ISMS-P 인증 기준 2.11.1.사고 예방 및 대응체계 구축: 두 판 사이의 차이
IT위키
편집 요약 없음 |
편집 요약 없음 |
||
(다른 사용자 한 명의 중간 판 하나는 보이지 않습니다) | |||
9번째 줄: | 9번째 줄: | ||
!2.11.1.사고 예방 및 대응체계 구축 | !2.11.1.사고 예방 및 대응체계 구축 | ||
|- | |- | ||
| style="text-align:center" |'''인증기준''' | | style="text-align:center; width:10%" |'''인증기준''' | ||
|침해사고 및 개인정보 유출 등을 예방하고 사고 발생 시 신속하고 효과적으로 대응할 수 있도록 내·외부 침해시도의 탐지·대응·분석 및 공유를 위한 [[침해사고 대응체계|체계]]와 [[침해사고 대응절차|절차]]를 수립하고, 관련 외부기관 및 전문가들과 협조체계를 구축하여야 한다. | |침해사고 및 개인정보 유출 등을 예방하고 사고 발생 시 신속하고 효과적으로 대응할 수 있도록 내·외부 침해시도의 탐지·대응·분석 및 공유를 위한 [[침해사고 대응체계|체계]]와 [[침해사고 대응절차|절차]]를 수립하고, 관련 외부기관 및 전문가들과 협조체계를 구축하여야 한다. | ||
|- | |- | ||
|'''주요 확인사항''' | | style="text-align:center; width:10%" |'''주요 확인사항''' | ||
| | | | ||
*침해사고 및 개인정보 유출사고를 예방하고 사고 발생시 신속하고 효과적으로 대응하기 위한 체계와 절차를 마련하고 있는가? | *침해사고 및 개인정보 유출사고를 예방하고 사고 발생시 신속하고 효과적으로 대응하기 위한 체계와 절차를 마련하고 있는가? | ||
**(가상자산사업자) 월렛 개인키 유출, 가상자산 탈취 등의 사고 발생시 보호대책으로 수립된 사항에 대해 대응체계 및 절차를 마련하고 있는가? | |||
*보안관제서비스 등 외부 기관을 통해 침해사고 대응체계를 구축‧운영하는 경우 침해사고 대응절차의 세부사항을 계약서에 반영하고 있는가? | *보안관제서비스 등 외부 기관을 통해 침해사고 대응체계를 구축‧운영하는 경우 침해사고 대응절차의 세부사항을 계약서에 반영하고 있는가? | ||
*침해사고의 모니터링, 대응 및 처리를 위하여 외부전문가, 전문업체, 전문기관 등과의 협조체계를 수립하고 있는가? | * 침해사고의 모니터링, 대응 및 처리를 위하여 외부전문가, 전문업체, 전문기관 등과의 협조체계를 수립하고 있는가? | ||
|- | |||
| style="text-align:center; width:10%" |관련법규 | |||
| | |||
*개인정보 보호법 제34조(개인정보의 유출 등의 통지·신고) | |||
*정보통신망법 제48조의3(침해사고의 신고 등), 제48조의4(침해사고의 원인분석 등) | |||
|} | |} | ||
==세부 설명== | ==세부 설명== | ||
==== 사고 예방 및 대응 체계 마련 ==== | ====사고 예방 및 대응 체계 마련==== | ||
침해사고 및 개인정보 유출사고를 예방하고 사고 발생 시 신속하고 효과적으로 대응하기 위한 체계와 절차를 다음 내용을 포함하여 마련하여야 한다. | 침해사고 및 개인정보 유출사고를 예방하고 사고 발생 시 신속하고 효과적으로 대응하기 위한 체계와 절차를 다음 내용을 포함하여 마련하여야 한다. | ||
*침해사고의 정의 및 범위(개인정보 유출사고, 서비스거부공격 등) | * 침해사고의 정의 및 범위(개인정보 유출사고, 서비스거부공격 등) | ||
*침해사고 유형 및 중요도 | *침해사고 유형 및 중요도 | ||
*침해사고 선포절차 및 방법 | *침해사고 선포절차 및 방법 | ||
*비상연락망 등의 연락체계 | *비상연락망 등의 연락체계 | ||
*침해사고 탐지 체계 | * 침해사고 탐지 체계 | ||
*침해사고 발생 시 기록, 보고절차 | *침해사고 발생 시 기록, 보고절차 | ||
*침해사고 신고 및 통지 절차(관계기관, 정보주체 및 이용자 등) | *침해사고 신고 및 통지 절차(관계기관, 정보주체 및 이용자 등) | ||
*침해사고 보고서 작성 | * 침해사고 보고서 작성 | ||
*침해사고 중요도 및 유형에 따른 대응 및 복구 절차 | *침해사고 중요도 및 유형에 따른 대응 및 복구 절차 | ||
*침해사고 복구조직의 구성, 책임 및 역할 | *침해사고 복구조직의 구성, 책임 및 역할 | ||
38번째 줄: | 44번째 줄: | ||
*기타 보안사고 예방 및 복구를 위하여 필요한 사항 등 | *기타 보안사고 예방 및 복구를 위하여 필요한 사항 등 | ||
==== 침해사고 대응절차 계약 반영 ==== | ====침해사고 대응절차 계약 반영==== | ||
