결재	정보보호 최고책임자	정보보호 관리자
	/	/

정보보호감사 지침

문서번호 :

원광대학교

개정이력

개정번호	개 정 내 용 요 약	작성자	시행일자
1.0	최초 제정	유영준	2018.03.02.
1.1	직제 개편에 따른 감사부서 수정	강효원	2019.8.28.
1.2	제 6조 6항 삭제 제 8조 수정	강효원	2020.11.26.
2.1	제 9조 1항 수정	강효원	2021.04.27

제 1 장 총칙

제1조 (목적)

본 지침은 원광대학교(이하 ‘본교’라 한다.)의 정보보호 관리규정 및 정보보호 관련 지침에서 정의하고 있는 제반 정보보호 활동 이행여부를 점검하고, 이를 개선하기 위한 정보보호감사 기준과 절차 규정을 목적으로 한다.

제2조 (적용 범위)

본교의 정보보호 관리규정 및 정보보호 관련 지침의 이행과 관련된 활동을 확인하기 위해 모든 인력과 정보자산을 대상으로 한다.

제3조 (용어의 정의)

본 지침은 다음 용어 정의를 따른다.

정보보호 감사: 정보보호 관련 규정 및 지침의 이행여부를 확인하기 위하여 인터뷰, 문서검토, 직접실사, 진단 및 분석 등 다양한 방법으로 증거를 수집하고 분석하여 결과를 보고하는 활동을 말한다.

정보보호 감사인: 본 지침에 따라 감사를 실시하는 교·직원을 말하며 외부전문가에 의한 감사실시의 경우에는 해당 외부전문가를 포함한다.

제 2 장 책임 및 권한

제4조 (정보보호 감사인의 권한)

정보보호 관리자가 작성한 정보보호 감사 연간 계획에 대해 검토할 권한이 있다.

정보보호 감사의 실시를 위해 필요한 자원의 지원을 결정한다.

정보보호감사와 관련하여 발생하는 이슈를 정보보호위원회의 안건으로 상정할 수 있다.

정보보호감사인은 전문적인 기술이 필요한 경우 내∙외부 전문 인력을 포함 할 수 있다.

제5조(정보보호 감사인의 자격)

① 감사인은 다음 각 호의 1의 요건을 갖춘 자중에서 임명 또는 위촉한다.

3년 이상의 보안 업무 유경험자 또는 5년 이상 IT 경력을 보유한 자

감사에 필요한 지식과 경험이 있다고 인정되는 자

② 단, 다음 각 호의 1에 해당하는 자는 감사인으로 임명 또는 위촉할 수 없다.

정직 또는 감봉의 징계처분을 받은 날로부터 5년이 경과되지 아니한 자

경고처분을 받은 날로부터 2년이 경과되지 아니한 자

견책의 징계처분을 받은 날로부터 2년이 경과되지 아니한 자

근무성적이 불량한 자

총장이 부적격자로 인정한 자

제6조 (정보보호감사인의 의무)

정보보호감사인은 정보보호감사와 관련되는 모든 사항에 대하여 항상 독립성과 공정한 태도를 견지하여야 한다.

정보보호감사인은 정보보호감사와 관련하여 취득한 사실을 정당한 사유 없이 누설할 수 없다.

정보보호감사인은 규정위반 또는 그 직무를 성실히 수행하지 아니한 경우를 제외하고는 신분상의 불리한 처분을 받지 아니한다.

정보보호감사인은 감사를 실시함에 있어 피감사부서로 하여금 업무상 창의와 활동이 위축되거나 침체되지 않도록 주의하여야 한다.

정보보호감사인은 사전에 정보보호감사계획을 작성하고 그에 따라 정보보호감사를 실시하여야 한다.

제 3 장 정보보호감사 일반 사항

제8조(감사독립의 원칙)

정보보호 감사인은 피감사부서로부터 독립하여 감사 직무를 수행한다.

