2.8.2 보안 요구사항 검토 및 시험

기준 판본: KISA ISMS-P 인증기준 안내서(2023.11.23). 관련 법령: 2026-07-26 기준. 내용 구분: §1은 KISA 안내서와 법령을 요약했다. §3~§4에는 작성자의 실무 경험을 반영했다.

1. ISMS-P 기준 요약

정의한 보호 요구사항이 제대로 구현됐는지 시험하고, 안전한 코딩 기준과 취약점·법적 요건을 검토해 발견된 문제를 고쳐야 한다. 공공기관은 의무 대상에 해당하면 개인정보 영향평가를 수행하고 그 결과를 반영한다.

재무보고 기능과 자동통제, 권한, 인터페이스, 데이터 이관의 인수 기준과 시험 결과를 원래 요구사항까지 거슬러 확인한다. 아직 해결하지 못한 결함은 누가 승인했는지와 재무보고에 미치는 영향을 평가한다.

ISMS-P 요구사항	ITGC 테스트 절차	모집단	표본
요구 시험	요구사항-시험-결과-결함 추적표 확인	중요 요구사항	위험기반 표본
UAT·인수	현업 승인과 운영 전 미해결 결함 평가 확인	중요 개발과제	전수
발견사항	심각도·조치·재시험·예외 승인 확인	시험 결함	중요 건 전수

코드 취약점을 기술적으로 빠짐없이 점검했는지와 모의해킹·개인정보 영향평가의 적정성은 보안·개인정보보호 전문가가 맡는 영역이다.

A. 충분하다고 단정할 수 없다. UAT가 중요한 재무 기능과 예외 처리, 권한, 인터페이스까지 다뤘는지 확인해야 한다. 시험 결과와 결함이 추적되지 않는다면 한 줄짜리 승인만으로 시험의 내용과 품질을 입증하기 어렵다.