ISMS-P 인증 실무 가이드 2/e [실제 심사와 동일한 사례부터 클라우드 환경까지]
- 지은이연수권, 신동혁, 박나룡
- ISBN : 9791161755298
- 35,000원
- 2021년 05월 28일 펴냄
- 페이퍼백 | 512쪽 | 188*235mm
- 시리즈 : 해킹과 보안
판매처
개정판책 소개
요약
정보보호 및 개인정보보호 관리체계를 담당하고자 하는 기업의 정보보호 담당자, 신입 사원, 인증 심사원이 되기를 희망하는 분들을 위한 책이다. 실제 기업에서 수행하고 있는 정보보호 업무를 기반으로 통제 항목별 실무 사례를 제공한다. 각 통제 영역별로 기업의 가상 환경 시나리오를 구성해 실제 인증심사에서 발견할 수 있는 결함을 도출하고 결함 보고서를 작성할 수 있도록 예시를 제공한다. 또한 데이터 3법(개인정보보호법•정보통신망법•신용정보법) 개정이 각 통제항목에 미치는 영향을 분석해서 반영했다.
이 책에서 다루는 내용
■ 입문자를 고려한 정보보호 및 개인정보보호 인증실무 제도 안내
■ 정보보호 인증심사 수검 준비를 위해 필요한 필수 업무
■ ISMS와 PIMS의 통합으로 추가/변경된 업무
■ 통제 항목별 인증기준, 인증 준비사항, 증적 자료
■ 실제 기업에서 수행하는 통제 항목별 프로세스를 기반으로 한 실무 사례
■ 클라우드 환경에서 검토해야 할 통제항목 및 실무 사례
■ 통제 항목별 인증심사원이 중점적으로 검토해야 할 사항
■ 통제 영역별 가상의 기업 환경 시나리오를 작성해 결함 도출 및 결함 보고서 작성
■ 데이터 3법(개인정보보호법•정보통신망법•신용정보법) 개정 내용 반영
■ ISMS-P 인증심사원 시험에 최적합하도록 법규 내용 수정
이 책의 대상 독자
정보보호를 공부하거나 ISMS-P를 공부하고 있는 학생, 현업에 종사하거나 이제 막 실무에 입문해 정보보호 업무를 수행할 분들에게 추천한다. 또한 실무 및 정보보호 인증에 대한 지식을 쌓고 싶은 보안 담당자, 클라우드 환경에서의 ISMS-P 인증 실무지식을 쌓고 싶은 ISMS-P 인증심사원 등에게 도움이 될 수 있도록 구성했다.
■ 정보보호 및 개인정보보호 관리체계 기초를 공부하고 있는 학생
■ 대기업, 중소기업, 스타트업 정보보호 담당자로 입사 예정인 신입 사원
■ 정보보호 및 개인정보보호 관리체계 실무 지식을 쌓고 싶은 보안 담당자
■ 인증결함 도출 및 결함 보고서 작성 실무 지식을 쌓고 싶은 보안 담당자
■ 클라우드 환경에서의 ISMS-P 인증 실무 지식을 쌓고 싶은 ISMS-P 인증심사원
이 책의 구성
1장. ‘정보보호 인증제도 이해’에서는 통합된 ISMS-P 인증의 이해도를 높이고자 인증제도 소개, 법적 근거, 인증체계, 인증기준 등을 설명한다.
2장. ‘ISMS-P 인증심사준비‘에서는 정보보호 인증을 취득하기 위해 사전에 준비해야 할 정책/지침 수립, 개인정보 및 정보서비스 흐름도 작성, 취약점 분석, 위험분석 및 평가, 정보보호 감사, 정보보호 및 개인정보보호 관리체계 운영명세서를 다룬다.
