배점 25% FREE

제3장 · 정보보호 관리체계(생명주기) 수립

ISRM 핵심요약노트 · 백남정

백

저자: 백남정

공학박사 (숭실대학교 일반대학원 안전·보건융합공학과) · ISMS-P 선임심사원 30회 · 개인정보보호위원회 가명정보 전문가
ISO 27001/42001 선임심사원 · 개인정보영향평가 전문가 · 디지털기술융합협회 협회장

플랫폼: passfi.techfi.kr | 2026년 최신 개정 법률 완전 반영

3장은 ISRM 시험에서 "사례를 보고 결함 여부를 판단하라"는 문제가 집중적으로 출제되는 장입니다. 정책 제·개정 절차의 어느 단계가 빠졌는지, 교육 계획에 무엇이 누락됐는지, 조직 구성이 왜 틀렸는지, 점검팀이 왜 독립성 결함인지를 바로 짚어내야 합니다.

이 장의 핵심은 세 가지입니다. 첫째, 정책 제·개정은 5단계 절차(이해관계자 협의 → 영향도 검토 → 기록 반영 → 경영진 승인 → 전사 공포)를 정확히 외울 것. 둘째, 교육은 "연 1회 이상, 경영진 승인, 전 임직원+외부자"가 3대 포인트. 셋째, 관리체계 점검팀은 독립성·전문성 확보가 필수이며, 정보보호부서 단독 구성은 결함입니다.

제1절 조직의 정보보호 정책 및 관련 시행 규정 수립

정보보호 정책은 문서화된 사업 규칙의 특수한 형태로, 정보보호에 관한 경영진의 목표와 방향을 제시하는 최상위 문서입니다. 실무적으로는 이 정책의 하위에 지침·절차·매뉴얼 등이 계층 구조를 이루어야 합니다.

1.1 정보보호 정책 문서 체계 — 3계층 구조

📋

최상위 — 정책서(Policy)

경영진의 의지·방향, 역할·책임, 대상·범위, 활동 근거 포함

예: 정보보호 정책서, 개인정보보호 정책서, 내부관리계획

📝

중간 — 지침·절차·매뉴얼

세부 방법, 절차, 주기, 수행주체 등 구체적 시행 규정

예: 서버보안 지침, 접근통제 절차서, 네트워크보안 지침, 개발자보안 지침

보호 대상 관점 지침 예시: 서버보안·네트워크보안·DB보안·애플리케이션보안·웹서비스 보안·클라우드 보안 지침
수행주체 관점 지침 예시: 임직원보안·개발자보안·운영자보안 지침
두 관점 모두 조직 특성에 맞게 수립 가능하며, 어느 방식이 더 좋다는 규정은 없습니다.

1.2 최상위 정책서에 반드시 포함해야 하는 3가지

ISMS-P 인증기준 (필수 포함 항목)

정보보호 최상위 정책서 3대 필수 항목

① 조직의 정보보호 및 개인정보보호에 대한 최고경영자 등 경영진의 의지 및 방향
② 조직의 정보보호 및 개인정보보호를 위한 역할·책임 및 대상·범위
③ 조직이 수행하는 관리적·기술적·물리적 정보보호 및 개인정보보호 활동의 근거

🎯 가장 자주 출제되는 오답

"정보보호 정책 수립 시 포함하여야 하는 사항이 아닌 것은?" → 정보보호를 위한 예산 수준
예산은 최상위 정책서 필수 포함 항목이 아닙니다. 역할·책임, 대상·범위, 경영진 의지가 3대 항목.

1.3 개인정보 내부관리계획 포함 16가지 항목

개인정보보호법에 따라 개인정보를 처리하는 경우, 정책서 내에 내부관리계획을 포함해야 합니다. 아래 16가지 항목 중 어느 것이 빠졌는지를 묻는 문제가 출제됩니다.

