정보자산 식별

※ 본 항목은 정보보호 관리체계 인증의 특례에 따른 **완화된 인증기준(별표 7의3)**이다. 위 인증기준/주요 확인사항은 완화/조정된 공식 원문이며, 아래 세부 설명/관련 법규/증거자료/결함사례는 동일 통제영역인 별표7 [1.2.1 정보자산 식별]의 「ISMS-P 인증기준 안내서」 내용이다(완화 기준에서는 위 인증기준/확인사항 범위로 적용된다).

정보자산의 분류기준을 수립하고 정보보호 및 개인정보보호 관리체계 범위 내의 모든 자산을 식별하여 목록으로 관리하여야 한다.

• 조직의 특성에 맞게 정보자산의 분류기준을 수립하고, 분류 기준에 따라 정보자산을 빠짐없이 식별

  ※ 정보자산 분류(예시)

  • 자산 유형별 분류 : 서버, 데이터(DBMS), 정보시스템(응용프로그램), 소프트웨어, 네트워크장비, 보안시스템, PC, 정보, 설비, 시설 등
  • 자산 유형별 항목(예)
    • 서버 : 호스트 명칭, 자산 일련번호, 모델명, 용도, IP주소, 관리 부서명, 관리 실무자, 관리 책임자, 보안등급 등
    • 데이터 : 데이터베이스명, 테이블명, (개인)정보 항목명(예: 이름, 성별, 생년월일, 휴대폰번호, 이메일 등), 관리 부서명, 관리 실무자, 관리 책임자, 저장 시스템(호스트 명칭), 저장 위치(IP주소), 보안등급 등
    • 정보시스템 : 서버, PC 등 단말기, 보조저장매체, 네트워크 장비, 응용프로그램 등 정보의 수집, 가공, 저장, 검색, 송수신에 필요한 하드웨어 및 소프트웨어
    • 보안시스템 : 정보의 훼손, 변조, 유출 등을 방지하기 위하여 구축된 시스템으로 침입차단시스템, 침입탐지시스템, 침입방지시스템, 개인정보유출방지시스템 등을 포함
    • 정보 : 문서적 정보와 전자적 정보 모두를 포함(중요정보, 개인정보 등)

• 자산명, 용도, 위치, 책임자 및 관리자, 관리 부서 등의 자산정보를 확인하여 목록 작성

• 정보자산의 효율적 관리를 위하여 자산관리시스템 활용 또는 문서(엑셀) 등 다양한 형태로 관리

• 클라우드 서비스를 이용하는 경우, 클라우드 서비스의 특성을 반영한 분류기준(예를 들어, 가상서버, 오브젝트 스토리지 등)을 마련하고 이에 따라 클라우드 자산을 식별/관리

식별된 정보자산에 대한 법적 요구사항 및 업무에 미치는 영향 등을 고려하여 중요도를 결정하고 보안등급을 부여하여야 한다.

• 법적 요구사항이나 업무에 미치는 영향 등 각 자산 특성에 맞는 보안등급 평가기준 결정

  ※ 보안등급 산정기준(예시)

  • 기밀성, 무결성, 가용성, 법적 준거성 등에 따른 중요도 평가
  • 서비스 영향, 이익손실, 고객 상실, 대외 이미지 손상 등도 고려

• 보안등급 평가기준에 따라 정보자산별 보안등급 산정 및 목록으로 관리

정기적으로 정보자산 현황을 조사하여 정보자산목록을 최신으로 유지하여야 한다.

• 신규 도입, 변경, 폐기되는 자산 현황을 확인할 수 있도록 절차 마련

• 정기적으로 정보자산 현황 조사를 수행하고 정보자산목록을 최신으로 유지