A. 부속서 정보화경영체제 - 참고지침
정보화경영체제에 관한 이 부속서는 정보화경영체제의 요건에 관한 추가 정보를 제공하여 규격의 해석상 오해를 제거함과 아울러 정보화경영체제의 실행을 용이하도록 지원하기 위한 것이다.
이 규격은 정보화 성과의 개선방안을 확인하고 실행하기 위해 조직이 정기적으로 그들의 정보화경영체제를 검토하고 평가한다는 개념에 입각한 것이다. 조직은 이 규격에서 언급한 정보화경영체제의 실행을 통해 정보화 성과의 개선이 가능하며, 또한 정보화의 개선으로 부가적인 경영의 성과도 기대할 수 있다.
정보화경영체제는 지속적인 개선을 달성할 수 있도록 체계적인 과정을 제공하며, 개선에 따른 성과 및 개선의 정도는 기업의 제반 경영여건과 경제성 등을 토대로 조직에 의해 결정되어야 한다. 특히 조직은 이 규격의 요건을 만족하기 위해 수행한 노력에 대한 결과가 현재의 정보화경영체제의 부분적인 운영개선으로도 나타날 수 있으나, 새로운 정보시스템 도입을 병행할 때 획기적인 성과로 나타날 수 있음을 인식하여야 한다.
이 규격은 "방침수립, 계획, 도입 및 확장, 운영, 점검 및 시정조치" 단계의 동적 순환 과정에 기초한 정보화경영체제의 요건들을 포함한다. 따라서 조직은 각 단계가 포함하는 개별적인 요건을 충실히 만족시키면서 단계를 순환하게 될 때 지속적인 정보화 수준의 향상과 궁극적인 경영목표의 달성을 이룰 수 있다.
또한, 이 규격은 여러 경영시스템의 원칙과 소프트웨어 수준평가규격인 ISO 15504의 원칙을 준수하고 있다.
A.1 적용범위
이 규격은 정보화가 조직의 경영방침 및 목표와 일치되어 추진되는 것을 전제로 하므로, 조직의 정보화는 결국 전체 경영시스템의 일부분으로 편입되어 운영된다고 볼 수 있다.
따라서 규격에서 제시하는 요건은 조직이 현재 운영 중이거나 향후 도입예정인 정보시스템뿐만 아니라 정보화에 영향을 주거나 정보화를 통해 영향을 받을 수 있는 모든 경영환경이 적용범위에 포함된다.
이 규격은 조직의 규모나 유형에 관계없이 적용될 수 있도록 설계되었다. 따라서 조직은 여건에 맞도록 규격을 해석하여 조직의 능력이나 자원의 낭비 없이 제반 절차나 문서 등을 마련하고 조직 목표를 효과적, 효율적으로 달성하되 조직 형편에 맞는 지식관리기술 및 정보기술을 선택하여 이행하는 것이 중요하다.
또한 조직은 필요에 따라 조직을 운영하는 영역을 융통성 있게 설정할 수 있으며, 전체 조직 또는 특정 운영 단위 또는 조직의 활동에 대해서도 이 규격의 이행을 검토할 수 있다. 이 규격이 특정 운영단위나 활동과 관련하여 실행되는 경우 조직이 운영하는 다른 경영체제에서 제시하는 방침과 절차들이 이 규격요건을 충족하는 데 사용될 수 있다.
이 규격은 조직이 외부 기관으로부터 심사를 받을 목적으로 활용할 수 있을 뿐 아니라 조직 내부적으로 자체 인증 또는 선언을 위하여서도 활용할 수 있다. 조직은 이 규격에서 기술된 요건들로 정보화경영체제를 설정하고 유지하여야 한다.
