ISMS-P 인증기준의 구성과 영역 구분

핵심 정리

정보보호 관리체계와 개인정보보호 관리체계를 통합한 국내 인증 제도는 ISMS-P다. 그 인증심사 기준은 「정보보호 및 개인정보보호 관리체계(ISMS-P)의 인증 등에 관한 고시」에 제시된다. 이 제도의 인증기준은 크게 세 영역으로 나뉜다. 세 영역은 관리체계 수립 및 운영, 보호대책 요구사항, 개인정보 처리 단계별 요구사항이다. 세 영역은 서로 다른 축으로 나뉘므로 보호대책과 처리단계는 다른 축이라는 점을 먼저 알아야 한다.

관리체계 수립 및 운영 영역은 PDCA 흐름으로 이해하면 단계 순서를 외우기 쉽다. ISMS 관리체계 수립 및 운영은 관리체계 기반 마련, 위험관리, 관리체계 운영, 점검 및 개선 순으로 PDCA 사이클을 따른다. 기반 마련 단계에서는 관리체계의 범위와 틀을 세운다. 위험관리 단계에서는 그 범위 안의 위험을 다루고, 관리체계 운영 단계에서는 실제 보호활동을 수행한다. 마지막 점검 및 개선 단계에서는 결과를 돌아보고 부족한 부분을 고친다. 기출 선지에서는 단계를 혼동하게 하는 함정이 자주 나오므로, 각 활동이 어느 단계에 속하는지 가려야 한다.

보호대책 요구사항은 관리체계 운영과 짝을 이루는 기술적·관리적 통제 항목의 묶음이다. 이 영역에는 정책, 조직, 자산 관리처럼 관리체계의 바탕이 되는 항목과 재해 복구, 인증 및 권한관리처럼 시스템과 접근을 다루는 항목이 함께 들어간다. 항목 이름만 보고 판단하지 말고 먼저 어느 영역에 속하는지 확인해야 한다.

개인정보 처리 단계별 요구사항은 개인정보의 처리 흐름에 따라 요구사항을 나눈 것이다. 이 요구사항은 개인정보가 수집되는 지점부터 처리되는 흐름과 맞물려 있다. 따라서 각 항목이 개인정보 처리 흐름에 해당하는지부터 확인해야 한다. 처리 흐름에 해당하지 않는 항목을 이 영역에 넣은 선지는 거짓이다.

인증을 받는다는 것은 심사를 거쳐 관리체계가 기준에 맞게 갖춰져 운영되고 있음을 확인받는다는 뜻이다. 다만 인증은 기준 충족 여부를 확인하는 제도이므로, 인증을 받았다고 해서 개별 침해사고가 발생하지 않는다고 보장하지는 않는다. 제도의 효과와 한계를 구분하면 효과를 과장한 선지를 가려내기 쉽다.

자세히

기출 문항이 많이 나온 쟁점부터 살펴본다. 같은 물음을 다루는 항목은 함께 묶었다.

보호대책 요구사항 영역에 드는 항목과 빠지는 항목

보호대책 요구사항 분야에 속하는지 판단할 때 먼저 알아둘 점은 정보주체 권리보호가 이 분야에 포함되지 않는다는 사실이다. 개인정보를 다루는 인증 제도라는 이유만으로 권리보호를 이 분야에 넣으면 안 된다. 반면 정책, 조직, 자산 관리는 이 분야에 포함된다. 관리체계의 바탕이 되는 항목이 이 분야에 모인다고 이해하면 된다. 재해 복구도 ISMS-P 보호대책 요구사항 분야에 포함된다. 재해 복구는 시스템이 중단되었을 때의 대응을 다루므로, 개인정보 처리 흐름과 관계없이 이 영역에서 판단한다.

인증 및 권한관리는 개인정보 처리 단계별 요구사항이 아니라 보호대책 요구사항 영역에 속한다. 인증과 권한 관련 선지를 풀 때는 이 구분부터 해야 한다. 세부 항목인 비밀번호 관리도 인증 및 권한관리 영역에 포함된다. 세부 항목은 상위 영역을 따라간다. 한편 정보시스템 보호는 인증 및 권한관리 항목에 해당하지 않는다. 인증 및 권한관리의 범위를 넓게 잡으면 이 선지를 놓치게 된다.

두 영역의 대표 항목을 나란히 보면 어느 쪽에 속하는지 한눈에 구분할 수 있다. 인증 및 권한관리는 보호대책 쪽 칸에만 있다. 정보주체 권리보호는 어느 쪽 칸에서도 보호대책 분야의 항목으로 제시되지 않는다는 점도 기억해야 한다.

관리체계 수립 및 운영과 기반 마련 단계

관리체계 기반 마련은 관리체계 수립 및 운영 영역에 속하는 분야이다. 기반 마련은 독립된 영역이 아니라 운영 영역 안의 한 분야이다. 따라서 기반 마련에 속하는 활동을 보호대책 요구사항이나 개인정보 처리 단계별 요구사항으로 분류하면 틀린다. 기반 마련은 운영 단계 이전에 틀을 세우는 활동이므로, 두 활동을 구분하는 것이 시험에서 중요한 판단 기준이다.