A.5.37
문서화된 운영 절차
조직적 통제확인사항 6증적 6사례 6
통제 목적
정보처리 시설과 정보시스템을 운영하는 활동을 표준화된 절차로 문서화하여, 담당자가 개인의 기억이나 경험에 의존하지 않고 일관되고 정확하게 작업을 수행하도록 하는 통제입니다. 운영 절차를 문서로 정비하면 인적 오류와 작업 누락, 이에 따른 서비스 중단이나 보안 사고를 예방할 수 있고, 담당자 교대나 부재, 비상 상황에서도 운영 연속성을 확보할 수 있습니다. 또한 문서화된 절차는 신규 인력의 교육 기준이자 감사/점검 시 실제 운영이 통제 요구에 부합하는지 확인하는 근거가 됩니다.
주요 확인사항
- 정보처리 시설/시스템의 주요 운영 활동(기동/종료, 백업/복구, 배치작업, 매체 처리, 장애 대응 등)에 대한 운영 절차가 문서화되어 있는가?
- 운영 절차서에 대상 범위, 수행 방법과 순서, 수행 주체와 권한, 정상/비정상 처리 기준, 완료 확인 및 오류/예외 처리, 연락체계 등 실행에 필요한 정보가 포함되어 있는가?
- 운영 절차서가 실제로 그 절차를 수행해야 하는 담당자에게 접근 가능한 형태로 제공되고 최신 상태로 유지되는가?
- 시스템/구성/환경 변경이 발생했을 때 관련 운영 절차서가 변경관리 절차와 연계되어 갱신/검토/승인되는가?
- 운영 절차서의 유효성이 주기적으로 검토되어 실제 운영 방식과 문서 간 괴리가 확인/보완되는가?
- 신규 담당자나 교대 근무자가 절차서를 이해하고 활용할 수 있도록 이를 교육/인수인계에 반영하는가?
이행 지침
- 정보처리 시설과 시스템의 운영 활동을 식별하고, 반복적/정형적이거나 오류 시 영향이 큰 작업(백업, 배치, 기동/종료, 장애처리, 매체 관리 등)을 우선하여 운영 절차서를 작성합니다.
- 각 절차서에는 대상 시스템/업무, 사전 준비사항과 전제조건, 단계별 수행 방법, 수행 주체와 필요 권한, 정상 완료 기준, 비정상/오류 상황의 처리와 에스컬레이션 연락체계를 명시합니다.
- 운영 절차서를 조직의 문서관리 체계(버전, 작성/검토/승인자, 개정 이력, 배포 범위)에 편입하여 최신본을 명확히 식별할 수 있도록 관리합니다.
- 담당자가 필요할 때 즉시 열람할 수 있도록 접근 경로와 권한을 정하되, 접근통제와 가용성(예: 오프라인 사본, 비상시 열람 방법)을 함께 고려합니다.
- 시스템/구성/운영 환경 변경 시 변경관리와 연계하여 관련 절차서를 함께 갱신하고, 갱신 내용에 대한 검토/승인을 거치도록 합니다.
- 운영 절차서의 유효성을 정기적으로 검토하여 실제 운영과의 차이를 점검하고, 폐기된 작업의 절차는 제거하며 신규/변경된 작업은 신속히 반영합니다.
- 절차서를 신규 인력 교육과 교대 인수인계의 기준 자료로 활용하여, 운영 지식이 특정 개인에게만 집중되지 않도록 합니다.
증적자료
- 운영 절차서/운영 매뉴얼(백업/복구, 배치, 기동/종료, 장애처리, 매체 처리 등)
- 절차서의 버전/개정 이력 및 작성/검토/승인 기록
- 운영 절차서의 배포/접근 현황(접근 권한 목록, 게시 위치 등)
- 변경관리 기록과 연계된 절차서 갱신 내역
- 운영 절차서 정기 검토 결과 및 개선/보완 기록
- 신규 담당자 교육 및 교대 인수인계에 절차서를 활용한 기록
부적합 사례
- 백업/장애 대응 등 주요 운영 작업이 담당자 개인 지식에만 의존하고 문서화된 절차가 없는 경우
- 운영 절차서가 존재하나 현행화되지 않은 채 방치되어 실제 운영 방식과 다른 경우
- 시스템/구성 변경 이후 관련 운영 절차서가 갱신되지 않아 문서와 운영이 불일치하는 경우
- 절차서에 특정 담당자만 접근할 수 있어 교대 근무나 담당자 부재/비상 시 활용되지 못하는 경우
- 절차서에 버전/승인 관리가 없어 어느 것이 최신본인지 식별할 수 없는 경우
- 절차서에 오류/예외 처리나 에스컬레이션 연락체계가 누락되어 장애 시 대응이 지연되는 경우