A.5.12
정보 분류
조직적 통제확인사항 6증적 6사례 6
통제 목적
정보 분류는 정보의 기밀성/무결성/가용성 요구수준과 법적/사업적 중요도에 따라 정보를 일관된 기준으로 등급화하여, 그 등급에 상응하는 보호 수준을 적용하기 위한 통제입니다. 분류 결과가 명확해야 접근통제, 암호화, 저장/전송, 보관/파기 등 후속 보호조치를 위험에 비례하여 결정할 수 있습니다. 과도한 보호로 인한 자원 낭비와 과소 보호로 인한 노출을 동시에 방지하고, 조직 전반이 동일한 기준으로 정보를 다루도록 하는 데 그 취지가 있습니다.
주요 확인사항
- 정보 분류 체계(등급 정의, 분류 기준, 재분류 절차)가 문서화되어 있으며 조직 차원에서 승인/공표되었는가?
- 분류 기준이 기밀성뿐 아니라 무결성/가용성 및 법적/규제 요구사항(개인정보 등)을 함께 반영하는가?
- 정보자산 목록의 각 자산에 소유자가 지정되고 분류 등급이 부여되어 최신 상태로 유지되는가?
- 분류 등급별 취급 규칙(접근/저장/전송/출력/파기)이 정의되고 실제 운영에 적용되는가?
- 시간 경과 및 맥락 변화에 따른 재분류와 등급 하향(declassification) 절차가 운영되는가?
- 외부 조직과 정보를 교환할 때 등급 해석 및 상호 매핑 기준이 합의되어 있는가?
이행 지침
- 등급 체계는 조직 규모와 업무 특성에 맞게 단순하게 설계합니다(예: 공개/내부용/대외비/기밀 등 3~4단계). 등급 수가 지나치게 많으면 실무 준수율이 떨어집니다.
- 각 등급의 정의에 기밀성/무결성/가용성 관점의 영향(유출/변조/중단 시 예상 피해)을 함께 기술하여 담당자가 등급을 판단할 근거를 제공합니다.
- 정보자산 목록(A.5.9)과 연계하여 자산별 소유자가 분류를 부여/승인하고, 정기적으로 재검토하도록 절차를 명시합니다.
- 법령상 보호대상(개인정보, 고유식별정보, 영업비밀 등)은 별도 태그 또는 라벨로 식별하여 취급 규칙과 자동으로 연결되도록 합니다.
- 문서/파일/메일/데이터베이스 등 매체별 분류 표기(라벨) 방법을 정하고, 가능하면 DLP 및 문서보안 도구로 등급을 메타데이터화하여 통제에 활용합니다.
- 신규 생성 및 수집 정보의 초기 분류 책임자와 기본값(미분류 시 처리 원칙)을 정하여 분류 누락을 방지합니다.
- 재분류/등급 하향/폐기 시점의 승인 권한과 기록 방법을 정의하여, 오래된 정보가 과보호되거나 방치되지 않도록 합니다.
증적자료
- 정보 분류 기준 및 등급 정의서, 등급별 취급 규칙(정책/지침)
- 정보자산 목록(자산별 소유자, 분류 등급, 최종 검토일 포함)
- 분류 라벨링 예시(문서 머리말/꼬리말, 파일 속성, 메일 분류 태그)
- 재분류 및 등급 하향 승인 기록
- 정보 분류 관련 교육 자료 및 이수 기록
- DLP/문서보안 정책 설정 화면(등급별 통제 매핑 근거)
부적합 사례
- 분류 등급은 정의되어 있으나 실제 자산에 등급이 부여되지 않아 대부분의 정보가 미분류 상태로 방치된 경우
- 등급 정의가 기밀성만 다루고 무결성/가용성 및 법적 요구사항(개인정보 등)을 반영하지 않는 경우
- 정보자산 목록과 분류 체계가 연동되지 않아 소유자 및 등급이 최신화되지 않는 경우
- 대외비 문서에 라벨이 없어 외부 반출 또는 메일 발송 시 등급 기반 통제가 적용되지 않는 경우
- 재분류/등급 하향 절차가 없어 오래된 기밀정보가 계속 과보호되거나 반대로 검토 없이 방치되는 경우
- 외부 협력사와 등급 매핑 기준이 없어 상대방이 조직 의도보다 낮은 보호수준으로 정보를 취급하는 경우