ISMS-P 인증 기준 세부 점검 항목: Difference between revisions

From IT Wiki
(새 문서: * 2019년 1월 17일 기준 == 관리체계 수립 및 운영 == 16개 항목, 42개 세부항목 {| class="wikitable sortable" ! colspan="2" |분야 ! colspan="2" |항목 !상세내...)
 
Tag: Manual revert
 
(13 intermediate revisions by 4 users not shown)
Line 1: Line 1:
* 2019년 1월 17일 기준
*'''상위 문서: [[ISMS-P 인증 기준]]'''
*2023년 10월 31일 기준 (현재 기준 최신)


== 관리체계 수립 및 운영 ==
==[[ISMS-P 인증 기준 1.관리체계 수립 및 운영|1. 관리체계 수립 및 운영]]==
16개 항목, 42개 세부항목
'''[[ISMS-P 인증 기준 1.1.관리체계 기반 마련|1.1.관리체계 기반 마련]]'''
{| class="wikitable sortable"
 
! colspan="2" |분야
*[[ISMS-P 인증 기준 1.1.1.경영진의 참여|1.1.1.경영진의 참여]]
! colspan="2" |항목
*[[ISMS-P 인증 기준 1.1.2.최고책임자의 지정|1.1.2.최고책임자의 지정]]
!상세내용
*[[ISMS-P 인증 기준 1.1.3.조직 구성|1.1.3.조직 구성]]
!주요 확인사항
*[[ISMS-P 인증 기준 1.1.4.범위 설정|1.1.4.범위 설정]]
|-
*[[ISMS-P 인증 기준 1.1.5.정책 수립|1.1.5.정책 수립]]
| rowspan="17" |1.1.
*[[ISMS-P 인증 기준 1.1.6.자원 할당|1.1.6.자원 할당]]
| rowspan="17" |관리체계 기반 마련
 
| rowspan="2" |1.1.1
'''[[ISMS-P 인증 기준 1.2.위험 관리|1.2.위험 관리]]'''
| rowspan="2" |경영진의 참여
 
| rowspan="2" |최고경영자는 정보보호 및  개인정보보호 관리체계의 수립과 운영활동 전반에 경영진의 참여가 이루어질 수 있도록 보고 및 의사결정 체계를 수립하여 운영하여야 한다.
*[[ISMS-P 인증 기준 1.2.1.정보자산 식별|1.2.1.정보자산 식별]]
|정보보호  및 개인정보보호 관리체계의 수립 및 운영활동 전반에 경영진의 참여가 이루어질 수 있도록 보고 및 의사결정 등의 책임과 역할을 문서화하고  있는가?
*[[ISMS-P 인증 기준 1.2.2.현황 및 흐름분석|1.2.2.현황 및 흐름분석]]
|-
*[[ISMS-P 인증 기준 1.2.3.위험 평가|1.2.3.위험 평가]]
|경영진이  정보보호 및 개인정보보호 활동에 관한 의사결정에 적극적으로 참여할 수 있는 보고, 검토 및 승인 절차를 수립∙이행하고 있는가?
*[[ISMS-P 인증 기준 1.2.4.보호대책 선정|1.2.4.보호대책 선정]]
|-
 
| rowspan="2" |1.1.2
'''[[ISMS-P 인증 기준 1.3.관리체계 운영|1.3.관리체계 운영]]'''
| rowspan="2" |최고책임자의  지정
 
| rowspan="2" |최고경영자는  정보보호 업무를 총괄하는 정보보호 최고책임자와 개인정보보호 업무를 총괄하는 개인정보보호 책임자를 예산·인력 등 자원을 할당할 수 있는  임원급으로 지정하여야 한다.
*[[ISMS-P 인증 기준 1.3.1.보호대책 구현|1.3.1.보호대책 구현]]
|최고경영자는  정보보호 및 개인정보보호 처리에 관한 업무를 총괄하여 책임질 최고책임자를 공식적으로 지정하고 있는가?
*[[ISMS-P 인증 기준 1.3.2.보호대책 공유|1.3.2.보호대책 공유]]
|-
*[[ISMS-P 인증 기준 1.3.3.운영현황 관리|1.3.3.운영현황 관리]]
|정보보호  최고책임자 및 개인정보 보호책임자는 예산, 인력 등 자원을 할당할 수 있는 임원급으로 지정하고 있으며 관련 법령에 따른 자격요건을 충족하고  있는가?
 
