PE Notes · 보안
ISMS·ISMS-P
정보보호 80항과 개인정보 22항을 더한 ISMS-P의 영역·관리 과정·자주 빠지는 운영 구멍을 인증 범위 표로 정리합니다.
침해와 대규모 유출이 반복되면, 개별 장비가 아니라 조직이 보호를 돌리는 방식이 질문이 됩니다. 는 그 관리 체계의 국내 인증이고, 는 개인정보 처리 단계 22항을 같은 심사에 붙인 통합본입니다. 이 글은 범위, 과정, 형식화되기 쉬운 칸을 한 장에 둡니다.
범위와 통제 영역
ISMS는 관리체계 16과 보호대책 64, 모두 80입니다. ISMS-P는 수집–보유–제공–파기–권리 22를 더해 102입니다. 의무 인증은 망법 기준의 일정 규모 ISP·IDC·병원·정보통신 매출 사업자 쪽에 있고, ISMS-P는 대규모 개인정보 처리 조직이 자발적으로 고르는 경우가 많습니다.
| 비교축 | ISMS | ISMS-P |
|---|---|---|
| 범위 | 정보보호 관리체계 | 정보보호 + 개인정보보호 |
| 통제 | 80 (16+64) | 102 (80+22) |
| 의무 | 망법 지정 사업자 | 의무는 얇고, 처리자 권고 |
| 맞는 조직 | 개인정보 비중이 낮은 곳 | 대규모 개인정보 처리 |
| 국제 짝 | ISO/IEC 27001과 보완 | 처리 단계 통제가 GDPR에 가깝다 |
보호대책은 정책·인력·외부자·물리·계정·접근·암호·개발·운영·취약점·사고·재해복구로 이어집니다. 개인정보 칸은 동의와 최소 수집, 목적 내 이용, 제3자·위탁, 파기, 열람·정정·삭제입니다.
관리 과정
운영의 뼈대는 입니다. 심사는 그 사이클이 문서와 현장에서 도는지 봅니다. 유효는 3년, 해마다 사후심사가 붙습니다.
| 단계 | 산출 |
|---|---|
| 수립 | 위원회, 정책, 범위, 자산 목록 |
| 자산×위협×취약성, 수용·감소·전이·회피 | |
| 구현 | 고른 통제의 관리·기술·물리 조치 |
| 운영 | 모니터링, 이상 대응 |
| 점검 | 연 1회 이상 내부감사와 경영진 검토 |
| 심사 | 지정 기관의 서면·현장, 3년 주기 |
위험 숫자를 엑셀에만 채워 두면 심사 문장은 통과해도 침해 경로는 그대로입니다. 침투 훈련과 실제 사고를 평가에 되먹이는지가 내실입니다.
빠지기 쉬운 칸
자주 비는 자리는 경영진 형식 참여, 외부자 로그, 파기 증빙, 클라우드 책임 분담입니다. 강화는 기록을 남기고, 평가를 실제 위협에 붙이며, SIEM으로 로그를 한곳으로 모으는 쪽입니다.
| 빈 칸 | 메우는 법 |
|---|---|
| 경영진 참여가 회의록뿐 | 정기 보고와 결정 기록 |
| 위험평가가 복사 | 위협 모델링, 훈련 결과 반영 |
| 외부자 접근 | 계약 조항, 접근 로그 |
| 로그 미분석 | SIEM 통합 |
| 파기 미준수 | 파기 확인, 자동 파기 |
| 클라우드 공백 | 공동 책임과 종료 시 삭제 |
PbD는 설계 단계에서 22항을 미리 넣고, 개인정보보호법 개정은 전송·자동화 결정 권리를 운영 절차에 연결합니다. ISO 27001은 해외 거래의 짝 인증으로 같이 가져가는 경우가 많습니다.