1.2.2 현황 및 흐름분석

기준 판본: KISA ISMS-P 인증기준 안내서(2023.11.23). 관련 법령: 2026-07-26 기준. 내용 구분: §1은 KISA 안내서와 법령을 요약했다. §3~§4에는 작성자의 실무 경험을 반영했다.

1. ISMS-P 기준 요약

정보서비스와 개인정보 처리 현황, 업무 절차와 흐름을 파악해 문서로 남겨야 한다. 서비스와 자산이 바뀌면 관련 문서도 주기적으로 갱신한다.

IT감사에서는 거래가 시작되는 지점부터 총계정원장과 재무보고까지 시스템과 인터페이스를 따라간다. 이 과정에 포함된 수기 단계와 서비스 조직도 함께 파악한다.

ISMS-P 요구사항	ITGC 확인 절차	모집단	표본
서비스 흐름	주요 거래유형의 시스템 흐름 워크스루	중요 프로세스	프로세스별 대표 거래
인터페이스	원천·목적지·변환·오류처리 통제 확인	주요 인터페이스	전수
현행화	시스템 도입·변경이 흐름도에 반영됐는지 확인	기간 내 주요 변경	표본

개인정보를 수집해 파기하기까지의 전체 흐름과 수탁자·제3자 제공 현황은 개인정보보호 심사에서 더 깊이 다룬다.

A. 감사인은 인터뷰 같은 보완 절차로 실제 흐름을 파악할 수 있다. 그러나 회사 통제로 보면 변경사항을 문서에 반영하는 절차가 제대로 작동하지 않았다. 오래된 흐름도 때문에 ITGC 범위나 인터페이스 모집단이 빠지지 않았는지도 함께 평가한다.