IT 자격증, 제대로 준비하세요

국내 대표 보안기업 A社는 기존 30여 종의 보안 제품을 AI 기반 통합 플랫폼으로 재구성하는 대규모 사업 전환을 추진하면서 ISMS-P 인증 범위 재조정과 위험평가 방법론 개선을 검토하고 있다. A社는 연매출 1조 원 달성을 목표로 클라우드 기반 AI 위협 분석 서비스를 신규 출시할 예정이며, 이 과정에서 기존 온프레미스 환경과 신규 클라우드 환경이 혼재된 하이브리드 인프라에 대한 관리체계 수립이 필요한 상황이다. 다음 <보기>에서 A社의 ISMS-P 관리체계 수립 및 위험평가에 관한 설명 중 옳은 것만을 모두 고른 것은? <보기> ㄱ. ISMS-P 인증 범위를 정할 때 정보서비스를 제공하는 자는 해당 정보서비스와 이를 위해 이용되는 정보통신망 및 관련 시설·자산 등을 인증 범위에 포함하여야 하며, 클라우드 서비스를 이용하는 경우에도 해당 서비스의 보안 관리 현황을 범위에 포함해야 한다. ㄴ. 위험평가는 연 1회 이상 정기적으로 수행하여야 하며, 신규 서비스 출시와 같은 중대한 변화가 발생한 경우에도 반드시 30일 이내에 위험평가를 재수행해야 하는 법적 의무가 있다. ㄷ. 위험평가 방법론에서 잔여위험은 보호대책을 적용한 후에도 남아있는 위험으로, 조직이 수용 가능한 위험수준(DoA: Degree of Assurance)을 초과하는 잔여위험에 대해서는 추가적인 보호대책을 수립하거나 위험을 수용하는 등의 의사결정을 해야 한다. ㄹ. 하이브리드 클라우드 환경에서 A社는 클라우드 서비스 제공자(CSP)와의 공동책임모델에 따라 IaaS 환경의 경우 운영체제 및 애플리케이션 보안은 CSP가 전적으로 책임지므로 A社의 위험평가 범위에서 제외할 수 있다.

오전 7시 · 오후 2시 · 저녁 7시 하루 3회 · AI 자동 생성