운영현황 관리

※ 본 항목은 정보보호 관리체계 인증의 특례에 따른 **완화된 인증기준(별표 7의3)**이다. 위 인증기준/주요 확인사항은 완화/조정된 공식 원문이며, 아래 세부 설명/관련 법규/증거자료/결함사례는 동일 통제영역인 별표7 [1.3.3 운영현황 관리]의 「ISMS-P 인증기준 안내서」 내용이다(완화 기준에서는 위 인증기준/확인사항 범위로 적용된다).

관리체계의 효과적인 운영을 위하여 일/주/월/분기/반기/년 단위의 주기적 또는 상시적인 활동이 요구되는 정보보호 및 개인정보보호 활동을 식별하고, 그 운영현황을 쉽게 확인할 수 있도록 수행 주기 및 시점, 수행 주체(담당부서, 담당자) 등을 정의한 문서(운영현황표)를 작성하여 관리하여야 한다.

※ 주기적인 정보보호 및 개인정보보호 활동(예시)

• 주요직무자, 개인정보취급자의 접속기록 검토
• 주요직무자의 접근권한 검토
• 정기 정보보호 및 개인정보보호 위원회 개최
• 정보보호 및 개인정보보호 교육
• 사무실 보안점검
• 정보보호 및 개인정보보호 정책/지침 개정 검토
• 법적 준거성 검토
• 침해 대응 모의훈련, IT 재해 복구 모의훈련
• 내부감사 등

경영진은 주기적으로 관리체계 운영활동의 효과성을 확인하고, 문제점이 발견된 경우 이를 개선하는 등 관리하여야 한다.

• 관리체계 운영활동이 운영현황표에 따라 주기적/상시적으로 이루어지고 있는지 정기적으로 확인하여 경영진에게 보고
• 경영진은 관리체계 운영활동의 효과성을 평가하여 필요시 개선 조치(수행주체 변경, 수행 주기 조정, 운영활동의 추가/변경/삭제 등)