2.2.4 인식제고 및 교육훈련

기준 판본: KISA ISMS-P 인증기준 안내서(2023.11.23). 관련 법령: 2026-07-26 기준. 내용 구분: §1은 KISA 안내서와 법령을 요약했다. §3~§4에는 작성자의 실무 경험을 반영했다.

1. ISMS-P 기준 요약

연간 교육계획을 승인받고 임직원과 외부자를 연 1회 이상 교육해야 한다. 새로 투입되는 인력은 업무를 시작하기 전에 교육하며, 직무별 전문교육과 교육 효과 평가도 실시한다.

ITGC에서는 일반 보안교육보다 계정관리·변경·운영 등 핵심 통제 수행자가 자신의 업무를 이해하고 시스템을 다룰 역량이 있는지가 더 직접적인 판단 요소다.

ISMS-P 요구사항	ITGC 확인 절차	모집단	표본
교육 대상 완전성	HR·외부자 목록과 교육 이수자 대조	교육 대상자	규칙 기반 대조
직무교육	핵심 IT 역할의 교육·자격·경력 확인	주요 수행자	표본
효과성	평가 결과·미이수 조치·다음 계획 반영 확인	교육 과정	표본

전사 보안 인식 교육과 개인정보보호 교육, 피싱 모의훈련 등은 정보보호 프로그램에서 더 폭넓게 다룬다.

A. 이수율은 대상자가 빠지지 않았다는 증거일 뿐이다. 교육 내용과 평가 결과가 실제 역할·위험에 맞는지, 미이수자 후속 조치가 이뤄졌는지도 확인해야 한다.