|-
'''[[ISMS-P 인증 기준 1.4.관리체계 점검 및 개선|1.4.관리체계 점검 및 개선]]'''
| rowspan="3" |1.1.3
 
| rowspan="3" |조직  구성
*[[ISMS-P 인증 기준 1.4.1.법적 요구사항 준수 검토|1.4.1.법적 요구사항 준수 검토]]
| rowspan="3" |최고경영자는  정보보호와 개인정보보호의 효과적 구현을 위한 실무조직, 조직 전반의 정보보호와 개인정보보호 관련 주요 사항을 검토 및 의결할 수 있는  위원회, 전사적 보호활동을 위한 부서별 정보보호와 개인정보보호 담당자로 구성된 협의체를 구성하여 운영하여야 한다.
*[[ISMS-P 인증 기준 1.4.2.관리체계 점검|1.4.2.관리체계 점검]]
|정보보호  최고책임자 및 개인정보 보호책임자의 업무를 지원하고 조직의 정보보호 및 개인정보보호 활동을 체계적으로 이행하기 위해 전문성을 갖춘  실무조직을 구성하여 운영하고 있는가?
*[[ISMS-P 인증 기준 1.4.3.관리체계 개선|1.4.3.관리체계 개선]]
|-
 
|조직  전반에 걸친 중요한 정보보호 및 개인정보보호 관련사항에 대하여 검토, 승인 및 의사결정을 할 수 있는 위원회를 구성하여 운영하고 있는가?
==[[ISMS-P 인증 기준 2.보호대책 요구사항|2.보호대책 요구사항]]==
|-
'''[[ISMS-P 인증 기준 2.1.정책, 조직, 자산 관리|2.1.정책, 조직, 자산 관리]]'''
|전사적  정보보호 및 개인정보보호 활동을 위하여 정보보호 및 개인정보보호 관련 담당자 및 부서별 담당자로 구성된 실무 협의체를 구성하여 운영하고  있는가?
 
|-
*[[ISMS-P 인증 기준 2.1.1.정책의 유지관리|2.1.1.정책의 유지관리]]
| rowspan="3" |1.1.4
*[[ISMS-P 인증 기준 2.1.2.조직의 유지관리|2.1.2.조직의 유지관리]]
| rowspan="3" |범위  설정
*[[ISMS-P 인증 기준 2.1.3.정보자산 관리|2.1.3.정보자산 관리]]
| rowspan="3" |조직의  핵심 서비스와 개인정보 처리 현황 등을 고려하여 관리체계 범위를 설정하고, 관련된 서비스를 비롯하여 개인정보 처리 업무와 조직, 자산,  물리적 위치 등을 문서화하여야 한다.
 
|조직의 핵심 서비스 및 개인정보 처리에 영향을 줄 수 있는 핵심자산을 포함하도록 관리체계 범위를 설정하고 있는가?
'''[[ISMS-P 인증 기준 2.2.인적 보안|2.2.인적 보안]]'''
|-
 