A.2 (별도 해설 없음)
A.3 정보화경영 방침
정보화경영 방침은 조직의 정보화 성과 유지 및 잠재적 개선을 위하여 조직의 정보화경영체제의 실행 및 개선을 유도하는 핵심요소이다. 정보화경영 방침은 조직의 정보화경영 목표 설정 시 그 근거를 제공하는 중요한 수단으로 방침결정에 앞서 조직의 정보화 수준의 평가를 통해 정보화 환경에 대해 진단하는 것이 선행되어야 한다.
정보화 수준평가는 현존하는 정보화경영의 모든 관행과 업무 프로세스의 검토, 정보화 설비 및 시스템 등의 정보화 환경 및 여건, 지식 및 정보 등의 지적자원, 정보화 성과 및 평가결과 반영 등을 포함하여야 한다. 평가 시는 점검표, 인터뷰, 직접적인 분석, 종전감사결과에 의하거나 활동의 본질에 따라 다른 형태의 평가를 취할 수 있다. 정보화 수준평가 시는 정상 상황 뿐 아니라 비상상황 등의 조건도 고려하여야 한다.
정보화경영 방침에서 무엇보다 중요하게 고려해야 하는 사항은 최고경영자의 의지이며, 정보화경영을 위한 최고경영자의 중요한 역할과 책임은 다음과 같다.
이러한 최고경영자의 의지는 확고한 결의와 함께 실무현장에서 이행되고 확인될 수 있어야 한다.
가. 정보화경영 방침 및 목표, 계획의 승인 및 이행의 보장
나. 종업원 참여를 위한 내부 환경의 조성 및 인센티브제 실시
다. 정보화경영을 위한 조직, 인원 및 책임과 권한의 할당
라. 소요자원에 대한 가용성 보장
마. 경영검토의 수행 및 중요 의사결정을 위한 검토회의 참여
바. 최고경영자를 위한 정보화 교육 참가
특히 정보화경영 방침은 조직의 전체 경영방침을 달성하기 위한 구체적인 방침이 되어야 하며, 아울러 조직의 경영전략과 일관성 있게 설정되어야 한다.
A.4 계획
A.4.1 정보화경영 목표
조직은 정보화경영 방침을 추진할 수 있는 정보화경영 목표를 설정하여야 한다. 설정된 정보화경영 목표는 정보화경영의 추진에 대한 정기적인 성과측정 등을 통해 목표에 대한 달성여부의 확인과 필요시 이를 수정할 수 있다.
목표는 정보화에 따른 투입 대비 산출효과를 판단할 수 있도록 구체적이고 정량적이어야 한다. 따라서 조직은 정보화경영 목표 수립 시 조직의 생산성 향상이나 지식ㅗ정보 등 자원의 최적활용, 서비스 만족도의 개선, 종업원의 정보화 능력제고 등의 관점에서 긍정적인 효과와 부정적인 효과가 동시에 분석될 수 있도록 설정되어야 한다.
정보화목표를 실행하기 위한 기술적인 방안을 검토할 때 조직은 향후의 기술방향과 조직내의 정보화 표준에 적합한 경우에는 경제적으로 실현 가능한 최선의 기술사용을 검토할 수 있다.
A.4.2 정보화 추진계획
정보화경영 추진계획을 수립하고 활용하는 것은 정보화경영체제를 성공적으로 이행하기 위한 핵심적인 요소이다.
추진계획서에는 정보화경영 방침과 목표를 달성하기 위한 방법과 하부조직별 책임이 명시되며, 이를 위해 조직은 현재 활용 중인 정보화 시스템들의 운영계획 뿐 아니라 신규로 추진해야 하는 주요 정보화 프로젝트에 대한 추진계획을 수립해야 한다.
정보화 추진계획은 사전에 경영 전략적 측면이나, 정보보호를 포함한 기술적 측면, 사업적 측면에서의 타당성 분석이 선행되어야 하며 아울러 소요예산이나 일정계획, 프로젝트간의 관련성 및 추진 우선 순위 등 종합적인 관점에서의 검토가 이루어져야 한다.
