컴플라이언스 Q&A
법령·인증 기준 조항 기반 실무 질의응답

Q

ISMS-P 2.5.4 비밀번호 관리 통제항목에서 요구하는 최소 복잡도 기준은 무엇인가요?

A

ISMS-P 인증기준 2.5.4(비밀번호 관리)는 비밀번호를 영문 대소문자·숫자·특수문자 중 2종류 이상 조합하여 최소 10자리 이상, 또는 3종류 이상 조합으로 최소 8자리 이상으로 설정하도록 요구합니다. 또한 연속되는 문자열(예: abcd, 1234)이나 사전에 있는 단어 등 쉽게 추측 가능한 비밀번호 사용을 제한해야 합니다. 시스템 레벨에서 정책을 강제 적용하고 있음을 설정 스크린샷으로 증빙해야 합니다.

근거: ISMS-P 인증기준 2.5.4 (비밀번호 관리), KISA 패스워드 선택 및 이용 안내서

Q

개인정보보호법상 개인정보 파기 의무 기한은 어떻게 되나요?

A

개인정보보호법 제21조에 따르면 개인정보 처리자는 보유기간이 경과하거나 처리 목적이 달성된 경우 지체 없이 개인정보를 파기해야 합니다. '지체 없이'는 일반적으로 5영업일 이내로 해석되며, 불가피한 사유가 있을 경우 30일을 초과해서는 안 됩니다. 다른 법령에 의해 보존 의무가 있는 경우는 예외이며, 이 경우 해당 정보를 다른 개인정보와 분리하여 저장·관리해야 합니다(법 제21조 제2항).

근거: 개인정보보호법 제21조 (개인정보의 파기), 개인정보보호법 시행령 제16조

Q

K-SOX 외부감사에서 긴급 변경 비율이 높을 때 어떻게 대응해야 하나요?

A

ITGC 변경관리 기준에서 긴급 변경(Emergency Change)은 전체 변경의 10~15% 이내가 권고 수준입니다. 비율이 높다면 외부 감사인은 (1) 정규 변경 프로세스 우회 가능성, (2) 변경 통제 설계 결함, (3) 사후 승인 기록 완전성을 중점 검토합니다. 대응 방법은 ① 각 긴급 변경에 대한 사후 승인 문서 완비, ② 긴급 변경 사유의 타당성 문서화, ③ 반기 이상 지속 시 변경관리 절차서 개정 및 원인 분석 보고서 준비입니다. 긴급 변경 중 재무 시스템(ERP, 결산 관련 시스템)에 대한 변경은 별도로 중점 관리해야 합니다.

근거: K-SOX ITGC 변경관리 통제 영역, PCAOB AS 2201 (내부통제 감사)

통제항목 코드 또는 법령 조항을 포함하세요

"접근통제 관련 질문"보다 "ISMS-P 2.5.2 통제항목에서" 또는 "개인정보보호법 제29조 관련"으로 시작하면 더 정확한 조항 인용이 가능합니다.

구체적인 상황을 기술하세요

"비밀번호 정책이 맞나요?"보다 "현재 8자리 영문+숫자 조합 정책을 운영 중인데 ISMS-P 기준을 충족하나요?"처럼 현황을 포함하면 갭 분석 결과를 받을 수 있습니다.

업종·규모·인증 여부를 명시하세요

금융, 의료, 공공, 통신 등 업종에 따라 적용 기준이 다릅니다. 또한 ISMS-P 인증 의무 대상 여부, 외부감사 대상 여부에 따라 적용해야 할 기준이 달라집니다.

심사원 관점의 질문을 시도해보세요

"ISMS-P 심사원이 이 항목을 어떻게 확인하나요?" 또는 "외부감사인이 이 통제의 ToD를 검토할 때 무엇을 보나요?"처럼 상대방 관점으로 질문하면 실용적인 대응 방법을 얻을 수 있습니다.