3장. 'ISMS-P 인증심사 기준 및 심사방법'에서는 정보보호인증 심사기준 관리체계 수립 및 운영(16개 항목), 보호대책 요구사항(64개 항목), 개인정보처리단계별 요구사항(22개 항목)에 대해 인증기준을 설명하고 각 인증항목별 인증준비사항, 실무 사례, 증적 자료, 심사원 중점 검토사항을 설명한다. 특히, 클라우드 서비스 사용 시에 확인이 필요한 통제항목에 대해서도 실무 사례를 제공한다. 또한 인증통제 분야별로 가상 시나리오를 작성해 실제 심사와 동일하게 정책 및 지침 확인, 인터뷰 또는 실사를 통한 확인, 결함요약, 결함 보고서(2종)를 사례로 제공해 ISMS-P 인증의 시작부터 끝까지 모든 내용을 다룬다.
각종 IT시스템이나 정보보호의 기본지식과 정보보호 인증의 기본 지식이 있는 분들은 쉽게 이해할 수 있다. ISMS-P 준비 절차, 각 항목별 설명, 사례, 결함 도출 및 결함 보고서 작성 등에 대한 이해도를 높여 실무에 활용하거나 정보보호 인증심사원 자격 취득을 준비하는 분에게 도움을 주는 것이 목표다.
상세 이미지
목차
목차
- 1장. 정보보호 인증제도 이해
- 1. 정보보호 인증제도 개요
- 1.1 정보보호 인증제도란?
- 1.2 ISMS-P 법적 근거
- 1.3 인증체계
- 1.4 인증기준
- 2장. ISMS-P 인증심사준비
- 1. 정보보호정책•지침 수립
- 2. 개인정보 및 정보서비스 흐름도 작성
- 2.1 개인정보 흐름도
- 2.2 정보서비스 흐름도
- 3. 취약점 분석
- 3.1 서버 취약점 진단
- 3.2 WEB/WAS/Application 취약점 진단
- 3.3 네트워크 취약점 진단
- 3.4 데이터베이스 취약점 진단
- 3.5 정보보호솔루션 진단
- 3.6 모바일앱 취약점 진단
- 4. 모의해킹
- 5. 위험분석 및 평가
- 5.1 Risk-Based Approach Risk Assessment
- 5.2 Asset-Based Approach Risk Assessments
- 가. 자산 식별 및 중요도 산정
- 나. 위협 식별 및 중요도 평가
- 다. 위험평가
- 라. 보호대책 수립
- 6. 정보보호 감사
- 7. 정보보호 및 개인정보보호 관리체계 운영명세서
- 3장. ISMS-P 인증심사 기준 및 심사방법
- 1. 관리체계 수립 및 운영
- 1.1 관리체계 기반 마련
- 가. 인증 분야 및 항목 설명
- 1.1.1 경영진의 참여
- 1.1.2 최고책임자의 지정
- 1.1.3 조직 구성
- 1.1.4 범위 설정
- 1.1.5 정책 수립
- 1.1.6 자원 할당
- 나. 사례 연구
- 1.2 위험관리
- 가. 인증 분야 및 항목 설명
- 1.2.1 정보자산 식별
- 1.2.2 현황 및 흐름분석
- 1.2.3 위험평가
- 1.2.4 보호대책 선정
- 나. 사례 연구
- 1.3 관리체계 운영
- 가. 인증 분야 및 항목 설명
- 1.3.1 보호대책 구현
- 1.3.2 보호대책 공유
- 1.3.3 운영현황 관리
- 나. 사례 연구
- 1.4 관리체계 점검 및 개선
- 가. 인증 분야 및 항목 설명
- 1.4.1 법적 요구사항 준수 검토
- 1.4.2 관리체계 점검
- 1.4.3 관리체계 개선
- 나. 사례 연구
- 나. 사례 연구
- 2. 보호대책 요구사항
- 2.1 정책, 조직, 자산 관리
- 가. 인증 분야 및 항목 설명
- 2.1.1 정책의 유지관리
- 2.1.2 조직의 유지관리
- 2.1.3 정보자산 관리
- 나. 사례 연구
