A.5.24
정보보안 사고관리 계획 및 준비
조직적 통제확인사항 6증적 6사례 6
통제 목적
정보보안 사고관리 계획 및 준비는 사고가 실제로 발생하기 전에 사고의 탐지, 보고, 평가, 대응, 복구, 사후관리에 필요한 역할과 책임, 절차, 자원을 미리 정의하도록 요구하는 통제입니다. 목적은 사고 발생 시 조직이 신속하고 일관되게 대응하여 피해와 파급을 최소화하고, 대응 과정에서 얻은 교훈을 체계적으로 반영하여 재발을 방지하는 데 있습니다. 사전 준비가 없으면 사고 시 의사결정이 지연되고 증거가 훼손되며, 법적/규제 통지 의무를 놓치기 쉽습니다.
주요 확인사항
- 정보보안 사고의 정의와 유형, 심각도 등급 분류 기준이 문서화되어 조직 전반에 공유되는가?
- 사고 대응 조직(책임자, 대응팀, 역할별 담당자)과 상시 비상연락체계, 에스컬레이션 경로가 지정되어 있는가?
- 사고 탐지부터 보고, 평가, 대응, 복구, 종료, 사후검토에 이르는 처리 절차가 단계별로 정의되어 있는가?
- 임직원 및 외부자가 사고 징후를 신속히 신고할 수 있는 채널과 방법이 마련되고 안내되는가?
- 법적/규제 통지 의무(감독기관, 정보주체 등)와 통지 기한, 대외 커뮤니케이션 기준이 절차에 포함되어 있는가?
- 대응에 필요한 자원(도구, 로그, 예산, 외부 전문기관 계약)이 사전에 확보되어 있는가?
이행 지침
- 사고 대응 정책과 절차서를 수립하고, 사건(event)과 사고(incident)를 구분하는 판단 기준 및 심각도 등급표를 정의합니다.
- 사고대응 책임자와 대응팀(CSIRT 등)을 지정하고, 역할과 책임(RACI), 권한, 에스컬레이션 경로, 비상연락망을 문서화하여 최신 상태로 유지합니다.
- 사고 유형별(악성코드 감염, 정보 유출, 서비스 거부, 계정 도용, 개인정보 침해 등) 대응 플레이북과 초동조치 체크리스트를 준비합니다.
- 감독기관/수사기관/정보주체 통지 요건과 기한, 대변인 및 대외 커뮤니케이션 창구, 대내 보고 기준을 사전에 규정합니다.
- 로그 수집/모니터링(A.8.15, A.8.16), 증거 수집(A.5.28), 외부기관 연락(A.5.5, A.5.6)과의 연계를 확보하고 대응에 필요한 도구/자원을 갖춥니다.
- 계획의 실효성을 모의훈련으로 검증하고, 훈련 및 실제 사고 결과를 반영하여 절차를 주기적으로 개정합니다.
증적자료
- 정보보안 사고 대응 정책/절차서, 사고 유형 및 심각도 등급 분류 기준
- 사고대응 조직도, 역할과 책임(RACI), 비상연락망, 에스컬레이션 체계
- 사고 유형별 대응 플레이북, 초동조치 체크리스트, 신고 채널 안내자료
- 법적/규제 통지 요건 및 기한 정리표, 대외 커뮤니케이션 지침
- 모의훈련 계획서 및 결과보고서, 절차 개정 이력
- 외부 전문기관(포렌식, 법률 등) 계약서 또는 협력 체계 자료
부적합 사례
- 사고 대응 절차 문서는 있으나 역할/책임과 비상연락망이 최신화되지 않아 실제 담당자를 확인할 수 없는 경우
- 사건과 사고를 구분하는 기준이나 심각도 등급이 없어 보고/에스컬레이션 시점이 담당자 임의 판단에 의존하는 경우
- 신고 채널이 마련되지 않아 임직원이 사고 징후를 발견해도 어디에 어떻게 신고할지 알 수 없는 경우
- 개인정보 유출 등 법적 통지 의무와 기한이 절차에 반영되지 않아 통지 지연 위험이 존재하는 경우
- 사고관리 계획에서 정한 모의훈련이나 담당자 교육을 수행하지 않아 절차의 실효성과 담당자의 숙지 여부를 확인할 수 없는 경우
- 사고대응에 필요한 로그/도구/외부기관 연락 체계를 사전에 확보하지 않아 사고 시 초동대응이 지연되는 경우