번호	포함 항목	번호	포함 항목
1	개인정보보호 조직 구성 및 운영	9	악성프로그램 등 방지
2	CPO 자격요건 및 지정	10	개인정보 유출·도난 방지 위한 취약점 점검
3	CPO와 개인정보취급자의 역할 및 책임	11	물리적 안전조치
4	개인정보취급자에 대한 관리·감독 및 교육	12	개인정보 유출사고 대응 계획 수립·시행
5	접근 권한의 관리	13	위험 분석 및 관리
6	접근 통제	14	처리업무 위탁 시 수탁자 관리·감독
7	개인정보 암호화 조치	15	내부관리계획의 수립·변경 및 승인
8	접속기록 보관 및 점검	16	그 밖에 개인정보 보호를 위해 필요한 사항

소상공인·개인·단체 예외: 1만명 미만의 정보주체에 관하여 개인정보를 처리하는 소상공인·개인·단체의 경우에는 일부 항목을 생략 가능합니다.

1.4 정책 제·개정 5단계 절차 — 순서가 시험에 나온다

① 이해관계자와
충분한 협의·검토

→

② 영향도·법적
준거성 고려

→

③ 검토 기록 작성
및 관련 사항 반영

→

④ 경영진
보고 및 승인

→

⑤ 전사 공포 및
최신본 유지

🎯 빈칸 문제 — 정확한 순서

"영향도 및 법적 준거성 검토 → 검토 기록 등 관련 사항 반영 → ( ) → 전사 공포"
→ 빈칸은 경영진 보고 및 승인 (그룹웨어 공지나 회의록 작성이 아님!)

승인권자: 최고경영자 또는 최고경영자로부터 권한을 위임받은 자
❌ "CISO의 승인만으로 개정 가능" → 결함. 내부 규정에 위원회 의결이 필요하면 반드시 위원회 거쳐야 함.

1.5 타당성 검토와 중대한 변화 발생 시 재검토

✅ 정기 타당성 검토 의무

정책 및 시행문서 — 정기적 타당성 검토 수립·이행

정기 타당성 검토 절차를 수립하고, 법령·규제·상위조직 정책과의 연계성, 대내외 환경 변화를 반영하여 검토 수행. 최소 연 1회 이상 수행.

⚠️ 즉시 검토·재개정이 필요한 중대한 변화

아래 5가지 상황 발생 시 즉시 정책 영향 검토

① 정보보호 및 개인정보보호 관련 법규 제·개정
② 비즈니스 환경의 변화 (신규 사업 진출, 대규모 조직개편 등)
③ 정보보호·IT 환경의 중대한 변화 (신규 보안시스템·IT 시스템 도입 등)
④ 내·외부의 중대한 보안사고 발생
⑤ 새로운 위협 또는 취약성 발견

문서 이력 관리 필수: 정책·시행문서 개정 시 문서 내에 버전, 일자, 개정 사유, 작성자, 승인자 등 개정이력을 기록·관리해야 합니다. 관련 임직원이 항상 최신본을 참조할 수 있도록 배포·관리.

1.6 정책 관련 결함 사례 — 시험에 그대로 출제

❌ 결함 사례 — 아래 3가지는 모두 결함

결함①

위원회 우회 개정: 내부 규정상 정책서 개정 시 위원회 의결이 필요한데, 위원회에 상정하지 않고 CISO·CPO의 승인만으로 개정한 경우

결함②

공유 미이행: 정책·지침서가 개정됐지만 관련 부서·임직원에게 공유되지 않아 일부 부서가 구버전 기준으로 업무를 수행하는 경우

결함③

열람 차단: 정책·지침서를 보안부서에서만 관리하고, 임직원이 열람할 수 있도록 게시판·문서 등으로 제공하지 않는 경우

🎯 적절한 조치 사례 vs 결함

적절한 사례: "정보보호 법령의 최근 개정 내용을 검토·반영한 정책을 경영진에게 보고·승인받는 경우" → ✅ 정답
결함이 아닌 것을 고르는 문제에서, 법령 변경 반영 + 경영진 승인이 동시에 있으면 정답입니다.

🔵 심사원 관점 (ISMS-P 30회 경험)

정책 관련 결함 중 가장 자주 발견하는 것은 "정책은 있는데 교육은 없다"는 패턴입니다. 정책서에 "임직원에게 이해하기 쉬운 형태로 제공한다"고 명시했지만, 실제로는 보안팀 공유 폴더에만 올려두고 아무도 읽지 않는 경우입니다. 또한 법령이 개정됐는데 정책서가 2~3년째 그대로인 기업도 매우 많습니다. 정책 최신성 미유지는 경고 수준의 결함으로 처리됩니다.

