JLabs

1.1.4 범위 설정

인증 기준

조직의 핵심 서비스와 개인정보 처리 현황 등을 고려하여 관리체계 범위를 설정하고, 관련된 서비스를 비롯하여 개인정보 처리 업무와 조직, 자산, 물리적 위치 등을 문서화하여야 한다.

주요 확인사항

  • 조직의 핵심 서비스 및 개인정보 처리에 영향을 줄 수 있는 핵심자산을 포함하도록 관리체계 범위를 설정하고 있는가?
  • 정의된 범위 내에서 예외사항이 있을 경우 명확한 사유 및 관련자 협의·책임자 승인 등 관련 근거를 기록·관리하고 있는가?
  • 정보보호 및 개인정보보호 관리체계 범위를 명확히 확인할 수 있도록 관련된 내용(주요 서비스 및 업무 현황, 정보시스템 목록, 문서목록 등)이 포함된 문서를 작성하여 관리하고 있는가?

결함 사례

  • 정보시스템 및 개인정보처리시스템 개발업무에 관련한 개발 및 시험 시스템, 외주업체직원, PC, 테스트용 단말기 등이 관리체계 범위에서 누락된 경우
  • 정보보호 및 개인정보보호 관리체계 범위로 설정된 서비스 또는 사업에 대하여 중요 의사결정자 역할을 수행하고 있는 임직원, 사업부서 등의 핵심 조직(인력)을 인증범위에 포함하지 않은 경우
  • 정보통신망법에 따른 정보보호 관리체계 인증 의무대상자임에도 불구하고 인터넷에 공개 되어있는 일부 웹사이트가 관리체계 범위에서 누락된 경우

함께 보는 항목

이 기준과 맞물려 나오는 개념

ISMS 인증범위

개념

  • ISMS 인증범위는 정보통신서비스와 직접 관련된 자산 및 시스템을 기준으로 설정한다.
  • ISMS 인증범위 설명 이미지

법령 참조

  • 안내서 2.1 ISMS 인증범위

주요내용

  • 구분 설명
    포함 기준 • 정보통신서비스 제공·관리용 시스템
    • 서비스 운영·보안·개발 조직 및 인력
    • 전산실, 사무실, IDC 등 물리적 장소
    • 외부 정보통신망으로 직접 연결된 시스템
    • 서비스 DB를 직접 이용하는 응용시스템 (DW, CRM도 직접 이용 시 포함)
    • 핵심 정보자산에 접근 가능한 시스템 (직접 운영 무관)
    제외 기준 • ERP, 그룹웨어 등 내부 업무 시스템 (정보통신서비스와 무관)
    • 영업/마케팅 조직 (직접 서비스 관련 없는 경우)
    • 임직원 대상 쇼핑몰 (단, 인터넷을 통해 외부에서 접근 가능한 경우에 인증대상)
    판단 기준 • 외부 정보통신망 연결 시스템 → 기본적으로 포함

빈출 오답

  • ❌ "정보통신서비스 DB를 복제하여 분석·마케팅에 쓰는 DW·CRM은 ISMS 범위 제외다" → ✅ DB를 직접 이용하지 않고 복제한 경우 ISMS는 제외 가능 (단, ISMS-P는 포함!)
  • ❌ "직접 운영하지 않는 시스템은 인증범위에서 제외된다" → ✅ 직접 운영 여부와 무관하게 핵심 정보자산에 접근 가능하면 포함
  • ❌ "임직원 복지몰은 인터넷에 공개여부와 무관하게 제외된다" → ✅ 임직원 복지몰이 인터넷 공개되어 있다면 인증범위에 포함

참고

  • ISMS 인증범위 설정은 "정보통신서비스 기준"이 핵심. 내부 업무 시스템(ERP 등)은 서비스와 무관하면 제외하는 게 원칙이지만, ISMS-P에서는 개인정보 처리 여부에 따라 달라짐

정리

  • 기준: 정보통신서비스와 직접 관련이 있는가? Yes=포함, No=제외. 복지몰·ERP는 일반적으로 No
  • ISMS와 ISMS-P 차이에 따른 인증범위 포함 여부를 반드시 구분할 수 있어야 한다.
  • 영리를 목적으로 하지 않더라도 정보통신망을 통해 정보를 제공하거나 정보의 제공을 매개하는 서비스는 모두 인증범위에 포함한다.

