설명
트라이어드는 정보 보안의 세 가지 요소인 기밀성, 무결성, 가용성을 말합니다3. 기술은 무단 액세스, 수정 또는 손실로부터 정보를 보호하기 위한 다양한 제어 및 조치를 구현하는 수단을 제공하므로 이 세 가지 요소를 하나로 묶는 접착제 역할을 합니다3. 참조: ISO/IEC 27001:2022 선임 심사원 교육 과정 - BSI

필요한 서비스에 따라 법 집행 기관, 규제 기관, 정보 서비스 제공업체 및 통신 서비스 제공업체와 연락을 유지하는 부서는 CISO입니다. CISO는 최고 정보 보안 책임자의 약자입니다. CISO는 조직의 정보 보안 전략과 거버넌스를 감독할 책임이 있는 고위급 임원입니다. 또한 정보 보안 기능을 이끌고 다른 부서 및 이해관계자와 협력하여 정보 보안과 관련된 법률, 규정 및 표준을 준수하도록 합니다. 또한 정보 보안 문제와 관련된 사고 또는 조사 발생 시 조직과 법 집행 기관 또는 서비스 제공업체와 같은 외부 당사자 간의 연락 담당자 역할을 수행할 수도 있습니다. ISO/IEC 27001:2022는 조직이 정보 보안 목표를 수립하고 달성할 수 있도록 최고 경영진의 역할과 책임을 할당하도록 요구합니다(5.3항 참조). 참조: CQI & IRCA 인증 ISO/IEC 27001:2022 선임 심사원 교육 과정, ISO/IEC 27001:2022 정보 기술 - 보안 기술 - 정보 보안 관리 시스템 - 요구 사항, CISO란 무엇인가요?

정보의 단계는 생성, 배포, 사용, 유지관리, 폐기로 나뉩니다. 이는 정보가 생성되는 순간부터 파기 또는 보관되는 순간까지 정보의 수명 주기 동안 거치는 단계입니다. 정보의 각 단계에는 서로 다른 보안 요구 사항과 위험이 있으므로 그에 따라 관리해야 합니다. 생성, 진화, 유지, 사용, 폐기는 정보의 올바른 단계가 아니며, 진화는 뚜렷한 단계가 아니라 모든 단계에서 발생할 수 있는 프로세스입니다. 생성, 사용, 폐기, 유지, 진화는 올바른 순서가 아니므로 정보의 올바른 단계가 아닙니다. 생성, 배포, 유지, 폐기, 사용은 올바른 순서가 아니므로 정보의 올바른 단계가 아닙니다. 참조: : CQI & IRCA ISO 27001:2022 선임 심사원 과정 핸드북, 32페이지. : [ISO/IEC 27001 선임 심사원 - PECB], 12페이지.