제2절 임직원 정보보호 교육

교육은 ISMS-P 인증 심사에서 결함이 가장 많이 나오는 영역 중 하나입니다. 특히 교육 대상의 범위와 주기, 교육계획에 포함해야 할 항목을 정확히 알아야 합니다.

2.1 연간 교육계획 필수 포함 항목

ISMS-P 인증기준 — 교육계획 수립

연간 교육계획서에 반드시 포함해야 하는 항목

교육의 시기·기간·대상·내용·방법 등을 구체적으로 포함하여 수립하고 경영진의 승인을 받아야 합니다.

교육 유형: 임직원 인식제고 교육 / 주요직무자 교육 / 개인정보취급자 교육 / 수탁자 교육 / 전문 교육
교육계획 항목: 교육 목적·대상·내용·방법·일정·시간 등 (사업 규모, 개인정보 보유수, 업무 성격, 교육 유형 등에 따라 차등화)

🎯 교육 4가지 핵심 빈칸

(A) 연간 교육계획을 수립하고 경영진의 승인을 받아야 한다.
(B) 연간 교육 계획에 따라 연 1회 이상 정기적으로 교육을 수행한다.
(C) 임직원 채용 및 외부자 신규 계약 시 업무 시작 전에 교육을 시행해야 한다.
(D) IT·정보보호·개인정보보호 조직 내 임직원은 직무별 전문성 제고를 위한 별도 교육을 받아야 한다.

2.2 교육 대상 — 누구까지인가

대상 분류	포함 여부	비고
정규 임직원	✔ 포함	당연히 포함
임시직원·계약직	✔ 포함	정보자산에 접근하는 모든 인력
외주용역업체 직원 (전산실 청소원, 경비원 포함)	✔ 포함 (조건부)	인증범위 내 정보자산·설비에 접근하는 외주직원만 포함. 관련 없는 외주직원은 불포함도 결함 아님.
수탁자·파견 직원	✔ 포함 (관리·감독)	해당 업체가 교육 수행할 수 있도록 자료 제공, 시행 여부 관리·감독 의무
인증범위 외부 외주직원	✗ 제외 가능	인증범위 내 정보자산과 무관한 외주직원

🎯 자주 출제되는 교육 대상 함정

"모든 외주용역업체 직원(전산실 출입 청소원, 경비원, 외주개발자 등)을 교육하지 않은 경우"
→ 결함이 아닐 수 있음! 인증범위 내 정보자산·설비에 접근하는 직원만 포함 의무. 관련 없는 외주직원까지 포함 안 했다고 결함이 아님.

2.3 교육 주기와 추가교육 조건

✅ 기본 주기

연 1회 이상 정기교육 (전 임직원 + 외부자)

특히 개인정보취급자는 법적 요구사항에 따라 연 1회 이상 개인정보보호 교육 필수.
출장·휴가·업무 등으로 불참한 인력: 추가교육·전달교육·온라인교육 등 방법 마련 필요.

⚠️ 추가교육이 필요한 3가지 경우

아래 상황 발생 시 즉시 추가교육 수행

① 내부 규정·절차의 중대한 변경
② 조직 내·외부 침해사고 발생
③ 관련 법규 변경

※ 단, 사안이 중요하지 않을 경우에는 게시판 공지, 이메일 안내, 책자 배포 등으로 대체 가능

2.4 교육 결함 사례 6가지

❌ ISMS-P 심사에서 실제 발견되는 교육 결함

결함①

타당한 사유 없이 연간 교육 계획을 수립하지 않은 경우

결함②

교육계획에 시행 일정, 내용, 방법 등의 내용이 포함되어 있지 않은 경우

결함③

개인정보 보호책임자·개인정보담당자 등 직무별 교육 계획이 포함되어 있지 않은 경우

결함④

인증범위 내 정보자산·설비에 접근하는 외주용역업체 직원을 교육 대상에서 누락한 경우

결함⑤

교육 후 교육자료·출석부·평가 설문지·결과보고서 등 기록을 남기지 않은 경우

결함⑥

교육 미이수자를 파악하지 않거나, 미이수자에 대한 추가교육 방법을 수립·이행하지 않은 경우

🔵 심사원 관점 (ISMS-P 30회 경험)

교육 결함 중 가장 흔하게 보는 것은 "연간 교육계획은 있는데 실제 교육 기록이 없는" 경우입니다. "진행했는데 기록을 안 남겼어요"라고 하면 심사 기준상 결함입니다. 또한 개인정보취급자와 일반 직원 교육을 동일하게 진행하는 경우도 결함입니다. 개인정보취급자는 차별화된 전문 교육이 필요합니다.