|정의된  범위 내에서 예외사항이 있을 경우 명확한 사유 및 관련자 협의‧책임자 승인 등 관련 근거를 기록･관리하고 있는가?
*[[ISMS-P 인증 기준 2.2.1.주요 직무자 지정 및 관리|2.2.1.주요 직무자 지정 및 관리]]
|-
*[[ISMS-P 인증 기준 2.2.2.직무 분리|2.2.2.직무 분리]]
|정보보호  및 개인정보보호 관리체계 범위를 명확히 확인할 수 있도록 관련된 내용(주요 서비스 및 업무 현황, 정보시스템 목록, 문서목록 등)이 포함된  문서를 작성하여 관리하고 있는가?
*[[ISMS-P 인증 기준 2.2.3.보안 서약|2.2.3.보안 서약]]
|-
*[[ISMS-P 인증 기준 2.2.4.인식제고 및 교육훈련|2.2.4.인식제고 및 교육훈련]]
| rowspan="4" |1.1.5
*[[ISMS-P 인증 기준 2.2.5.퇴직 및 직무변경 관리|2.2.5.퇴직 및 직무변경 관리]]
| rowspan="4" |정책  수립
*[[ISMS-P 인증 기준 2.2.6.보안 위반 시 조치|2.2.6.보안 위반 시 조치]]
| rowspan="4" |정보보호와  개인정보보호 정책 및 시행문서를 수립·작성하며, 이때 조직의 정보보호와 개인정보보호 방침 및 방향을 명확하게 제시하여야 한다. 또한 정책과  시행문서는 경영진 승인을 받고, 임직원 및 관련자에게 이해하기 쉬운 형태로 전달하여야 한다.
 
|조직이  수행하는 모든 정보보호 및 개인정보보호 활동의 근거를 포함하는 최상위 수준의 정보보호 및 개인정보보호 정책을 수립하였는가?
'''[[ISMS-P 인증 기준 2.3.외부자 보안|2.3.외부자 보안]]'''
|-
 
|정보보호  및 개인정보보호 정책의 시행을 위하여 필요한 세부적인 방법, 절차, 주기 등을 규정한 지침, 절차, 매뉴얼 등을 수립하고 있는가?
*[[ISMS-P 인증 기준 2.3.1.외부자 현황 관리|2.3.1.외부자 현황 관리]]
|-
*[[ISMS-P 인증 기준 2.3.2.외부자 계약 시 보안|2.3.2.외부자 계약 시 보안]]
|정보보호  및 개인정보보호 정책∙시행문서의 제∙개정 시 최고경영자 또는 최고경영자로부터 권한을 위임받은 자의 승인을 받고 있는가
*[[ISMS-P 인증 기준 2.3.3.외부자 보안 이행 관리|2.3.3.외부자 보안 이행 관리]]
|-
*[[ISMS-P 인증 기준 2.3.4.외부자 계약 변경 및 만료 시 보안|2.3.4.외부자 계약 변경 및 만료 시 보안]]
|정보보호  및 개인정보보호 정책∙시행문서의 최신본을 관련 임직원에게 접근하기 쉬운 형태로 제공하고 있는가?
 
|-
'''[[ISMS-P 인증 기준 2.4.물리 보안|2.4.물리 보안]]'''
| rowspan="3" |1.1.6
 
| rowspan="3" |자원  할당
*[[ISMS-P 인증 기준 2.4.1.보호구역 지정|2.4.1.보호구역 지정]]
| rowspan="3" |최고경영자는  정보보호와 개인정보보호 분야별 전문성을 갖춘 인력을 확보하고, 관리체계의 효과적 구현과 지속적 운영을 위한 예산 및 자원을 할당하여야  한다.
*[[ISMS-P 인증 기준 2.4.2.출입통제|2.4.2.출입통제]]
|정보보호  및 개인정보보호 분야별 전문성을 갖춘 인력을 확보하고 있는가?
*[[ISMS-P 인증 기준 2.4.3.정보시스템 보호|2.4.3.정보시스템 보호]]
|-
*[[ISMS-P 인증 기준 2.4.4.보호설비 운영|2.4.4.보호설비 운영]]
|정보보호  및 개인정보보호 관리체계의 효과적 구현과 지속적 운영을 위해 필요한 자원을 평가하여 필요한 예산과 인력을 지원하고 있는가?
*[[ISMS-P 인증 기준 2.4.5.보호구역 내 작업|2.4.5.보호구역 내 작업]]
|-
*[[ISMS-P 인증 기준 2.4.6.반출입 기기 통제|2.4.6.반출입 기기 통제]]
|연도별  정보보호 및 개인정보보호 업무 세부추진 계획을 수립·시행하고 그 추진결과에 대한 심사분석·평가를 실시하는가?
*[[ISMS-P 인증 기준 2.4.7.업무환경 보안|2.4.7.업무환경 보안]]
|-
 
