A.5.8
프로젝트 관리에서의 정보보안
조직적 통제확인사항 5증적 5사례 5
통제 목적
프로젝트 관리에서의 정보보안은 프로젝트의 유형/규모/방법론과 관계없이 정보보안을 프로젝트 관리 절차에 내재화하여, 프로젝트 진행 과정과 산출물에서 발생할 수 있는 보안 위험을 초기에 식별하고 처리하기 위한 통제입니다. 이 통제는 조직이 프로젝트 착수/기획 단계부터 정보보안을 고려하고, 단계별로 보안 요구사항을 정의, 반영, 검증하며, 책임을 명확히 배정하도록 요구합니다. 사후 보완에 따르는 비용과 위험을 줄이고, 프로젝트가 조직의 위험 수용 기준에 부합하는 결과물을 산출하도록 하는 것이 목적입니다.
주요 확인사항
- 프로젝트 관리 절차/방법론에 정보보안 활동(위험식별, 요구사항 정의, 검토 시점 등)이 명시적으로 통합되어 있는가?
- 프로젝트 착수/기획 단계에서 정보보안 위험평가를 수행하고 그 결과를 프로젝트 계획에 반영하는가?
- 프로젝트 유형/규모에 따라 적용할 보안 요구사항이 정의되고, 개인정보/규제 대상 정보 취급 여부가 판단되는가?
- 프로젝트 내 정보보안 역할/책임이 배정되고, 주요 단계(게이트/마일스톤)에서 보안 검토/승인이 이루어지는가?
- 프로젝트 종료 시 보안 요구사항 충족 여부를 확인하고, 잔여 위험 및 산출물을 운영 조직에 인계하는가?
이행 지침
- 프로젝트 착수 단계부터 정보보안을 필수 활동으로 포함하도록 프로젝트 관리 절차/체크리스트를 정비하고, 개발/비개발 프로젝트 모두에 적용합니다.
- 프로젝트 초기에 정보보안 위험평가를 수행하여 위협/취약점/영향을 식별하고, 도출된 위험을 프로젝트 위험 관리 및 처리 계획에 통합합니다.
- 프로젝트 성격(신규 시스템 도입, 외부 위탁, 클라우드 전환, 데이터 이관 등)에 맞는 보안 요구사항 및 개인정보보호 요구사항을 정의하여 요건서/설계에 반영합니다.
- 프로젝트 각 단계에 보안 검토 게이트를 두어 설계/구현/시험/이행 전환 시점에 요구사항 충족 여부를 확인하고 필요 시 승인 절차를 거칩니다.
- 정보보안 및 개인정보보호 담당자의 역할/책임을 프로젝트 조직에 명확히 배정하고, 외부 인력/공급자가 참여하는 경우 계약상 보안 요건을 포함합니다.
- 프로젝트 종료 시 보안 요구사항 이행 결과를 검증하고, 잔여 위험/미결 사항/보안 산출물을 문서화하여 운영/유지보수 조직에 인계합니다.
증적자료
- 정보보안 활동이 반영된 프로젝트 관리 절차/방법론/체크리스트
- 프로젝트별 정보보안 위험평가 결과 및 위험 처리 계획
- 프로젝트 보안 요구사항 정의서/요건서(개인정보/규제 요건 포함)
- 단계별 보안 검토/게이트 승인 기록 및 회의록
- 프로젝트 종료 보고서 및 잔여 위험/보안 산출물 인계 문서
부적합 사례
- 프로젝트 관리 절차에 정보보안 활동이 정의되어 있지 않아 프로젝트마다 보안 고려 여부가 담당자 재량에 좌우되는 경우
- 시스템 오픈/이행 직전 단계에 이르러서야 보안 요구사항을 검토하여 재작업/일정 지연이 발생하는 경우
- 개발 프로젝트에만 보안 절차를 적용하고 조직 개편/데이터 이관/클라우드 전환 등 비개발 프로젝트에는 적용하지 않는 경우
- 프로젝트 초기 위험평가를 형식적으로 수행하고 도출된 위험을 프로젝트 계획/처리 방안에 반영하지 않는 경우
- 프로젝트 종료 시 잔여 위험 및 보안 산출물을 운영 조직에 인계하지 않아 운영 단계에서 보안 관리 공백이 발생하는 경우