ISMS-P 인증 기준 2.12.1.재해, 재난 대비 안전조치 편집하기

[[분류: ISMS-P 인증 기준]]
* '''영역''': [[ISMS-P 인증기준 2.보호대책 요구사항|2.보호대책 요구사항]]
* '''분류''': [[ISMS-P 인증기준 2.12.재해복구|2.12.재해복구]]
== 개요 ==
{| class="wikitable"
!항목
!2.12.1.재해, 재난 대비 안전조치
|-
| style="text-align:center"|'''인증기준'''
|자연재해, 통신·전력 장애, 해킹 등 조직의 핵심 서비스 및 시스템의 운영 연속성을 위협할 수 있는 재해 유형을 식별하고 유형별 예상 피해규모 및 영향을 분석하여야 한다. 또한 복구 목표시간, 복구 목표시점을 정의하고 복구 전략 및 대책, 비상시 복구 조직, 비상연락체계, 복구 절차 등 재해 복구체계를 구축하여야 한다.
|-
|'''주요 확인사항'''
|
* 조직의 핵심 서비스(업무) 연속성을 위협할 수 있는 IT 재해 유형을 식별하고 유형별 피해규모 및 업무에 미치는 영향을 분석하여 핵심 IT 서비스(업무) 및 시스템을 식별하고 있는가?
* 핵심 IT 서비스 및 시스템의 중요도 및 특성에 따른 복구 목표시간, 복구 목표시점을 정의하고 있는가?
* 재해 및 재난 발생 시에도 핵심 서비스 및 시스템의 연속성을 보장할 수 있도록 복구 전략 및 대책, 비상시 복구 조직, 비상연락체계, 복구 절차 등 재해 복구 계획을 수립‧이행하고 있는가?
|}
== 세부 설명 ==

* 조직의 핵심 서비스(업무) 연속성을 위협할 수 있는 IT 재해 유형을 식별하고, 유형별 피해규모 및 업무에 미치는 영향을 분석하여 핵심 IT 서비스(업무) 및 시스템을 식별하여야 한다.
** 자연재해, 해킹, 통신장애 등 조직의 핵심 서비스(업무) 연속성을 위협할 수 있는 IT 재해 유형 식별
<div style='padding:5px 10px; border:1px solid  #ddd; background:#f5f5f5; margin:5px'>>
* ※ IT 서비스 중단을 초래할 수 있는 IT 재해 유형(예시)
* 자연재해 : 화재, 홍수, 지진, 태풍 등
* 외부요인 : 해킹, 통신장애, 정전 등
* 내부요인 : 시스템 결함, 기계적 오류, 사용자 실수, 의도적·악의적 운영, 핵심 운영자 근무 이탈(사망, 병가, 휴가, 이직 등), 환경설정 오류 등</div>
** 다음 사항을 고려하여 재해 유형별 조직의 핵심 서비스(업무) 중단 시 피해규모 및 영향을 분석하여 핵심 IT 서비스 및 시스템을 식별
*** 매출감소, 계약위약금 지급 등 재무적 측면
** 손해배상 소송 등 법적 측면
*** 대외 이미지 하락, 경쟁력 손상 등 정성적 측면
* 핵심 IT 서비스 및 시스템의 중요도 및 특성에 따른 복구 목표시간, 복구 목표시점을 정의하여야 한다.
** IT 서비스 및 시스템 중단시점부터 복구되어 정상가동될 때까지의 복구 목표시간(RTO : Recovery Time Objective)과 데이터가 복구되어야 하는 복구 목표시점(RPO : Recovery Point Objective)을 정의
* 재해·재난 발생 시에도 핵심 서비스 및 시스템의 연속성을 보장할 수 있도록 복구 전략 및 대책, 비상시 복구 조직, 비상연락체계, 복구 절차 등 재해 복구 계획을 수립·이행하여야 한다.
