인증 기준
조직의 업무특성에 따라 정보자산 분류기준을 수립하여 관리체계 범위 내 모든 정보자산을 식별·분류하고, 중요도를 산정한 후 그 목록을 최신으로 관리하여야 한다.
주요 확인사항
- 정보자산의 분류기준을 수립하고 정보보호 및 개인정보보호 관리체계 범위 내의 모든 자산을 식별하여 목록으로 관리하고 있는가?
- 식별된 정보자산에 대하여 법적 요구사항 및 업무에 미치는 영향 등을 고려하여 중요도를 결정하고 보안등급을 부여하고 있는가?
- 정기적으로 정보자산 현황을 조사하여 정보자산목록을 최신으로 유지하고 있는가?
결함 사례
- 정보보호 및 개인정보보호 관리체계 범위 내의 자산 목록에서 중요정보 취급자 및 개인정보취급자 PC를 통제하는 데 사용되는 출력물 보안, 문서암호화, USB매체제어 등의 내부정보 유출통제 시스템이 누락된 경우
- 정보보호 및 개인정보보호 관리체계 범위 내에서 제3자로부터 제공받은 개인정보가 있으나, 해당 개인정보에 대한 자산 식별이 이루어지지 않은 경우
- 내부 지침에 명시된 정보자산 및 개인정보 보안등급 분류 기준과 자산관리 대장의 분류 기준이 일치하지 않은 경우
- 온프레미스 자산에 대해서는 식별이 이루어졌으나, 외부에 위탁한 IT 서비스(웹호스팅, 서버호스팅, 클라우드 등)에 대한 자산 식별이 누락된 경우(단, 인증범위 내)
- 고유식별정보 등 개인정보를 저장하고 있는 백업서버의 기밀성 등급을 (하)로 산정하는 등 정보자산 중요도 평가의 합리성 및 신뢰성이 미흡한 경우
업종 특화
이 항목이 업종에 따라 달라지는 지점
가상자산사업자
가상자산 특화
- 가상자산과 관련한 자산을 식별하여 목록으로 관리하고, 최소한 필요한 인원에게만 제공하고 있는가? (주요자산 예시: 개인키, 패스프레이즈, 월렛(핫·콜드), 월렛금고, 통제구역(월렛 작업공간) CCTV·출입통제시스템, 월렛서버 및 어플리케이션, 가상자산 노드서버, 가상 인프라(스토리지 포함), 콜드/핫 월렛용 단말기(노트북·PC), 자금세탁방지(AML) 시스템 등)
MVNO(알뜰폰)
MVNO 특화
- (추가) 이용자 본인 확인을 위한 신분증 및 구비서류를 수취하기 위해 운영하는 시스템을 식별하여 그 목록을 최신으로 관리하고 있는가?
MVNO 결함사례
- MVNO사업자가 신분증 및 구비서류를 수취하기 위해 외부 웹하드 사이트를 이용하여 시스템을 운영·관리하고 있으나, 해당 웹하드 사이트에 대한 자산 식별이 누락된 경우
핵심 키워드
- 자산 분류기준
- 자산 식별·분류
- 중요도 산정
- 보안등급
- 자산목록 최신화
헷갈리는 항목
출처: ISMS-P 인증제도 누리집(isms-p.or.kr) 제도소개