또한, 정보보호적 측면에서는 정보화 추진에 있어 보호되어야 할 자산과 범위설정, 위험성을 평가하여 목표설정 및 관리될 수 있도록 계획을 수립한다.
지식관리를 위한 추진계획을 별도의 프로그램으로 관리할 수도 있다.
이 경우 지식정보 흐름 전 과정을 체계적으로 관리하기 위한 절차나 종업원의 지식공개 촉진을 유도하기 위한 지식마일리지제도, 지식창고제 운영 등을 시행할 수 있다.
A.4.3 조직, 권한 및 책임
정보화경영체제의 성공적인 실행은 그 조직의 모든 직원의 의지가 뒷받침되어야 한다. 따라서 정보화 책임은 정보화 기능 뿐 아니라 관련된 기타 기능도 포함할 수 있다. 이러한 정보화경영체제의 실행의지는 최고 경영층으로부터 표명되어야 하므로 조직의 최고경영자는 정보화경영 방침을 설정하고 정보화경영체제가 실행되도록 보장하여야 한다.
이를 위해 최고경영자는 정보화경영체제의 이행을 보장하는 책임과 권한을 갖는 특정 경영자 대리인을 정보화 책임자로 지정할 수 있다. 중소기업의 경우는 1명의 정보화책임자가 이러한 임무를 수행할 수 있으나, 조직의 규모에 따라서는 최고경영자를 포함하여, 한 명 이상의 정보화 책임자를 둘 수 있다.
정보화경영을 주관하는 조직 및/또는 인원은 정보화 계획 및 정보시스템 구축, 운영 및 유지보수 등 정보화업무수행에 필요한 적절한 책임과 권한이 보장되어야 한다.
최고경영자는 정보화가 성공적으로 추진될 수 있도록 적극적인 지원을 해야 하며, 중요한 지원요소에는 인적자원, 기술, 설비 및 시스템, 재정자원, 지식, 정보보호 등이 있다.
지식정보 창출, 축적, 유통, 활용, 보존 및 폐기 등 지식흐름 전 과정을 체계적으로 관리하기 위한 책임, 권한, 조직을 지정할 수도 있다.
A.4.4 교육훈련
교육훈련은 현재 및 미래의 정보화경영 목표를 달성하기 위해 필요한 직원의 능력과 수준을 파악하고 개발하는 것이 중요하다.
교육훈련은 반드시 최고경영자를 포함하여 계층별로 적합하게 실시되어야 한다. 교육훈련은 조직자체 과정이나 외부전문교육과정을 활용할 수 있다. 교육훈련과정은 그 성과평가와 함께 기록 관리되어야 한다.
또한 정보화 전문인력에 대해서는 경험, 능력 및 훈련수준 등 자격을 규정하여 정보화 업무수행이 효율적으로 운영될 수 있도록 하고 아울러 이러한 자격을 유지하는 데 필요한 교육훈련의 기회도 보장하여야 한다.
관련된 조직의 인원은 다음과 같은 인식을 하도록 하여야 한다.
가. 정보화경영 방침 및 절차, 정보화경영 요건을 준수하는 일의 중요성
나. 정보화경영이 자신들의 업무활동에 미치는 중대한 영향과 개인적인 역량의 향상에 따른 정보화 추진상 이득
다. 정보화경영 방침과 제절차들, 긴급사태의 대비와 처리요건을 포함한 정보화경영체제 요건을 준수하기 위해 필요한 역할과 책임
라. 규정된 운영절차들을 벗어남으로 인해 발생할 수 있는 결과
교육훈련은 직원이 수행하는 기본업무 외에도 다음과 같은 추가적인 요구 사유가 있을 경우 실시할 수 있다.
