[ISMS/ISMS-P] 정보보호 및 개인정보보호 관리체계 인증 소개

정보보호 및 개인정보보호 관리체계 인증 소개

정보보호 및 개인정보보호 관리체계 인증기준은 크게 3개의 영역에서 총 102개의 인증기준으로 구성되어 있다.

1. 관리체계 수립 및 운영(16개)
2. 보호대책 요구사항(64개)
3. 개인정보 처리 단계별 요구사항(22개)

정보보호 관리체계(ISMS) 인증을 받고자 하는 신청기관은 '1. 관리체계 수립 및 운영(16개)', '2. 보호대책 요구사항(64개)' 2개 영역에서 80개의 인증기준을 적용받게 되며 정보보호 및 관리체계(ISMS-P) 인증을 받고자 하는 신청기관은 '3. 개인정보 처리 단계별 요구사항(22개)'를 포함하여 102개의 인증기준을 적용받게 된다.

정보보호 및 개인정보보호 관리체계 인증기준 구성은 다음과 같다.

1. 관리체계 수립 및 운영

'관리체계 수립 및 운영' 영역은 관리체계 기반 마련, 위험 관리, 관리체계 운영, 관리체계 점검 및 개선의 4개 분야 16개 인증기준으로 구성되어 있다. 이러한 관리체계 수립 및 운영은 정보보호 및 개인정보보호 관리체계를 운영하는 동안 Plan / Do / Check / Act 의 사이클에 따라 지속적이고 반복적으로 실행되어야 한다.

2. 보호대책 요구사항

'보호대책 요구사항' 영역은 12개 분야 64개 인증 기준으로 구성되어 있다. 보호대책 요구사항에 따라 신청기관은 관리체계 수립 및 운영 과정에서 수행한 위험평가 결과와 조직의 서비스 및 정보시스템 특성 등을 반영하여 체계적으로 보호대책을 수립·이행하여야 한다.

3. 개인정보 처리 단계별 요구사항

'개인정보 처리 단계별 요구사항' 영역은 개인정보 생명주기에 따른 개인정보 수집 시 보호조치, 개인정보 보유 및 이용 시 보호조치, 개인정보 제공 시 보호조치, 개인정보 파기 시 보호조치와 정보주체 권리보호를 포함하여 5개 분야 22개의 인증기준으로 구성되어 있다. 이 영역은 대부분 법적 요구사항과 직접적으로 관련되어 있으므로 개인정보 흐름분석을 바탕으로 조직이 적용받는 법규 및 세부 조항을 명확히 파악하여 이를 준수할 수 있도록 하여야 한다.