- 2.2 인적 보안
- 가. 인증 분야 및 항목 설명
- 2.2.1 주요 직무자 지정 및 관리
- 2.2.2 직무 분리
- 2.2.3 보안 서약
- 2.2.4 인식제고 및 교육훈련
- 2.2.5 퇴직 및 직무변경 관리
- 2.2.6 보안 위반 시 조치
- 나. 사례 연구
- 2.3 외부자 보안
- 가. 인증 분야 및 항목 설명
- 2.3.1 외부자 현황 관리
- 2.3.2 외부자 계약 시 보안
- 2.3.3 외부자 보안 이행 관리
- 2.3.4 외부자 계약 변경 및 만료 시 보안
- 나. 사례 연구
- 2.4 물리보안
- 가. 인증 분야 및 항목 설명
- 2.4.1 보호구역 지정
- 2.4.2 출입 통제
- 2.4.3 정보시스템 보호
- 2.4.4 보호설비 운영
- 2.4.5 보호구역 내 작업
- 2.4.6 반출입 기기 통제
- 2.4.7 업무환경 보안
- 나. 사례 연구
- 2.5 인증 및 권한관리
- 가. 인증 분야 및 항목 설명
- 2.5.1 사용자 계정관리
- 2.5.2 사용자 식별
- 2.5.3 사용자 인증
- 2.5.4 비밀번호 관리
- 2.5.5 특수 계정 및 권한 관리
- 2.5.6 접근권한 검토
- 나. 사례 연구
- 2.6 접근통제
- 가. 인증 분야 및 항목 설명
- 2.6.1 네트워크 접근
- 2.6.2 정보시스템 접근
- 2.6.3 응용프로그램 접근
- 2.6.4 데이터베이스 접근
- 2.6.5 무선 네트워크 접근
- 2.6.6 원격접근 통제
- 2.6.7 인터넷 접속 통제
- 나. 사례 연구
- 2.7 암호화 적용
- 가. 인증 분야 및 항목 설명
- 2.7.1 암호정책 적용
- 2.7.2 암호키 관리
- 나. 사례 연구
- 2.8 정보시스템 도입 및 개발 보안
- 가. 인증 분야 및 항목 설명
- 2.8.1 보안 요구사항 정의
- 2.8.2 보안 요구사항 검토 및 시험
- 2.8.3 시험과 운영 환경 분리
- 2.8.4 시험 데이터 보안
- 2.8.5 소스 프로그램 관리
- 2.8.6 운영환경 이관
- 나. 사례 연구
- 2.9 시스템 및 서비스 운영관리
- 가. 인증 분야 및 항목 설명
- 2.9.1 변경관리
- 2.9.2 성능 및 장애관리
- 2.9.3 백업 및 복구관리
- 2.9.4 로그 및 접속기록 관리
- 2.9.5 로그 및 접속기록 점검
- 2.9.6 시간 동기화
- 2.9.7 정보자산의 재사용 및 폐기
- 나. 사례 연구
- 2.10 시스템 및 서비스 보안관리
- 가. 인증 분야 및 항목 설명
- 2.10.1 보안시스템 운영
- 2.10.2 클라우드 보안
- 2.10.3 공개 서버 보안
- 2.10.4 전자거래 및 핀테크 보안
- 2.10.5 정보전송 보안
- 2.10.6 업무용 단말기기 접근통제
- 2.10.7 보조 저장매체 관리
- 2.10.8 패치 관리
- 2.10.9 악성코드 통제
- 나. 사례 연구
- 2.11 사고 예방 및 대응
- 가. 인증 분야 및 항목 설명
- 2.11.1 사고 예방 및 대응체계 구축
- 2.11.2 취약점 점검 및 조치
- 2.11.3 이상행위 분석 및 모니터링
- 2.11.4 사고 대응 훈련 및 개선
- 2.11.5 사고 대응 및 복구
- 2.12 재해복구
- 가. 인증 분야 및 항목 설명
- 2.12.1 재해, 재난 대비 안전조치
- 2.12.2 재해복구 시험 및 개선
- 3. 개인정보 처리단계별 요구사항
- 3.1 개인정보 수집 시 보호조치
- 가. 인증 분야 및 항목 설명
