A.5.25
정보보안 이벤트 평가 및 결정
조직적 통제확인사항 5증적 5사례 5
통제 목적
정보보안 이벤트가 접수되면 사전에 정의된 분류/우선순위 기준에 따라 평가하고, 해당 이벤트를 정보보안 사고로 분류할지 여부를 일관되게 결정하기 위한 통제입니다. 모든 이벤트가 사고는 아니므로, 오탐, 중복, 경미한 이벤트를 걸러내고 실제 대응이 필요한 사고를 신속히 식별하는 것이 핵심입니다. 평가와 결정의 근거를 기록하여 대응 자원을 우선순위에 맞게 배분하고, 사후 분석과 개선의 출발점을 마련하는 것을 목적으로 합니다.
주요 확인사항
- 정보보안 이벤트를 사고로 분류할지 판단하는 기준(심각도/영향도/우선순위)이 정의되어 있는가?
- 접수된 이벤트를 지정된 담당자/조직(예: 대응팀)이 정해진 기준에 따라 평가하는가?
- 평가 결과와 사고 분류 결정, 그 근거를 기록으로 남기는가?
- 사고로 결정된 건이 등급/우선순위에 맞는 대응 및 에스컬레이션 절차로 연결되는가?
- 평가/결정 기준의 적정성을 주기적으로 검토하여 오탐/누락을 줄이는가?
이행 지침
- 이벤트를 사고로 판정하는 분류 체계(카테고리, 심각도 등급, 우선순위)를 문서화하고 조직 전반에 공유합니다.
- 이벤트 접수 창구(단일 접점)를 지정하고, 접수된 이벤트를 일관된 기준으로 평가하는 절차를 운영합니다.
- 평가 시 자산 중요도, 영향 범위, 확산 가능성, 법적/규제 통지 요건을 함께 고려합니다.
- 평가 결과(사고/비사고), 분류 등급, 결정 근거, 결정자, 시각을 사고관리 시스템에 기록합니다.
- 사고로 결정된 이벤트는 등급별 대응 절차(A.5.26)와 에스컬레이션/통지 경로로 즉시 연결합니다.
- 오탐률/누락률, 재분류 사례를 주기적으로 분석해 분류 기준과 임계치를 개선합니다.
증적자료
- 이벤트/사고 분류 기준 및 우선순위 정의서
- 이벤트 접수/평가 대장(평가 결과, 사고 여부 결정, 근거 포함)
- 사고관리 시스템(티켓)의 평가/결정 기록
- 에스컬레이션/통지 기준 및 실제 통지 이력
- 분류 기준 검토/개정 이력 및 오탐/재분류 분석 보고서
부적합 사례
- 이벤트를 사고로 분류하는 기준이 없어 담당자별로 판단이 달라지고 대응이 지연되는 경우
- 접수된 이벤트에 대한 평가/결정 근거를 기록하지 않아 사후에 판단 경위를 확인할 수 없는 경우
- 실제 사고에 해당하는 이벤트를 경미한 것으로 오판해 대응 및 통지 시한을 놓치는 경우
- 사고로 결정되었으나 등급/우선순위가 부여되지 않아 대응 자원 배분이 이루어지지 않는 경우
- 오탐이 반복되는데도 분류 기준/임계치를 검토하지 않아 실제 사고가 잡음에 묻히는 경우