A.6.3
정보보안 인식제고, 교육 및 훈련
인적 통제확인사항 6증적 6사례 6
통제 목적
모든 인력과 관련 외부자가 자신의 업무에 적용되는 정보보안 정책, 절차, 책임을 이해하고 실천하도록 지속적인 인식 활동과 직무별 교육/훈련을 운영하는 통제입니다. 피싱, 사회공학, 업무상 실수에는 인식 부족뿐 아니라 절차와 업무 환경도 영향을 줄 수 있으므로 교육을 기술적/관리적 보호조치와 함께 적용합니다. 위협과 정책 변화에 맞춰 내용을 갱신하고 효과를 측정하여 일상 업무에서 안전한 판단과 행동을 지원합니다.
주요 확인사항
- 전 임직원 및 관련 외부자를 대상으로 하는 정보보안 인식제고 및 교육 계획이 수립되어 있고, 경영진 승인과 예산으로 뒷받침되고 있는가?
- 신규 입사자에게 채용/배치 초기에 보안 기본 교육을 실시하고, 전 인원에게 조직의 위험, 직무, 정책 및 적용 의무에 따라 정한 주기로 교육을 반복하고 있는가?
- 직무 특성(개발자, 시스템 관리자, 개인정보취급자, 경영진 등)에 따라 차별화된 심화/특화 교육이 제공되고 있는가?
- 교육 내용에 최신 위협(피싱, 랜섬웨어, 사회공학 등)과 정책/법규 개정사항이 반영되어 주기적으로 갱신되는가?
- 교육 이수 여부와 이해도를 확인(출석, 평가, 서약 등)하고 미이수자에 대한 보완 조치를 시행하는가?
- 인식제고 및 교육 활동의 효과를 측정(모의훈련 결과, 사고 추이, 평가 점수 등)하고 그 결과를 다음 계획에 반영하는가?
이행 지침
- 대상(전 임직원, 신규자, 직무별, 외부자)과 주기, 방식(집합/온라인/모의훈련), 내용을 포함한 연간 교육 계획을 수립하고 경영진 승인을 받습니다.
- 신규 입사자에게는 배치 초기에 보안 기본 교육을 실시하고, 전 인원의 정기 교육 주기를 위험, 직무, 정책 및 적용 의무에 따라 정해 기록하며, 위협이나 업무가 바뀌면 추가 교육을 실시합니다.
- 개발/운영/개인정보취급 등 고위험 직무에는 안전한 코딩, 권한 관리, 개인정보 보호 등 직무 특화 심화 교육을 별도로 제공합니다.
- 최신 위협 동향, 실제 사고 사례, 정책 및 관련 법규 개정사항을 교육 콘텐츠에 반영하여 정기적으로 갱신합니다.
- 피싱 모의훈련, 퀴즈, 캠페인, 포스터/뉴스레터 등 반복적이고 다양한 채널을 활용해 인식을 상시 환기합니다.
- 이수 현황과 이해도를 기록/관리하고, 미이수자에 대한 재교육 등 보완 절차를 운영합니다.
- 모의훈련 결과, 보안사고 추이, 평가 점수 등으로 교육 효과를 측정하고 개선점을 다음 계획에 반영합니다.
증적자료
- 연간 정보보안 교육/인식제고 계획서 및 경영진 승인 문서
- 교육 과정별 교재, 커리큘럼, 슬라이드 등 교육 콘텐츠
- 교육 실시 기록: 출석부, 이수 현황, 온라인 수강 이력
- 직무별(개발자, 관리자, 개인정보취급자 등) 특화 교육 자료 및 이수 기록
- 피싱 모의훈련 시나리오 및 결과 보고서
- 교육 효과 측정 자료(평가 결과, 사고 추이 분석, 만족도 조사 등) 및 개선 반영 기록
부적합 사례
- 교육 계획은 있으나 실제 실시 기록이 없거나 일부 인원만 이수하여 전사 인식제고가 확인되지 않는 경우
- 신규 입사자가 상당 기간 보안 교육 없이 업무에 투입되어 기본 보안 수칙을 인지하지 못한 경우
- 매년 동일한 자료로만 교육하여 최신 위협이나 정책/법규 개정사항이 전혀 반영되지 않은 경우
- 개발자, 시스템 관리자 등 고위험 직무에 대한 직무 특화 교육 없이 일반 교육만 실시하는 경우
- 이수 여부만 형식적으로 관리하고 이해도 확인이나 미이수자 보완 조치가 없는 경우
- 피싱 모의훈련 등 효과 측정 활동이 없어 인식제고 활동의 실효성을 확인하거나 개선하지 못하는 경우