가. 정보화경영 전략 및 기획 수립에 필요한 미래 지향적 요구
나. 정의된 활동을 수행할 인력에 대한 능력 평가의 결과
다. 관련 법률 및 규정, 표준 등 조직의 정보화경영에 직접적 영향을 주는 활동 및 자원
라. 정보보호를 포함하여 정보화경영을 추진하는데 중요한 논점
필요한 경우 조직은 협력회사나 외주회사의 관계자에 대한 교육훈련계획을 수립하여야 한다.
아울러 조직은 직원의 교육효과를 높이기 위해 자체적인 정보화 능력 평가 및 시상 등 행사를 개최할 수 있으며, 또한 외부에서 개최되는 정보화 경연대회에 참가를 장려 할 수 있다.
정보화 및 지식관리의 효율적 촉진을 위한 동기부여나 인센티브책으로는 고급정보 제공자에 대한 지식증서 수여, 정보소유권 부여제도, 지식마일리지제도를 통한 인사상 우대, 포상제도 등이 있다.
A.4.5 정보화경영체제 문서화
정보화경영체제 문서화의 중요한 의도는 정보화경영 방침을 표현하고 정보화경영체제의 운영 및 관리를 위한 체제를 정하며, 시스템의 실행 및 유지에 대한 방법을 표준화하기 위한 것이다.
정보화경영체제를 위한 문서는 본 규격을 적합하게 이행하기 위해 작성되는 기본문서로서 정보화경영체제 프로세스의 상호작용을 위한 설명, 정보화 업무 표준 및 운영절차, 조직, 정보화경영과 관련된 각종 문서의 종류와 관리하는 방향을 정의하는 등 보다 구체적인 정보를 어디서 취득할 수 있는가에 대한 방향을 제공하기에 충분하여야 한다.
또한 문서화는 다음과 같은 사항을 포함할 수 있다.
가. 정보화경영 방침 및 목표의 문서화된 결과
나. 필요시, 정보화경영 매뉴얼
다. 본 규격이 요구하는 문서화된 절차
라. 정보화경영체제의 효과적인 기획, 운영 및 관리를 보장하기 위하여 조직이 필요로 하는 문서
또한 이 문서는 조직의 효율적 경영을 위해 관련 문서와 별도로 독립적인 문서로 반드시 작성될 필요는 없다. 또한 이러한 문서는 조직에 의해서 실행되는 다른 경영체제의 문서와 통합될 수 있다.
A.5. 도입 및 확장
A.5.1 프로젝트 관리
조직은 조직의 새로운 업무분야에 대한 정보화 추진 및 기존의 운영 중인 정보시스템의 보완 및 확장 등을 위하여 프로젝트를 계획하고 실행할 수 있다.
프로젝트의 계획은 정보화 추진계획의 하부로서 수립되며, 정보화 대상에 대한 업무분석, 계약 및 구매, 정보시스템 개발, 운영시험의 절차로 수행된다.
프로젝트의 관리는 영속성 있게 수행되는 것이 아니라 일정기간 즉, 프로젝트의 수명주기 동안 계획, 실행, 점검 등 자체적인 관리절차로 운영된다.
프로젝트의 계획 수립 및 관리 시에는 범위관리, 위험관리, 일정관리, 비용관리, 품질관리, 형상관리 등을 포함할 수 있다.
조직은 품질관리를 위한 방안으로 개발공정의 적합성을 확인하기 위한 품질보증계획을 수립할 수 있으며, 품질보증에 대한 계획수립과 품질평가, 품질통제, 검토회의 개최 등의 절차를 거칠 수 있다.
A.5.2 업무분석
업무분석은 정보화 대상에 대해 명확히 정의한 후 최종 결과물이 당초의 용도와 의도에 맞게 구축되도록 하기 위해 필요하다.
업무분석의 결과는 조직의 내부 정보화 인력에 의한 자체 개발과 외부인력에 의한 위탁개발을 위한 요구사항으로 기술되며, 이 요구사항에는 기능적인 요구사항과 비 기능적인 요구사항이 포함된다.