보안관제서비스 등 외부 기관을 통하여 침해사고 대응체계를 구축·운영하는 경우 침해사고 대응절차의 세부사항을 계약서([[SLA]] 등)에 반영하여야 한다. | 보안관제서비스 등 외부 기관을 통하여 침해사고 대응체계를 구축·운영하는 경우 침해사고 대응절차의 세부사항을 계약서([[SLA]] 등)에 반영하여야 한다. | ||
44번째 줄: | 50번째 줄: | ||
*침해 징후 발견 시 보고 및 대응 절차 | *침해 징후 발견 시 보고 및 대응 절차 | ||
*침해사고 발생 시 보고 및 대응절차 | *침해사고 발생 시 보고 및 대응절차 | ||
*침해사고 발생에 따른 책임 및 역할에 관한 사항 등 | * 침해사고 발생에 따른 책임 및 역할에 관한 사항 등 | ||
==== 침해사고 대응 및 처리를 위한 외부 협력 ==== | ====침해사고 대응 및 처리를 위한 외부 협력==== | ||
침해사고의 모니터링, 대응 및 처리를 위하여 외부전문가, 전문업체, 전문기관 등과 협조체계를 수립하여야 한다. | 침해사고의 모니터링, 대응 및 처리를 위하여 외부전문가, 전문업체, 전문기관 등과 협조체계를 수립하여야 한다. | ||
==증거 자료== | ==증거 자료== | ||
*침해사고 대응 지침·절차·매뉴얼 | * 침해사고 대응 지침·절차·매뉴얼 | ||
*침해사고 대응 조직도 및 비상연락망 | *침해사고 대응 조직도 및 비상연락망 | ||
*보안관제서비스 계약서(SLA 등) | * 보안관제서비스 계약서(SLA 등) | ||
==결함 사례== | ==결함 사례== | ||
*침해사고에 대비한 침해사고 대응 조직 및 대응 절차를 명확히 정의하고 있지 않은 경우 | *침해사고에 대비한 침해사고 대응 조직 및 대응 절차를 명확히 정의하고 있지 않은 경우 | ||
*내부 지침 및 절차에 침해사고 단계별(사고 전, 인지, 처리, 복구, 보고 등) 대응 절차를 수립하여 명시하고 있으나, 침해사고 발생 시 사고 유형 및 심각도에 따른 신고·통지 절차, 대응 및 복구 절차의 일부 또는 전부를 수립하고 있지 않은 경우 | *내부 지침 및 절차에 침해사고 단계별(사고 전, 인지, 처리, 복구, 보고 등) 대응 절차를 수립하여 명시하고 있으나, 침해사고 발생 시 사고 유형 및 심각도에 따른 신고·통지 절차, 대응 및 복구 절차의 일부 또는 전부를 수립하고 있지 않은 경우 | ||
*침해사고 대응 조직도 및 [[비상연락망]] 등을 현행화하지 않고 있거나, 담당자별 역할과 책임이 명확히 정의되어 있지 않은 경우 | * 침해사고 대응 조직도 및 [[비상연락망]] 등을 현행화하지 않고 있거나, 담당자별 역할과 책임이 명확히 정의되어 있지 않은 경우 | ||
*침해사고 신고·통지 및 대응 협조를 위한 대외기관 연락처에 기관명, 홈페이지, 연락처 등이 잘못 명시되어 있거나, 일부 기관 관련 정보가 누락 또는 현행화되지 않은 경우 | * 침해사고 신고·통지 및 대응 협조를 위한 대외기관 연락처에 기관명, 홈페이지, 연락처 등이 잘못 명시되어 있거나, 일부 기관 관련 정보가 누락 또는 현행화되지 않은 경우 | ||
*외부 보안관제 전문업체 등 유관기관에 침해사고 탐지 및 대응을 위탁하여 운영하고 있으나, 침해사고 대응에 대한 상호 간 관련 역할 및 책임 범위가 계약서나 [[SLA]]에 명확하게 정의되지 않은 경우 | *외부 보안관제 전문업체 등 유관기관에 침해사고 탐지 및 대응을 위탁하여 운영하고 있으나, 침해사고 대응에 대한 상호 간 관련 역할 및 책임 범위가 계약서나 [[SLA]]에 명확하게 정의되지 않은 경우 | ||
*[[침해사고 대응절차]]를 수립하였으나, 개인정보 침해 신고 기준, 시점 등이 법적 요구사항을 준수하지 못하는 경우 | *[[침해사고 대응절차]]를 수립하였으나, 개인정보 침해 신고 기준, 시점 등이 법적 요구사항을 준수하지 못하는 경우 | ||
72번째 줄: | 78번째 줄: | ||
==참고 문헌== | ==참고 문헌== | ||
*정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, | *정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2023.11.) |
2024년 4월 2일 (화) 21:46 기준 최신판
- 영역: 2.보호대책 요구사항
- 분류: 2.11.사고 예방 및 대응
개요[편집 | 원본 편집]
항목 | 2.11.1.사고 예방 및 대응체계 구축 |
---|---|
인증기준 | 침해사고 및 개인정보 유출 등을 예방하고 사고 발생 시 신속하고 효과적으로 대응할 수 있도록 내·외부 침해시도의 탐지·대응·분석 및 공유를 위한 체계와 절차를 수립하고, 관련 외부기관 및 전문가들과 협조체계를 구축하여야 한다. |
주요 확인사항 |
|
관련법규 |
|
세부 설명[편집 | 원본 편집]
사고 예방 및 대응 체계 마련[편집 | 원본 편집]
침해사고 및 개인정보 유출사고를 예방하고 사고 발생 시 신속하고 효과적으로 대응하기 위한 체계와 절차를 다음 내용을 포함하여 마련하여야 한다.