** IT 재해 발생 시 사전 정의한 서비스 및 시스템 복구 목표시간 및 복구 목표시점을 달성할 수 있도록 비용효과적인 복구전략 및 대책 수립
** IT 재해 발생 시 신속한 복구가 가능하도록 다음 내용을 포함한 IT 재해 복구 체계 구축
*** 재해 시 복구조직 및 역할 정의 : IT 재해 발생 시 복구를 위한 관련부서 및 담당자 역할과 책임 부여
** 비상연락체계 : 조직 내 관련 부서 담당자, 유지보수 업체 등 복구 조직상 연락체계 구축
*** 복구 전략 및 대책 수립방법론 : 업무영향분석, 복구 목표시간 및 복구 목표시점 정의, 핵심 IT 서비스 및 시스템 식별 등
** 복구 순서 정의 : 복구 목표 시간별로 정보시스템의 복구 순서 정의
*** 복구 절차 : 재해 발생, 복구 완료, 사후관리 단계 포함
** 개인정보처리자의 경우 화재, 홍수, 단전 등의 재해·재난 발생 시 개인정보처리시스템 보호를 위한 위기대응 매뉴얼 등 대응절차를 마련하고 정기적으로 점검하여야 함(개인정보의 안전성 확보조치 기준 제12조).
<div style='padding:5px 10px; border:1px solid  #ddd; background:#f5f5f5; margin:5px'>
* ※ 개인정보처리시스템 위기대응 매뉴얼 및 백업·복구 계획(예시)
* 개인정보처리시스템 구성 요소(개인정보 보유량, 종류·중요도, 시스템 연계 장비·설비 등)
* 재해·재난 등에 따른 파급효과(개인정보 유출, 손실, 훼손 등) 및 초기대응 방안
* 개인정보처리시스템 백업 및 복구 우선순위, 복구 목표시점, 복구 목표시간
* 개인정보처리시스템 백업 및 복구 방안(복구센터 마련, 백업계약 체결, 비상가동 등)
* 업무분장, 책임 및 역할
* 실제 발생 가능한 사고에 대한 정기적 점검, 사후처리 및 지속관리 등</div>
== 증거 자료 ==
* IT 재해 복구 지침·절차
* IT 재해 복구 계획(RTO, RPO 정의 포함)
* 비상연락망
* 개인정보처리시스템 위기대응 매뉴얼
== 결함 사례 ==
* IT 재해 복구 절차서 내에 IT 재해 복구 조직 및 역할 정의, 비상연락체계, 복구 절차 및 방법 등 중요한 내용이 누락되어 있는 경우
* 비상사태 발생 시 정보시스템의 연속성 확보 및 피해 최소화를 위하여 백업센터를 구축하여 운영하고 있으나, 관련 정책에 백업센터를 활용한 재해 복구 절차 등이 수립되어 있지 않아 재해 복구 시험 및 복구가 효과적으로 진행되기 어려운 경우
* 서비스 운영과 관련된 일부 중요 시스템에 대한 복구 목표시간이 정의되어 있지 않으며, 이에 대한 적절한 복구 대책을 마련하고 있지 않은 경우
* 재해 복구 관련 지침서 등에 IT 서비스 또는 시스템에 대한 복구 우선순위, 복구 목표시간, 복구 목표시점 등이 정의되어 있지 않은 경우
* 현실적 대책 없이 복구 목표시간을 과도 또는 과소하게 설정하고 있거나, 복구 목표시점과 백업정책(대상, 주기 등)이 적절히 연계되지 않아 복구 효과성을 보장할 수 없는 경우
== 같이 보기 ==
* [[정보보호 및 개인정보보호관리체계 인증]]
* [[ISMS-P 인증 기준]]
* [[ISMS-P 인증 기준 세부 점검 항목]]
== 참고 문헌 ==
* 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)
@@ 1번째 줄: / 1번째 줄: @@
 [[분류: ISMS-P 인증 기준]]
+* '''영역''': [[ISMS-P 인증기준 2.보호대책 요구사항|2.보호대책 요구사항]]
-*'''영역''': [[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]
+* '''분류''': [[ISMS-P 인증기준 2.12.재해복구|2.12.재해복구]]
-*'''분류''': [[ISMS-P 인증 기준 2.12.재해복구|2.12.재해복구]]
+== 개요 ==
-==개요==
 {| class="wikitable"
 !항목
 !2.12.1.재해, 재난 대비 안전조치
 |-
-| style="text-align:center" |'''인증기준'''
+| style="text-align:center"|'''인증기준'''
-|자연재해, 통신·전력 장애, 해킹 등 조직의 핵심 서비스 및 시스템의 [[업무 연속성|운영 연속성]]을 위협할 수 있는 재해 유형을 식별하고 유형별 예상 피해규모 및 영향을 분석하여야 한다. 또한 [[RTO|복구 목표시간]], [[RPO|복구 목표시점]]을 정의하고 복구 전략 및 대책, 비상시 복구 조직, 비상연락체계, 복구 절차 등 재해 복구체계를 구축하여야 한다.
