관리체계 개선

※ 본 항목은 정보보호 관리체계 인증의 특례에 따른 **완화된 인증기준(별표 7의3)**이다. 위 인증기준/주요 확인사항은 완화/조정된 공식 원문이며, 아래 세부 설명/관련 법규/증거자료/결함사례는 동일 통제영역인 별표7 [1.4.3 관리체계 개선]의 「ISMS-P 인증기준 안내서」 내용이다(완화 기준에서는 위 인증기준/확인사항 범위로 적용된다).

법적 요구사항 준수검토 및 관리체계 점검을 통하여 식별된 관리체계상의 문제점에 대한 근본 원인을 분석하여 재발방지 및 개선 대책을 수립/이행하여야 한다.

• 점검 결과 발견된 문제점에 대해서는 조치계획을 수립/이행하고, 조치 완료 여부에 대하여 추가 확인

• 식별된 관리체계상의 문제점 및 결함사항에 대한 근본 원인 분석

• 근본원인 분석결과를 바탕으로 발견된 문제점의 재발방지 및 개선을 위한 대책의 수립/이행

  ※ 재발방지 대책(예시)

  • 정보보호 및 개인정보보호 정책/지침/절차 개정
  • 임직원 및 외부자에 대한 교육 강화 또는 개선
  • 이상행위 등에 대한 모니터링 강화
  • 정보보호 및 개인정보보호 운영 자동화(계정관리 등)
  • 정보보호 및 개인정보보호 관련 검토/승인 절차 개선
  • 내부점검 체크리스트 또는 방식 개선 등

• 수립된 재발방지 대책에 대하여 관련자들에게 공유 및 교육 실시

재발방지 및 개선 결과의 정확성 및 효과성 여부를 확인하기 위한 기준과 절차를 마련하여야 한다.

• 재발방지 및 개선조치의 정확성 및 효과성을 측정하기 위하여 관리체계 측면에서의 핵심성과지표(보안성과지표) 도출

  ※ 재발방지 및 개선조치 관련 보안성과지표(예시)

  • 보안 정책/지침 위반율(외부 전송규정 위반율, 보안우회 시도율 등)
  • 보안 예외 승인 건수
  • 보안 프로그램 설치율
  • 악성프로그램 감염률
  • 자가점검 수행률 등

• 핵심성과지표(보안성과지표)에 대한 측정 및 모니터링 절차 수립/이행

• 재발방지 및 개선조치의 정확성/효과성에 대한 확인 및 측정 결과는 경영진에게 보고