기능적인 요구사항에는 업무가 정보화로 전환된 후 사용자가 이용하는 세부 기능을 포함한다.
비 기능적인 요구사항은 목표 시스템의 성능 및 용량, 활용 컴퓨터 및 통신망의 성능, 시스템 자체 또는 외부 인터페이스를 위해 적용되는 표준, 시스템 구축 및 설치환경, 시스템 시험방법, 시스템 보안, 시스템 운영 및 유지보수 대책, 교육훈련에 관한 사항 등이 포함된다. 이외 시스템의 신뢰성, 안정성, 확장성, 병용성, 실용성 등을 포함하여 고려할 수 있다.
특히 업무분석결과서는 작성 시 업무와 관련된 모든 부서의 의견이 충분히 반영될 수 있도록 주요 업무담당자들의 참여가 보장되어야 하며, 작성된 업무분석 결과서는 확정하기에 앞서 관계 인원이 모두 참석한 가운데 검토회의를 통해 최종적으로 검증 및 확인할 수 있는 절차를 거쳐야 한다.
A.5.3 계약 및 구매
조직은 정보시스템의 개발, 확장, 보완에 필요한 자체 정보화 인력이 충분치 않거나 또는 외부 전문인력을 활용하여 효율적으로 정보화를 달성하고자 할 경우 위탁개발 등 아웃소싱을 외부기관에 의뢰할 수 있다.
아웃소싱은 대상 업무의 선정, 서비스 제공자의 선정, 개발 및 계약관리 등의 절차로 수행된다. 서비스 제공자의 선정을 위해서는 잠재적인 서비스 제공자의 파악, 제안요구사항(RFP: Requirement For Proposal)의 작성 및 배포, 설명회 개최, 제안서 접수 및 평가, 최종 서비스 제공자의 선정 등의 절차를 거칠 수 있다.
제안요구사항(ＲＦＰ)에는 프로젝트 요구사항, 품질 목표, 계약 협상점, 이행기관의 예산, 공급자 선정기준 등을 포함하여 작성 및 배포할 수 있다,
정보시스템의 외부기관의 의뢰는 개발뿐아니라 운영적 측면에서도 추진할 수 있으며, 이때 정보시스템의 보안에 대한 사항에 계약적으로 주의를 기울여야 한다.
A.5.4 정보시스템 개발
조직 내부의 개발이나 외부 위탁을 통한 개발이든 최종 결과물의 적합성 여부를 판단하고자 할 때는 결과물 그 자체의 확인을 포함하여 결과물을 만들기 위해 거쳤던 과정이 적합한 가도 확인하여야 한다.
시스템 개발 시에는 조직에서 별도로 정의한 절차 즉, 시스템 요구사항 정의, 시스템 설계, 모듈 설계, 구현, 단위시험, 통합시험 등의 활동을 위해 필요한 문서와 이러한 활동을 수행하였음을 확인할 수 있는 관련 문서들이 작성되어야 한다.
설계과정에서 작성된 문서들은 추후 구현결과물 확인을 위한 기초 문서가 될 수 있다. 예를 들어 시스템 개발을 완료한 후의 최종 결과물은 당초 업무분석 과정에서 정의한 요구사항에 대해 만족하고 있는가를 검증하는 조건이 된다.
외부위탁 결과물에 대한 적합성 판단은 업무분석과정에서 작성한 요구사항과 시스템 설계서, 그리고 사용자와 서비스 제공자간에 작성한 계약서 등이 기초가 된다.
추가적인 정보는 ISO/IEC 12207 정보기술. 소프트웨어 수명주기 프로세스를 참조할 수 있다.
A.5.5 운영시험
단위시험 및 통합시험은 시스템 개발과정 중에 수행되는 시험인 반면, 운영시험은 시스템의 개발을 완료한 후에 시스템이 실제 업무에 적용되었을 때의 문제점을 확인하고 최종적으로 개선 및 조치하기 위해 사전에 시험적으로 시스템을 운영하는 과정이다.