제3절 정보보호 조직(CISO·CPO·위원회·보안팀) 구성

3.1 3개 조직의 구성과 역할

조직	구성	역할	핵심 포인트
실무조직 (보안팀)	정보보호·개인정보보호 전담 또는 겸임 조직	정보보호와 개인정보보호의 효과적 구현	전담 또는 겸임 모두 가능. 단 겸임이어도 실질적 역할·책임 공식 부여 필요.
위원회	경영진·임원·CISO·CPO 등 의사결정 권한 보유자	조직 전반 주요 사안 검토·승인·의사결정	정기 또는 수시 개최. 경영진 포함 필수.
협의체 (실무)	정보보호·개인정보보호 담당자 및 부서별 담당자	실무 차원 공유·조정·검토·개선. 필요시 위원회에 상정.	의사결정을 직접 수행하는 조직이 아님.

🎯 자주 나오는 오답 — 조직 구성

"실무조직은 전담조직으로만 구성해야 한다" → 오답! 겸임조직도 허용.
"관리체계 수립·운영 활동의 의사결정은 실무 차원에서 공유·조정·검토하면 안 된다" → 오답! 실무 협의체에서 공유·조정·검토·개선하는 것은 정상. 의사결정이 필요한 경우에만 위원회에 상정.

📋 조직 미흡 사례 vs 정책 미흡 사례 구분

시험에 자주 나오는 ㉠·㉡ 매칭 문제

㉠ 위원회를 개최했으나 예산·교육계획 등 주요 사항이 검토·의사결정 되지 않은 경우
→ 조직 구성 결함 (위원회가 형식적으로만 운영된 것)

㉡ 정책·지침서가 개정됐으나 관련 임직원에게 공유·전달되지 않은 경우
→ 정책 수립 결함 (정책 배포·공포 절차 미이행)

3.2 부서별 보호대책 운영 업무 배분

부서	주요 보호대책 운영 업무
인프라 운영부서	서버 및 네트워크 장비 보안설정, 인프라 운영자 계정관리·권한관리 등
개발 부서	개발보안, 소스코드 보안, 개발환경에 대한 접근 등
개인정보 취급부서	취급자 권한 관리(응용프로그램), 개인정보 파기, PC 저장 시 암호화 등
정보보호 운영부서	접근통제 장비 운영, 보안 모니터링 등
인사부서	퇴직자 보안관리 등 (퇴직자의 개인정보 파기는 인사부서 업무 아님 → 개인정보 취급부서)

🎯 자주 틀리는 문제

"인사부서: 퇴직자 보안관리, 퇴직자의 개인정보 파기" → 오답!
개인정보 파기는 개인정보 취급부서 업무. 인사부서는 퇴직자 보안관리(접근권한 회수 등)만 담당.

제4절 정보보호 법규·정책 준수 여부 점검

법규·정책 준수 점검은 두 가지로 나뉩니다. 법적 요구사항 준수 검토는 조직이 적용받는 법규에 대해 연 1회 이상 정기 검토하는 것이고, 관리체계 점검은 ISMS-P 인증기준 전체에 대해 독립성·전문성이 확보된 팀이 점검하는 것입니다. 둘의 차이를 명확히 구분해야 합니다.

