A.5.2
정보보안 역할 및 책임
조직적 통제확인사항 5증적 5사례 5
통제 목적
정보보안과 관련된 역할과 책임을 조직의 필요에 맞게 명확히 정의하고, 적합한 인원에게 배정하는 통제입니다. 누가 무엇을 책임지는지가 공백이나 중복 없이 정해져야 정책 이행, 자산 보호, 위험 처리, 사고 대응이 실제로 수행되고 책임 소재가 분명해집니다. 최고책임자(CISO 등)부터 자산 소유자, 실무 담당자, 일반 임직원까지 계층별 역할과 권한을 규정하고, 조직이나 인력이 바뀌어도 최신 상태로 유지하도록 요구합니다.
주요 확인사항
- 정보보안 관련 역할과 책임(최고책임자, 보안 조직, 자산/시스템 소유자, 실무 담당자 등)을 정의하고 문서화하여 적합한 인원에게 배정하였는가?
- 배정된 역할이 실제로 수행될 수 있도록 필요한 권한과 자원, 보고 체계를 함께 부여하였는가?
- 자산/정보시스템/처리활동별로 소유자 또는 책임자를 지정하여 보호 책임의 공백이 없도록 하였는가?
- 조직 개편, 입사/퇴직/직무변경, 신규 서비스 도입 등이 발생했을 때 역할과 책임을 갱신하고 재배정하는 절차가 있는가?
- 배정된 역할과 책임을 해당 인원이 인지하고 있으며, 수행에 필요한 역량을 확보하고 있는가?
이행 지침
- 정보보안 역할과 책임을 정책/규정 또는 역할기술서(RACI 등)로 문서화하고, 각 역할의 업무 범위, 권한, 보고선을 명확히 규정합니다.
- 조직 규모와 적용 법규에 맞는 정보보안 책임자를 지정하고 권한과 보고체계를 명확히 합니다. CISO/CPO 등의 법정 직위가 필요한 경우 해당 자격과 지정 요건을 별도로 확인합니다.
- 정보자산, 정보시스템, 개인정보 처리활동 등 보호 대상별로 소유자/책임자를 지정하여 책임의 공백과 중복을 방지합니다.
- 역할과 책임을 특정 개인의 암묵적 관행이 아니라 직위/직무 단위로 규정하여, 담당자 교체 시에도 승계되도록 합니다.
- 인사 이동/퇴직/직무변경 시 역할 재배정과 권한 회수/이관이 함께 이루어지도록 역할 관리 절차를 인사 프로세스와 연결합니다.
- 배정된 역할에 필요한 역량(교육, 자격, 경험)을 정의하고, 담당자가 이를 확보하고 유지하도록 관리합니다.
증적자료
- 정보보안 역할과 책임을 정의한 정책/규정 또는 역할기술서(RACI 등)
- 정보보안 책임자 지정 문서(해당하는 경우 CISO/CPO 포함) 및 조직도
- 자산/시스템/개인정보 처리활동별 소유자/책임자 지정 목록
- 직무기술서 또는 직무별 보안 책임 명세
- 조직 개편/인사 이동에 따른 역할 재배정/권한 이관 기록
부적합 사례
- 정보보안 조직도는 있으나 각 역할의 구체적 책임과 권한이 정의되지 않아 실제 수행 주체가 불명확한 경우
- 최고책임자를 명목상 지정했을 뿐, 실질적 권한이나 자원, 보고 체계가 부여되지 않은 경우
- 일부 정보시스템/자산에 소유자 또는 책임자가 지정되지 않아 보호 책임의 공백이 발생한 경우
- 담당자 퇴직/직무변경 후 역할과 책임이 재배정되지 않아 특정 업무가 방치되거나 권한이 회수되지 않은 경우
- 역할과 책임이 특정 개인의 관행에만 의존하고 문서화되지 않아 담당자 부재 시 업무가 중단되는 경우