CPPG 32. 심사 의무대상자 정보통신 서비스

1. 심사 의무대상자 정보통신서비스

• 대표홈페이지: 기업(기관)의 대표 홈페이지 / 단순 홈페이지 포함
• 채용사이트: 인터넷을 통하여 채용 공고, 입사지원 등 채용 절차를 수행하는 시스템/ 온라인 채용 시스템
• 비영리 사이트: 비영리 목적으로 운영하는 인터넷 사이트/ 공익 사이트, 학교 홈페이지
• 임직원 복지를 위한 인터넷 시스템 / 임직원 복지몰 
• 기타 대외 서비스 및 업무처리를 위해 인터넷에 공개된 시스템 / 인터넷 방문예약, 인터넷 신문고 등

2. 시스템 유형별 인증범위 고려사항

• 응용 프로그램
  • 정보통신망을 통해 이용자에게 직접 노출되거나 접점이 되는 응용시스템은 심사범위에 포함
  • 정보통신서비스의 제공 또는 운영을 위하여 직접적으로 관련된 서비스 제공시스템, 서비스 관리용 시스템, 백오피스 시스템 등은 심사 범위에 포함
  • 제외
    • 정보통신서비스의 데이터베이스를 직접 이용하지 않고, 복제 등의 방법으로 별도 데이터베이스를 구성한 후 이를 분석, 마케팅 등의 용도로 사용하는 응용 시스템은 심사범위에서 제외
    • 정보통신서비스 관련 이용자 상담, 문의 대응 등을 위해 콜센터를 운영하는 경우, 콜센터 관련 시스템은 의무 심사범위에서 제외
    • 정보통신서비스와 직접적인 관련 없이 내부업무 처리가 주목적인 그룹웨어, ERP 등은 심사범위에서 제외
• 데이터베이스
• 서버
  • 인증범위에 포함된 서비스 및 응용시스템이 설치되어 운영되는 서버는 심사범위에 포함
  • 인증범위에 포함된 서비스 및 응용프로그램의 개발 및 운영, 보안 관리를 위해 필요한 서버는 심사범위에 포함
  • 임대장비 등 소유자가 해당 기업이 아니더라도, 데이터 등 실질적인 운영 또는 서비스에 이용에 포함
• 네트워크 장비
  • 별도의 보안설정 없는 더미의 역할을 하는 스위치는 심사범위에서 제외 가능
• 정보보호 시스템
• 클라우드서비스 사용 시
  • 단, 클라우드서비스 형태에 따라 심사범위가 달라질 수 있으므로 관리 범위, 지배권 소유 여부, 책임 소재 등에 따라 심사범위를 판단

2. ISMS-P 인증심사원

• ISMS-P 인증심사원이란 한국인터넷진흥원으로부터 인증심사를 수행할 수 있는 자격을 부여받고 인증심사를 수행하는 자
• 인증심사원 등급별 자격 요건
  • 정보보호 경력
    • 2년: 정보보호 관련 박위 취득자
    • 1년: 정보보호 관련 석사 학위 취득자, 정보보안기사, CISA, CISSP
  • 개인정보보호 경력
    • 2년: 개인정보보호 관련 박사 학위 취득자
    • 1년: 개인정보보호 관련 석사 학위 취득자, PIA, CPPG
  • 정보기술 경력
    • 2년: 정보기술 관련 박사 학위 취득자, 정보관리기술사, 컴퓨터시스템응용기술사, 정보시스템감리사
    • 1년: 정보기술 관련 석사 학위 취득자, 정보시스템감리원, 정보처리기사, 전자계산기조직응용기사

3. 인증심사원 자격요건 핵심사항

• 합산불가, 10년 이내, 보안필수, 완료자격증

4. 인증심사원 등급별 자격 요건

• 4년제 대학, 6년 이상, 필수 1년

5. 인증심사원 등급

• 심사원보: 인증심사원 양성과정 통과 (1일 자문료: 200,000원)
• 심사원: 심사원보 자격 취득자, 4회 이상 참여, 20일 이상 (1일 자문료: 300,000원)
• 선임심사원: 심사원 자격 취득자, 정보보호 및 개인정보보호 관리체계 인증심사 (ISMS-P)를 3회 이상 참여, 15일 이상 (1일 자문료: 350,000원)
• 책임심사원: 인터넷진흥원 (1일 자문료: 450,000)

6. 심사원 평가 기준

• 인증 기준 이해력, 심사 보고서 작성능력, 피심사자와의 의사소통 능력, 결함 판단 능력, 협업 및 심사태도, 인증심사 관련 이의제기