보안 인식제고 교육 및 악성메일 모의훈련 쟁점

핵심 판단

임직원·개인정보취급자 대상 정기 보안·개인정보 교육이 시행되고, 악성메일(피싱) 모의훈련을 통해 취약군을 식별·재교육하며, 훈련 결과가 개선에 반영되는지가 핵심이다.

배경

교육이 형식적이거나 대상·이수율 관리가 미흡하고, 모의훈련 결과가 재교육·통제 개선으로 연결되지 않는다.

주요 쟁점 및 심사 포인트

• 대상별(취급자 포함) 정기 교육 시행·이수율 관리 여부
• 악성메일 모의훈련 실시 및 취약군 재교육 여부
• 훈련 결과의 통제·교육 개선 반영 여부

관련 인증기준

ISMS-P 인증기준(2023) 기준. 항목명은 「금융권 ISMS-P 인증기준 점검항목 안내서」로 검증함.

• 2.2.4 인식제고 및 교육훈련
• 2.11.4 사고 대응 훈련 및 개선
• 2.11.1 사고 예방 및 대응체계 구축

관련 법령·가이드

조문 번호·명칭은 개정으로 달라질 수 있어, 실제 심사·인용 시 국가법령정보센터(law.go.kr) 최신본 재확인을 권장한다.

• 「개인정보의 안전성 확보조치 기준」 제4조(내부 관리계획)
  • 개인정보취급자에 대한 교육 계획 수립·시행 포함.
• (참고) 인식제고·교육훈련은 ISMS-P 2.2.4/2.11.4 직접 요건

참고 가이드

• 「개인정보의 안전성 확보조치 기준 안내서」 교육 부분
• 보안 인식제고 가이드(KISA)

심사 시 확인사항 (증적)

• 교육 계획·시행 기록·이수율(대상별)
• 악성메일 모의훈련 결과·클릭률·재교육 이력
• 훈련 결과 기반 개선 조치

주요 결함 사례

개인정보취급자 대상 교육 이수율 관리가 미흡하고, 악성메일 모의훈련 결과가 재교육·통제 개선으로 연결되지 않음.

보완 대책

1. 대상별 교육 계획·이수 관리 및 미이수자 후속조치
2. 악성메일 모의훈련 정례화 및 결과 기반 재교육·통제 개선

연관 쟁점

• [ISSUE-013] 침해사고 법정기한 내 신고·통지 및 증거보존 쟁점
• [ISSUE-020] 내부 점검(감사) 독립성 확보 및 결함 이행 재검증 쟁점

---

본 문서는 ISMS-P 인증심사 실무 참고용이며, 법적 자문이 필요한 사안은 법률 전문가 확인이 필요합니다. (v2 · 2026-08)