운영시험 단계에서는 시스템 설치와 일정기간 시스템 사용 후의 최종 승인 및 인수절차가 수행되며, 이 단계에서의 중요한 기록은 반드시 작성, 유지되어야 한다.
시스템설치 시에는 당초 운영환경으로 규정한 환경에 시스템을 설치하여 정상적인 운영을 보장하여야 한다. 이때는 개발자가 요구하는 필요한 지원활동이 강구되어야 한다.
시스템 설치 후에는 일정기간 동안 사용 부서 또는 사용자가 기존의 업무와 병행하면서 실제 업무에의 적용 가능성 여부를 확인하고 문제점을 보완하여 최종적인 안정화를 성취하는 단계이다.
일정기간 동안의 시험가동으로 안정화가 보장된 후에는 공식적인 인수시험을 실시하며 이때는 개발 단계에서 도출되었던 성능, 기능, 장애복구 및 보안 등 전반적인 요구사항에 대한 만족도를 점검하여 최종적인 인수여부를 결정한다.
운영시험을 추진하기 위해서는 별도의 팀을 구성하는 것이 좋으며, 이 팀에는 직접 사용자와 내부 또는 외부로부터 적합한 능력을 갖춘 전문가를 포함하여야 한다.
추가적 정보는 ISO/IEC 12207 정보기술. 소프트웨어 수명주기 프로세스를 참조할 수 있다.
A.6. 운영
A.6.1 운영관리
조직은 정보화경영 방침 및 목표, 추진계획과 정보화경영에 중요하게 관련될 수 있는 운영기능과 활동들을 세밀히 파악하여야 한다. 파악된 운영기능과 활동들을 체계있게 수행하기 위한 활동계획 즉, 운영절차를 마련해야 한다.
이때 수립되는 운영절차는 문서화하는 것이 필요하며 그 절차서 내에는 운영하는 기준들을 설정하여 효율적인 관리가 되도록 표준화하고, 업무운용에 대한 현황을 지속적으로 기록하고 평가 및 개선에 대한 노력을 기울여야 한다.
운영절차는 정보화 업무에 대한 운영절차와 정보시스템에 대한 운영절차가 별도로 준비되어야 한다.
정보화 업무의 운영절차는 사용자들이 정보시스템을 적극적, 효율적으로 사용하도록 유도하기 위한 체제를 마련하고 운영함으로써 경영성과를 향상시키도록 하는 것이다.
정보시스템의 운영절차에는 정보화 업무에서 처리하는 데이터와 데이터를 수록한 전자매체, 그리고 소프트웨어, 전산시스템, 통신망 자원, 안전 및 보안시스템, 시설 등을 운영하기 위한 절차와 운영현황의 기록, 평가, 개선에 대한 내용이 기술되어야 한다.
A.6.2 의사소통
정보화경영을 위한 의사소통은 정보화 업무 사용자간의 횡적 의사소통과, 조직 상하간의 의사소통, 정보시스템 운영자와 정보화 업무 사용자간의 의사소통, 조직의 내부 인원과 외부고객 또는 다른 이해 관계자 사이의 대화를 위한 절차를 마련해야 하며 각종 정보, 지식, 문서의 처리절차 및 공유절차 등도 확립하여야 한다.
또한 이러한 절차에는 비상시 계획과도 관련한 절차도 마련하여야 한다. 조직은 특히 쇼핑몰, 인터넷 홈페이지, 전자상거래 등 외적 이용자의 불만사항에 대한 의사소통절차를 마련하고 특히 중대한 사항의 처리, 응신 과정들에 대해서는 처리기준을 마련하고 적절한 정보를 포함하여야 한다.
효율적인 의사소통을 위해서는 먼저 각 개인의 역할과 책임이 명확히 규정되어야 하며, 의사소통 방법 면에서도 문서교환 뿐아니라 홈페이지, 정보망, 전자우편, 원격회의 등 각종 매체를 적극적으로 활용하여야 한다.
