은 경우 위원회의 결정에 영향력이 없기에 반드시 임원 및 경영진이 포함되어 있는 위원회는 구성하고 내부관리 계획 및 정책서에 명시하여야 합니다.

• 내부 지침에 따라 중요 정보처리 부서 및 개인정보처리 부서의 장(팀장급)으로 구성된 정보보호및 개인정보보호 실무 협의체를 구성하였으나, 장기간 운영 실적이 없는 경우

-> 현실적으로 부서장의 경우는 업무(관리 업무를 주로 진행)를 진행하고 있지 않기에 실무 협의체의 경우 실무를 주로하는 인원으로 구성하는 것이 중요하며, 추가적으로 주기적인 전달사항 및 회의를 통하여 운영 실적을 쌓아가는 것이 중요합니다.

• 정보보호 및 개인정보보호 위원회를 개최하였으나, 연간 정보보호 및 개인정보보호 계획 및 교육 계획, 예산 및 인력 등 정보보호 및 개인정보보호에 관한 주요 사항이 검토 및 의사결정이 되지 않은 경우

-> 정보보호 위회의 목적은 위와 같이 정보보호 관련 항목이 포함되어 있어야하며, 회의록에 명시되어 있어야 합니다. 또한 가능하면 주요결정사항은 추가적으로 결제를 통하여 증적을 쌓아놓은 것이 좋으며, 결제시 정보보호 및 개인정보 담당자, 책임자, CISO, CPO가 포함되어 있어야합니다. 추가적으로 정보보호 위원회는 참조에 넣어 모두 공유하는 것이 좋습니다.

• 정보보호 및 개인정보보호 관련 심의·의결을 위해 정보보호위원회를 구성하여 운영하고 있으나, 운영 및 IT보안 관련 조직만 참여하고 개인정보보호 관련 조직은 참여하지 않고 있어 개인정보보호에 관한 사항을 결정할 수 없는 경우

-> 현실적으로 해당 부분이 발생할 가능성은 거의 없습니다. 정보보호와 개인정보보호 조직 및 인원이 별도로 관리되는 경우가 많지 않기 때문인데요. 이런한 경우가 있다면 추가적으로 회의 진행 시 개인정보보호관련되 조직이 포함하여 정보보호 및 개인정보보호 위원회를 구성하고 같이 진행하면 됩니다.