ISMS-P 인증 기준 세부 점검 항목 편집하기

* 2019년 1월 17일 기준

== 관리체계 수립 및 운영 ==
16개 항목, 42개 세부항목
{| class="wikitable sortable"
! colspan="2" |분야
! colspan="2" |항목
!상세내용
!주요 확인사항
|-
| rowspan="17" |1.1.
| rowspan="17" |관리체계 기반 마련
| rowspan="2" |1.1.1
| rowspan="2" |경영진의 참여
| rowspan="2" |최고경영자는 정보보호 및  개인정보보호 관리체계의 수립과 운영활동 전반에 경영진의 참여가 이루어질 수 있도록 보고 및 의사결정 체계를 수립하여 운영하여야 한다.
|정보보호  및 개인정보보호 관리체계의 수립 및 운영활동 전반에 경영진의 참여가 이루어질 수 있도록 보고 및 의사결정 등의 책임과 역할을 문서화하고  있는가?
|-
|경영진이  정보보호 및 개인정보보호 활동에 관한 의사결정에 적극적으로 참여할 수 있는 보고, 검토 및 승인 절차를 수립∙이행하고 있는가?
|-
| rowspan="2" |1.1.2
| rowspan="2" |최고책임자의  지정
| rowspan="2" |최고경영자는  정보보호 업무를 총괄하는 정보보호 최고책임자와 개인정보보호 업무를 총괄하는 개인정보보호 책임자를 예산·인력 등 자원을 할당할 수 있는  임원급으로 지정하여야 한다.
|최고경영자는  정보보호 및 개인정보보호 처리에 관한 업무를 총괄하여 책임질 최고책임자를 공식적으로 지정하고 있는가?
|-
|정보보호  최고책임자 및 개인정보 보호책임자는 예산, 인력 등 자원을 할당할 수 있는 임원급으로 지정하고 있으며 관련 법령에 따른 자격요건을 충족하고  있는가?
|-
| rowspan="3" |1.1.3
| rowspan="3" |조직  구성
| rowspan="3" |최고경영자는  정보보호와 개인정보보호의 효과적 구현을 위한 실무조직, 조직 전반의 정보보호와 개인정보보호 관련 주요 사항을 검토 및 의결할 수 있는  위원회, 전사적 보호활동을 위한 부서별 정보보호와 개인정보보호 담당자로 구성된 협의체를 구성하여 운영하여야 한다.
|정보보호  최고책임자 및 개인정보 보호책임자의 업무를 지원하고 조직의 정보보호 및 개인정보보호 활동을 체계적으로 이행하기 위해 전문성을 갖춘  실무조직을 구성하여 운영하고 있는가?
|-
|조직  전반에 걸친 중요한 정보보호 및 개인정보보호 관련사항에 대하여 검토, 승인 및 의사결정을 할 수 있는 위원회를 구성하여 운영하고 있는가?
|-
|전사적  정보보호 및 개인정보보호 활동을 위하여 정보보호 및 개인정보보호 관련 담당자 및 부서별 담당자로 구성된 실무 협의체를 구성하여 운영하고  있는가?
|-
| rowspan="3" |1.1.4
| rowspan="3" |범위  설정 
| rowspan="3" |조직의  핵심 서비스와 개인정보 처리 현황 등을 고려하여 관리체계 범위를 설정하고, 관련된 서비스를 비롯하여 개인정보 처리 업무와 조직, 자산,  물리적 위치 등을 문서화하여야 한다.
|조직의  핵심 서비스 및 개인정보 처리에 영향을 줄 수 있는 핵심자산을 포함하도록 관리체계 범위를 설정하고 있는가?
|-
|정의된  범위 내에서 예외사항이 있을 경우 명확한 사유 및 관련자 협의‧책임자 승인 등 관련 근거를 기록･관리하고 있는가?
|-
|정보보호  및 개인정보보호 관리체계 범위를 명확히 확인할 수 있도록 관련된 내용(주요 서비스 및 업무 현황, 정보시스템 목록, 문서목록 등)이 포함된  문서를 작성하여 관리하고 있는가?
|-
| rowspan="4" |1.1.5
| rowspan="4" |정책  수립
| rowspan="4" |정보보호와  개인정보보호 정책 및 시행문서를 수립·작성하며, 이때 조직의 정보보호와 개인정보보호 방침 및 방향을 명확하게 제시하여야 한다. 또한 정책과  시행문서는 경영진 승인을 받고, 임직원 및 관련자에게 이해하기 쉬운 형태로 전달하여야 한다.
|조직이  수행하는 모든 정보보호 및 개인정보보호 활동의 근거를 포함하는 최상위 수준의 정보보호 및 개인정보보호 정책을 수립하였는가?
