위험평가 자산식별 객관성 및 DoA 초과 위험수용 쟁점

핵심 판단

정보자산 식별이 누락 없이 일관된 기준으로 이루어지고, 위험평가 방법·척도가 객관적이며, 수용가능한 위험수준(DoA)을 초과하는 위험에 대해 근거 있는 위험처리(감소·회피·전가·수용)와 경영진 승인이 이루어졌는지가 핵심이다.

배경

자산식별이 임의적이거나 위험도 산정이 형식적이고, DoA를 초과하는 위험을 근거 없이 '수용'으로 처리해 보호대책 이행을 회피하는 사례가 있다.

주요 쟁점 및 심사 포인트

• 자산식별 범위·기준의 완전성·일관성
• 위험평가 방법론·척도의 객관성 및 재현성
• DoA 초과 위험의 처리 근거 및 경영진 승인 여부

관련 인증기준

ISMS-P 인증기준(2023) 기준. 항목명은 「금융권 ISMS-P 인증기준 점검항목 안내서」로 검증함.

• 1.2.1 정보자산 식별
• 1.2.3 위험 평가
• 1.2.4 보호대책 선정

관련 법령·가이드

조문 번호·명칭은 개정으로 달라질 수 있어, 실제 심사·인용 시 국가법령정보센터(law.go.kr) 최신본 재확인을 권장한다.

• 「개인정보의 안전성 확보조치 기준」 제4조(내부 관리계획)·위험 분석
  • 개인정보 처리 환경에 대한 위험 분석·관리 요구(내부관리계획 포함).
• (참고) 관리체계 인증기준 자체 요건
  • 위험평가·보호대책 선정은 ISMS-P 인증기준의 핵심 통제로, 법령보다 인증기준이 직접 근거.

참고 가이드

• 「금융권 ISMS-P 점검항목 안내서」 1.2 위험평가
• ISMS-P 인증제도 안내서(KISA) 위험관리 부분

심사 시 확인사항 (증적)

• 정보자산 목록·식별기준 및 흐름분석 결과
• 위험평가 방법론·척도·평가 결과보고서
• DoA 정의 및 초과위험 처리계획·경영진 승인 결재

주요 결함 사례

위험평가에서 DoA를 초과하는 다수 위험을 별도 근거·승인 없이 '수용'으로 분류하여 보호대책 이행을 회피함.

보완 대책

1. 자산식별·위험평가 기준 표준화 및 평가 근거 문서화
2. DoA 초과위험 처리 시 대체통제·이행계획·경영진 승인 의무화

연관 쟁점

• [ISSUE-006] 전자금융기반시설 취약점 분석·평가 고위험 항목 미조치 쟁점
• [ISSUE-025] EOL/EOS(지원종료) OS·소프트웨어의 대체통제 쟁점

---

본 문서는 ISMS-P 인증심사 실무 참고용이며, 법적 자문이 필요한 사안은 법률 전문가 확인이 필요합니다. (v2 · 2026-08)