2.2.2 직무 분리

기준 판본: KISA ISMS-P 인증기준 안내서(2023.11.23). 관련 법령: 2026-07-26 기준. 내용 구분: §1은 KISA 안내서와 법령을 요약했다. §3~§4에는 작성자의 실무 경험을 반영했다.

1. ISMS-P 기준 요약

권한의 오·남용을 막기 위해 직무분리 기준을 적용해야 한다. 역할을 나누기 어렵다면 상호 검토와 관리자 모니터링, 변경 승인, 행위자 추적 같은 보완통제를 운영한다.

계정 승인과 부여, 개발과 이관, 작업 실행과 검토, 거래 입력과 승인처럼 한 사람이 함께 맡아서는 안 될 역할을 식별한다. 정해진 역할 구분이 실제 권한과 수행기록에서도 지켜지는지 평가한다.

ISMS-P 요구사항	ITGC 확인 절차	모집단	표본
분리 기준	역할·권한 매트릭스와 상충 기준 확인	핵심 역할	전수
실제 충돌	사용자별 권한과 조직·직무 대조	감사 범위 사용자	규칙 기반 분석
보완통제	독립 승인·로그 검토·사후 모니터링의 운영 확인	승인된 예외	전수 또는 표본

ISMS-P에서는 개인정보보호와 물리보안·보안관제 같은 비재무 영역의 직무분리도 평가한다.

A. 아니다. 어떤 역할이 충돌하는지와 권한 수준을 먼저 보고, 보완통제가 독립적으로 얼마나 자주 수행되며 어떤 증적을 남기는지 평가한다. 상급자가 형식적으로 승인할 뿐 실제 활동을 검토하지 않는다면 충분한 보완통제로 보기 어렵다.