보안 정책에 따라 시스템, 시설 및 인원에 대한 보안 범위를 설정하고 지침과 절차를 수립하였는지 점검하는 세부검토방법
01. 조직의 보안 요건 및 정책에 따라 보안 대상 범위가 적절하게 정의되어 있는지 점검한다.\n- 보안정책서에 조직의 보안 대상이 되는 시설, 네트워크, 시스템, 응용어플리케이션 및 개인정보 등이 정의되어 있는지를 검토한다.\n\n02. 보안관리 활동을 수행하기 위한 지침과 절차가 수립되어 있는지 검토한다.\n- 보안관리 범위에 포함되어 있는 시스템에 대하여 보안관리 지침 및 절차가 문서화되어 있는지 확인한다.\n- 정보시스템 운영을 위한 물리적 환경을 조사하고 건물, 전산실, 기계실 등에 대한 보안 등급 및 보안기준, 출입통제방안, 반출입관리 규정이 수립되어 있는지 지침서를 검토한다.\n- 보안구역에 대한 보안 담당자 운영 규정을 마련하고 실제 인원이 배정되어 있는지 확인한다.\n- 설치 및 운영되고 있는 보안시스템의 종류와 용도를 규정하고 신규 보안시스템 도입/설치 기준 및 운영 방법, 절차가 수립되어 있는지 검토한다.\n- 보안 침해사고의 유형 및 등급을 정의하고 예방 및 대응 절차를 규정한 침해사고 대응/복구 지침서를 작성하였는지 검토한다.\n- 침해사고 대응/복구 지침서에 침해사고 대응조직의 구성 및 침해사고 발생시 보고체계가 마련되어 있는지 검토한다.\n\n03. 필요한 보안관리 능력 및 기술의 확보를 위한 교육훈련 체계가 갖추어져 있는지 점검한다.\n- 직원의 직급, 직책 또는 직무 내용 등을 고려하여 보안 교육 대상자를 분류하고 보안교육훈련계획서에 반영하였는지 검토한다.\n- 보안 교육 대상자의 특성에 따라 보안교육 일정, 교육자료 내용 등 차별화된 보안교육 프로그램이 마련되어 있는지 확인한다.\n- 보안교육계획에 따라 정기적인 교육이 실시되고 있는지 보안교육 교재, 보안교육결과보고서 등을 검토한다.\n- 중요 보안 이슈 발생시 해당 직원에게 공지하고 일정기간내에 비정기 보안 교육을 실시하였는지 확인한다.\n- 보안 침해사고 대응 및 복구방법, 담당자별 역할과 책임을 교육계획에 포함하고, 교육을 실시하고 있는지 검토한다.