ISMS-P 인증/보안 관리체계·운영 썸네일형 리스트형 정보보호 조직과 예산, 어떻게 만들고 어떻게 설득하나 정보보호 조직과 예산, 어떻게 만들고 어떻게 설득하나보안 담당자가 가장 자주 겪는 벽은 기술이 아니라 조직과 예산입니다. 무엇을 해야 하는지는 아는데, 사람도 돈도 없는 상황입니다.이 글에서는 규모별 조직 구성과, 경영진을 설득하는 방법을 정리하겠습니다.목차1. 규모별 조직 형태2. 어떤 규모든 필요한 것3. 권한 없는 책임자가 가장 위험합니다4. 협의체 운영5. 예산, 이렇게 설득하십시오6. 가장 강력한 근거7. 혼자일 때 우선순위8. 점검 체크리스트규모별 조직 형태규모별 보안 조직 구성 | 업로드 파일 : af1.png규모형태현실적 접근소규모IT 담당자 겸직외부 지원 활용, 범위 좁히기중견전담 1~2명CISO·CPO 지정, 부서 협의체대기업전담 조직보안팀 분리, 겸직 제한 확인겸직 자체가 문제는 .. 더보기 침해사고 대응 절차, 처음 만드는 법 (연락체계와 훈련까지) 침해사고 대응 절차, 처음 만드는 법 (연락체계와 훈련까지)사고는 예고 없이, 대개 가장 곤란한 시간에 일어납니다. 새벽이거나 연휴이거나 담당자가 휴가 중일 때입니다.그때 필요한 것은 판단력이 아니라 미리 정해둔 절차입니다. 이 글에서는 대응 절차를 처음 만드는 방법을 정리하겠습니다.목차1. 왜 절차가 필요한가2. 다섯 단계로 나눕니다3. 각 단계에서 정할 세 가지4. 연락 체계 짜기5. 사고 등급 나누기6. 증거 보전이 먼저입니다7. 모의훈련8. 점검 체크리스트왜 절차가 필요한가사고 상황에서는 판단력이 평소의 절반도 되지 않습니다. 그래서 그때 생각하는 게 아니라, 미리 정해둔 대로 움직여야 합니다.특히 초기 30분이 중요합니다. 이 시간에 확산을 막느냐 못 막느냐가 피해 규모를 결정합니다. 그런데 “.. 더보기 협력업체 보안 관리, 계약 전부터 종료까지 (공급망 관리) 협력업체 보안 관리, 계약 전부터 종료까지 (공급망 관리)우리 보안을 아무리 잘해도 협력업체가 뚫리면 우리도 뚫립니다. 실제로 대형 사고의 상당수가 협력업체를 경유해 발생했습니다.그런데 협력업체 관리는 계약 부서와 보안 부서 사이에 끼어 아무도 챙기지 않는 영역이기도 합니다. 이 글에서 흐름을 정리하겠습니다.목차1. 왜 협력업체가 약한 고리인가2. 다섯 단계로 관리합니다3. 계약 전 평가4. 계약에 넣을 것5. 접근 권한 관리6. 정기 점검7. 계약 종료가 가장 자주 빠집니다8. 점검 체크리스트왜 협력업체가 약한 고리인가이유설명보안 수준 격차우리보다 투자 여력이 적은 경우가 많음접근 권한 보유시스템에 들어올 수 있는 계정을 갖고 있음관리 사각지대계약 부서는 보안을 모르고, 보안팀은 계약을 모름다단계 구조.. 더보기 개인정보 내부관리계획, 무엇을 담고 어떻게 관리하나 개인정보 내부관리계획, 무엇을 담고 어떻게 관리하나내부관리계획은 개인정보 보호에서 가장 상위에 있는 문서입니다. 그런데 이름이 낯설어 “그게 뭐죠?”라는 반응이 많습니다.쉽게 말하면 “우리 회사는 개인정보를 이렇게 관리하겠다”를 정리한 종합 계획서입니다. 그리고 이 시리즈에서 다룬 대부분의 업무가 여기에 항목으로 들어갑니다.목차1. 내부관리계획이 무엇인가2. 반드시 담아야 할 항목3. 문서를 세 층으로 나누십시오4. 작성 순서5. 수립만으로 끝나지 않습니다6. 자주 하는 실수7. 점검 체크리스트내부관리계획이 무엇인가개인정보처리자는 개인정보의 안전한 처리를 위해 내부관리계획을 수립·시행해야 합니다. 구체적인 포함 항목은 개인정보의 안전성 확보조치 기준에 규정돼 있습니다.이 문서는 규정집이 아니라 계획서입니.. 더보기 임직원 보안 교육, 무엇을 어떻게 해야 하나 (기록까지) 임직원 보안 교육, 무엇을 어떻게 해야 하나 (기록까지)보안 교육은 거의 모든 조직이 하고 있지만, 심사에서 가장 자주 지적되는 항목 중 하나입니다. 이유는 단순합니다. 했는데 기록이 없어서입니다.이 글에서는 교육을 어떻게 설계하고, 무엇을 남겨야 하는지 정리하겠습니다.목차1. 왜 교육이 요구되나2. 교육 설계 여섯 가지 요소3. 무엇을 가르칠 것인가4. 기록으로 남겨야 할 것5. 효과를 높이는 방법6. 위탁사 교육은 어떻게7. 자주 하는 실수8. 점검 체크리스트왜 교육이 요구되나기술적 조치로 막을 수 없는 위험이 있기 때문입니다.방화벽은 직원이 실수로 이메일을 잘못 보내는 것을 막지 못합니다. 앞서 다룬 유출 사고 글에서 보셨듯, 가장 흔한 유출 원인은 해킹이 아니라 실수입니다.법령과 인증기준 모두 개.. 더보기 개인정보 유출 사고, 신고 기준과 72시간 — 대응 절차 정리 개인정보 유출 사고, 신고 기준과 72시간 — 대응 절차 정리개인정보 유출은 일어나지 않기를 바라는 일이지만, 일어났을 때 어떻게 대응했는가가 피해 규모와 책임 범위를 크게 좌우합니다.특히 기한이 정해져 있습니다. 이 글에서는 인지 시점부터 무엇을 언제까지 해야 하는지 순서대로 정리하겠습니다.목차1. 무엇을 '유출'로 보나2. 핵심은 72시간3. 단계별 대응 절차4. 통지문에 담아야 할 것5. 기관 신고는 언제 하나6. 미리 준비해 둘 것7. 자주 하는 실수무엇을 '유출'로 보나해킹만 유출이 아닙니다. 개인정보처리자의 통제를 벗어난 상태가 되면 유출로 봅니다.유형예시외부 침입해킹, 악성코드 감염, 랜섬웨어내부 유출직원의 무단 반출, 권한 남용실수이메일 잘못 발송, 게시판 오등록, 파일 잘못 첨부물리적 분.. 더보기 이전 1 다음