A.6.3 문서 및 자료관리
정보화경영의 모든 단계 즉, 계획, 분석, 설계, 구축, 시험, 운영, 점검 등에서 필요한 모든 문서와 지식ㅗ정보 기록은 작성되고 관리되어야 한다.
정보화경영체제에 관한 문서의 예는 다음과 같다.
가. 정보화경영체제 추진계획서
나. 정보시스템 운영에 필요한 각종 절차서 및 지침서
다. 업무분석서 및 정보시스템 설계서
라. 각종 계약서
마. 유지보수 계획서
기록은 수행된 활동 또는 달성된 결과의 객관적 증거를 제공하는 문서이다. 기록의 확인, 유지 및 처리를 위한 절차는 계획된 목표를 만족하는 기록과 정보화경영체제의 실행과 운영을 위해 요구되는 기록에 초점을 맞추어야 한다.
정보화경영체제에 관한 기록의 예는 다음과 같다.
가. 정보시스템 운영 기록
나. 교육훈련 기록
다. 부적합 내역 및 시정조치 기록
라. 시스템 장애 및 유지보수 기록
마. 성과 및 만족도 측정 결과
바. 유지보수 계획서 및 조치 기록
사. 부적합 보고서 및 시정조치 기록
아. 정보화경영체제 내부감사 기록 및 경영검토
자. 기타 중요한 정보화 영향 기록
기밀이 유지되어야 할 문서와 기록에 대해서는 별도의 관리절차가 마련되고 검토가 이루어져야 한다.
A.6.4 유지보수
유지보수의 주요 활동은 유지보수 계획수립, 용역업자 선정 및 계약, 정기 및 수시 점검, 오류 및 변경요청에 대한 조치 등이 있다. 오류 및 변경 요청에 대한 처리절차는 접수, 검토 및 분석, 시험, 기록, 승인, 변경, 병행운영, 백업, 폐기 등이 있다.
유지보수 계약을 체결할 경우는 "5.3 계약 및 구매"의 요건에 따라 계약서의 대상 및 기간 등의 중요 계약정보를 관리하여야 한다.
유지보수의 계획은 목적, 범위, 주관조직 및 책임자, 절차와 방법, 기록 및 보고 방법, 유지보수시스템의 환경 등을 포함한다.
유지보수 대상에 대해 종합적으로 변경을 관리하기 위해서는 형상관리 계획을 수립하여 이행토록 하여야 한다.
A.6.5 보안 및 비상조치
조직은 외부로부터의 정보도용 및 남용, 내부사용자의 정보유출, 해킹, 바이러스, 자연재해 등 각종 위험과 위협으로부터 정보시스템, 관리정보와 지식의 보안 및 보호에 대한 대책을 강구하여야 한다.
조직은 우선 보안대상을 분야별, 계층별 및 공개 또는 비공개 등으로 분류하여 보안의 요구수준에 따라 적합한 대책을 강구하여야 한다.
또한 대상별로 소유와 사용에 대한 권리를 정하고 보안 책임자 및 실무자를 정하여야 함과 아울러, 책임과 권한에 따른 인사규정이나 보안사고시의 비상복구 조치절차도 마련하여야 한다.
보안의 방법에는 정보시스템 및 정보자원에 대한 접근통제와 권한통제, 그리고 컴퓨터를 이용하는 각종 활동에 대한 추적 및 탐지 등이 있다.
A.7 점검 및 시정 조치
A.7.1 감시와 성과 측정
조직은 정보화경영체제를 통한 실질적인 경영효율과 정보화 수준향상을 주기적으로 비교 검토하기 위한 단위업무별이나 활동 또는 경영 전반에 걸쳐 감시 및 성과를 측정하기 위한 절차를 마련하고 수행하여야 한다. 감시 및 성과 측정 활동은 정보화경영의 효율성과 효과를 나타낼 수 있는 중요한 판별 수단으로 인식되어야 한다.