|-
|정보보호  및 개인정보보호 정책의 시행을 위하여 필요한 세부적인 방법, 절차, 주기 등을 규정한 지침, 절차, 매뉴얼 등을 수립하고 있는가?
|-
|정보보호  및 개인정보보호 정책∙시행문서의 제∙개정 시 최고경영자 또는 최고경영자로부터 권한을 위임받은 자의 승인을 받고 있는가
|-
|정보보호  및 개인정보보호 정책∙시행문서의 최신본을 관련 임직원에게 접근하기 쉬운 형태로 제공하고 있는가?
|-
| rowspan="3" |1.1.6
| rowspan="3" |자원  할당
| rowspan="3" |최고경영자는  정보보호와 개인정보보호 분야별 전문성을 갖춘 인력을 확보하고, 관리체계의 효과적 구현과 지속적 운영을 위한 예산 및 자원을 할당하여야  한다.
|정보보호  및 개인정보보호 분야별 전문성을 갖춘 인력을 확보하고 있는가?
|-
|정보보호  및 개인정보보호 관리체계의 효과적 구현과 지속적 운영을 위해 필요한 자원을 평가하여 필요한 예산과 인력을 지원하고 있는가?
|-
|연도별  정보보호 및 개인정보보호 업무 세부추진 계획을 수립·시행하고 그 추진결과에 대한 심사분석·평가를 실시하는가?
|-
| rowspan="13" |1.2. 
| rowspan="13" |위험  관리
| rowspan="3" |1.2.1
| rowspan="3" |정보자산  식별
| rowspan="3" |조직의  업무특성에 따라 정보자산 분류기준을 수립하여 관리체계 범위 내 모든 정보자산을 식별·분류하고, 중요도를 산정한 후 그 목록을 최신으로  관리하여야 한다.
|정보자산의  분류기준을 수립하고 정보보호 및 개인정보보호 관리체계 범위 내의 모든 자산을 식별하여 목록으로 관리하고 있는가?
|-
|식별된  정보자산에 대해 법적 요구사항 및 업무에 미치는 영향 등을 고려하여 중요도를 결정하고 보안등급을 부여하고 있는가? 
|-
|정기적으로  정보자산 현황을 조사하여 정보자산목록을 최신으로 유지하고 있는가?
|-
| rowspan="3" |1.2.2
| rowspan="3" |현황  및 흐름분석
| rowspan="3" |관리체계  전 영역에 대한 정보서비스 및 개인정보 처리 현황을 분석하고 업무 절차와 흐름을 파악하여 문서화하며, 이를 주기적으로 검토하여 최신성을  유지하여야 한다.
|관리체계  전 영역에 대한 정보서비스 현황을 식별하고 업무 절차와 흐름을 파악하여 문서화하고 있는가?
|-
|관리체계  범위 내 개인정보 처리 현황을 식별하고 개인정보의 흐름을 파악하여 개인정보흐름도 등으로 문서화하고 있는가?
|-
|서비스  및 업무, 정보자산 등의 변화에 따른 업무절차 및 개인정보 흐름을 주기적으로 검토하여 흐름도 등 관련 문서의 최신성을 유지하고 있는가?
|-
| rowspan="5" |1.2.3
| rowspan="5" |위험  평가
| rowspan="5" |조직의  대내외 환경분석을 통해 유형별 위협정보를 수집하고 조직에 적합한 위험 평가 방법을 선정하여 관리체계 전 영역에 대하여 연 1회 이상 위험을  평가하며, 수용할 수 있는 위험은 경영진의 승인을 받아 관리하여야 한다.
|조직  또는 서비스의 특성에 따라 다양한 측면에서 발생할 수 있는 위험을 식별하고 평가할 수 있는 방법을 정의하고 있는가?
|-
|위험관리  방법 및 절차(수행인력, 기간, 대상, 방법, 예산 등)를 구체화한 위험관리계획을 매년 수립하고 있는가?
|-
|위험관리계획에  따라 연 1회 이상 정기적으로 또는 필요한 시점에 위험평가를 수행하고 있는가?
|-
|조직에서  수용 가능한 목표 위험수준을 정하고 그 수준을 초과하는 위험을 식별하고 있는가?
|-
|위험식별  및 평가 결과를 경영진에게 보고하고 있는가?
|-
| rowspan="2" |1.2.4
| rowspan="2" |보호대책  선정
| rowspan="2" |위험  평가 결과에 따라 식별된 위험을 처리하기 위하여 조직에 적합한 보호대책을 선정하고, 보호대책의 우선순위와 일정·담당자·예산 등을 포함한  이행계획을 수립하여 경영진의 승인을 받아야 한다.
