| 구분 | ISMS | ISMS-P |
|---|---|---|
| 정식 명칭 | 정보보호 관리체계 인증 | 정보보호 및 개인정보보호 관리체계 인증 |
| 인증기준 영역 | 1. 관리체계 수립 및 운영 |
즉 ISMS-P는 ISMS에 개인정보 처리단계별 요구사항(수집 → 보유·이용 → 제공 → 파기, 정보주체 권리보호)이 추가된, 더 넓은 범위의 인증기준이다.
1. 관리체계 수립 및 운영 (16개 기준)
ㄴ 관리체계 기반 마련 / 위험 관리 / 관리체계 운영 / 관리체계 점검 및 개선
2. 보호대책 요구사항 (64개 기준)
ㄴ 접근통제, 암호화 적용, 시스템 및 서비스 보안관리,
사고 예방 및 대응, 재해복구 등 12개 분야
3. 개인정보 처리단계별 요구사항 (22개 기준)
ㄴ 수집 시 보호조치 / 보유·이용 시 보호조치 /
제공 시 보호조치 / 파기 시 보호조치 / 정보주체 권리보호
우리가 이번에 다룬 접근권한 관리(2.6), 암호화 적용(2.7), 사고 예방 및 대응(2.11) 같은 항목들은 모두 '2. 보호대책 요구사항' 영역에 속하고, 개인정보의 파기(3.4) 같은 항목은 '3. 개인정보 처리단계별 요구사항' 영역에 속한다.
다른 프레임워크(예: AWS Well-Architected Security Pillar, CIS Benchmark, ISO 27001)도 있었지만, 우리는 다음과 같은 이유로 ISMS-P를 메인 기준으로 선택했다.
시나리오 01은 AWS 인프라(EC2, IAM, S3)에서 발생한 데이터 유출이다. 만약 유출된 데이터가 개인정보였다면, 우리 회사는 개인정보 보호법 제29조(안전조치의무), 제34조(유출 통지·신고) 를 지켰는지 평가받는다. ISMS-P는 이 국내 법령들과 조항 단위로 직접 연결되어 있어서, "이 공격 단계가 어떤 법적 의무 위반으로 이어지는가"를 가장 명확하게 추적할 수 있는 기준이었다.
시나리오의 공격 단계와 ISMS-P 통제항목은 거의 그대로 대응된다.