- 3.1.1 개인정보 수집 제한
- 3.1.2 개인정보의 수집 동의
- 3.1.3 주민등록번호 처리 제한
- 3.1.4 민감정보 및 고유식별정보의 처리 제한
- 3.1.5 간접수집 보호조치
- 3.1.6 영상정보처리기기 설치•운영
- 3.1.7 홍보 및 마케팅 목적 활용 시 조치
- 나. 사례 연구
- 3.2 개인정보 보유 및 이용 시 보호조치
- 가. 인증 분야 및 항목 설명
- 3.2.1 개인정보 현황 관리
- 3.2.2 개인정보 품질보장
- 3.2.3 개인정보 표시제한 및 이용 시 보호조치
- 3.2.4 이용자 단말기 접근 보호
- 3.2.5 개인정보 목적 외 이용 및 제공
- 나. 사례 연구
- 3.3 개인정보 제공 시 보호조치
- 가. 인증 분야 및 항목 설명
- 3.3.1 개인정보 제3자 제공
- 3.3.2 업무 위탁에 따른 정보주체 고지
- 3.3.3 영업의 양수 등에 따른 개인정보의 이전
- 3.3.4 개인정보의 국외 이전
- 나. 사례 연구
- 3.4 개인정보 파기 시 보호조치
- 가. 인증 분야 및 항목 설명
- 3.4.1 개인정보의 파기
- 3.4.2 처리목적 달성 후 보유 시 조치
- 3.4.3 휴면 이용자 관리
- 나. 사례 연구
- 3.5 정보주체 권리보호
- 가. 인증 분야 및 항목 설명
- 3.5.1 개인정보처리방침 공개
- 3.5.2 정보주체 권리보장
- 나. 사례 연구
도서 오류 신고
정오표
정오표
[용어 변경]
"개인정보처리방침"
->
"개인정보 처리방침"
[p.126 : 박스 4행 내용 추가]
2018년도 12월 30일
[p.147 : 2행]
지정 및 관리 개인정보 및 중요정보의 취급이나 주요 시스템 접근 등 주요 직무의 기준과 관리방안을 수립하고, 주요 직무자를 최소한으로 지정해 그 목록을 최신으로 관리해야 한다.
->
권한 오·남용 등으로 인한 잠재적인 피해 예방을 위하여 직무 분리 기준을 수립하고 적용하여야 한다. 다만 불가피하게 직무 분리가 어려운 경우 별도의 보완대책을 마련하여 이행하여야 한다.
[p.149 : 4행]
상위권
->
상위권한자
[p.161 : 2행]
1차 구도 경고
->
1차 구두 경고
[p.173 : 3행]
계선 계획
->
개선 계획
[p.240 : 아래서 2행]
Ad-HOC
->
AD Hoc
[p.241 : 아래서 7행]
전송구간이 암호된 장비
->
전송구간 암호화 장비를
[p.244 : 5행]
역방향 접속(Rverse Connection)
->
역방향 접속(Reverse Connection)
[p.254 : 결함 보고서 관련조항]
2.6.7 원격접근 통제
->
2.6.6 원격접근 통제
[p.258 : 8행]
제29조(안정조치의무)
->
제29조(안전조치의무)
[p.268 : 요약 1행]
보호화기
->
보호하기
[p.273 : 11행, 13행]
행정안전부장관
->
보호위원회
[p.278 : 아래서 1행]
출동 제어
->
충돌 제어
[p.281 : 증적자료 3행]
운영환경이
->
운영환경에
[p.292 : 4행]
요수를 반영해
->
요소를 반영해
[p.292 : 5행]
SLA(service Level Agreement)
->
SLA(Service Level Agreement)
[p.299 : 증적 자료 3행]
정자장치
->
저장장치
[p.301 : 아래서 8행]
로그기록의 정확성을 보장하고 법적인 자료로서 효력을 지니기 위해 관련 정보시스템 등의 시각을 표준시각으로 동기화해야 한다.
