ISMS와 ISMS-P

정의

ISMS와 ISMS-P는 정보보호 관리체계를 제3자 심사로 인증받는 제도다.

ISMS는 조직이 정보자산을 보호하는 관리체계를 수립·운영하고 그 적합성을 인증받는 제도다.

ISMS-P는 여기에 개인정보 처리 단계별 요구사항을 더한 인증이다.

두 영역의 구성

ISMS 인증기준은 관리체계 수립 및 운영과 보호대책 요구사항의 두 영역으로 구성된다.

ISMS-P는 여기에 개인정보 처리 단계별 요구사항을 더한다.

ISMS-P는 ISMS 기준을 모두 포함한다. 그래서 개인정보 영역은 ISMS만으로 증명할 수 없다.

관리과정 PDCA

관리과정은 PDCA 순환이다. 계획, 구현, 점검, 개선이 반복된다.

계획 단계에서 범위와 위험을 정하고, 구현 단계에서 보호대책을 적용한다.

점검 단계에서 내부 감사와 경영진 검토를 수행하고, 개선 단계에서 결함을 고친다.

개선 결과는 다음 주기의 계획으로 되돌아간다.

ISMS와 ISMS-P 비교

ISMS와 ISMS-P는 적용 범위가 다르다. 표로 비교해 보자.

법적 근거는 ISMS가 정보통신망법 제47조, ISMS-P가 개인정보 보호법 제32조의2다.

보호 대상은 ISMS가 정보자산 전반, ISMS-P가 정보자산과 개인정보다.

ISMS-P는 ISMS 기준을 모두 포함한다. 개인정보 업무가 있으면 ISMS만으로는 개인정보 영역을 증명할 수 없다.

인증 심사의 종류

인증 심사는 목적에 따라 최초, 갱신, 사후 심사로 나뉜다.

최초심사는 인증 신청 시 전체 인증기준의 적합성을 심사한다.

갱신심사는 인증 유지 여부를 재심사한다. 사후심사는 인증 범위 내 변경과 운영 상태를 점검한다.

세 심사는 시점과 심사 내용으로 구분한다.

헷갈리는 점

시험에서 자주 틀리는 부분을 짚어 보자.

간편인증은 중소기업과 소규모 개인정보 처리자를 위한 절차다. 대규모 사업자에게 적용하면 틀린 답이다.

자발 신청은 의무대상이 아니어도 가능하다. 의무대상 여부는 정보통신망법 시행령 기준으로 판단한다.

정리

정리하자. ISMS는 관리체계와 보호대책으로 구성된다.

ISMS-P는 여기에 개인정보 처리 단계별 요구사항을 더한다.

관리과정은 PDCA 순환이고, 인증은 출발점이다. 사후 관리와 기술 점검이 실질적 보안을 결정한다.