중소기업 IT 인프라 담당자입니다.
회사에서 제품 판매등을 위한 홈페이지를 운영중인데 , 이제 IT 인프라 담당자가 세워지다보니 미비되어있는 부분들을 채우고 있습니다.
보통 전산실 출입하는 용역분들 보안서약서도 받고 전산실 일일점검도 해야하고 등등의 업무가 있으실텐데 이런부분은 보통 사내 전산 내규 파일을 따로 만들어서 보관하시는지, 아니면 그냥 스스로 알고있다가 퇴사할 때 다음 인수인계자에게 알려주시는지 궁금합니다!
각잡고 내규 작성을 처음부터 하려고 하다보니 너무 불필요한 작업이지 않을까 염려되어서요!
체크리스트라도 만들까 고민중입니다..!
혼자 하신다면, 회사가 지켜야 하는 컴플 먼저 따져 보시고 안지키면 행정처분 받는것 위주로 해서 간단하게 만드세요.
isms/isms-p, 감독규정 이런건 나중 일이죠.
컴플 적용받는게 기껏 해야 개보법이다 하면 내부관리계획만 하나 대충 만드시고 보고서만 잘 쓰시는게...
가장 간단하게 접근하는 방법은 인터넷진흥원, 개인정보보호위원회 사이트에 방문하면 많은 부분에 있어 도움을 받을 수 있을 것입니다. 지침 작성 방법 등 가이드도 제공하니 자료실 참고해보세요.
그리고, 구글 등 검색하면 타 기업, 기관의 정보도 찾아볼 수 있으니 참고해서 본사에 맞게 수정해서 활용하는 것도 하나의 방법일 수 있습니다.
보안에 대한 사내 규정이 없는 상태에서 처음 만들게 되면 뭐 부터 해야 할지 막막합니다.
규정 같은 것은 구글링 해보면 많은 자료들을 찾아 볼 수가 있습니다.
규정이란게 비슷비슷 하기 때문에 인터넷에 공개된 규정 자료를 찾아 보신 후에
회사 내규나 회사 사정에 맞게 수정 하신 후 사용하시면 됩니다.
규정과 양식 등 모두 찾을 수 있으니 활용해 보시기 바랍니다.
1.규정 문서화 및 체계화
a.정보보안 정책/지침/절차 3단계로 구분
b.문서 관리 번호, 제/개정일자, 담당자 명시
c.정기적인 검토 및 개정 일정 수립 (연 1회 이상)
2.외부 요구사항 반영
a.관련 법규 준수여부 점검
b.산업표준/인증 요구사항
c.거래처 보안요구사항
꼭 내규가 아니더라고 사내 업무 관련 규정은 만들어 놓으시는게 좋죠...
그게 발전되어서 정립이 된다면 내규로 포함하면 되구요...
문서로 만들어 놓지 않으면 정리가 되지 않고, 인수인계도 힘드니,
문서로 하나씩 차근차근 만들어 나가시는게 좋을 것 같아요~~~
ISMS나 정보 보호 관련된 보안 감사를 받으려 한다면 미리 준비해 두어야 하지 않을까 싶네요.
다른 곳에 사용하고 있는 보안 규정집을 기반으로 보완, 보정해서 준비해 두고서 계속적으로 보완 수정해 나가면 되지 않을까 싶어 보이네요.
다양하고 많은 일들은 알아서 하기에는 누락되는 업무들이 많이 발생하게 됩니다.
그렇기에 문서가 필요한 이유죠 ^^
처음에 좀 귀찮고 힘들지만 한번 만들어 놓으면 많이 도움이 될실겁니다.
그리고 처음부터 생으로 만드시기 보다 이미 잘 만들어진 문서들이
인터넷에 널려 있습니다.
문서 받아서 회사에 맞게 수정해서 사용하시면 됩니다.
만드신 뒤에 경영진 승인 받아서 내부 공지하면 더 좋구요~
정보보안규정은 국가기관 등 규정 명시해논 것들이 많습니다.
정보보안규정을 토대로 하위 지침까지 보통 만들긴 합니다.
아직 보안인증 등을 받지 않으시면 규정이나 지침은 타 기관 등 정보 참고하셔서 회사 사정에 맞게
수정하여 내부적으로 운영하시고, 외부 증적으로 제출해야하는 시점에 보안컨설팅을 통해
규정 및 지침을 법령에 맞게 수정하시는 게 좋을 듯 합니다.
사내규정없으면 만들면 되시고, 기본적으로 정보보호정책 안에 지침같은 내용들을 넣고, 그 정책안에 있는 지침서들을 만들어서 운영하면 됩니다.
그리고 지침서에 따른 각 보안체크리스트가 있고 그건 인터넷에 찾아보면 무수히 많은 자료가 나올것입니다.
그거 참고하셔서 회사 사정에 맞게 수정하여 개정하여 사용하면 됩니다.
게시글 작성자가 남긴 피드백입니다.
감사합니다~!
사내에 임시로라도 규정 만들겠습니다^^