정보보안 ISMS 인증이란 무엇인가? ISMS의 단계

정보보안을 공부하다보면 정보보호관리체계라든지 ISMS라든지 이런 용어가 나옵니다.

ISMS란?

ISMS는 Information Security Management System의 약자입니다. 번역을 하면 정보보호관리쳬계라고 할 수 있습니다. 혹은 정보보안 경영 시스템이라고 해석하기도 합니다. 개인에게 적용하는 것은 아니며 기업이나 특정조직에 적용합니다.

정보보호 정책을 짜고, 위험에 대응하는 등 여러 보안 대책을 유기적으로 통합해 관리하는 것이 목적입니다.

기술적, 물리적 보호조치를 포함한 종합 관리체계가 방송통신위원회가 고시한 기준에 적합한지를 한국인터넷진흥원(KISA)이 인증해줍니다. 그 동안 ISMS 인증은 의무가 아니었으나 2013년부터 민간 기업 가운데 의무 인증 대상자가 지정되었습니다.

기업의 정보보호 수준을 끌어올리기 위해 필요한 것이며 이러한 인증을 통해서 보안의 구멍을 없애며 기업에게는 실질적으로는 보안에 구멍이 생기더라도 책임을 회피할 수 있다는 장점이 있습니다.

ISMS는 계획, 수행, 점검, 조치의 4가지 단계로 이루어집니다.

계획 - ISMS 수립

조직이 가지고 있는 위험을 관리하고 정보보안이라는 목적을 달성하기 위한 전반적인 정책을 수립합니다 

프로세스를 위한 입력, 출력 규정

프로세스 책임자 규정

프로세스 네트워크의 전반적인 흐름과 구상도 전개

수행 - ISMS 구현과 운영

수립된 정책을 현재 업무에 적용합니다.

각 프로세스를 위한 자원 분배

의사소통 경로 수집

피드백 수용

자료 수집

점검 - ISMS 모니터링과 검토

적용된 정책이 실제로 잘 동작하는지에 대해 확인합니다.

정확한 프로세스의 측정과 이행을 모니터링

수집된 정보 분석

분석 결과 평가

조치 - ISMS 관리와 개선

시정 및 예방 조치를 실행합니다. 잘못 운영되고 있는 경우에 원인을 분석하고 개선합니다.