A 건설사 (업태 : 건설업, 제조업)

고객사는 국내외 토목, 건축, 플랜트, 주택사업을 주요 사업영역으로 하고 있는 전형적인 Mortar 산업군의 기업이다.
- 최근의 전세계적인 불경기에도 불구하고 해외 플랜트 수출로 불경기를 타개해 가고 있는 건실한 기업으로서
- 국내 경쟁력을 강화하고 증가하는 국외 거래에 신뢰도 증진을 위하여 ISO/IEC 27001 인증을 획득하고자 컨설팅을 의뢰하였다.

2013년 3개월간 수행, ISO/IEC 27001 인증획득

비즈니스 및 IT환경
- 고객사의 주요 사업영역은 토목, 건축, 플랜트, 주택사업이며,
- 해외 약 20여국에 플랜트 수출로 최근의 불경기를 타개하고 있는 건실한 기업으로서 IT의존도는 높지 않은 편이다.
- 국내 사업지원을 위하여 전국망 수준의 네트워크 인프라를 갖추고 있으며, 국외 20여개 나라의 플랜트 수출 현장에 기본적인 네트워크 인프라를 갖추고 있다.
- 다만, 선진 건설기업에 대비하여 정보를 다양한 분야에서 활용할 수 있는 응용프로그램은 미흡하여
- ITSM으로 Global 수준의 통합적인 IT체계를 구축하고, 시스템 개발 및 도입과 인적자원 확충 등을 지속적으로 추진하고 있다.

정보보호 환경
- Mortar 기업의 전형적인 조직 R&R 형태로 총무팀에서는 출입보안과 물리적 보안, 일반생활 보안을 담당하고 있으며,
- 감사팀에서는 전사적 차원의 감사역할을 담당, 인사팀에서는 인적보안을 담당하고,
- IT기획 및 운영팀에서는 IT운영과 개발을 주요업무로 하면서 정보보호에 대한 업무를 겸임하고 있다.
- 대부분의 정보시스템은 정보보호 업무와 함께 IDC에 아웃소싱하고 보안정책 관리 등과 같은 핵심업무만을 담당자가 수행하며,
- 내부 보안은 기본적인 솔루션을 갖추고 운영하고 있었다.
- ISO/IEC 27001:2005 표준규격에 대비하여 부족하지만 인증규격에 부합되는 정보보호 활동들이 생각보다 많이 확인되었는데,
- 내부정보유출 대응을 위한 각종 자구책들이 ISO/IEC 27001:2005 표준규격에서 요구하는 각종 활동과 일치하는 부분이 많았다.

• 내부 연관 업무 등을 고려하여 적정 수준의 인증범위를 선정하는 것
• 전형적인 Mortar기업의 공통적 현상인 이해 관계자들과 ISO27001 인증획득의 필요성에 대한 공감대 형성
• 부분적으로 존재하는 정보보호 지침과 기존 정보보호 관련 활동들을 ISO27001 인증규격에 맞추는 작업
• 획득한 인증에 대한 운영관리와 2013 버전 업그레이드에 대한 방안 제시
• 인증원 선정과 더불어 지속적인 인증심사 동향과 심사원 구성에 대한 협조체계 유지관리

• 산출물 예시 : 위험분석보고서,적용성보고서(SOA)