PE Notes · 보안
정보보호 컴플라이언스
법령·표준을 지키는 컴플라이언스와 실제 위험 감소인 보안을 가르고, ISMS-P·ISO 27001·GDPR·PCI DSS를 요건·제재·인증으로 비교합니다.
투자를 미루면 유출이 사회 비용이 됩니다. 는 법령·표준·계약이 요구하는 최소를 이행하는 체계입니다. 체크리스트를 채워도 위험이 남는다는 점이 보안과의 간격입니다.
국내·국제·산업
개인정보보호법, 정보통신망법, 전자금융, 클라우드(), 사이버안보, 전자정부 시큐어코딩이 국내 뼈대입니다. 국제는 ISO/IEC 27001, SOC 2, , 입니다. 금융 망분리, 의료 기록, 공공 보안등급이 업종 층입니다.
| 비교축 | ISMS-P | ISO/IEC 27001 | GDPR | PCI DSS |
|---|---|---|---|---|
| 범위 | 국내 정보통신 등 | 자발 국제 | EU 개인정보 | 카드 데이터 |
| 성격 | 인증 의무에 가까움 | 관리체계 표준 | 원칙·권리 | 12개 기술 요건 |
| 제재 | 과태료, 인증 취소 | 인증 자체 | 매출 비율 과징금 | 카드사 제재 |
| 주기 | 3년, 사후 심사 | 3년, 감시 심사 | 지속 | 연 심사 |
ISMS-P 토픽이 통제 항목을 다루면, 여기서는 제도 지도입니다. 개인정보 개정·Privacy by Design은 설계 원칙 층입니다.
수명주기
적용 목록 → 갭 → 개선 → 구현 → 내부 감사 → 외부 인증 → PDCA입니다. 는 개인정보가 큰 처리에 붙습니다.
| 비교축 | 컴플라이언스 | 보안 |
|---|---|---|
| 목적 | 외부 기준 충족 | 실제 위험 감소 |
| 방향 | 조항·통제 | 위협·노출 |
| 한계 | 충족 후 멈출 수 있음 | 끝이 없음 |
| 관계 | 필요, 충분치 않음 | 컴플라이언스를 포함해 더 감 |
점수를 맞춰도 공격 면은 남을 수 있습니다. CTEM과 같이 쓰면 “충족”과 “노출”이 갈립니다.
GRC와 제재
는 거버넌스·위험·준수를 한 플랫폼에 올립니다. SIEM 로그와 취약점 스캔이 증적이 됩니다. 는 그 확인을 자동화합니다. 와 국내 은 AI 처리까지 목록을 넓힙니다.
| 층 | 수단 |
|---|---|
| 관리 | 요건 대장, 갭, 책임자 |
| 증적 | 로그, 스캔, 정책 버전 |
| 사고 | 통보 시한이 법령마다 다름 |
인증서만 보여 주는 답은 약합니다. 적용 대상, 비교축, 갭–인증–유지 순이 한 장입니다.
기술사 답안 포인트
기출 이력
제140회 정보관리기술사 4교시