| rowspan="13" |1.2.  
'''[[ISMS-P 인증 기준 2.5.인증 및 권한관리|2.5.인증 및 권한관리]]'''
| rowspan="13" |위험  관리
 
| rowspan="3" |1.2.1
*[[ISMS-P 인증 기준 2.5.1.사용자 계정 관리|2.5.1.사용자 계정 관리]]
| rowspan="3" |정보자산  식별
*[[ISMS-P 인증 기준 2.5.2.사용자 식별|2.5.2.사용자 식별]]
| rowspan="3" |조직의  업무특성에 따라 정보자산 분류기준을 수립하여 관리체계 범위 내 모든 정보자산을 식별·분류하고, 중요도를 산정한 후 그 목록을 최신으로  관리하여야 한다.
*[[ISMS-P 인증 기준 2.5.3.사용자 인증|2.5.3.사용자 인증]]
|정보자산의  분류기준을 수립하고 정보보호 및 개인정보보호 관리체계 범위 내의 모든 자산을 식별하여 목록으로 관리하고 있는가?
*[[ISMS-P 인증 기준 2.5.4.비밀번호 관리|2.5.4.비밀번호 관리]]
|-
*[[ISMS-P 인증 기준 2.5.5.특수 계정 및 권한 관리|2.5.5.특수 계정 및 권한 관리]]
|식별된  정보자산에 대해 법적 요구사항 및 업무에 미치는 영향 등을 고려하여 중요도를 결정하고 보안등급을 부여하고 있는가?
*[[ISMS-P 인증 기준 2.5.6.접근권한 검토|2.5.6.접근권한 검토]]
|-
 
|정기적으로  정보자산 현황을 조사하여 정보자산목록을 최신으로 유지하고 있는가?
'''[[ISMS-P 인증 기준 2.6.접근통제|2.6.접근통제]]'''
|-
 
| rowspan="3" |1.2.2
*[[ISMS-P 인증 기준 2.6.1.네트워크 접근|2.6.1.네트워크 접근]]
| rowspan="3" |현황  및 흐름분석
*[[ISMS-P 인증 기준 2.6.2.정보시스템 접근|2.6.2.정보시스템 접근]]
| rowspan="3" |관리체계  전 영역에 대한 정보서비스 및 개인정보 처리 현황을 분석하고 업무 절차와 흐름을 파악하여 문서화하며, 이를 주기적으로 검토하여 최신성을  유지하여야 한다.
*[[ISMS-P 인증 기준 2.6.3.응용프로그램 접근|2.6.3.응용프로그램 접근]]
|관리체계  전 영역에 대한 정보서비스 현황을 식별하고 업무 절차와 흐름을 파악하여 문서화하고 있는가?
*[[ISMS-P 인증 기준 2.6.4.데이터베이스 접근|2.6.4.데이터베이스 접근]]
|-
*[[ISMS-P 인증 기준 2.6.5.무선 네트워크 접근|2.6.5.무선 네트워크 접근]]
|관리체계  범위 내 개인정보 처리 현황을 식별하고 개인정보의 흐름을 파악하여 개인정보흐름도 등으로 문서화하고 있는가?
*[[ISMS-P 인증 기준 2.6.6.원격접근 통제|2.6.6.원격접근 통제]]
|-
*[[ISMS-P 인증 기준 2.6.7.인터넷 접속 통제|2.6.7.인터넷 접속 통제]]
|서비스  및 업무, 정보자산 등의 변화에 따른 업무절차 및 개인정보 흐름을 주기적으로 검토하여 흐름도 등 관련 문서의 최신성을 유지하고 있는가?
 