제9조 (정보보호감사의 구분)

감사업무는 기획처 평가전략실 평가과에서 관장하며 정보보호감사인을 위촉 또는 임명할 수 있다. 다만, 필요한 경우 별도의 감사기구에 감사 직무를 위임할 수 있다.

정보보호감사는 정기적으로 수행하는 정기 정보보호감사와 비정기적으로 수행하는 수시 정보보호감사로 구분하여 실시한다.

정기 정보보호감사는 연간 정보보호감사 계획에 따라 실시하는 계획된 감사를 말하며 기본적으로 년 1회 이상 실시한다.

수시 정보보호감사는 정보보호 관련 활동 및 업무 중요도를 고려하여 수시로 해당 업무의 일부 또는 전반에 대하여 정보보호감사가 필요하다고 인정되는 경우 정기 정보보호감사와는 별도로 실시 할 수 있다.

제10조 (정보보호감사의 범위)

정보보호감사는 정보보호 관련 정책 및 지침에 근거한 모든 정보보호 활동을 대상 범위로 한다.

정보보호감사의 대상은 정보시스템, 응용시스템, 데이터베이스 및 이에 대한 관리인력, 이를 이용하는 인력을 대상으로 한다.

정보보호감사의 범위는 다음의 사항을 포함한다.

본교의 정보보호 정책, 지침, 절차 등의 준수 여부 확인

정보보호 통제활동의 적정성 검토

정보보호 통제 관련 제 기록의 적정성 확인(보고사항 포함)

정보보호 사고 발생 또는 발생 징후 발견 시

정보보호 관련 법률에 따른 준수 사항 확인

기타 이에 준하는 것으로서 필요한 사항 및 전기 정보보호감사 지적사항에 대한 시정

여부 확인

제4장 정보보호감사의 수행

제11조 (정보보호감사의 계획)

정보보호감사조직은 정보보호감사를 실시하기 위해 정보보호감사계획을 수립하고 이에 따라 정보보호감사를 실시한다.

정보보호감사 계획에는 다음의 내용이 포함되어야 한다.

정보보호감사의 목적

정보보호감사의 종류

정보보호감사대상 및 범위

정보보호감사항목

정보보호감사시기 및 일정

정보보호감사실시의 업무분담과 담당자

정보보호감사보고서 제출 예정일

특별 정보보호감사는 정보보호 사고 징후, 정보보호 사고 발생 시 계획을 수립하여 실시하며 정보보호감사 대상, 방법 등을 포함하여야 한다.

제12조 (정보보호감사의 실시)

정보보호감사인은 감사실시에 앞서 감사시기, 감사범위 및 피감사 부서의 준비사항 등을 피감사부서에 사전 통지한다.

정보보호감사인은 정보보호감사 계획에 따라 정보보호감사를 수행하여야 한다.

정보보호감사인은 업무 중단의 위험을 최소화할 수 있도록 업무 환경을 고려하여 정보보호감사를 수행하여야 한다.

정보보호감사인은 정보보호감사 결과를 관리하고 정보보호감사에서 지적된 사항에 대한 조치 여부를 관리, 감독하여야 한다.

정보보호감사인은 정기 정보보호감사 및 수시 정보보호감사 실시 이전 감사기일 및 범위를 피감사부서의 장에게 사전 통고하여야 한다. 단, 특별 정보보호감사 실시 시 사전 통고를 생략할 수 있다.

피감사부서의 장은 정보보호감사 실시 시 정보보호감사인의 요구가 있을 때에는 지체 없이 자료제출 또는 답변을 하여 정보보호감사의 원활한 수행에 협조하여야 한다.

제13조 (정보보호감사 증거의 수집)

정보보호감사인은 피감사부서에 적용되는 정보보호 관련 정책 및 지침의 항목에 대해 이행되고 있음을 확인하기 위한 감사증거를 수집하여야 한다.

