보안의 법적, 규제적 요건과 위험관리를 기술한 보안정책을 수립하였는지 검토하는 세부검토방법
01. 정보시스템 보안에 대한 국가, 상위감독기관의 법령이나 지침 등의 요건 등을 파악하여 보안정책서에 반영하였는지 검토한다.\n- 공공기관의 경우, 국가 공공기관에 공통적으로 적용되고 있는 전자정부법 및 “국가정보보안기본지침”을 근거로 해당 기관의 자체적인 보안업무규정을 수립하고 있는지 확인한다.\n- 대국민 서비스를 제공하거나 내부 행정업무를 처리하는 과정에서 공공기관의 개인정보보호에 관한 법률 및 기준 등 보안 관련 법규정의 적용 대상이 있는지 파악하고 관련 규정을 보안정책서에 반영하였는지 검토한다.\n\n02. 서비스 대상업무의 범위와 요건에 따라 정보보호 요건을 파악하고 보안정책서를 작성하고 최고경영자의 승인을 받았는지 검토한다.\n- 조직의 업무특성과 환경 등으로 인하여 각 조직의 보안 목적이 다를 수 있으므로 보안 목표가 업무특성을 반영하고 있는지 검토한다.\n- 조직의 보안정책서가 최고경영자의 승인을 획득하였는지를 확인한다.\n- 보안정책 공표 및 시행과 관련하여 작성된 사내 공지사항, 또는 메일이 존재하는지 확인한다.\n- 조직 구성원이 보안정책을 숙지하고 있는지를 확인한다.\n- 정보보안 사고 발생으로 인하여 시급히 개선되어야 할 보안정책이나 지침은 즉시 개정되었는지 검토한다.\n- 보안정책 및 지침에 대한 개정 이후 개정 이력사항이 문서화되고 관련자에게 공지되었는지 검토한다.\n\n03. 보안관리 조직을 구성하고, 보안관리 역할과 책임을 정의하였는지 확인한다.\n- 보안정책 또는 지침서에 보안관리 업무를 수행하는 조직과 체계가 명확하게 정의되어 있는지 검토한다.\n- 보안 전담부서 및 인력에 대한 책임과 역할이 명확히 규정되어 있으며 이에 따라 운영되고 있는지 검토한다.\n- 정보보안 전담부서가 보안통제 활동을 독립적으로 수행할 수 있도록 조직 내 위상이 확보되었는지 검토한다.\n- 대상 시스템과 연관 관계를 맺고 있는 외부 조직의 보안 담당자와 비상연락망을 준비하고 보안사고 예방 및 공동 대응을 위한 업무 절차가 수립되어 있는지 확인한다.\n- 외부 보안 전문가의 연락처를 확보하고 새로운 정보보안 위협 및 취약점에 대한 신속한 대응 및 이슈 해결에 활용하고 있는지 확인한다.