+|자연재해, 통신·전력 장애, 해킹 등 조직의 핵심 서비스 및 시스템의 운영 연속성을 위협할 수 있는 재해 유형을 식별하고 유형별 예상 피해규모 및 영향을 분석하여야 한다. 또한 복구 목표시간, 복구 목표시점을 정의하고 복구 전략 및 대책, 비상시 복구 조직, 비상연락체계, 복구 절차 등 재해 복구체계를 구축하여야 한다.
 |-
 |'''주요 확인사항'''
 |
-*조직의 핵심 서비스(업무) 연속성을 위협할 수 있는 IT 재해 유형을 식별하고 유형별 피해규모 및 업무에 미치는 영향을 분석하여 핵심 IT 서비스(업무) 및 시스템을 식별하고 있는가?
+* 조직의 핵심 서비스(업무) 연속성을 위협할 수 있는 IT 재해 유형을 식별하고 유형별 피해규모 및 업무에 미치는 영향을 분석하여 핵심 IT 서비스(업무) 및 시스템을 식별하고 있는가?
-*핵심 IT 서비스 및 시스템의 중요도 및 특성에 따른 복구 목표시간, 복구 목표시점을 정의하고 있는가?
+* 핵심 IT 서비스 및 시스템의 중요도 및 특성에 따른 복구 목표시간, 복구 목표시점을 정의하고 있는가?
-*재해 및 재난 발생 시에도 핵심 서비스 및 시스템의 연속성을 보장할 수 있도록 복구 전략 및 대책, 비상시 복구 조직, 비상연락체계, 복구 절차 등 재해 복구 계획을 수립‧이행하고 있는가?
+* 재해 및 재난 발생 시에도 핵심 서비스 및 시스템의 연속성을 보장할 수 있도록 복구 전략 및 대책, 비상시 복구 조직, 비상연락체계, 복구 절차 등 재해 복구 계획을 수립‧이행하고 있는가?
 |}
-==세부 설명==
+== 세부 설명 ==
-*조직의 핵심 서비스(업무) 연속성을 위협할 수 있는 IT 재해 유형을 식별하고, 유형별 피해규모 및 업무에 미치는 영향을 분석하여 핵심 IT 서비스(업무) 및 시스템을 식별하여야 한다.
-**자연재해, 해킹, 통신장애 등 조직의 핵심 서비스(업무) 연속성을 위협할 수 있는 IT 재해 유형 식별
-<div style="padding:5px 10px; border:1px solid  #ddd; background:#f5f5f5; margin:5px">'''※ IT 서비스 중단을 초래할 수 있는 IT 재해 유형(예시)'''
-*'''자연재해''' : 화재, 홍수, 지진, 태풍 등
-*'''외부요인''' : 해킹, 통신장애, 정전 등
-*'''내부요인''' : 시스템 결함, 기계적 오류, 사용자 실수, 의도적·악의적 운영, 핵심 운영자 근무 이탈(사망, 병가, 휴가, 이직 등), 환경설정 오류 등</div>
-**다음 사항을 고려하여 재해 유형별 조직의 핵심 서비스(업무) 중단 시 피해규모 및 영향을 분석하여 핵심 IT 서비스 및 시스템을 식별
-***매출감소, 계약위약금 지급 등 재무적 측면
-***손해배상 소송 등 법적 측면
-***대외 이미지 하락, 경쟁력 손상 등 정성적 측면
-*핵심 IT 서비스 및 시스템의 중요도 및 특성에 따른 복구 목표시간, 복구 목표시점을 정의하여야 한다.
-**IT 서비스 및 시스템 중단시점부터 복구되어 정상가동될 때까지의 [[RTO|복구 목표시간(RTO : Recovery Time Objective)]]과 [[RPO|데이터가 복구되어야 하는 복구 목표시점(RPO : Recovery Point Objective)]]을 정의
-*재해·재난 발생 시에도 핵심 서비스 및 시스템의 연속성을 보장할 수 있도록 복구 전략 및 대책, 비상시 복구 조직, 비상연락체계, 복구 절차 등 재해 복구 계획을 수립·이행하여야 한다.
-**IT 재해 발생 시 사전 정의한 서비스 및 시스템 복구 목표시간 및 복구 목표시점을 달성할 수 있도록 비용효과적인 복구전략 및 대책 수립
-**IT 재해 발생 시 신속한 복구가 가능하도록 다음 내용을 포함한 IT 재해 복구 체계 구축
-***재해 시 복구조직 및 역할 정의 : IT 재해 발생 시 복구를 위한 관련부서 및 담당자 역할과 책임 부여
-***비상연락체계 : 조직 내 관련 부서 담당자, 유지보수 업체 등 복구 조직상 연락체계 구축
-***복구 전략 및 대책 수립방법론 : 업무영향분석, 복구 목표시간 및 복구 목표시점 정의, 핵심 IT 서비스 및 시스템 식별 등
-***복구 순서 정의 : 복구 목표 시간별로 정보시스템의 복구 순서 정의
-***복구 절차 : 재해 발생, 복구 완료, 사후관리 단계 포함
-**개인정보처리자의 경우 화재, 홍수, 단전 등의 재해·재난 발생 시 개인정보처리시스템 보호를 위한 위기대응 매뉴얼 등 대응절차를 마련하고 정기적으로 점검하여야 함(개인정보의 안전성 확보조치 기준 제12조).