정보보호감사인은 정보보호감사를 실시하기 전에 정보보호감사 관련 자료를 피감사부서에 요청할 수 있으며 피감사부서는 이에 대한 자료를 정보보호감사 시작 전까지 제출하여야 한다.

정보보호감사인은 정보보호감사 항목에 대해 담당자 인터뷰, 시스템 설정 및 운영 결과 검토, 취약점 진단 및 분석 등을 통해 필요한 감사증적(Audit Trail)을 확보하고 무결성이 보장되도록 관리하여야 한다.

감사인은 감사실시 중에 발견된 예외 사항에 대하여 피감사부서의 담당자에게 고지하고, 이에 대한 확인하여야 한다.

제14조 (정보보호감사의 기록)

정보보호감사 결과 수집된 정보보호감사 증거를 문서화하여 관리하여야 한다.

정보보호감사 기록은 비공개를 원칙으로 한다.

제5장 정보보호감사 결과 처리 (관리 5.3-3)

제15조 (정보보호감사 결과의 보고)

시정요구를 받은 시정조치 주무부서는 지체 없이 이에 대한 필요한 조치를 취하고 서면으로 감사부서에 보고하여야 한다.

정보보호감사 결과 검토 후 사안이 중대한 경우 총장에게 직접 보고하여야 한다.

감사인은 시정조치의 내용이 감사인의 시정 요구 내용과 다른 경우에는 그 보고를 받은 날로부터 15일 이내에 시정조치 주무부서에 재심의를 요구할 수 있다.

정보보호감사인은 정보보호감사보고서가 임의로 유출되지 않도록 주의하여야 하며 피감사부서의 장에게 정보보호감사결과를 전달한다.

제16조 (정보보호감사 결과 보고서 작성)

정보보호감사보고서는 다음 사항을 명시하고 주요 결과를 요약하여 기술한다.

정보보호감사기간

피감사부서명

정보보호감사인의 직위 및 성명

정보보호감사의 목적 및 구분

정보보호감사의 범위

정보보호감사 개요

주요감사내용

정보보호감사결과에 대한 문제점 또는 지적 사항

정보보호감사결과 종합의견

시정사항 및 건의사항

기타 보고의 필요성이 있는 사항

정보보호감사 후 감사 지적 사항에 대해서는 피감사부서장의 의견이나 향후 조치계획 등이 함께 기술될 수 있다.

정보보호감사의 일부를 외부 전문가를 활용하여 시행한 경우 외부 전문가에 의해 시행된 범위를 명시한다.

제17조 (정보보호감사 결과의 이행 조치)

정보보호감사 결과를 통보 받은 피감사부서장은 이행조치에 대한 계획을 15일 이내에 수립하여 정보보호감사인에게 제출하여야 한다. 단, 정보보호감사 결과에 대하여 이의가 있을 때에 피감사부서장은 결과 통보 받은 후 15일 이내에 그 뜻을 서면으로 정보보호감사인에게 제출할 수 있다.

피감사부서장은 이행조치 계획에 따라 후속조치가 완료된 후 15일 이내에 정보보호감사인에게 확인을 요청하여야 한다.

정보보호감사인은 피감사부서의 조치사항을 검토하고 감사부서장에게 보고하여야 한다.

정보보호감사인은 이행조치 계획에 따른 개선사항이 미 조치되었을 경우 피감사부서장에게 시정을 요구할 수 있다.

피감사부서장은 중·장기적으로 해결되어야 할 개선사항에 대하여 이행계획을 수립하여 제출 한 후 조치를 수행하며, 정보보호감사인은 해당 내용을 다음 년도 정기 감사의 대상으로 기록∙관리하여야 한다.

제18조(시정결과의 확인)

감사인은 시정조치에 대하여 차기년도의 정보보호감사 시 이를 확인하여야 한다.

[부칙]

제1조 (시행일자)

본 지침은 2020년 11월 30일부터 시행한다.