A.6.8
정보보안 이벤트 보고
인적 통제확인사항 6증적 7사례 6
통제 목적
임직원, 외부자, 사용자가 관찰하거나 의심하는 정보보안 이벤트를 지체 없이 보고할 수 있도록 공식 절차와 채널을 운영하는 통제입니다. 사람의 관찰은 자동 탐지를 보완하므로 무엇을 언제 어떻게 보고할지 명확히 안내하고, 신고 내용을 평가와 대응으로 연결합니다. 선의의 신고자를 보호하여 은폐나 보고 기피를 줄이는 것도 중요한 목적입니다.
주요 확인사항
- 정보보안 이벤트를 신고할 수 있는 공식 창구(핫라인, 이메일, 티켓, 포털 등)와 보고 절차가 정의되어 있고 임직원/외부자가 인지하고 있는가?
- 무엇을 이벤트로 보고해야 하는지 유형과 예시, 판단 기준이 안내되어 있는가?
- 보고 시한(예: 인지 즉시 또는 정해진 시간 내)과 보고 시 포함해야 할 정보(발생 시각, 대상, 현상, 조치 여부 등)가 규정되어 있는가?
- 선의의 보고자에 대한 비밀 유지와 불이익 금지(보고자 보호)가 정책으로 보장되는가?
- 접수된 이벤트가 사고 평가/분류/대응 절차(A.5.24 이후)로 연결되고, 신고자에게 기밀성과 조사 필요를 고려한 피드백을 제공하는가?
- 외부자, 협력사, 이용자 등 조직 구성원이 아닌 대상에게도 보고 채널과 방법이 제공되는가?
이행 지침
- 계정 침해 의심, 악성코드, 분실, 피싱, 접근 오류, 유출 징후, 취약점 등 신고 대상을 사례와 함께 안내합니다. 신고자에게는 허가 없이 취약점을 재현하거나 다른 정보에 접근하여 확인하지 말고 관찰한 사실을 전달하도록 안내합니다.
- 접근이 쉬운 단일 보고 창구(핫라인, 전용 메일, 사내 포털, 티켓 시스템 등)를 마련하고, 근무 시간 외/긴급 상황을 위한 연락 체계도 함께 운영합니다.
- 보고 시 기록할 최소 정보 항목과 표준 양식을 제공하여 누구나 간단하고 신속하게 보고할 수 있도록 합니다.
- 선의의 보고자를 보호하는 정책(비밀 유지, 불이익 금지, 필요 시 익명 보고)을 수립하고 이를 구성원에게 공지합니다.
- 접수된 이벤트를 사고 관리 절차에 연결하여 평가/분류/대응(A.5.24, A.5.25, A.5.26)하고 접수 사실을 회신합니다. 결과 피드백은 개인정보, 기밀성 및 조사에 미치는 영향을 고려하여 공개 가능한 범위로 제한합니다.
- 인식제고 교육(A.6.3)에 보고 방법과 예시를 포함하고, 모의 훈련(피싱 훈련 등)으로 실제 보고가 작동하는지 점검합니다.
- 외부자/협력사 계약과 이용자 안내에 보고 의무와 채널을 명시하여 보고 대상을 조직 내부로 한정하지 않습니다.
증적자료
- 정보보안 이벤트 보고 절차서/지침 및 보고 양식
- 보고 창구(핫라인, 전용 메일, 포털, 티켓 시스템 등) 구성 내역 및 안내 공지
- 이벤트 접수/처리 대장, 티켓 이력 및 사고관리 절차로의 연계 기록
- 보고자 보호 정책(비밀 유지/불이익 금지/익명 보고) 문서
- 임직원/외부자 대상 보고 방법 교육 자료 및 이수 기록
- 피싱 모의훈련 등 보고 훈련 결과 및 개선 기록
- 보고자에 대한 접수 확인/처리 결과 회신 내역
부적합 사례
- 보고 창구는 존재하나 임직원/외부자에게 공지되지 않아 실제로 어디에 어떻게 보고해야 하는지 모르는 경우
- 무엇을 이벤트로 보고해야 하는지 유형/기준/예시가 없어 보고 여부가 개인 판단에 맡겨진 경우
- 이벤트가 보고되어도 사고 평가/분류/대응 절차로 연결되지 않고 접수 후 방치되는 경우
- 선의의 보고자 보호 정책이 없어 불이익 우려로 은폐/미보고가 발생하는 경우
- 외부자/협력사/이용자에게는 보고 채널이 제공되지 않아 조직 외부에서 인지한 이벤트가 접수되지 못하는 경우
- 보고 시한이나 기록 항목이 정해져 있지 않아 접수 시각/내용이 남지 않고 대응이 지연되는 경우