-<div style="padding:5px 10px; border:1px solid  #ddd; background:#f5f5f5; margin:5px">
-'''※ 개인정보처리시스템 위기대응 매뉴얼 및 백업·복구 계획(예시)'''
-*개인정보처리시스템 구성 요소(개인정보 보유량, 종류·중요도, 시스템 연계 장비·설비 등)
-*재해·재난 등에 따른 파급효과(개인정보 유출, 손실, 훼손 등) 및 초기대응 방안
-*개인정보처리시스템 백업 및 복구 우선순위, 복구 목표시점, 복구 목표시간
-*개인정보처리시스템 백업 및 복구 방안(복구센터 마련, 백업계약 체결, 비상가동 등)
-*업무분장, 책임 및 역할
-*실제 발생 가능한 사고에 대한 정기적 점검, 사후처리 및 지속관리 등</div>
-==증거 자료==
-*IT 재해 복구 지침·절차
-*IT 재해 복구 계획(RTO, RPO 정의 포함)
-*비상연락망
-*개인정보처리시스템 위기대응 매뉴얼
-==결함 사례==
-*IT 재해 복구 절차서 내에 IT 재해 복구 조직 및 역할 정의, 비상연락체계, 복구 절차 및 방법 등 '''중요한 내용이 누락'''되어 있는 경우
-*비상사태 발생 시 정보시스템의 연속성 확보 및 피해 최소화를 위하여 백업센터를 구축하여 운영하고 있으나, 관련 정책에 '''백업센터를 활용한 재해 복구 절차 등이 수립되어 있지 않아''' 재해 복구 시험 및 복구가 효과적으로 진행되기 어려운 경우
-*서비스 운영과 관련된 일부 중요 시스템에 대한 복구 목표시간이 정의되어 있지 않으며, 이에 대한 적절한 복구 대책을 마련하고 있지 않은 경우
-*재해 복구 관련 지침서 등에 IT 서비스 또는 시스템에 대한 복구 우선순위, '''복구 목표시간, 복구 목표시점''' 등이 정의되어 있지 않은 경우
-*'''현실적 대책 없이''' 복구 목표시간을 과도 또는 '''과소하게 설정'''하고 있거나, 복구 목표시점과 백업정책(대상, 주기 등)이 적절히 연계되지 않아 복구 '''효과성을 보장할 수 없는 경우'''
-==같이 보기==
-*[[정보보호 및 개인정보보호관리체계 인증]]
-*[[ISMS-P 인증 기준]]
-*[[ISMS-P 인증 기준 세부 점검 항목]]
-*[[재해 복구]]
-*[[RTO]]
-*[[RPO]]
-*[[업무 연속성]]
-*[[업무 연속성 계획]]
-*[[업무 연속성 관리]]
-==참고 문헌==
-*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)
+* 조직의 핵심 서비스(업무) 연속성을 위협할 수 있는 IT 재해 유형을 식별하고, 유형별 피해규모 및 업무에 미치는 영향을 분석하여 핵심 IT 서비스(업무) 및 시스템을 식별하여야 한다.
+** 자연재해, 해킹, 통신장애 등 조직의 핵심 서비스(업무) 연속성을 위협할 수 있는 IT 재해 유형 식별
+<div style='padding:5px 10px; border:1px solid  #ddd; background:#f5f5f5; margin:5px'>>
+* ※ IT 서비스 중단을 초래할 수 있는 IT 재해 유형(예시)
+* 자연재해 : 화재, 홍수, 지진, 태풍 등
+* 외부요인 : 해킹, 통신장애, 정전 등
+* 내부요인 : 시스템 결함, 기계적 오류, 사용자 실수, 의도적·악의적 운영, 핵심 운영자 근무 이탈(사망, 병가, 휴가, 이직 등), 환경설정 오류 등</div>
+** 다음 사항을 고려하여 재해 유형별 조직의 핵심 서비스(업무) 중단 시 피해규모 및 영향을 분석하여 핵심 IT 서비스 및 시스템을 식별
+*** 매출감소, 계약위약금 지급 등 재무적 측면
+** 손해배상 소송 등 법적 측면
+*** 대외 이미지 하락, 경쟁력 손상 등 정성적 측면
+* 핵심 IT 서비스 및 시스템의 중요도 및 특성에 따른 복구 목표시간, 복구 목표시점을 정의하여야 한다.
