정답: D
= 정보 보안 전략 위원회를 설립하는 것은 새로운 조직 차원의 정보 보안 프로그램에 대한 지지를 확보하는 가장 좋은 방법입니다. 다양한 사업 부서 및 직급의 주요 이해관계자들이 참여하고 협력하여 보안 프로그램에 대한 의견, 지침 및 지지를 제공할 수 있기 때문입니다. 정보 보안 전략 위원회는 보안 프로그램의 개발, 구현 및 유지 관리를 감독하고 조직의 전략적 목표, 위험 감수 성향 및 문화에 맞춰 프로그램을 조정하는 거버넌스 기구입니다. 정보 보안 전략 위원회는 다음과 같은 방법으로 보안 프로그램에 대한 지지를 확보할 수 있습니다.
* 보안 프로그램의 비전, 사명, 목표를 조직에 전달하고 그 가치와 이점을 입증합니다.
* 보안 프로그램에 대한 역할과 책임을 확립하고 책임감과 소유권을 보장합니다.
* 보안 프로그램을 위한 충분한 자원과 예산을 확보하고 이를 적절하게 할당합니다.
* 보안 프로그램 실행 중 발생할 수 있는 갈등과 문제를 해결하고 다른 비즈니스 프로세스 및 이니셔티브와의 일치를 보장합니다.
* 보안 프로그램의 성과와 효과를 모니터링하고 평가하며, 지속적인 개선과 적응을 보장합니다.
유사 업계 조직과의 벤치마킹은 보안 프로그램을 비교하고 개선하는 데 유용한 기법이지만, 새로운 조직 차원의 정보 보안 프로그램에 대한 지원을 확보하는 최선의 방법은 아닙니다. 벤치마킹은 보안 프로그램의 프로세스, 관행 및 결과를 유사한 특성, 목표 또는 과제를 가진 다른 조직의 프로세스, 관행 및 결과와 비교하여 측정하고 분석하는 것을 포함합니다.
벤치마킹은 보안 프로그램의 격차, 강점, 약점, 기회, 위협을 파악하고 보안 프로그램의 성과와 성숙도를 향상시킬 수 있는 모범 사례와 표준을 채택하는 데 도움이 될 수 있습니다. 그러나 벤치마킹만으로는 조직의 특정 요구, 위험 또는 문화를 반영하지 못할 수 있으므로, 보안 프로그램에 대한 조직의 지지나 수용을 보장할 수 없습니다.
정보 보안 인식 캠페인을 실시하는 것은 보안 프로그램의 중요한 구성 요소이지만, 새로운 조직 차원의 정보 보안 프로그램에 대한 지원을 얻는 최선의 방법은 아닙니다. 정보 보안 인식 캠페인은 조직의 직원과 기타 관련 당사자에게 보안 프로그램의 정책, 표준, 절차 및 지침과 조직에 영향을 미칠 수 있는 보안 위험, 위협 및 사고에 대해 교육하고 알리는 것을 목표로 하는 일련의 활동 및 이니셔티브입니다. 정보 보안 인식 캠페인은 조직 구성원의 보안 지식, 기술 및 행동을 향상시키고 보안 위험 인식 문화를 조성하는 데 도움이 될 수 있습니다. 그러나 정보 보안 인식 캠페인만으로는 보안 프로그램에 대한 지원을 얻기에 충분하지 않습니다. 보안 프로그램의 전략적, 운영적 또는 재정적 측면이나 다양한 이해관계자의 기대와 관심사를 다루지 못할 수 있기 때문입니다.
정보 보안 RACI 차트를 게시하는 것은 보안 프로그램의 역할과 책임을 정의하고 전달하는 데 유용한 도구이지만, 새로운 조직 차원의 정보 보안 프로그램에 대한 지원을 얻는 최선의 방법은 아닙니다. RACI 차트는 보안 프로그램의 각 작업 또는 활동에 대한 참여 수준과 책임 소재를 각 역할 또는 이해관계자에게 할당하는 매트릭스입니다. RACI는 Responsible(책임), Accountable(책임 있는), Consulted(협의), Informed(정보 제공)의 약자로, 네 가지 참여 수준을 의미합니다. RACI 차트는 보안 프로그램에서 각 역할 또는 이해관계자의 기대, 의무 및 권한을 명확히 하고 중복, 혼란 또는 갈등을 방지하는 데 도움이 될 수 있습니다. 그러나 RACI 차트는 보안 프로그램의 이점, 과제 또는 리소스, 또는 역할 또는 이해관계자의 피드백과 의견을 다루지 않을 수 있으므로, 보안 프로그램에 대한 역할 또는 이해관계자의 지지나 헌신을 보장하지 않습니다. 참고문헌
* CISM 검토 매뉴얼 15판, 97-98, 103-104, 107-108, 111-112페이지
* 정보 보안 거버넌스: 이사회 및 경영진을 위한 지침, 2판 - ISACA1
* 정보 보안 전략: 성공의 열쇠 - ISACA2
정보 보안 인식 캠페인을 실시하는 것은 새로운 조직 차원의 정보 보안 프로그램에 대한 지원을 확보하는 가장 좋은 방법입니다. 정보 보안 인식 캠페인은 정보 보안의 중요성과 조직에 미치는 영향에 대한 인식을 높이는 훌륭한 방법입니다. 모든 이해관계자가 정보 보안의 중요성을 이해하고 관련 위험을 인지하도록 하는 데 도움이 됩니다. 또한, 효과적인 인식 캠페인은 조직 구성원 모두가 준수해야 할 사이버 보안 정책, 절차 및 모범 사례를 인지하도록 도울 수 있습니다.
