A.5.36
정보보안 정책, 규칙 및 표준 준수
조직적 통제확인사항 6증적 6사례 6
통제 목적
조직이 수립한 정보보안 정책, 주제별 정책, 규칙, 표준이 실제 업무와 시스템 운영에서 준수되고 있는지 정기적으로 확인하고, 미준수 사항을 식별하여 시정하기 위한 통제입니다. 관리자와 담당자가 자신의 책임 영역에서 준수 상태를 점검하고, 시스템 구성/설정에 대한 기술적 준수까지 자동 또는 수동으로 검증하며, 발견된 편차를 원인 분석과 개선으로 연결하도록 요구합니다. 궁극적으로는 정책이 문서로만 존재하지 않고 현장에서 실효적으로 작동하도록 보장하고, 관리체계의 지속적 적합성을 유지하는 것이 목적입니다.
주요 확인사항
- 관리자/책임자가 자신의 관할 영역에서 정보보안 정책/규칙/표준의 준수 여부를 정기적으로 점검하고 있는가?
- 시스템 구성/보안 설정/접근권한 등 기술적 준수를 자동화 도구 또는 수동 점검으로 검증하는가?
- 점검 대상/주기/방법/책임자가 절차로 정의되어 있고 점검 결과가 기록 및 보고되는가?
- 점검에서 발견된 미준수 사항에 대해 원인 분석, 시정조치, 재발방지 대책이 수립/이행되는가?
- 반복되거나 중대한 미준수 사항이 경영진 검토 및 개선 활동(정책 개정, 교육 등)으로 연결되는가?
- 기술적 준수 점검이 운영 시스템에 부정적 영향을 주지 않도록 사전 계획/승인/통제하에 수행되는가?
이행 지침
- 정보보안 정책/규칙/표준별로 점검 대상, 점검 항목, 주기, 방법, 책임자를 정의한 준수 점검 계획 및 체크리스트를 수립합니다.
- 관리자에게 자신의 프로세스/서비스가 정책과 표준을 충족하는지 정기적으로 자체 점검하도록 책임을 부여하고, 점검 결과를 기록으로 남깁니다.
- 시스템 보안 구성/설정에 대한 기술적 준수는 구성 기준선(baseline)과 대비하여 자동화 도구(구성 점검, 취약점 스캐너 등) 또는 수동 검토로 검증합니다.
- 기술적 준수 점검은 운영에 영향을 줄 수 있으므로 사전 계획/승인을 거쳐 자격 있는 인력이 통제된 방식으로 수행하고, 필요 시 시험 환경에서 검증합니다.
- 발견된 미준수 사항은 심각도에 따라 분류하고, 원인 분석, 시정조치, 완료 기한, 책임자를 정하여 추적하며 조치 완료 여부를 확인합니다.
- 반복적/구조적 미준수는 정책이나 표준의 현실성 문제인지 인식/역량 문제인지 분석하여 정책 개정, 교육, 프로세스 개선으로 연결합니다.
- 점검 결과와 개선 현황을 주기적으로 경영진 및 관련 부서에 보고하고, 관리체계 점검 및 내부심사와 연계하여 관리합니다.
증적자료
- 정보보안 정책/규칙/표준 준수 점검 계획서 및 점검 체크리스트
- 관리자 자체 점검 기록 및 준수 여부 확인 결과
- 기술적 준수 점검(구성 기준선 대비 점검, 자동화 도구 점검) 결과 보고서
- 미준수 사항 등록부 및 시정조치/재발방지 이행 내역
- 준수 점검 결과에 대한 경영진 보고 자료 및 후속 개선 과제
- 미준수를 계기로 수행한 정책 개정/교육 등 개선 활동 근거
부적합 사례
- 정보보안 정책/표준은 수립되어 있으나 실제 준수 여부를 확인하는 점검 활동이 전혀 수행되지 않는 경우
- 준수 점검이 특정 시점에 일회성으로만 이루어지고 점검 주기/책임자/방법이 절차로 정의되어 있지 않은 경우
- 기술적 준수 점검(보안 설정/구성 기준선 대비 검증)이 없어 시스템 설정이 표준과 다르게 운영되는 경우
- 점검에서 미준수 사항이 발견되었으나 원인 분석/시정조치 없이 기록만 해 둔 채 방치한 경우
- 동일한 미준수가 반복되는데도 정책 개정/교육 등 근본적 개선으로 연결되지 않는 경우
- 기술적 준수 점검을 사전 승인/계획 없이 운영 시스템에서 수행하여 장애나 영향을 유발하는 경우