+** IT 서비스 및 시스템 중단시점부터 복구되어 정상가동될 때까지의 복구 목표시간(RTO : Recovery Time Objective)과 데이터가 복구되어야 하는 복구 목표시점(RPO : Recovery Point Objective)을 정의
+* 재해·재난 발생 시에도 핵심 서비스 및 시스템의 연속성을 보장할 수 있도록 복구 전략 및 대책, 비상시 복구 조직, 비상연락체계, 복구 절차 등 재해 복구 계획을 수립·이행하여야 한다.
+** IT 재해 발생 시 사전 정의한 서비스 및 시스템 복구 목표시간 및 복구 목표시점을 달성할 수 있도록 비용효과적인 복구전략 및 대책 수립
+** IT 재해 발생 시 신속한 복구가 가능하도록 다음 내용을 포함한 IT 재해 복구 체계 구축
+*** 재해 시 복구조직 및 역할 정의 : IT 재해 발생 시 복구를 위한 관련부서 및 담당자 역할과 책임 부여
+** 비상연락체계 : 조직 내 관련 부서 담당자, 유지보수 업체 등 복구 조직상 연락체계 구축
+*** 복구 전략 및 대책 수립방법론 : 업무영향분석, 복구 목표시간 및 복구 목표시점 정의, 핵심 IT 서비스 및 시스템 식별 등
+** 복구 순서 정의 : 복구 목표 시간별로 정보시스템의 복구 순서 정의
+*** 복구 절차 : 재해 발생, 복구 완료, 사후관리 단계 포함
+** 개인정보처리자의 경우 화재, 홍수, 단전 등의 재해·재난 발생 시 개인정보처리시스템 보호를 위한 위기대응 매뉴얼 등 대응절차를 마련하고 정기적으로 점검하여야 함(개인정보의 안전성 확보조치 기준 제12조).
+<div style='padding:5px 10px; border:1px solid  #ddd; background:#f5f5f5; margin:5px'>
+* ※ 개인정보처리시스템 위기대응 매뉴얼 및 백업·복구 계획(예시)
+* 개인정보처리시스템 구성 요소(개인정보 보유량, 종류·중요도, 시스템 연계 장비·설비 등)
+* 재해·재난 등에 따른 파급효과(개인정보 유출, 손실, 훼손 등) 및 초기대응 방안
+* 개인정보처리시스템 백업 및 복구 우선순위, 복구 목표시점, 복구 목표시간
+* 개인정보처리시스템 백업 및 복구 방안(복구센터 마련, 백업계약 체결, 비상가동 등)
+* 업무분장, 책임 및 역할
+* 실제 발생 가능한 사고에 대한 정기적 점검, 사후처리 및 지속관리 등</div>
+== 증거 자료 ==
+* IT 재해 복구 지침·절차
+* IT 재해 복구 계획(RTO, RPO 정의 포함)
+* 비상연락망
+* 개인정보처리시스템 위기대응 매뉴얼
+== 결함 사례 ==
+* IT 재해 복구 절차서 내에 IT 재해 복구 조직 및 역할 정의, 비상연락체계, 복구 절차 및 방법 등 중요한 내용이 누락되어 있는 경우
+* 비상사태 발생 시 정보시스템의 연속성 확보 및 피해 최소화를 위하여 백업센터를 구축하여 운영하고 있으나, 관련 정책에 백업센터를 활용한 재해 복구 절차 등이 수립되어 있지 않아 재해 복구 시험 및 복구가 효과적으로 진행되기 어려운 경우
+* 서비스 운영과 관련된 일부 중요 시스템에 대한 복구 목표시간이 정의되어 있지 않으며, 이에 대한 적절한 복구 대책을 마련하고 있지 않은 경우
+* 재해 복구 관련 지침서 등에 IT 서비스 또는 시스템에 대한 복구 우선순위, 복구 목표시간, 복구 목표시점 등이 정의되어 있지 않은 경우
+* 현실적 대책 없이 복구 목표시간을 과도 또는 과소하게 설정하고 있거나, 복구 목표시점과 백업정책(대상, 주기 등)이 적절히 연계되지 않아 복구 효과성을 보장할 수 없는 경우
+== 같이 보기 ==
+* [[정보보호 및 개인정보보호관리체계 인증]]
+* [[ISMS-P 인증 기준]]
+* [[ISMS-P 인증 기준 세부 점검 항목]]
+== 참고 문헌 ==
+* 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2022.4.)