설명
ISO 27001:2022 4.3항에 따르면, 조직은 내부 및 외부 문제, 이해관계자의 요구 사항, 다른 조직과의 인터페이스 및 종속성을 고려하여 정보 보안 관리 시스템(ISMS)의 범위를 결정해야 합니다12 이 경우 ISMS 범위는 의료 모니터링 및 거주자 데이터 분석을 위한 인공 지능(AI) 클라우드 서버를 호스팅하는 아웃소싱 데이터 센터를 포함합니다. 따라서 ISMS의 범위를 확인하기 위해 찾아야 하는 감사 증거에는 다음이 포함되어야 합니다:
* 피심사기관은 의료 서비스 및 환자 데이터 취급에 대한 정부 당국의 요구사항과 기대치를 확인했습니다. 이는 의료 서비스 및 환자 데이터의 품질, 안전 및 개인정보 보호에 관한 관련 법률 및 규정을 준수해야 하므로 ISMS 범위에 영향을 미치는 외부 이슈이자 이해관계자 요구사항입니다12.
* 감사 대상자는 거주자의 개인 데이터를 어떻게 보호해야 하는지에 대한 거주자의 요구와 기대치를 파악했습니다. 감사 대상자는 전자 손목 밴드 및 AI 클라우드 서버에서 수집, 처리 및 저장되는 거주자의 개인 데이터의 기밀성, 무결성 및 가용성을 보장해야 하므로 이는 외부 문제이자 ISMS 범위에 영향을 미치는 이해 당사자 요구 사항입니다12.
* 인공지능(AI) 클라우드 서버가 위치한 데이터 센터와의 IT 서비스 계약. 이는 ISMS 범위에 영향을 미치는 다른 조직과의 인터페이스 및 종속성으로, 심사 대상자는 ISMS와 관련된 외부 제공 프로세스, 제품 및 서비스를 통제하고 정보 보안과 관련된 적절한 계약 요건을 이행해야 합니다12 다음 옵션은 ISMS의 범위를 확인하는 데 관련이 없거나 불충분합니다:
* 감사 대상자는 시설 및 환경 안전에 대한 거주자의 요구와 기대치를 파악했습니다.
이는 외부 이슈이자 이해관계자 요구 사항이지만 정보 보안과 관련이 없으므로 ISMS 범위에 영향을 미치지 않습니다12.
* 피심사기관은 ISO 9001 인증을 받았습니다. 이는 피심사자의 품질 관리 시스템을 나타내는 것이지만 정보 보안과 관련이 없으므로 ISMS의 범위를 확인하지는 않습니다12.
* 감사 대상자는 편의 시설, 의료진의 역량, 청결한 환경에 대한 거주자의 요구와 기대치를 파악했습니다. 이는 외부 이슈 및 이해관계자 요구사항이지만 정보 보안과 관련이 없으므로 ISMS 범위에 영향을 미치지 않습니다12.
* 피심사기관은 의료 의료 서비스에 대한 거주자의 요구와 기대치를 파악했습니다. 이는 외부 이슈 및 이해관계자 요구사항이지만 정보 보안과 관련이 없으므로 ISMS의 범위를 확인하지는 않습니다12.
* 피심사기관은 외부 소프트웨어 회사로부터 의료 모니터링 앱 구매를 고려하고 있습니다. 이는 향후 ISMS 범위에 영향을 미칠 수 있는 잠재적 변경 사항이지만, 아직 구현되거나 통제되지 않았으므로 현재 ISMS의 범위를 확인하지는 않습니다12 참조:
1: ISO/EC 27001:2022 리드 심사원(정보 보안 관리 시스템) 과정(CQI 및 IRCA 인증 교육) 1 2: ISO/EC 27001 리드 심사원 교육 과정(PECB 인증 교육) 2

ISO/IEC 27001에 따르면 ISMS의 범위를 정의하고 문서화해야 합니다. 이 문서에는 정보 보안 관리 시스템의 경계와 적용 범위가 포함되어야 하며, 이를 통해 어떤 정보, 위치 및 자산이 ISMS의 적용을 받는지 정의할 수 있습니다.
참조 ISO/IEC 27001:2013 표준, 4.3항(정보 보안 관리 시스템의 범위 결정)

설명
올바르지 않은 정보의 정의는 C: 성숙하고 측정 가능한 데이터입니다. 정보라고 해서 반드시 성숙하거나 측정 가능한 상태일 필요는 없으므로 이는 올바른 정보 정의가 아닙니다. 정보는 특정 맥락에서 누군가 또는 무언가에 대한 의미나 가치를 지닌 모든 데이터가 될 수 있습니다. 정보는 해석 또는 사용 방법에 따라 주관적, 정성적, 불완전하거나 불확실할 수 있습니다. 성숙하고 측정 가능한 데이터는 일부 유형의 정보에 적용될 수 있는 특성이지만 모든 정보에 적용되는 것은 아닙니다. 정보의 다른 정의는 정확성 및 적시성(A), 구체성 및 조직성(B), 이해 및 불확실성 감소(D) 등 정보의 다양한 측면을 설명하므로 올바른 정보 정의입니다. ISO/IEC
27001:2022는 정보를 "의미 있는 모든 데이터"로 정의합니다(3.25항 참조). 참고자료: CQI & IRCA 인증 ISO/IEC 27001:2022 선임 심사원 교육 과정, ISO/IEC 27001:2022 정보 기술
- 보안 기술 - 정보 보안 관리 시스템 - 요구 사항, 정보란 무엇인가요?