|식별된  위험에 대한 처리 전략(감소, 회피, 전가, 수용 등)을 수립하고 위험처리를 위한 보호대책을 선정하고 있는가?
|-
|보호대책의  우선순위를 고려하여 일정, 담당부서 및 담당자, 예산 등의 항목을 포함한 보호대책 이행계획을 수립하고 경영진에 보고하고 있는가?
|-
| rowspan="6" |1.3. 
| rowspan="6" |관리체계  운영
| rowspan="2" |1.3.1
| rowspan="2" |보호대책  구현
| rowspan="2" |선정한  보호대책은 이행계획에 따라 효과적으로 구현하고, 경영진은 이행결과의 정확성과 효과성 여부를 확인하여야 한다.
|이행계획에  따라 보호대책을 효과적으로 구현하고 이행결과의 정확성 및 효과성 여부를 경영진이 확인할 수 있도록 보고하고 있는가?
|-
|관리체계  인증기준 별로 보호대책 구현 및 운영 현황을 기록한 운영명세서를 구체적으로 작성하고 있는가?
|-
| rowspan="2" |1.3.2
| rowspan="2" |보호대책  공유
| rowspan="2" |보호대책의  실제 운영 또는 시행할 부서 및 담당자를 파악하여 관련 내용을 공유하고 교육하여 지속적으로 운영되도록 하여야 한다.
|구현된  보호대책을 운영 또는 시행할 부서 및 담당자를 명확하게 파악하고 있는가?
|-
|구현된  보호대책을 운영 또는 시행할 부서 및 담당자에게 관련 내용을 공유 또는 교육하고 있는가?
|-
| rowspan="2" |1.3.3
| rowspan="2" |운영현황  관리
| rowspan="2" |조직이  수립한 관리체계에 따라 상시적 또는 주기적으로 수행하여야 하는 운영활동 및 수행 내역은 식별 및 추적이 가능하도록 기록하여 관리하고,  경영진은 주기적으로 운영활동의 효과성을 확인하여 관리하여야 한다.
|관리체계  운영을 위해 주기적 또는 상시적으로 수행해야 하는 정보보호 및 개인정보보호 활동을 문서화하여 관리하고 있는가?
|-
|경영진은  주기적으로 관리체계 운영활동의 효과성을 확인하고 이를 관리하고 있는가?
|-
| rowspan="6" |1.4. 
| rowspan="6" |관리체계  점검 및 개선
| rowspan="2" |1.4.1
| rowspan="2" |법적  요구사항 준수 검토
| rowspan="2" |조직이  준수하여야 할 정보보호 및 개인정보보호 관련 법적 요구사항을 주기적으로 파악하여 규정에 반영하고, 준수 여부를 지속적으로 검토하여야 한다.
|조직이  준수하여야 하는 정보보호 및 개인정보보호 관련 법적 요구사항을 파악하여 최신성을 유지하고 있는가?
|-
|법적  요구사항의 준수여부를 연 1회 이상 정기적으로 검토하고 있는가?
|-
| rowspan="2" |1.4.2
| rowspan="2" |관리체계  점검
| rowspan="2" |관리체계가  내부 정책 및 법적 요구사항에 따라 효과적으로 운영되고 있는지 독립성과 전문성이 확보된 인력을 구성하여 연 1회 이상 점검하고, 발견된  문제점을 경영진에게 보고하여야 한다.
|법적  요구사항 및 수립된 정책에 따라 정보보호 및 개인정보보호 관리체계가 효과적으로 운영되는지를 점검하기 위한 관리체계 점검기준, 범위, 주기,  점검인력 자격요건 등을 포함한 관리체계 점검 계획을 수립하고 있는가?
|-
|관리체계  점검 계획에 따라 독립성, 객관성 및 전문성이 확보된 인력을 구성하여 연 1회 이상 점검을 수행하고 발견된 문제점을 경영진에게 보고하고  있는가?
|-
| rowspan="2" |1.4.3
| rowspan="2" |관리체계  개선
| rowspan="2" |법적  요구사항 준수검토 및 관리체계 점검을 통해 식별된 관리체계상의 문제점에 대한 원인을 분석하고 재발방지 대책을 수립·이행하여야 하며,  경영진은 개선 결과의 정확성과 효과성 여부를 확인하여야 한다.
|법적  요구사항 준수검토 및 관리체계 점검을 통해 식별된 관리체계 상의 문제점에 대한 근본 원인을 분석하여 재발방지 및 개선 대책을 수립‧이행하고  있는가?
|-
|재발방지  및 개선 결과의 정확성 및 효과성 여부를 확인하기 위한 기준과 절차를 마련하였는가?
|}