정보화경영체제를 통한 성과는 경제성, 효과성, 효율성, 만족성 등으로 측정할 수 있다.
경제성은 적정자원을 최소한의 비용으로 결과를 도출하는 정도이며, 효과성은 조직이 달성하고자 하는 목표에 대한 충족 정도를 말한다. 효율성은 투입한 정도에 따른 출력의 비율이며, 만족성은 고객이 제공받은 가치로 만족하는 정도를 표현한 것이다.
조직은 다양한 방법으로 정보화경영체제 성과를 측정하도록 고려되는 것이 좋다.
A.7.2 부적합 조치 및 개선
조직은 부적합 조치 및 개선을 위해 정보시스템의 운영비, 부적합 조치를 위한 소요비용, 부적합 개선을 통한 성과, 정보시스템의 안정성과 신뢰도, 고객 만족도 등을 점검하고 개선하여야 한다.
조직은 부적합사항을 조사하고 시정 또는 시정조치하기 위한 절차를 수립할 때 다음과 같은 요소들을 포함시켜야 한다.
가. 부적합 원인을 규명
나. 필요한 시정조치의 규명 및 실행
다. 부적합 사항의 반복을 피하기 위하여 필요한 관리절차들의 실행 및 수정
라. 조치 후 결과에 대한 만족도 확인
마. 시정조치로 인해 발생한 모든 변경사항을 문서절차에 기록
시정조치는 경영검토 단계에서 조직의 이익에 영향을 주는 고객만족의 중요한 잠재적인 부적합의 예방조치가 포함되도록 고려하여야 한다.
A.7.3 정보화경영체제 감사
감사 절차 및 계획에는 다음사항이 포함될 수 있다.
가. 감사 시 검토되어야 할 활동 및 분야
나. 감사 주기
다. 감사 관리 및 실행과 관련된 책임
라. 감사 결과의 전달 방안
마. 감사를 담당하는 심사원의 자격
바. 감사수행 방법
조직은 과거 감사동안 수집된 정보를 기반으로, 중요한 변화를 추구하고 자원의 효과적인 사용을 추구하기 위한 내부감사 계획을 적절하게 수립하여 수행하여야 한다.
감사는 조직이 선정한 조직 내부인 및/또는 외부인에 의해 실시될 수 있다. 어느 경우든 감사를 수행하는 자는 공정하고 객관적으로 감사를 실시할 수 있는 위치에 있어야 한다.
A.7.4 정보화경영체제 경영검토
정보화경영체제의 지속적인 개선, 적합성 및 효과성을 향상하기 위해, 그리고 그 결과 정보화 성과를 달성하기 위하여 조직의 최고경영자는 정보화경영체제에 대한 정기적인 검토와 평가를 하여야 한다. 경영 검토는 모든 요소를 한번에 검토할 필요는 없으나 검토범위는 포괄적이어야 하고 검토과정은 일정주기에 걸쳐 발생될 수 있다.
검토주기는 반드시 최고경영자가 참석한 가운데 1년에 최소 1회 이상 이루어져야 한다.
관련된 경영관리자는 이러한 검토에 참여하여야 하며, 필요시 다른 부문 및 기능의 검증된 인원을 포함하는 것도 좋다.
경영검토에 포함될 사항은 다음과 같다.
가. 목표 및 추진계획의 달성정도
나. 감사결과
다. 변화하는 상황 및 정보와 관련된 정보화경영체제의 지속적 적합성
라. 관련된 이해관계자의 관심사
마. 연구 및 개발결과와 새로운 지식. 정보기술로부터 제기되는 사항
경영검토에서 논의된 관찰, 결론 및 권고는 필요한 조치를 위해 기록되어야 하며 필요시 개선을 실시하고 그 효과성을 점검하여야 한다. |
|