|-
'''[[ISMS-P 인증 기준 2.7.암호화 적용|2.7.암호화 적용]]'''
| rowspan="5" |1.2.3
 
| rowspan="5" |위험  평가
*[[ISMS-P 인증 기준 2.7.1.암호정책 적용|2.7.1.암호정책 적용]]
| rowspan="5" |조직의  대내외 환경분석을 통해 유형별 위협정보를 수집하고 조직에 적합한 위험 평가 방법을 선정하여 관리체계 전 영역에 대하여 연 1회 이상 위험을  평가하며, 수용할 수 있는 위험은 경영진의 승인을 받아 관리하여야 한다.
*[[ISMS-P 인증 기준 2.7.2.암호키 관리|2.7.2.암호키 관리]]
|조직  또는 서비스의 특성에 따라 다양한 측면에서 발생할 수 있는 위험을 식별하고 평가할 수 있는 방법을 정의하고 있는가?
 
|-
'''[[ISMS-P 인증 기준 2.8.정보시스템 도입 및 개발 보안|2.8.정보시스템 도입 및 개발 보안]]'''
|위험관리  방법 및 절차(수행인력, 기간, 대상, 방법, 예산 등)를 구체화한 위험관리계획을 매년 수립하고 있는가?
 
|-
*[[ISMS-P 인증 기준 2.8.1.보안 요구사항 정의|2.8.1.보안 요구사항 정의]]
|위험관리계획에  따라 연 1회 이상 정기적으로 또는 필요한 시점에 위험평가를 수행하고 있는가?
*[[ISMS-P 인증 기준 2.8.2.보안 요구사항 검토 및 시험|2.8.2.보안 요구사항 검토 및 시험]]
|-
*[[ISMS-P 인증 기준 2.8.3.시험과 운영 환경 분리|2.8.3.시험과 운영 환경 분리]]
|조직에서  수용 가능한 목표 위험수준을 정하고 그 수준을 초과하는 위험을 식별하고 있는가?
*[[ISMS-P 인증 기준 2.8.4.시험 데이터 보안|2.8.4.시험 데이터 보안]]
|-
*[[ISMS-P 인증 기준 2.8.5.소스 프로그램 관리|2.8.5.소스 프로그램 관리]]
|위험식별  및 평가 결과를 경영진에게 보고하고 있는가?
*[[ISMS-P 인증 기준 2.8.6.운영환경 이관|2.8.6.운영환경 이관]]
|-
 
| rowspan="2" |1.2.4
'''[[ISMS-P 인증 기준 2.9.시스템 및 서비스 운영관리|2.9.시스템 및 서비스 운영관리]]'''
| rowspan="2" |보호대책  선정
 
| rowspan="2" |위험  평가 결과에 따라 식별된 위험을 처리하기 위하여 조직에 적합한 보호대책을 선정하고, 보호대책의 우선순위와 일정·담당자·예산 등을 포함한  이행계획을 수립하여 경영진의 승인을 받아야 한다.
*[[ISMS-P 인증 기준 2.9.1.변경관리|2.9.1.변경관리]]
|식별된  위험에 대한 처리 전략(감소, 회피, 전가, 수용 등)을 수립하고 위험처리를 위한 보호대책을 선정하고 있는가?
*[[ISMS-P 인증 기준 2.9.2.성능 및 장애관리|2.9.2.성능 및 장애관리]]
|-
*[[ISMS-P 인증 기준 2.9.3.백업 및 복구관리|2.9.3.백업 및 복구관리]]
|보호대책의  우선순위를 고려하여 일정, 담당부서 및 담당자, 예산 등의 항목을 포함한 보호대책 이행계획을 수립하고 경영진에 보고하고 있는가?
*[[ISMS-P 인증 기준 2.9.4.로그 및 접속기록 관리|2.9.4.로그 및 접속기록 관리]]
|-
*[[ISMS-P 인증 기준 2.9.5.로그 및 접속기록 점검|2.9.5.로그 및 접속기록 점검]]
| rowspan="6" |1.3.  
*[[ISMS-P 인증 기준 2.9.6.시간 동기화|2.9.6.시간 동기화]]
| rowspan="6" |관리체계  운영
*[[ISMS-P 인증 기준 2.9.7.정보자산의 재사용 및 폐기|2.9.7.정보자산의 재사용 및 폐기]]
| rowspan="2" |1.3.1
 
| rowspan="2" |보호대책  구현
'''[[ISMS-P 인증 기준 2.10.시스템 및 서비스 보안관리|2.10.시스템 및 서비스 보안관리]]'''
| rowspan="2" |선정한  보호대책은 이행계획에 따라 효과적으로 구현하고, 경영진은 이행결과의 정확성과 효과성 여부를 확인하여야 한다.
 