설명
정보 보안 관리 시스템(ISMS)의 수립, 구현, 유지 및 지속적인 개선을 위한 요구사항을 명시한 ISO/IEC 27001:2022에 따르면 7.2항에 따라 조직은 ISMS 성과에 영향을 미치는 업무를 수행하는 사람의 필요한 역량을 결정하고 필요한 역량을 획득 또는 유지하기 위해 교육을 제공하거나 기타 조치를 취해야 합니다1. 통제 A.6.3은 조직이 모든 직원과 계약자가 정보 보안 위협과 우려 사항, 자신의 책임과 의무를 인식하고 이와 관련하여 조직의 정책과 절차를 지원할 수 있는 역량을 갖추도록 요구합니다2. 따라서 ISMS 감사자가 정보 보안 사고 교육 효과를 개선할 수 있다고 판단하는 경우 이는 7.2항 및 통제 A.6.3과 관련된 개선 기회(OFI)를 의미합니다.
ISO/IEC 27001:2022에 따르면 9.1항에 따라 조직은 ISMS 성과 및 효과를 모니터링, 측정, 분석 및 평가해야 합니다1. 통제 A.5.24에서는 조직이 정보 보안 이벤트 및 취약점 보고 절차를 정의하고 적용하도록 요구합니다2. 따라서 ISMS 감사자가 표본 인터뷰 결과를 바탕으로 인터뷰 대상자 중 누구도 직원의 역할과 책임을 포함한 사고 관리 절차 보고 프로세스를 설명할 수 없다는 것을 발견하면 이는 9.1항 및 통제 A.5.24를 준수하지 않는 부적합(NC)을 나타냅니다.
다른 옵션은 주어진 정보를 기반으로 감사 결과를 작성하는 데 올바른 옵션이 아닙니다. 예를 들어, 정보 보안 취약점, 사건 및 사고가 보고된 경우 9.1항 및 통제 A.5.24에 부합하므로 부적합이 없으며, 정보 보안 취급 교육을 실시하고 그 효과를 평가한 경우 7.2항 및 통제 A.6..3; 정보 보안 사고 교육이 실패한 경우, 이는 7.2항 또는 통제 A.6.3항에 부합하지 않을 수 있으므로 부적합하지 않음; 정보 보안 취약점, 사건 및 사고가 보고된 경우, 이는 이미 9.1항 및 통제 A.5.24에 부합하므로 개선의 기회가 없음. 참조 ISO/IEC 27001:2022 - 정보 기술 - 보안 기술 - 정보 보안 관리 시스템 - 요구 사항, ISO/IEC 27002:2013 - 정보 기술 - 보안 기술 - 정보 보안 통제에 대한 실행 강령

