A.5.1
정보보안 정책
조직적 통제확인사항 6증적 6사례 6
통제 목적
정보보안에 대한 경영진의 방향과 의지를 문서화된 정책으로 정의하고, 조직 전반에 일관되게 적용되도록 하는 통제입니다. 최상위 정보보안 정책과 이를 구체화하는 주제별 정책(접근통제, 암호화, 자산관리 등)을 수립하고, 경영진 승인을 받아 임직원 및 관련 외부자에게 공표하고 전달하며, 정기적으로 또는 중대한 변화가 있을 때 검토하고 갱신하도록 요구합니다.
주요 확인사항
- 조직의 사업 목적, 법적/규제 요구사항, 위험 환경을 반영한 최상위 정보보안 정책을 수립하고 경영진의 승인을 받았는가?
- 최상위 정책을 뒷받침하는 주제별 세부 정책(접근통제, 암호화, 자산관리, 사고대응 등)을 정의하고 있는가?
- 정책을 임직원 및 관련 외부자가 접근 가능한 형태로 공표하고, 서약이나 교육 등으로 이해했음을 확인하고 있는가?
- 정책의 소유자(책임자)를 지정하고, 정기적으로 또는 조직/기술/위협의 중대한 변화 시 검토하여 최신성을 유지하는가?
- 정책 예외(적용 제외, 한시적 허용)의 신청/승인/기록 절차를 두고, 유효기간과 재검토 시점을 관리하는가?
- 정책 문서의 버전과 배포본을 통제하여 개정 후에도 구버전이 현장에서 계속 사용되지 않도록 하는가?
이행 지침
- 최상위 정보보안 정책은 경영진의 의지, 적용 범위, 정보보안 목표, 역할과 책임의 골격, 위반 시 조치의 원칙을 담아 간결하게 작성합니다.
- 주제별 정책은 최상위 정책과 상충하지 않도록 계층을 정리하고, 각 정책의 소유자와 검토 주기를 명시합니다.
- 정책의 승인 이력(승인자, 승인일, 버전)을 관리하고, 개정 시 변경 이력을 남깁니다.
- 입사 시점과 계약 개시 시점에 정책을 전달하고, 변경 시 재공지하여 인지 상태를 유지합니다.
- 정기 검토 주기(예: 연 1회)를 정하고, 조직 개편, 신규 서비스 도입, 중대한 사고 발생 등의 계기가 있을 때 수시로 검토합니다.
- 정책 예외는 사유, 보상통제, 승인자, 유효기간을 함께 기록하고, 유효기간이 만료되는 시점에 재검토되도록 관리합니다.
증적자료
- 경영진이 승인한 최상위 정보보안 정책서(버전/승인일 포함)
- 주제별 세부 정책/지침 목록 및 문서
- 정책 공표/전달 기록(인트라넷 게시, 교육/서약 기록)
- 정책 검토/개정 이력 및 검토 회의록
- 정책 예외 신청/승인 기록 및 유효기간이 포함된 예외 목록
- 정책 문서 버전 관리 대장 및 구버전 회수/폐기 기록
부적합 사례
- 정보보안 정책이 문서로 존재하나 경영진의 공식 승인 근거가 없는 경우
- 최상위 정책만 있고 접근통제/암호화 등 주제별 정책이 정의되지 않아 실무 적용 기준이 부재한 경우
- 정책을 수립한 뒤 수년간 검토/갱신하지 않아 현재 조직 구조/시스템과 불일치하는 경우
- 정책이 특정 부서에만 공유되고 임직원 및 외부자에게 전달/공표되지 않은 경우
- 정책 예외를 구두로만 허용하고 사유/승인자/유효기간을 기록하지 않아 예외 현황을 파악할 수 없는 경우
- 정책이 개정되었으나 구버전이 인트라넷과 부서 공유 폴더에 함께 남아 있어 현장에서 혼용되는 경우