ISMS-P 심사 결함, 자주 나오는 유형 8가지와 예방법

 

ISMS-P 심사 결함, 자주 나오는 유형 8가지와 예방법

심사를 앞두고 가장 궁금한 것은 “어디서 걸리는가”입니다. 결함이 나오는 지점은 대체로 정해져 있습니다.

이 글에서는 자주 나오는 유형과, 그것을 줄이는 방법을 정리하겠습니다.

목차

1. 결함은 왜 나오나

2. 자주 나오는 여덟 가지

3. 공통점 하나

4. 결함을 줄이는 네 가지 습관

5. 심사 전 한 달에 할 일

6. 결함이 나왔다면

7. 마음가짐

결함은 왜 나오나

의외로 “몰라서”보다 “안 남겨서”가 많습니다. 실제로 하고 있는데 기록이 없어 결함이 되는 경우입니다.

심사원은 조직을 믿지 않는 것이 아니라, 확인할 수 있는 것만 인정합니다. “했습니다”라는 말은 증적이 없으면 확인할 수 없습니다.

자주 나오는 여덟 가지

심사에서 자주 나오는 결함 유형  |  업로드 파일 : q1.png

① 문서와 실제 운영이 다름

정책에는 “분기 1회 점검”이라고 쓰여 있는데 반기에 한 번 했거나, 아예 안 했거나입니다. 가장 흔한 유형입니다.

예방 — 지킬 수 있는 주기로 문서를 쓰십시오. 이상적인 주기를 써놓고 못 지키는 것보다, 현실적인 주기를 써놓고 지키는 편이 낫습니다.

② 자산 목록 누락

심사 중에 목록에 없는 시스템이 발견되는 경우입니다. 관리체계가 작동하지 않았다는 뜻이 되어 무게가 큽니다.

예방 — 부서 회신만 믿지 말고 구매 내역·카드 사용 내역·네트워크 스캔과 교차 검증하십시오. 정보자산 목록 글에서 자세히 다뤘습니다.

③ 퇴사자 권한 미회수

계정 목록을 뽑아 인사 정보와 대조하면 바로 드러납니다. 심사원이 자주 확인하는 항목입니다.

예방 — 인사팀과 연계 절차를 만들고, 정기 재검토를 규정에 넣으십시오.

④ 접속기록 점검 미실시

보관은 하고 있는데 월 1회 점검 기록이 없는 경우입니다. 보관과 점검은 별개 요구사항입니다.

예방 — 점검 결과 양식을 만들고 매월 같은 날짜에 수행하십시오. 이상 없음도 기록입니다.

⑤ 교육 미실시 또는 기록 없음

교육은 했는데 참석자 명단, 교육 자료, 이수 확인이 없는 경우입니다.

예방 — 온라인 교육이라면 이수 이력을 시스템에서 뽑을 수 있게 해두십시오. 대면 교육이라면 서명부를 남기십시오.

⑥ 위탁 계약 조항 누락

일반 용역계약서만 체결하고 개인정보 관련 필수 조항이 빠진 경우입니다.

예방 — 표준 부속합의서를 만들어 계약 부서에 배포하십시오. 위수탁 계약서 글을 참고하십시오.

⑦ 파기 미이행

보유 기간이 지난 개인정보가 그대로 남아 있는 경우입니다. 심사원이 DB를 조회해 보면 바로 나옵니다.

예방 — 파기 배치를 자동화하고, 배치가 정상 동작했는지 확인하는 절차를 두십시오.

⑧ 정책 개정 이력 없음

정책이 언제 왜 바뀌었는지 알 수 없는 경우입니다. 관리체계가 유지되고 있다는 근거가 사라집니다.

예방 — 문서 첫 장에 개정 이력표를 넣고, 개정 시 승인자와 사유를 기록하십시오.

공통점 하나

여덟 가지를 다시 보면 공통점이 보입니다.

거의 전부가 “운영과 기록”의 문제입니다. 기술적으로 어려운 것을 못 해서가 아니라, 정한 것을 하지 않았거나 하고도 남기지 않아서 생깁니다.

결함을 줄이는 네 가지 습관

결함을 줄이는 네 가지 습관  |  업로드 파일 : q2.png

습관	내용
기록을 남긴다	했으면 남기고, 남기지 않았으면 안 한 것으로 봅니다
지킬 수 있게 쓴다	이상적인 주기보다 실현 가능한 주기를 문서에 씁니다
주기를 달력에 건다	점검·교육·감사 일정을 연초에 미리 등록합니다
변경 이력을 남긴다	언제 무엇이 왜 바뀌었는지 남깁니다

심사 전 한 달에 할 일

시점	할 일
D-30	자산 목록 전수 검증, 미사용 계정 정리
D-25	권한 전수 재검토, 퇴사자 계정 확인
D-20	보유기간 초과 개인정보 파기 실행
D-15	위탁 계약서 필수 조항 점검, 처리방침 최신화
D-10	내부감사 수행 및 발견 사항 조치
D-7	증적 자료 취합 (교육 기록, 점검 기록, 승인 문서)
D-3	담당자별 예상 질의 정리 및 리허설

증적 취합에 생각보다 오래 걸립니다. 여기저기 흩어진 파일을 모으는 데만 며칠이 갑니다. 평소에 인증 증적 폴더를 만들어 그때그때 넣어두시면 이 작업이 없어집니다.

결함이 나왔다면

결함이 나오는 것 자체가 실패는 아닙니다. 보완 조치를 하고 재확인을 받으면 됩니다.

단계	할 일
1	결함 내용과 근거 기준을 정확히 이해
2	근본 원인 파악 (표면적 조치만 하면 재발)
3	보완 조치 계획 수립 (담당·일정)
4	조치 이행 및 증적 확보
5	보완 조치 결과 제출

표면적 조치만 하면 다음 심사에서 또 나옵니다. 예를 들어 퇴사자 계정을 지우는 것은 조치이지만, 인사팀 연계 절차를 만드는 것이 근본 조치입니다.

마음가짐

심사는 완벽한 상태를 요구하지 않습니다. 문제를 발견하고 고쳐온 기록이 있으면 오히려 긍정적으로 평가됩니다.

반대로 “아무 문제 없었다”는 기록이 더 의심을 삽니다. 1년간 점검했는데 발견 사항이 하나도 없다면, 점검이 형식적이었다는 뜻일 가능성이 높기 때문입니다.

이 시리즈에서 다룬 자산 목록, 위험평가, 내부감사, 접근통제가 서로 연결돼 돌아가면, 결함은 자연히 줄어듭니다.

이 글은 공개된 법령·고시와 실무 경험을 바탕으로 정리한 일반 정보이며, 법률자문이 아닙니다. 기준과 수치는 개정될 수 있으므로 국가법령정보센터와 개인정보보호위원회·KISA의 최신 자료를 확인하시고, 중요한 사안은 전문가 자문을 받으시기 바랍니다.

태그
#ISMSP #심사결함 #인증심사 #보완조치 #인증준비 #관리체계 #보안실무 #KISA