다음 정보보호 관리체계 인증제도에 대한 설명으로 가장 적절하지 않은 것… | [정보보안기사 필기] 18년 2회차 기출문제 상세 페이지
1[정보보안기사 필기] 18년 2회차
다음 정보보호 관리체계 인증제도에 대한 설명으로 가장 적절하지 않은 것은?
1
정보통신서비스와 직접적인 관련성이 낮은 전사적 자원관 리시스템(ERP), 분석용 데이터베이스(DW), 그룹웨어 등 기업 내부 시스템, 영업/마케팅 조직은 일반적으로 인증 범위에서 제외해도 된다.
2
인증범위는 신청기관이 제공하는 정보통신서비스를 기준으로 해당 서비스에 포함되거나 관련 있는 자산(시스템, 설비, 시설 등), 조직 등을 포함하여야 한다.
3
ISMS 의무인증범위 내에 있는 서비스, 자산, 조직(인력)을 보호하기 위한 보안시스템은 포함 대상에서 제외해도 된다.
4
해당 서비스의 직접적인 운영 및 관리를 위한 백오피스 시스템은 인증범위에 포함되며, 해당 서비스와 관련이 없더라도 그 서비스의 핵심정보자산에 접근 가능하다면 포함하여야 한다.
해설
ISMS 의무인증범위 내 서비스·자산·조직을 보호하기 위한 보안시스템은 인증범위에서 제외되는 것이 아니라 오히려 포함 대상이다.
방화벽·IPS 같은 보안시스템은 해당 서비스를 지키는 핵심 통제 수단이므로 인증범위 밖에 둘 수 없다.
반면 정보통신서비스와 관련성이 낮은 ERP·DW·그룹웨어 같은 내부 지원 시스템은 일반적으로 범위에서 제외할 수 있고, 핵심정보자산에 접근 가능한 백오피스 시스템은 관련성이 없어 보여도 인증범위에 포함해야 한다.
내용에 오류가 있거나 최신 법령·기준과 다른 부분이 보이면 알려주세요. 확인 후 반영하겠습니다.