위험관리 방안에 따라 주기적으로 위험분석을 실시하고 보안 대책을 수립하였는지 점검하는 세부검토방법
01. 시스템 자산에 대한 정보를 수집하고 가치 및 중요도를 평가하여 관리하고 있는지 검토한다.\n- 시스템명세서에 네트워크, 서버, 어플리케이션, DB 등 대상 시스템을 구성하는 자산에 대한 분류체계를 규정하고 있는지 검토한다.\n- 시스템을 구성하는 자산에 대한 자산목록을 파악하여 자산관리대장을 작성하고 유지관리하는지 검토한다.\n- 대상 시스템의 보안 위험을 평가하기 위하여 필요한 시스템 정보가 자산관리대장에 포함되어 있고 최신의 상태로 갱신되는지 확인한다.\n    . 자산명, 자산코드\n    . 자산관리 담당자 및 부서\n    . 자산의 기능 및 용도\n    . 사용자 인증방법\n    . 논리적/물리적 자산 위치\n    . 시스템 O/S 버전 등\n- 자산의 가치 평가를 위한 기준이나 규정이 보안의 3대 요소(무결성, 가용성, 기밀성)을 고려하여 수립되고 자산의 가치/중요도를 평가하고 있는지 확인한다.\n- 자산 가치 및 중요도 평가 결과가 업무, IT 서비스, 조직의 이미지, 재무적 가치 등을 고려하여 평가되어 있으며 주기적으로 재평가되고 있는지 확인한다.\n\n02. 주기적으로 시스템 운영상의 보안 위험이 충분히 분석되고 있는지 점검한다.\n- 시스템 운영상의 보안관리체계에 대한 취약점이 분석되고 있는지 확인한다.\n    . 시스템 보안을 위한 시스템 보안정책 및 보안조직\n    . 시스템 운영에 참여하는 인원\n    . 보안사고 대응 및 복구 체계\n    . 보안지역/구역의 구분과 출입관리, 작업\n    . 물리적 보안시스템, 전원공급장치, 정보처리 설비 등의 설치 및 운영\n- 네트워크, 서버, 응용시스템, 데이터베이스, PC 및 단말기 등에 대한 보안 취약점이 분석되었는지 확인한다.\n    . 사용자 계정/인증, 접근권한, 시스템 변경 및 구성 변경\n- 네트워크상에서 전송되는 데이터 보호\n    . 운영체계(OS) 및 E-Mail 관리, 시스템 로그\n    . 어플리케이션 코드\n    . 데이터 입출력 검증방법, 데이터 중요도\n    . 데이터베이스 백업 및 복구\n    . PC 보안설정, 단말기 저장 데이터, 악성 코드\n- 보안시스템 운영 자체에 대한 보안 취약점이 분석되었는지 확인한다.\n    . 사용자 계정 및 패스워드 관리\n    . 사용자 인증 및 접근통제\n    . 보안시스템 설치 및 운영\n- 연간 정보보안계획서의 주기에 따라 평가대상 주요 IT 자산을 포함하여 보안 취약점 분석 및 평가가 이행되었는지 확인한다.\n\n03. 보안 위험 분석 및 평가 결과에 따른 보안 대응방안을 수립하여 이행하고 있는지 점검한다.\n- 조직의 변화와 IT 환경 변화를 고려하여 보안관리 지침 및 절차가 주기적으로 개정되고 있는지 확인한다.\n- 보안 취약점 분석/평가 결과에 따른 관리/물리적/기술적 보안 취약점에 대하여 부서별 또는 담당자별로 보안 개선 및 이행계획을 수립하여 이행하고 있는지 점검한다.\n- 보안 취약점 개선조치 결과에 대하여 보안관리자가 이행 조치 결과를 점검하였는지 확인한다.