- 침해사고의 정의 및 범위(개인정보 유출사고, 서비스거부공격 등)
- 침해사고 유형 및 중요도
- 침해사고 선포절차 및 방법
- 비상연락망 등의 연락체계
- 침해사고 탐지 체계
- 침해사고 발생 시 기록, 보고절차
- 침해사고 신고 및 통지 절차(관계기관, 정보주체 및 이용자 등)
- 침해사고 보고서 작성
- 침해사고 중요도 및 유형에 따른 대응 및 복구 절차
- 침해사고 복구조직의 구성, 책임 및 역할
- 침해사고 복구장비 및 자원조달
- 침해사고 대응 및 복구 훈련, 훈련 시나리오
- 외부 전문가나 전문기관의 활용방안
- 기타 보안사고 예방 및 복구를 위하여 필요한 사항 등
침해사고 대응절차 계약 반영[편집 | 원본 편집]
보안관제서비스 등 외부 기관을 통하여 침해사고 대응체계를 구축·운영하는 경우 침해사고 대응절차의 세부사항을 계약서(SLA 등)에 반영하여야 한다.
- 보안관제서비스의 범위
- 침해 징후 발견 시 보고 및 대응 절차
- 침해사고 발생 시 보고 및 대응절차
- 침해사고 발생에 따른 책임 및 역할에 관한 사항 등
침해사고 대응 및 처리를 위한 외부 협력[편집 | 원본 편집]
침해사고의 모니터링, 대응 및 처리를 위하여 외부전문가, 전문업체, 전문기관 등과 협조체계를 수립하여야 한다.
증거 자료[편집 | 원본 편집]
- 침해사고 대응 지침·절차·매뉴얼
- 침해사고 대응 조직도 및 비상연락망
- 보안관제서비스 계약서(SLA 등)
결함 사례[편집 | 원본 편집]
- 침해사고에 대비한 침해사고 대응 조직 및 대응 절차를 명확히 정의하고 있지 않은 경우
- 내부 지침 및 절차에 침해사고 단계별(사고 전, 인지, 처리, 복구, 보고 등) 대응 절차를 수립하여 명시하고 있으나, 침해사고 발생 시 사고 유형 및 심각도에 따른 신고·통지 절차, 대응 및 복구 절차의 일부 또는 전부를 수립하고 있지 않은 경우
- 침해사고 대응 조직도 및 비상연락망 등을 현행화하지 않고 있거나, 담당자별 역할과 책임이 명확히 정의되어 있지 않은 경우
- 침해사고 신고·통지 및 대응 협조를 위한 대외기관 연락처에 기관명, 홈페이지, 연락처 등이 잘못 명시되어 있거나, 일부 기관 관련 정보가 누락 또는 현행화되지 않은 경우
- 외부 보안관제 전문업체 등 유관기관에 침해사고 탐지 및 대응을 위탁하여 운영하고 있으나, 침해사고 대응에 대한 상호 간 관련 역할 및 책임 범위가 계약서나 SLA에 명확하게 정의되지 않은 경우
- 침해사고 대응절차를 수립하였으나, 개인정보 침해 신고 기준, 시점 등이 법적 요구사항을 준수하지 못하는 경우
같이 보기[편집 | 원본 편집]
참고 문헌[편집 | 원본 편집]
- 정보보호 및 개인정보보호 관리체계 인증기준 안내서(KISA, 2023.11.)