[ISMS-P] 보호대책 요구사항 (2.12 재해 복구)

#보호대책 요구사항 기준

2.12 재해 복구

2.12.1 재해/재난 대비 안전조치

인증기준 : 자연재해, 통신, 전력 장애, 해킹 등 조직의 핵심 서비스 및 시스템의 운영 연속성을 위협할 수 있는 재해 유형을 식별하고, 유형별 예상 피해규모 및 영향을 분석하여야 한다. 또한 복구 목표시간, 복구 목표시점을 정의하고 복구 전략 및 대책, 비상시 복구 조직, 비상연락체계, 복구 절차 등 재해 복구체계를 구축하여야 한다.

 

확인사항

- 조직의 핵심 서비스(업무) 연속성을 위협할 수 있는 IT 재해 유형을 식별하고, 유형별 피해규모 및 업무에 미치는 영향을 분석하여 핵심 IT 서비스(업무) 및 시스템을 식별하고 있는가?

- 핵심 IT 서비스 및 시스템의 중요도 및 특성에 따른 복구 목표시간, 복구 목표시점을 정의하고 있는가?

- 재해, 재난 발생 시에도 핵심 서비스 및 시스템의 연속성을 보장할 수 있도록 복구 전략 및 대책, 비상시 복구조직, 비상연락체계, 복구 절차 등 재해 복구 계획을 수립 이행하고 있는가?

 

관련법규

- 개인정보 보호법 제29조(안전조치의무)

- 개인정보의 안전성 확보조치 기준 제12조(재해,재난 대비 안전조치)

 

증거자료

- IT 재해 복구 지침/절차

- IT 재해 복구 계획(RTO, RPO 정의 포함)

- 비상연락망

- 개인정보처리시스템 위기대응 매뉴얼

 

결함사례

1) IT재해 복구 절차서 내에 IT 재해 복구 조직 및 역할 정의, 비상연락체계, 복구 절차 및 방법 등 중요한 내용이 누락되어 있는 경우

2) 비상사태 발생 시 정보시스템의 연속성 확보 및 피해 최소화를 위하여 백업센터를 구축하여 운영하고 있으나 관련 정책에 백업센터를 활용한 재해 복구 절차 등이 수립되어 있지 않아 재해 복구 시험 및 복구가 효과적으로 진행되기 어려운 경우

3) 서비스 운영과 관련된 일부 중요 시스템에 대한 복구 목표시간이 정의되어 있지 않으며, 이에 대한 적절한 복구 대책을 마련하고 있지 않은 경우

4) 재해 복구 관련 지침서 등에 IT 서비스 또는 시스템에 대한 복구 우선순위, 복구 목표시간, 복구 목표시점 등이 정의되어 있지 않은 경우

5) 현실적 대책 없이 복구 목표시간을 과도 또는 과소하게 설정하고 있거나, 복구 목표시점과 백업정책(대상, 주기 등)이 적절히 연계되지 않아 복구 효과성을 보장할 수 없는 경우

---

2.12.2 재해복구 시험 및 개선

인증기준 : 재해복구 전략 및 대책의 적정성을 정기적으로 시험하여 시험결과, 정보시스템 환경변화, 법규 등에 따른 변화를 반영하여 복구전략 및 대책을 보완하여야 한다.

 

확인사항

- 수립된 IT 재해 복구체계의 실효성을 판단하기 위하여 재해 복구 시험계획을 수립/이행하고 있는가?

- 시험결과, 정보시스템 환경변화, 법률 등에 따른 변화를 반영할 수 있도록 복구전략 및 대책을 정기적으로 검토/보완하고 있는가?

 

증거자료

- IT 재해 복구 절차서

- IT 재해 복구 시험 계획서

- IT 재해 복구 시험 결과서

 

결함사례

1) 재해 복구 훈련을 계획, 시행하지 않았거나 관련 계획서 및 결과보고서가 확인되지 않은 경우

2) 재해 복구 훈련 계획을 수립하였으나 타당한 사유 또는 승인 없이 계획대로 실시하지 않았거나 관련 결과보고가 확인되지 않은 경우

3) 재해 복구 훈련을 계획하여 실시하였으나 내부 관련 지침에 정한 절차 및 서식에 따라 이행되지 않아 수립한 재해복구 절차의 적정성 및 효과성을 평가하기 위한 훈련으로 보기 어려운 경우