정책 수립

※ 본 항목은 정보보호 관리체계 인증의 특례에 따른 **완화된 인증기준(별표 7의2)**이다. 위 인증기준/주요 확인사항은 완화/조정된 공식 원문이며, 아래 세부 설명/관련 법규/증거자료/결함사례는 동일 통제영역인 별표7 [1.1.5 정책 수립]의 「ISMS-P 인증기준 안내서」 내용이다(완화 기준에서는 위 인증기준/확인사항 범위로 적용된다).

조직이 수행하는 모든 정보보호 및 개인정보보호 활동의 근거를 포함하는 최상위 수준의 정보보호 및 개인정보보호 정책은 다음 내용을 포함하여 수립하여야 한다.

• 조직의 정보보호 및 개인정보보호에 대한 최고경영자 등 경영진의 의지 및 방향
• 조직의 정보보호 및 개인정보보호를 위한 역할/책임 및 대상/범위
• 조직이 수행하는 관리적/기술적/물리적 정보보호 및 개인정보보호 활동의 근거

정보보호 및 개인정보보호 정책에 명시된 정보보호 및 개인정보보호 사항을 구체적으로 시행하기 위하여 필요한 세부 방법, 절차, 주기, 수행주체 등을 규정하는 지침, 절차, 매뉴얼, 가이드 등의 하위 실행 문서를 조직의 특성에 맞게 수립하여야 한다.

• 하위 실행 문서는 조직이 수행하는 모든 정보보호 및 개인정보보호 활동의 근거를 구체적으로 제시할 수 있어야 하며, 보호 대상 관점 또는 수행주체 관점 등 다양한 관점에서 조직 특성에 맞게 수립

  • ※ 하위 실행 문서(예시)

  보호대상 관점	수행주체 관점
  서버보안 지침 네트워크보안 지침 데이터베이스보안 지침 애플리케이션보안 지침 웹서비스 보안 지침 클라우드 보안 지침	임직원보안 지침 개발자보안 지침 운영자보안 지침 등

• 정책 및 시행문서(지침, 절차 등)는 조직이 제공하고 있는 서비스, 사업 등에 관련된 개인정보 보호 관련 법적 요구사항(법률, 시행령, 시행규칙, 하위 고시, 가이드 등)을 반영

• 개인정보를 처리하는 경우 개인정보 보호법에 따른 내부 관리계획을 관련 법규에서 요구하는 사항을 모두 포함하여 수립

  • 개인정보 보호법에 따라 내부 관리계획에 포함되어야 하는 사항
    1. 개인정보 보호 조직의 구성 및 운영에 관한 사항
    2. 개인정보 보호책임자의 자격요건 및 지정에 관한 사항
    3. 개인정보 보호책임자와 개인정보취급자의 역할 및 책임에 관한 사항
    4. 개인정보취급자에 대한 관리/감독 및 교육에 관한 사항
    5. 접근 권한의 관리에 관한 사항
    6. 접근 통제에 관한 사항
    7. 개인정보의 암호화 조치에 관한 사항
    8. 접속기록 보관 및 점검에 관한 사항
    9. 악성프로그램 등 방지에 관한 사항
    10. 개인정보의 유출, 도난 방지 등을 위한 취약점 점검에 관한 사항
    11. 물리적 안전조치에 관한 사항
    12. 개인정보 유출사고 대응 계획 수립/시행에 관한 사항
    13. 위험 분석 및 관리에 관한 사항
    14. 개인정보 처리업무를 위탁하는 경우 수탁자에 대한 관리 및 감독에 관한 사항
    15. 개인정보 내부 관리계획의 수립, 변경 및 승인에 관한 사항
    16. 그 밖에 개인정보 보호를 위하여 필요한 사항
    • ※ 다만, 1만명 미만의 정보주체에 관하여 개인정보를 처리하는 소상공인/개인/단체의 경우에는 생략 가능

정보보호 및 개인정보보호 정책/시행문서 제/개정 시 최고경영자 또는 최고경영자로부터 권한을 위임받은 자의 승인을 받아야 한다.

• 정책서와 시행문서를 제/개정하는 경우 이해관계자와 해당 내용을 충분히 협의/검토
• 정책서 및 시행문서 변경으로 인한 조직 업무 및 서비스 영향도, 법적 준거성 등을 고려
• 회의록 등 검토 사항에 대한 기록을 남기고 정책/지침 등에 관련 사항 반영
• 검토가 완료된 정책서 및 시행문서를 경영진에게 보고하고 승인

정보보호 및 개인정보보호 정책/시행문서의 제/개정 시 최신본을 관련 임직원에게 이해하기 쉬운 형태로 제공하여야 한다.

• 임직원 및 외부자가 용이하게 참고할 수 있는 형태(전자게시판, 책자, 교육자료, 매뉴얼 등)로 제공
• 정책서 및 시행문서는 제/개정사항이 발생하면 즉시 공표하고 최신본을 유지