->
로그 및 접속기록의 정확성을 보장하고 신뢰성 있는 로그분석을 위하여 관련 정보시스템의 시각을 표준시각으로 동기화하고 주기적으로 관리하여야 한다.
[p.303 : 표3-29]
물리적 완전파, 전용장비
->
물리적 완전파괴, 전용장비
[p.303 : 표3-30]
디자우징
->
디가우징
[p.303 : 표3-30]
소프투웨어 삭제
->
소프트웨어 삭제
[p.306 : 제3조【로그관리】 바 항목]
최소 5년이상 보관해야 위변조 및 도난 분실되지 않도록
->
최소 5년이상 보관해야 하고
[p.322 : 증적 자료 6행]
보안설정 현황 및 적정설
->
보안설정 현황 및 적절성
[p.323 : 아래서 2행]
게시물 비공개 전화
->
게시물 비공개 전환
[p.326 : 박스 2행]
전자결재대행업체
->
전자결제대행업체
[p.326 : 9행]
전무규칙
->
전문규칙
[p.347 : 아래서 5행]
평가 밥법
->
평가 방법
[p.355 : 표 3-36]
시고기관
->
신고기관
[p.367 : 아래서 4행]
법류
->
법률
[p.367 : 그림 3-16]
소핑몰
->
쇼핑몰
[p.371 : 재해복구지침 나 항목]
영향에 평가에 기반한
->
영향 평가에 기반한
[p.373 : 재해대응보고서]
시고자 명
->
신고자 명
[p.376 : 결함 보고서, 운영현황 및 결함내역]
복구시점 정의를 정의해
->
복구시점을 정의해
[p.392 : 2행]
수집받기
->
수집하기
[393 : 아래서 1행]
최소 수집 원칙을 제공해야
->
최소 수집 원칙을 적용해야
[P.396 : 박스 4행]
수집항목 및 이용안내에 대한 안내가
->
수집항목 및 이용에 대한 안내가
[P.396 : 박스 7행]
처리절차가 존재하지 확인한다.
->
처리절차가 존재하는지 확인한다.
[P.400 : 표 3-43 8번]
안전하게 관리되고 있습니다.
->
안전하게 관리하고 있습니다.
[p.408 : <회원가입 회원가입>]
영문 소품자
->
영문 소문자
[p.408 : <회원가입 회원가입>]
비밀번화 확인시 답변
->
비밀번호 확인시 답변
[p.416 : 1행]
안영을 위해
>
안녕을 위해
[p.419 : 5행]
오프라 인
->
오프라인
[p.420 : 아래서 3행]
구현사례
->
구현 사례
[421 : 2행]
구현사례
->
구현 사례
[428 : 박스 아래서 2행]
수사기관 등에 개인정보가 제공 시
->
수사기관 등에 개인정보 제공 시
[p.430 : <회원 회원>]
생년웡일
->
생년월일
[p.438 : 8행]
공동 으로
->
공동으로
[p.450 : 개인정보보호지침 마 항목]
그 이익 내용
->
그 불이익 내용
[p.473 : 그림3-26]
"개인정보처리방침"
->
"개인정보 처리방침
[p.483 : 아래서 7행]
요구할 있는
->
요구할 수 있는
[p.490 : 11행]
개인정보호지침
->
개인정보보호지침
[p.490 : 결함 포인트 (#2) 2행]
금년에
->
(삭제)
[목차 업데이트 필요/ 11p 페이지 번호 삭제]