2.8.4 시험 데이터 보안

기준 판본: KISA ISMS-P 인증기준 안내서(2023.11.23). 관련 법령: 2026-07-26 기준. 내용 구분: §1은 KISA 안내서와 법령을 요약했다. §3~§4에는 작성자의 실무 경험을 반영했다.

1. ISMS-P 기준 요약

시험에는 운영 데이터를 사용하지 않는 것이 원칙이다. 사용이 불가피하다면 승인과 접근통제, 유출 모니터링, 시험 후 삭제를 포함해 데이터의 생성부터 파기까지 관리 절차를 적용해야 한다.

운영 재무 데이터가 개발자에게 노출되는지, 시험환경에서 변조되거나 다시 사용되어 운영 이관에 영향을 줄 수 있는지를 평가한다.

ISMS-P 요구사항	ITGC 테스트 절차	모집단	표본
운영데이터 사용	시험 데이터 반입 승인·목적·범위 확인	운영데이터 반입	전수 또는 표본
보호조치	마스킹·접근권한·복사·로그 통제 확인	관련 시험환경	전수
종료·파기	시험 종료 후 삭제·보존 예외 확인	완료 시험	표본

개인정보 비식별·마스킹 조치가 기술적으로 적절한지와 법적 재식별 위험은 개인정보보호 영역에서 별도로 검토한다.

A. 충분하지 않다. 운영 DB를 써야 할 업무상 이유와 승인부터 확인한다. 데이터 최소화와 마스킹 가능성, 시험환경 보안, 로그, 시험 종료 후 삭제까지 함께 평가해야 한다. 접근을 제한하는 것만으로는 복제 데이터의 위험을 모두 통제하기 어렵다.