4.1 법적 요구사항 준수 검토

ISMS-P 인증기준

법적 요구사항 준수 검토 핵심 요건

① 조직이 준수하여야 할 정보보호·개인정보보호 관련 법적 요구사항을 파악하여 최신성 유지
② 관련 법규의 제·개정 현황을 지속적으로 모니터링, 조직에 미치는 영향 분석 및 내부 정책·지침 반영
③ 법적 요구사항 준수 여부를 연 1회 이상 정기적으로 검토
④ 검토 결과 발견된 문제점에 대해 신속하게 개선조치

4.2 관리체계 점검 — 독립성·전문성이 핵심

⚠️ 점검팀 구성 요건 — 가장 많이 틀리는 항목

관리체계 점검팀: 독립성 + 객관성 + 전문성 모두 필요

• 점검기준: 정보보호·개인정보보호 관리체계 인증기준 포함
• 점검범위: 전사 또는 인증범위 포함
• 점검주기: 최소 연 1회 이상 수행
• 점검인력: 독립성·객관성·전문성을 확보할 수 있도록 자격 요건 정의
• 보고: 점검 결과보고서 작성 → 정보보호 최고책임자·개인정보 보호책임자 등 경영진에게 보고

🎯 점검팀 구성 결함 — 심화 샘플문제 출제

"정보보호부서 인력으로만 점검팀을 구성하여 연 1회 점검을 수행" → 결함!
이유: 정보보호부서 단독 구성은 독립성·객관성 미확보. 관련 부서와 함께 구성해야 함.

올바른 구성: 정보보호부서 + 관련 부서(IT, 법무, 감사 등)가 함께 점검팀을 구성.

점검과 감사의 차이: 관리체계 점검은 내부에서 연 1회 이상 수행하는 것이고, 외부 감사는 독립된 외부 기관이 수행하는 것입니다. ISMS-P 인증심사는 외부 인증기관이 수행하는 점검의 일종으로, 이를 내부 점검으로 대체할 수 없습니다.

4.3 관리체계 개선 절차

법규 준수검토·
관리체계 점검

→

문제점
근본원인 분석

→

재발방지·
개선대책 수립

→

대책 이행
및 공유·교육

→

경영진
효과성 확인

재발방지 대책 예시: 정책·지침 개정 / 교육 강화 / 모니터링 강화 / 운영 자동화 / 검토·승인 절차 개선
개선 조치 완료 후 추가 확인(재점검) 수행 필수
경영진은 개선 결과의 정확성·효과성 여부 확인 의무

핵심 조문 및 결함 패턴 정리

📋 3장 관련 핵심 법령·기준

근거	조문/항목	핵심 내용
개인정보보호법	제26조	업무위탁에 따른 개인정보 처리 제한. 수탁자 교육 관리·감독 근거.
개인정보보호법	제28조	개인정보취급자에 대한 감독 의무.
개인정보보호법	제29조	안전조치의무. 관리체계 점검과 개선의 법적 근거.
개인정보의 안전성 확보조치 기준	제4조	내부관리계획의 수립·시행 및 점검 의무. 연 1회 이상 점검 근거.
ISMS-P 인증기준 안내서	pp.19-21	정보보호 정책 수립, 시행문서 구성, 제·개정 절차 기준.
ISMS-P 인증기준 안내서	pp.61-64	교육훈련 계획 수립, 대상, 주기, 기록 기준.

🔍 2과목으로 가기 전 점검 — 이 3가지를 말할 수 있는가?

①

정책 제·개정 5단계 절차를 빈칸 없이 순서대로 말할 수 있는가?

이해관계자와 충분한 협의·검토 → 영향도·법적 준거성 고려 → 검토 기록 작성 및 관련 사항 반영 → 경영진 보고 및 승인 → 전사 공포 및 최신본 유지. "CISO 승인만"으로 개정하거나, 위원회 의결이 필요한데 생략하면 결함.

②

교육의 3대 핵심 포인트는? 외주직원은 모두 교육해야 하는가?

① 경영진 승인 ② 연 1회 이상 ③ 전 임직원+외부자. 외주직원은 인증범위 내 정보자산·설비에 접근하는 직원만 포함. "모든 외주직원 미교육 = 결함"은 오답. 관련 없는 외주직원은 제외 가능.

③

관리체계 점검팀을 정보보호부서 단독으로 구성하면 왜 결함인가?

독립성·객관성 미확보. 정보보호부서는 점검 대상과 이해관계가 있으므로 단독 구성은 결함. 올바른 구성은 정보보호부서 + 관련 부서(IT, 법무, 감사 등)가 함께 점검팀을 이루는 것.

←

이전 챕터

1과목 2장 · 정보보호 위험관리 거버넌스

다음 챕터

2과목 1장 · 위험관리 평가 방법론 선정 및 준비

→