[제로베이스 PM 파트타임 스쿨] 6주차 - ISMS, 해외 인증 사례

수강한 강의

제로베이스 PM 파트타임 스쿨 

• Chatper 10 서비스 정책서와 요구사항문서 (PRD)
• 6. ISMS
• 7. 해외 인증사례 : PCI-DSS, GDPR

주차

6주차

강의 요약

• ISMS
  • Information Security Management System의 약자
  • 정보보호 관리체계 or 정보보안 경영 시스템이라고 해석 가능
  • 목적
    • 기업이나 특정 조직이 정보 보호 정책을 짜고 위험에 대응하는 등 여러보안 대책을 유기적으로 통합해서 관리하는 것이 목적
  • ISMS 인증을 취득하지 못하는 경우
    • 3천만원 이하의 과태로 매년 부과
  • 대형 통신사는 ISMS는 인증을 받아야하기 때문에 이러한 회사에서 서비스를 기획할 때는 ISMS 관련해서 정보 검토를 해야함
  • 대부분의 서비스 기획자인 경우 정보 통신업인 경우가 많기 때문에 회사의 전년도 매출액이 백억원이 넘었는지, 3개월간 평균 이용자 수가 백만명이 넘었는지를 확인해야함
• ISMS는 계획 수행 점검 조치 4가지 단계
  • 계획 : ISMS 수립을 위한 계획
  • 수행 : ISMS 구현을 함과 운영을 해야 하는 것
  • 점검 : ISMS에 대한 모니터링과 검토
  • 조치 : 관리, 개선 : 점검 후 시정되고 예방 조치에 대해서 시행을 하게 되는 것
• ISMS : 정보보호 관리체계 인증
• ISMS-P : 정보보호 및 개인정보보호 관리체계 인증

 

• 해외의 인증 사례
  • PCI-DSS
    • 해외에서 통용하고 있는 지불 카드 산업 데이터 보안 표준
    • 카드 소유자의 데이터를 처리하고 전송하는 모든 이해관계자가 준수해야 할 규칙을 정의한 표준
    • 보호하고자 하는 데이터
      • 카드 소유자의 데이터 
        • 카드 소유자 이름, 카드 번호, 유효기간 만료일, 서비스 코드
      • 민감 인증 데이터
        • 마그네틱 데이터, 칩의 데이터, CVC 데이터
  • GDPR
    • 유럽 연합의 일반 개인정보보호법
    • EU에서 디지털 단일 시장 EU 회원국 간의 개인정보의 자유로운 이용을 보장하는 동시에 정보 주체의 개인정보보호 권리를 강화하는 내용의 일반정보 보호법
  • GDPR의 일곱가지 처리 원칙
    • 적법성
    • 공정성
    • 투명성
    • 목적 제한
    • 정확성
    • 보관기간 제한의 원칙
    • 책임성의 원칙

생각 정리 & 적용점

ISMS와 해외 인증 사례에 대한 강의를 들었다.

법률 관련된 내용이라 이해하기 어려웠다. 그냥 그러려니 하면서 들었던 시간이었다.

 

결론은 규모가 꽤 있는 회사면은 ISMS나 해외 인증에 대해서도 준비를 하면서 서비스 기획을 해야한다는 점을 알았다!

 

이 글은 제로베이스 PM 파트타임 스쿨의 강의 자료 일부를 발췌하여 작성되었습니다.