|이행계획에  따라 보호대책을 효과적으로 구현하고 이행결과의 정확성 및 효과성 여부를 경영진이 확인할 수 있도록 보고하고 있는가?
*[[ISMS-P 인증 기준 2.10.1.보안시스템 운영|2.10.1.보안시스템 운영]]
|-
*[[ISMS-P 인증 기준 2.10.2.클라우드 보안|2.10.2.클라우드 보안]]
|관리체계  인증기준 별로 보호대책 구현 및 운영 현황을 기록한 운영명세서를 구체적으로 작성하고 있는가?
*[[ISMS-P 인증 기준 2.10.3.공개서버 보안|2.10.3.공개서버 보안]]
|-
*[[ISMS-P 인증 기준 2.10.4.전자거래 및 핀테크 보안|2.10.4.전자거래 및 핀테크 보안]]
| rowspan="2" |1.3.2
*[[ISMS-P 인증 기준 2.10.5.정보전송 보안|2.10.5.정보전송 보안]]
| rowspan="2" |보호대책  공유
*[[ISMS-P 인증 기준 2.10.6.업무용 단말기기 보안|2.10.6.업무용 단말기기 보안]]
| rowspan="2" |보호대책의  실제 운영 또는 시행할 부서 및 담당자를 파악하여 관련 내용을 공유하고 교육하여 지속적으로 운영되도록 하여야 한다.
*[[ISMS-P 인증 기준 2.10.7.보조저장매체 관리|2.10.7.보조저장매체 관리]]
|구현된  보호대책을 운영 또는 시행할 부서 및 담당자를 명확하게 파악하고 있는가?
*[[ISMS-P 인증 기준 2.10.8.패치관리|2.10.8.패치관리]]
|-
*[[ISMS-P 인증 기준 2.10.9.악성코드 통제|2.10.9.악성코드 통제]]
|구현된  보호대책을 운영 또는 시행할 부서 및 담당자에게 관련 내용을 공유 또는 교육하고 있는가?
 
|-
'''[[ISMS-P 인증 기준 2.11.사고 예방 및 대응|2.11.사고 예방 및 대응]]'''
| rowspan="2" |1.3.3
 
| rowspan="2" |운영현황  관리
*[[ISMS-P 인증 기준 2.11.1.사고 예방 및 대응체계 구축|2.11.1.사고 예방 및 대응체계 구축]]
| rowspan="2" |조직이  수립한 관리체계에 따라 상시적 또는 주기적으로 수행하여야 하는 운영활동 및 수행 내역은 식별 및 추적이 가능하도록 기록하여 관리하고,  경영진은 주기적으로 운영활동의 효과성을 확인하여 관리하여야 한다.
*[[ISMS-P 인증 기준 2.11.2.취약점 점검 및 조치|2.11.2.취약점 점검 및 조치]]
|관리체계  운영을 위해 주기적 또는 상시적으로 수행해야 하는 정보보호 및 개인정보보호 활동을 문서화하여 관리하고 있는가?
*[[ISMS-P 인증 기준 2.11.3.이상행위 분석 및 모니터링|2.11.3.이상행위 분석 및 모니터링]]
|-
*[[ISMS-P 인증 기준 2.11.4.사고 대응 훈련 및 개선|2.11.4.사고 대응 훈련 및 개선]]
|경영진은  주기적으로 관리체계 운영활동의 효과성을 확인하고 이를 관리하고 있는가?
*[[ISMS-P 인증 기준 2.11.5.사고 대응 및 복구|2.11.5.사고 대응 및 복구]]
|-
 
