시스템개발사업 구조적 정보공학적 모델, 분석 단계, 시스템아키텍처 세부검토내용 "01. 시스템 보안정책이 적절히 수립되었는가?"의 세부검토방법
01. 시스템 보안정책이 해당기관의 보안 관련 법규 및 보안정책과 일관성을 유지하며 체계적으로 작성되었는지 확인한다. - 구축할 정보시스템의 보안정책 수립시 영향을 미치는 보안정책, 관련 법규의 보안관련 조항, 제안요청서/제안서/계약서/사업수행계획서 등에 대한 파악이 이루어졌는지를 확인한다. - 파악된 문서를 기반으로 정보시스템에서 수용하여야 하는 보안 관련 사항에 대하여 분석되었는지를 검토한다. - 분석된 내용이 시스템 보안정책에 반영되었는지 검토한다. - 누락되거나 미진한 부분에 대한 추가 방안이 마련되었는지 검토한다. 02. 시스템이 목표로 하는 보안목표가 시스템의 보호수준에 적정한지 확인한다. - 제안요청서/제안서/계약서/사업수행계획서, 관련 법규의 보안관련 조항, 보안정책 등을 고려하여 구축될 시스템에 대한 보안목표를 정의하였는지 확인한다. - 구축될 시스템의 업무특징과 보안 투자비용 등을 감안하여 규정한 보안목표가 적정한지 검토한다. 03. 시스템 보안정책에 대한 지속적인 관리를 위한 절차가 마련되었는지 확인한다. - 시스템 보안정책에 대하여 발주기관과 전담사업자간에 충분한 이해를 한 상태에서 상호협의를 하였는지 확인한다. - 시스템 보안정책이 상호 협의하지 않은 상태일 경우 이에 대한 조치를 하도록 권고한다. - 시스템 보안정책이 문서화 되었는지 확인한다. - 위협 및 취약성 점검에 따라 물리적, 관리적, 기술적 보안 대책이 수립되어 보안 정책에 반영될 수 있도록 체계가 구성되었는지 검토한다. - 시스템 구축단계를 거쳐 물리적, 관리적, 기술적 분야에 대한 보안 지침이 작성되면 시스템 보안정책에 반영될 수 있도록 권고한다.