A.5.4
경영진 책임
조직적 통제확인사항 6증적 6사례 6
통제 목적
경영진이 정보보안을 조직 운영의 일부로 인식하고, 모든 임직원 및 관련자가 수립된 정보보안 정책, 주제별 정책, 절차에 따라 보안을 실천하도록 공식적으로 요구하게 하는 통제입니다. 경영진의 명확한 방향 제시와 솔선수범이 없으면 정책은 문서로만 남고 현장 실천으로 이어지지 않습니다. 이 통제는 정책 준수를 조직 전반의 책임이자 문화로 확산시키고, 임직원이 자신의 보안 책임을 인지하고 이행하는 데 필요한 자원과 여건을 경영진이 보장하도록 요구합니다.
주요 확인사항
- 경영진이 정보보안 정책 및 절차의 준수를 전 임직원에게 공식적으로 요구하고 그 기대사항을 명확히 전달하고 있는가?
- 신규 입사자 및 직무 변경자에게 역할별 보안 책임을 채용/배치 시점에 안내하는 절차가 마련되어 있는가?
- 임직원이 보안 책임을 이행하는 데 필요한 정책/절차 접근 경로, 교육, 지식/기량을 경영진이 제공하고 있는가?
- 경영진이 정보보안 활동에 필요한 예산, 인력, 시간 등 자원을 배정하고 우선순위를 부여하고 있는가?
- 정책 위반이나 보안 우려를 보고할 수 있는 채널과 위반 시 조치 절차가 마련되어 운영되고 있는가?
- 경영진이 주기적으로 보안 현황을 보고받고 개선 방향을 지시하는 관리 체계가 작동하고 있는가?
이행 지침
- 경영진 명의로 정보보안 정책 준수를 전 임직원에게 지시/공표하고, 준수에 대한 기대사항과 각자의 책임을 문서화하여 전달합니다.
- 채용/계약/배치 시점부터 직무별 보안 책임과 행동수칙을 안내하고, 서약이나 확인을 받아 인지 여부를 점검합니다.
- 임직원이 정책과 절차에 상시 접근할 수 있는 경로를 제공하고, 준수에 필요한 지식과 기량을 교육/훈련으로 갖추게 합니다.
- 정보보안 활동에 필요한 예산, 인력, 도구 등 자원을 배정하고, 경영 의사결정에서 보안에 합당한 우선순위를 부여합니다.
- 정책 위반이나 보안 이슈를 보복 우려 없이 보고할 수 있는 채널을 마련하고, 위반 시 대응 및 재발방지 절차를 규정합니다.
- 경영진이 정기적으로 보안 성과와 이슈를 보고받고 개선을 지시하는 관리 사이클(경영검토 등)을 운영합니다.
증적자료
- 경영진 명의의 정보보안 준수 지시/공표 문서 또는 공지(이메일, 사내 게시 등)
- 정보보안 정책서 및 임직원 배포/열람/서약 기록
- 신규자/직무변경자 대상 보안 책임 안내 자료 및 확인 기록
- 정보보안 교육 계획서 및 이수 현황
- 보안 예산/인력 배정 관련 결재 문서 또는 경영 의사결정 기록
- 경영검토 회의록, 경영진 대상 보안 현황 보고자료
부적합 사례
- 정보보안 정책은 존재하나 경영진의 준수 요구나 승인/공표 기록이 없어 실효성이 확인되지 않는 경우
- 신규 입사자에게 보안 책임을 안내하는 절차가 없어 담당자별 인지 수준이 제각각인 경우
- 보안 교육 예산이나 인력이 배정되지 않아 계획된 교육/활동이 장기간 미실시된 경우
- 정책 위반이 반복 발생하나 경영진 차원의 조치나 재발방지 지시가 없는 경우
- 보안 우려나 위반을 보고할 채널이 없거나, 보고 시 불이익 우려로 사실상 작동하지 않는 경우
- 경영진 보고 체계가 없어 주요 보안 이슈가 최고경영진에게 전달되지 않는 경우