A. 다른 데이터 센터가 같은 통신 그룹에 속해 있더라도 외부 제공업체로 취급되는지 확인하겠습니다. 이는 ISO 27001:2022의 8.1.4항에 따라 조직이 정보 보안 관리 시스템과 관련된 외부 제공 프로세스, 제품 또는 서비스를 통제하도록 요구하기 때문에 적절합니다. 외부에서 제공되는 프로세스, 제품 또는 서비스는 조직과의 관계 정도에 관계없이 외부 당사자가 제공하는 모든 프로세스, 제품 또는 서비스를 의미합니다. 따라서 동일한 통신 그룹 내의 다른 데이터 센터는 외부 제공업체로 취급되어 다른 외부 제공업체와 동일한 통제를 받아야 합니다12.
B. 외부 제공업체가 제품 또는 서비스 사용으로 인해 발생하는 모든 위험을 조직에 알릴 수 있는 문서화된 프로세스를 갖추도록 합니다. 이는 ISO의 8.1.4항에 따라 적절합니다.
27001:2022는 조직이 외부 제공업체와 정보 보안과 관련된 적절한 계약 요건을 이행하도록 요구합니다. 계약 요건 중 하나는 외부 제공업체가 보안 사고, 취약성 또는 조직의 정보 보안에 영향을 미칠 수 있는 변경 사항 등 제품 또는 서비스 사용으로 인해 발생하는 모든 위험을 조직에 통보해야 하는 의무일 수 있습니다. 외부 제공업체는 이러한 통지가 적시에 정확하고 완전하게 이루어지도록 문서화된 절차를 마련해야 합니다12.
E. 조직이 외부 제공업체의 성과를 정기적으로 모니터링, 검토 및 평가하도록 하겠습니다. 이는 ISO 27001:2022의 8.1.4항에 따라 조직이 외부에서 제공되는 프로세스, 제품 또는 서비스의 성과와 효과를 모니터링, 검토 및 평가하도록 요구하기 때문에 적절합니다. 조직은 외부 제공업체의 결과물 및 활동의 적합성과 적합성을 측정 및 검증하고, 필요에 따라 피드백 및 개선 조치를 제공하는 프로세스를 마련해야 합니다. 또한 조직은 모니터링, 검토 및 평가 결과에 대한 기록을 유지해야 합니다12.
F. 조직이 ISMS와 관련하여 외부 제공업체와 소통할 필요성을 결정했는지 확인합니다. 이는 ISO 27001:2022의 7.4.2항에 따라 조직이 외부 제공업체와의 커뮤니케이션을 포함하여 정보 보안 관리 시스템과 관련된 내부 및 외부 커뮤니케이션의 필요성을 결정해야 하므로 적절합니다. 조직은 이러한 커뮤니케이션의 목적, 내용, 빈도, 방법 및 책임을 정의하고 정보 보안 정책 및 목표와 일치하는지 확인해야 합니다. 또한 조직은 그 이행의 증거로 커뮤니케이션에 대한 문서화된 정보를 보관해야 합니다12 ISO에 따라 외부 제공업체 평가에 적합하지 않은 활동은 다음과 같습니다.
27001:2022:
C. 조직이 정보의 기밀성, 무결성 및 접근성을 보존하는 데 중요하다고 판단한 각 프로세스에 대해 예비 외부 제공업체를 확보하겠습니다. ISO 27001:2022에서는 조직이 각 중요 프로세스에 대해 예비 외부 제공업체를 보유할 것을 요구하지 않으므로 이는 적절하지 않습니다. 조직은 외부 제공업체의 장애 또는 중단에 대비하여 비상 계획 또는 백업 솔루션을 보유할 수 있지만 이는 필수 요건이 아닙니다. 조직은 외부 제공업체와 관련된 위험과 기회를 평가하고 적절한 처리 옵션을 결정해야 하며, 여기에는 예비 외부 제공업체를 두는 것이 포함되거나 포함되지 않을 수 있습니다12.
D. 외부에서 제공한 제품이나 서비스를 감사할 필요가 없으므로 감사 활동을 외부에서 제공한 프로세스로 제한하겠습니다. ISO 27001:2022의 8.1.4항에 따라 조직은 정보 보안 관리 시스템과 관련된 외부 제공 프로세스, 제품 또는 서비스를 통제해야 하므로 이는 적절하지 않습니다. 외부에서 제공되는 제품 또는 서비스에는 조직의 정보 보안에 영향을 미칠 수 있는 소프트웨어, 하드웨어, 데이터 또는 클라우드 서비스가 포함될 수 있습니다. 따라서 감사 활동은 해당되는 경우 외부에서 제공되는 프로세스와 제품 또는 서비스를 모두 포함해야 합니다12.
G. 최고 경영진이 내부 ISMS 프로세스뿐만 아니라 외부 ISMS 프로세스를 제공하는 사람들에게도 역할과 책임을 부여하도록 하겠습니다. ISO 27001:2022의 5.3항에 따르면 최고 경영진은 외부 제공업체가 아닌 조직 내 정보 보안 관리 시스템에 대한 역할과 책임을 할당해야 하므로 이는 적절하지 않습니다. 외부 제공업체는 조직에 제공하는 프로세스, 제품 또는 서비스에 대해 자체적인 역할과 책임을 할당할 책임이 있습니다. 조직은 외부 제공업체가 자신의 역할과 책임에 대한 적절한 역량과 인식을 갖추고 있는지, 그리고 조직의 정보 보안 요구사항을 준수할 계약상 의무가 있는지 확인해야 합니다12.
H. 조직이 외부 제공업체의 순위를 매기고 가장 높은 평가를 받은 제공업체에 업무의 대부분을 할당하도록 하겠습니다. ISO 27001:2022에서는 조직이 외부 제공업체의 순위를 매기거나 그러한 순위에 따라 업무를 할당할 것을 요구하지 않으므로 이는 적절하지 않습니다. 조직은 외부 제공업체의 성과와 효율성을 평가하고 비교할 수 있지만 이는 필수 요건이 아닙니다. 조직은 조직과 관련된 정보 보안 기준 및 목표에 따라 외부 제공업체를 선정하고 사용해야 합니다12 참조:
1: ISO/EC 27001:2022 리드 심사원(정보 보안 관리 시스템) 과정(CQI 및 IRCA 인증 교육) 1 2: ISO/EC 27001 리드 심사원 교육 과정(PECB 인증 교육) 2

