FISMA
IT위키
더 많은 작업
FISMA(Federal Information Security Management Act, 연방 정보보안 관리법)는 미국 연방정부 기관이 자기 정보와 정보시스템을 보호하기 위한 기관 차원의 정보보호 프로그램을 갖추고 운영하도록 의무화한 미국 법률이다.
FISMA 는 2002년 「전자정부법」(E-Government Act of 2002)의 제3편으로 제정되었다. 2014년에는 「연방 정보보안 현대화법」(Federal Information Security Modernization Act of 2014)으로 개정되었는데, 약어는 그대로 FISMA 를 쓴다.
이 법은 연방 기관과, 연방 기관을 대신해 정보시스템을 운영하는 계약업체에 적용된다. 기관장은 정보보호의 책임자로서 위험에 비례한 보호대책을 마련해야 하고, 그 운영 결과를 해마다 평가·보고해야 한다. 그래서 FISMA 는 미국 공공 부문의 정보보호 관리체계를 법으로 정한 것으로 이해된다.
- 기관마다 정보보호 프로그램을 수립·문서화·시행한다
- 정보와 정보시스템의 목록을 관리하고 영향도에 따라 분류한다
- 위험 평가를 하고 그 결과에 따라 보안 통제를 적용한다
- 시스템별 보안 계획을 세우고, 운영 전에 인가(Authorization to Operate)를 받는다
- 보안 통제를 지속적으로 모니터링한다
- 직원과 계약자에게 보안 교육을 한다
- 침해사고를 탐지·보고·대응하는 절차를 갖춘다
- 해마다 운영 결과를 평가하고, 감사관(Inspector General)이 독립적으로 검토해 보고한다