조직의 유지관리

※ 본 항목은 정보보호 관리체계 인증의 특례에 따른 **완화된 인증기준(별표 7의3)**이다. 위 인증기준/주요 확인사항은 완화/조정된 공식 원문이며, 아래 세부 설명/관련 법규/증거자료/결함사례는 동일 통제영역인 별표7 [2.1.2 조직의 유지관리]의 「ISMS-P 인증기준 안내서」 내용이다(완화 기준에서는 위 인증기준/확인사항 범위로 적용된다).

정보보호 및 개인정보보호 업무 수행과 관련된 조직의 특성을 고려하여 관련 책임자와 담당자의 역할 및 책임을 시행문서에 구체적으로 정의하여야 한다.

• 정보보호 최고책임자 및 개인정보 보호책임자
• 정보보호, 개인정보보호 관리자 및 담당자
• 부서별 정보보호, 개인정보보호 책임자 및 담당자
• 정보보호 최고책임자, 개인정보 보호책임자는 법적 요구사항 등을 반영하여 다음과 같은 업무를 수행

정보보호 최고책임자	개인정보 보호책임자
정보보호 계획의 수립/시행 및 개선 정보보호 실태와 관행의 정기적인 감사 및 개선 정보보호 위험의 식별 평가 및 정보보호 대책 마련 정보보호 교육과 모의 훈련 계획의 수립 및 시행 그 밖에 정보통신망법 또는 관계 법령에 따라 정보보호를 위하여 필요한 조치의 이행	개인정보 보호 계획의 수립 및 시행 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선 개인정보 처리와 관련한 불만의 처리 및 피해 구제 개인정보 유출 및 오/남용 방지를 위한 내부통제 시스템의 구축 개인정보 보호 교육 계획의 수립 및 시행 개인정보파일의 보호 및 관리/감독 개인정보 처리방침의 수립/변경 및 시행 개인정보보호 관련 자료의 관리 처리목적이 달성되거나 보유기간이 경과한 개인정보의 파기

• 정보보호 및 개인정보보호 관리자, 보호담당자, 보호실무자 등이 정보보호 최고책임자 및 개인정보 보호책임자의 관리 업무를 실무적으로 지원/이행할 수 있도록 직무기술서 등을 통하여 책임 및 역할을 구체적으로 정의

정보보호 및 개인정보보호 관련 책임자와 담당자의 활동을 평가할 수 있는 체계를 수립하여야 한다.

• 조직 내 핵심성과지표(KPI), MBO(Management By Objectives), 인사평가 등 정보보호 및 개인정보보호 활동을 평가할 수 있는 방안을 마련하여 주기적으로 평가

정보보호 및 개인정보보호 관련 조직 및 조직의 구성원 간 상호 의사소통할 수 있는 체계 및 절차를 수립/이행하여야 한다.

• 정보보호 및 개인정보보호 관련 의사소통 관리 계획 수립 및 이행

  ※ 정보보호 및 개인정보보호 관련 의사소통 관리계획(예시)

  • 의사소통 관리 계획 개요 : 목적 및 범위
  • 의사소통 체계 : 전사 협의체, 실무 협의체, 위원회 등 보고 및 협의체 운영방안, 참여 대상, 참여대상별 역할 및 책임, 주기 등
  • 의사소통 방법 : 보고 및 회의(월간보고, 주간보고 등), 공지, 이메일, 메신저, 정보보호포털 등
  • 의사소통 양식 : 유형별 보고서 양식, 회의록 양식 등