| rowspan="6" |1.4.  
'''[[ISMS-P 인증 기준 2.12.재해복구|2.12.재해복구]]'''
| rowspan="6" |관리체계  점검 및 개선
 
| rowspan="2" |1.4.1
*[[ISMS-P 인증 기준 2.12.1.재해, 재난 대비 안전조치|2.12.1.재해, 재난 대비 안전조치]]
| rowspan="2" |법적  요구사항 준수 검토
*[[ISMS-P 인증 기준 2.12.2.재해 복구 시험 및 개선|2.12.2.재해 복구 시험 및 개선]]
| rowspan="2" |조직이  준수하여야 할 정보보호 및 개인정보보호 관련 법적 요구사항을 주기적으로 파악하여 규정에 반영하고, 준수 여부를 지속적으로 검토하여야 한다.
 
|조직이  준수하여야 하는 정보보호 및 개인정보보호 관련 법적 요구사항을 파악하여 최신성을 유지하고 있는가?
==[[ISMS-P 인증 기준 3.개인정보 처리단계별 요구사항|3.개인정보 처리단계별 요구사항]]==
|-
'''[[ISMS-P 인증 기준 3.1.개인정보 수집 시 보호조치|3.1.개인정보 수집 시 보호조치]]'''
|법적  요구사항의 준수여부를 연 1회 이상 정기적으로 검토하고 있는가?
 
|-
*[[ISMS-P 인증 기준 3.1.1.개인정보 수집∙이용|3.1.1.개인정보 수집∙이용]]
| rowspan="2" |1.4.2
*[[ISMS-P 인증 기준 3.1.2.개인정보 수집 제한|3.1.2.개인정보 수집 제한]]
| rowspan="2" |관리체계  점검
*[[ISMS-P 인증 기준 3.1.3.주민등록번호 처리 제한|3.1.3.주민등록번호 처리 제한]]
| rowspan="2" |관리체계가  내부 정책 및 법적 요구사항에 따라 효과적으로 운영되고 있는지 독립성과 전문성이 확보된 인력을 구성하여 연 1회 이상 점검하고, 발견된  문제점을 경영진에게 보고하여야 한다.
*[[ISMS-P 인증 기준 3.1.4.민감정보 및 고유식별정보의 처리 제한|3.1.4.민감정보 및 고유식별정보의 처리 제한]]
|법적  요구사항 및 수립된 정책에 따라 정보보호 및 개인정보보호 관리체계가 효과적으로 운영되는지를 점검하기 위한 관리체계 점검기준, 범위, 주기,  점검인력 자격요건 등을 포함한 관리체계 점검 계획을 수립하고 있는가?
*[[ISMS-P 인증 기준 3.1.5.간접수집 보호조치|3.1.5.개인정보 간접수집]]
|-
*[[ISMS-P 인증 기준 3.1.6.영상정보처리기기 설치·운영|3.1.6.영상정보처리기기 설치·운영]]
|관리체계  점검 계획에 따라 독립성, 객관성 및 전문성이 확보된 인력을 구성하여 연 1회 이상 점검을 수행하고 발견된 문제점을 경영진에게 보고하고  있는가?
*[[ISMS-P 인증 기준 3.1.7.홍보 및 마케팅 목적 활용 시 조치|3.1.7.홍보 및 마케팅 목적 활용 시 조치]]
|-
 
| rowspan="2" |1.4.3
'''[[ISMS-P 인증 기준 3.2.개인정보 보유 및 이용 시 보호조치|3.2.개인정보 보유 및 이용 시 보호조치]]'''
| rowspan="2" |관리체계  개선
 
