정보보안

ISO 27001 인증 준비 과정에서 컨설팅을 통해 받은 산출물을 하나씩 살펴보고 있다. 이번에 살펴볼 문서는 회사의 정보보안 관리체계에서 기본이 되는 정보보호 정책서, 정보보호 지침서, 정보보호 절차서다. 처음에는 세 가지 문서가 비슷한 내용을 반복해서 담고 있는 것처럼 보였다. 하지만 자세히 살펴보니 각각의 역할이 달랐다. 정책서는 회사가 지켜야 할 큰 원칙을 정하고, 지침서는 분야별 관리 기준을 구체화하며, … 더 읽기

ISO 27001 인증 준비 과정에서 세 번째로 살펴볼 문서는 적용성 명세서, SoA(Statement of Applicability)다. 앞서 인증범위 정의서를 통해 인증 대상이 되는 업무와 시스템을 살펴봤고, 이해관계자 조직상황 분석서를 통해 회사 안팎의 요구사항과 업무환경을 정리했다. 그렇다면 이제는 우리 회사에 어떤 정보보호 통제가 필요한지 판단할 차례다. SoA는 이 과정에서 만들어지는 핵심 산출물이다. 어떤 통제를 선택했는지, 선택한 이유는 무엇인지, … 더 읽기

ISO 27001 인증 준비 과정에서 두 번째로 살펴볼 산출물은 이해관계자 조직상황 분석서다. 인증범위 정의서가 어떤 업무와 시스템을 인증 대상으로 삼을지 정리하는 문서였다면, 이번 문서는 그 업무를 둘러싼 환경과 사람, 조직의 요구사항을 살펴보는 자료였다. 처음에는 이해관계자 목록과 조직 현황을 정리한 문서라고 생각했다. 하지만 실제 내용을 살펴보니 조금 더 복잡했다. 대표이사와 정보보호 담당 조직은 어떤 역할을 하는지, … 더 읽기

ISO 27001 인증 준비 과정에서 컨설팅을 통해 만들어진 산출물을 하나씩 살펴보기로 했다. 첫 번째 문서는 바로 인증범위 정의서다. 처음에는 인증받을 서비스나 부서를 정리한 문서 정도로 생각했다. 하지만 실제 자료를 살펴보니 단순히 대상 목록을 작성하는 수준이 아니었다. 회사의 사업, 조직, 정보시스템, 네트워크, 정보보호 운영체계까지 전체적인 모습을 파악할 수 있도록 정리한 문서였다. 그렇다면 이 문서에서 가장 중요한 … 더 읽기