1.1.3 조직 구성

기준 판본: KISA ISMS-P 인증기준 안내서(2023.11.23). 관련 법령: 2026-07-26 기준. 내용 구분: §1은 KISA 안내서와 법령을 요약했다. §3~§4에는 작성자의 실무 경험을 반영했다.

1. ISMS-P 기준 요약

조직의 특성에 맞춰 정보보호·개인정보보호 실무조직을 구성해야 한다. 중요 사항을 심의·의결할 위원회와 부서별 담당자가 참여하는 협의체도 운영한다.

조직 구성을 보면 통제 책임자와 감독자의 역할이 명확한지, 업무에 필요한 전문성을 갖췄는지 판단할 수 있다.

ISMS-P 요구사항	ITGC 확인 절차	모집단	표본
실무조직	조직도·직무기술서·인력 현황 확인	현행 조직	전수
위원회	구성원 권한과 주요 안건·결정 기록 확인	감사기간 회의	감사계획에 따른 표본
협의체	부서별 담당자 지정과 활동 실적 확인	협의체 활동	표본

전사 개인정보보호 담당자 협의체와 ISMS-P 전체 범위를 다루는 위원회는 일반적인 재무보고 ITGC보다 범위가 넓다.

A. 반드시 별도 조직을 새로 만들 필요는 없다. 조직 규모에 따라 기존 경영회의나 위험관리위원회가 그 역할을 맡을 수 있다. 다만 역할과 구성원, 정기 안건, 결정 기록이 명확해야 한다. 이름만 다른 조직이 대신한다는 설명만으로는 충분하지 않다.