| rowspan="2" |법적  요구사항 준수검토 및 관리체계 점검을 통해 식별된 관리체계상의 문제점에 대한 원인을 분석하고 재발방지 대책을 수립·이행하여야 하며,  경영진은 개선 결과의 정확성과 효과성 여부를 확인하여야 한다.
*[[ISMS-P 인증 기준 3.2.1.개인정보 현황관리|3.2.1.개인정보 현황관리]]
|법적  요구사항 준수검토 및 관리체계 점검을 통해 식별된 관리체계 상의 문제점에 대한 근본 원인을 분석하여 재발방지 및 개선 대책을 수립‧이행하고  있는가?
*[[ISMS-P 인증 기준 3.2.2.개인정보 품질보장|3.2.2.개인정보 품질보장]]
|-
*[[ISMS-P 인증 기준 3.2.4.이용자 단말기 접근 보호|3.2.3.이용자 단말기 접근 보호]]
|재발방지  및 개선 결과의 정확성 및 효과성 여부를 확인하기 위한 기준과 절차를 마련하였는가?
*[[ISMS-P 인증 기준 3.2.4.개인정보 목적 외 이용 및 제공|3.2.4.개인정보 목적 외 이용 및 제공]]
|}
*[[ISMS-P 인증 기준 3.2.5.가명정보 처리|3.2.5.가명정보 처리]]
 
'''[[ISMS-P 인증 기준 3.3.개인정보 제공 시 보호조치|3.3.개인정보 제공 시 보호조치]]'''
 
*[[ISMS-P 인증 기준 3.3.1.개인정보 제3자 제공|3.3.1.개인정보 제3자 제공]]
*[[ISMS-P 인증 기준 3.3.2.개인정보 처리 업무 위탁|3.3.2.개인정보 처리 업무 위탁]]
*[[ISMS-P 인증 기준 3.3.3.영업의 양도 등에 따른 개인정보 이전|3.3.3.영업의 양도 등에 따른 개인정보 이전]]
*[[ISMS-P 인증 기준 3.3.4.개인정보의 국외이전|3.3.4.개인정보의 국외이전]]
 
'''[[ISMS-P 인증 기준 3.4.개인정보 파기 시 보호조치|3.4.개인정보 파기 시 보호조치]]'''
 
*[[ISMS-P 인증 기준 3.4.1.개인정보의 파기|3.4.1.개인정보의 파기]]
*[[ISMS-P 인증 기준 3.4.2.처리목적 달성 후 보유 시 조치|3.4.2.처리목적 달성 후 보유 시 조치]]
 
'''[[ISMS-P 인증 기준 3.5.정보주체 권리보호|3.5.정보주체 권리보호]]'''
 
*[[ISMS-P 인증 기준 3.5.1.개인정보처리방침 공개|3.5.1.개인정보 처리방침 공개]]
*[[ISMS-P 인증 기준 3.5.2.정보주체 권리보장|3.5.2.정보주체 권리보장]]
*[[ISMS-P 인증 기준 3.5.3.정보주체에 대한 통지|3.5.3.정보주체에 대한 통지]]
 
 
'''참고: [[ISMS-P 인증기준 세부점검 목록표]]'''

Latest revision as of 22:24, 6 February 2024

1. 관리체계 수립 및 운영[edit | edit source]

1.1.관리체계 기반 마련

1.2.위험 관리

1.3.관리체계 운영

1.4.관리체계 점검 및 개선

2.보호대책 요구사항[edit | edit source]

2.1.정책, 조직, 자산 관리

2.2.인적 보안

2.3.외부자 보안

2.4.물리 보안

2.5.인증 및 권한관리

2.6.접근통제

2.7.암호화 적용

2.8.정보시스템 도입 및 개발 보안

2.9.시스템 및 서비스 운영관리

2.10.시스템 및 서비스 보안관리

2.11.사고 예방 및 대응

2.12.재해복구

3.개인정보 처리단계별 요구사항[edit | edit source]

3.1.개인정보 수집 시 보호조치

3.2.개인정보 보유 및 이용 시 보호조치

3.3.개인정보 제공 시 보호조치

3.4.개인정보 파기 시 보호조치

3.5.정보주체 권리보호


참고: ISMS-P 인증기준 세부점검 목록표

Retrieved from "https://itwiki.kr/index.php?title=ISMS-P_인증_기준_세부_점검_항목&oldid=39104"