질문
ㅇ정보시스템에 대한 통제활동 중 아래 통제에 대한 내용을 문의 드립니다.
현재 전산장비에 대한 설치 및 관리를 IDC 사업자에게 맡기고 있습니다.
이러한 경우 해당 통제활동 평가가 유효하다는 증빙자료를 IDC사업자가 취득한 ISMS-P와 같은 자료로 대체할 수 있을까요?
-> 사업자의 사정상 내부 점검 결과에 대한 자료를 반출할 수 없다고 합니다.
기계실 환경 통제
- 항온항습기, 소화장치 등 설비에 대한 주기적 점검 결과
답변
언급하신 통제활동의 설계 및 운영의 효과성에 대한 테스트 절차, 샘플 수, 예외사항 존재 여부 등 통제활동 세부 테스트 수행 내역을 확인할 수 있다면 대체 가능하나, 일반적으로 정보보호 및 개인정보보호 관리체계 인증(ISMS-P)으로는 그러한 세부 테스트 수행 내역을 확인할 수 없어 내부회계관리제도 효과성 평가 목적으로 대체하기는 어렵습니다.
출처
https://www.k-icfr.org/sub/menu/qna.asp?rWork=TblRead&rNo=459&rGotoPage=49&rSchText=&rType=1
게시글 번호: 252