설명:
* 정보 출처 확인
* 적절한 샘플링을 통해 수집
* 검토 중
* 감사 증거
* 감사 기준에 따라 평가
* 감사 결과
* 감사 결론
검토 단계에서는 수집된 정보의 정확성, 완전성 및 관련성을 확인합니다.
감사 증거 단계에는 검증 가능하고 추적 가능한 방식으로 정보를 문서화하는 작업이 포함됩니다. 감사 기준에 대한 평가 단계에서는 감사 증거를 ISO의 요구 사항과 비교하는 작업이 포함됩니다.
27001 표준 및 조직의 자체 정책과 목표에 부합하는지 확인합니다. 감사 결과 단계에서는 ISMS의 부적합 사항, 취약점 또는 개선 기회를 식별합니다. 감사 결론 단계에서는 감사 결과를 요약하고 시정 조치 또는 개선에 대한 권장 사항을 제공합니다.

설명
후속 감사를 수행할 때 피감사자가 이행했을 것으로 예상되는 세 가지 부록 A 통제는 다음과 같습니다:
B: 5.13 정보 표시
E: 5.34 개인정보 및 개인 식별 정보(PII) 보호 G: 6.3 정보 보안 인식, 교육 및 훈련 B: 이 통제는 조직이 정보 분류 체계에 따라 정보 자산에 라벨을 붙이고 그에 따라 처리할 것을 요구합니다12. 이 통제는 정보 자산의 기밀성, 무결성 및 가용성을 손상시킬 수 있는 라벨을 잘못 부착하거나 잘못된 목적지로 소포를 보내는 것을 방지하는 데 도움이 될 수 있으므로 감사 대상자에게 적합합니다. 또한 감사 대상자는 정보 자산에 정확한 라벨을 부착함으로써 정보 자산이 의도한 수신자에게 전달되고 무단 액세스, 사용 또는 공개로부터 보호될 수 있도록 할 수 있습니다.
E: 이 통제는 조직이 개인 식별 정보(PII)를 처리하는 개인의 개인정보와 권리를 보호하고 해당 법률 및 계약 의무를 준수할 것을 요구합니다13. 이러한 통제는 공급업체가 거주자와 그 가족의 개인정보와 권리를 침해하고 감사 대상 기관을 법적 및 평판 위험에 노출시킬 수 있는 거주자의 개인 데이터를 무단으로 사용하는 것을 방지하는 데 도움이 될 수 있으므로 감사 대상 기관과 관련이 있습니다. 또한 감사 대상자는 거주자와 그 가족의 PII를 보호함으로써 신뢰와 만족도를 높이고 불만과 분쟁을 피할 수 있습니다.
G: 이 통제는 조직이 모든 직원과 계약업체가 정보 보안 정책, 역할과 책임, 관련 정보 보안 절차 및 통제14를 숙지하도록 요구합니다. 이 통제는 직원의 정보 보안 문화와 행동을 개선하고 정보 보안 사고로 이어질 수 있는 인적 오류와 부주의를 줄이는 데 도움이 될 수 있으므로 피감사기관에 적합합니다. 또한 감사 대상자는 직원에게 정보 보안 인식, 교육 및 훈련을 제공함으로써 직원의 역량과 성과를 높이고 정보 보안 프로세스 및 제어의 효과와 효율성을 보장할 수 있습니다.
참조:
1: ISO/EC 27001:2022 - 정보 기술 - 보안 기술 - 정보 보안 관리 시스템 - 요구 사항, 부록 A 2: ISO/EC 27002:2022 - 정보 기술 - 보안 기술
- 정보 보안 통제에 대한 실천 강령, 8.2.1항 3: ISO/IEC 27002:2022 - 정보 기술 - 보안 기술 - 정보 보안 통제에 대한 실천 강령, 18.1.4항 4:
ISO/IEC 27002:2022 - 정보 기술 - 보안 기술 - 정보 보안 통제에 대한 실행 강령, 7.2.2항