ISMS-P 인증범위

개념

  • ISMS-P 인증범위는 ISMS 범위 + 개인정보 흐름이 있는 모든 자산으로 확대된다.
  • ISMS-P 인증범위 설명 이미지

법령 참조

  • 안내서 2.2 ISMS-P 인증범위

주요내용

  • 구분 설명
    포함 원칙 • 서비스 관련 개인정보를 처리하는 모든 조직·시스템·장소
    • 오프라인 영역이라도 인증범위 내 개인정보 처리 시 포함
    • 개인정보 처리업무를 위탁한 수탁자: 위탁 업무 범위 포함
    DW·CRM 서비스 개인정보를 복제하여 마케팅 등에 사용 시 ISMS-P 범위에 반드시 포함
    오프라인 매장·물류·영업점 등 오프라인 영역도 인증범위 내 개인정보 처리 시 포함
    고객센터 이용자 상담·문의 대응을 위해 운영 시 포함
    수탁자 개인정보 처리업무 위탁 시 수탁자도 인증범위에 포함
    이중심사 ISMS 의무범위는 ISMS로, 특정 서비스만 ISMS-P로 동시 진행 가능

빈출 오답

  • ❌ "ISMS-P에서 수탁자는 인증범위에서 제외된다" → ✅ 개인정보 처리업무를 위탁한 수탁자는 포함
  • ❌ "오프라인 매장은 ISMS-P 인증범위에 제외된다" → ✅ 인증범위 내 개인정보 처리 시 포함
  • ❌ "ISMS-P에서 고객센터는 인증범위에 제외된다" → ✅ 이용자 상담·문의 대응 고객센터는 포함
  • ❌ "개인정보처리시스템이 오프라인에 있고 인터넷에 공개되지 않으면 ISMS-P 범위에서 제외된다" → ✅ 개인정보처리시스템이면 인터넷 공개 여부 무관하게 포함 가능

참고

  • ISMS-P 인증범위의 핵심은 "개인정보가 어디서 흐르는가"를 추적하는 것. 개인정보가 복사되어 마케팅에 쓰이면 그 시스템도 범위 안에 들어온다

정리

  • ISMS와 ISMS-P에 따른 인증범위 포함 여부
  • 범위 ISMS ISMS-P
    정보통신서비스 제공·관리용 시스템 ✅ 포함 ✅ 포함
    서비스 운영·보안·개발 조직 및 인력 ✅ 포함 ✅ 포함
    전산실, 사무실, IDC 등 물리적 장소 ✅ 포함 ✅ 포함
    외부 정보통신망으로 직접 연결된 시스템 ✅ 포함 ✅ 포함
    DW·CRM (서비스 DB 직접 이용) ✅ 포함 ✅ 포함
    DW·CRM (마케팅용 개인정보 복제 사용) ❌ 제외 ✅ 반드시 포함
    영업·마케팅 조직 (서비스 직접 무관) ❌ 제외 ✅ 포함 (개인정보 처리 시)
    고객센터 △ 경우에 따라 ✅ 포함 (상담·문의 운영 시)
    오프라인 매장·물류센터·영업점 ❌ 제외 ✅ 포함 (개인정보 처리 시)
    수탁자 (개인정보 처리 위탁) △ 경우에 따라 ✅ 포함 (위탁 업무 범위)
    ERP·그룹웨어 (서비스 무관 내부 시스템) ❌ 제외 ❌ 제외 (개인정보 미처리 시)
    임직원 복지몰 (외부 미공개) ❌ 제외 ❌ 제외

핵심 키워드

  • 관리체계 범위
  • 핵심 서비스
  • 예외사항 근거
  • 명세서

헷갈리는 항목

이 항목을 카드로 외우고 결함 판별 문제로 확인하기

출처: ISMS-P 인증제도 누리집(isms-p.or.kr) 제도소개