Kyu's Thought Diary

CEO가 승인한 CISO 인사발령을 했다면 그다음은 정보보호 조직도를 만드는 것입니다.  1.1. 관리체계 기반 마련1.1.1. 경영진의 참여1.1.2. 최고책임자의 지정1.1.3. 조직구성1.1.4. 범위설정1.1.5. 정책수립1.1.6. 자원할당 조직구성 본 저작물은 "공공누리" 제4유형:출처표시+상업적 이용금지+변경금지 조건에 따라 이용 할 수 있습니다. CISO 길라잡이(기본편) 에 보면 3. 정보보호 업무와 정보보호 거버넌스에 대한 내용이 있습니다. 이부분을 참고하면 좋을것 같습니다.  핵심은 최고경영층 및 비정보보호조직과의 소통인것 같습니다.  아래의 그림은 필자가 근무하는 회사의 정보보호 조직도입니다. 중소기업이다보니 인력자원이 제한적입니다. 기존에 하던 일반업무를 하면서 정보보호 조직도에 ..

ISMS 인증기준의 첫 번째는 바로 관리체계 기반 마련입니다.  1.1. 관리체계 기반 마련1.1.1. 경영진의 참여1.1.2. 최고책임자의 지정1.1.3. 조직구성1.1.4. 범위설정1.1.5. 정책수립1.1.6. 자원할당 주요 검토 사항 질문1) 최고 경영자는 정보보호 및 개인정보보호 처리에 관한 업무를 총괄하여 책임질 최고책임자를 공식적으로 지정하고 있는가? 중소기업 담당자를 위한 '정보보호 관리체계(ISMS)'  구축운영 교육 이후 사무실로 돌아와서 처음 실행한 것이 무엇일까요? 네 맞습니다. 제목과 같이 CISO / CPO 인사발령부터 시작했습니다.  과학기술정보통신부(https://www.msit.go.kr/search/ko/searchKo.do?qt=CISO) 통해 CISO갈라잡이 자료를 찾..

ISMS 보안 컨설팅의 유익한 점ISMS(정보보호 관리체계) 인증 준비를 진행하면서 보안 컨설팅을 받는 것은 여러모로 유익할 수 있습니다. 1. 법적 요구사항 준수 : ISMS 인증은 특정 산업에서는 법적 요구사항일 수 있으므로, 이를 통해 법적 리스크를 줄일 수 있습니다.2. 전문가의 조언: 보안 전문가의 컨설팅을 통해 현재 시스템의 취약점을 파악하고, 개선 방안을 제시받을 수 있습니다.3. 신뢰도 향상: ISMS 인증을 통해 고객 및 파트너에게 신뢰를 줄 수 있으며, 기업의 이미지 향상에 기여할 수 있습니다.4. 위험 관리: 체계적인 위험 분석을 통해 잠재적인 위협을 사전에 식별하고 대응 전략을 마련할 수 있습니다.5. 지속적인 개선: ISMS는 단발성이 아닌 지속적인 관리 체계이므로, 이를 통해 보..

ISMS 인증제도 및 기준 안내서를 확인했다면 그것을 바탕으로 각 인증기준별 세부적인 항목을 공부해야 하는데요. 안내서만으로는 이해가 되지 않는 영역이 있기 때문에 ISMS-P 인증 관련 교육콘텐츠를 활용하는 것이 좋습니다. 막막했던 ISMS-P의 A부터 Z까지 간략하게나마 소개하는 영상을 통해 좀 더 ISMS-P 인증 준비에 한 발자국 다가가게 되었습니다.  온라인 학습 온라인학습" href="https://isms-p.kisa.or.kr/lms/login.jsp" target="_blank" rel="noopener">KISA ISMS-P 홈페이지>온라인학습 으로 들어가면 별도의 회원가입 없이 휴대폰인증과 I-PIN 본인인증을 통해 온라인 학습을 진행할 수 있습니다. 그런데 온라인 학습의 단점은 매번..

회사의 주요매출이 정보통신서비스를 통해서 나오다보니 보안업무를 담당하기전부터 정보통신망법과 개인정보보호법의 테두리안에서 지켜야할 것과 지키지 말아야 할것들에 대한 고민을 항상 해오고 있었습니다. 인터넷 진흥원(KISA)라는 정부기관를 통해 주기적으로 개인정보보호 관련 해설서 및 인터넷 사업을 영위하기 위한 자료들을 점검하였기에 ISMS 인증의무기업이라는 당면한 문제앞에서도 관련정부기관에서 만든 해설서가 있을것이라는 생각을 하게 되었고 자연스럽게 ISMS-P 사이트를 찾게 되었습니다.  참고로 제가 재직하고 있는 회사는 '인터넷 쇼핑몰 서비스(OOOO)' 라는 서비스중심으로 ISMS-P 인증을 받았습니다. ISMS-P 인증대상기업은 저희와 같은 인터넷 쇼핑몰 회사외에도 IDC, 클라우드 사업자, 가상자산 ..

안녕하세요. 저는 중소기업에서 20년 가까이 프로그램 개발과 서버 운영 업무를 하다가 회사가 ISMS 의무기업이 되면서 보안담당자라는 직무까지 맡게 되었습니다. 쉽지 않았던 ISMS 인증 과정을 돌아보며 이 글을 쓰게 되었습니다. 먼저 ISMS 심사기관이나 심사위원과는 약간의 입장 차이가 있을 수 있음을 말씀드립니다.  몇 년 전 과기부로부터 ISMS 인증의무기업에 해당한다는 공문을 받았습니다. 주요 내용은 다음과 같았습니다:  1. 회사가 ISMS 인증 의무기업 기준(매출 100억 이상)에 해당하므로, 공문 수령 후 다음 해 8월까지 인증을 완료해야 함 2. 의무기업이 아니라고 판단되면 이의제기 가능 3. ISMS 또는 ISMS-P 중 선택하여 인증 가능  회사 매출이 100억을 넘은 지 몇 년이 지났..