조직의 운용 및 유지를 위한 정보시스템의 각 구성요소에 대한 현황자료를 수집하는 단계와;

상기 수집된 현황자료에 기초하여 현재 정보시스템의 보안상태를 각 구성요소별로 판단하는 단계와;

상기 정보시스템의 구성요소별 취약점을 분석하는 단계와;

수집된 상기 정보시스템의 현황자료 및 취약성에 기초하여 상기 정보시스템의 위험요소를 분석하는 단계와;

식별된 상기 정보시스템의 각 구성요소에 해당되는 위험요소에 대한 위험수준을 감소시키기 위한 보호대책을 안출하는 단계를 포함하는 것을 특징으로 하는 정보시스템 진단방법

제 1 항에 있어서, 상기 각 구성요소에 대한 현황자료를 수집하는 단계는,

업무현황분석에 필요한 항목들을 도출하여 이에 필요한 자료를 요청하는 단계와;

상기 수집된 자료에 기초하여 조직의 전반적인 업무현항을 파악하는 단계와;

조직의 정보보호현황 수준을 실제로 파악하기 위한 면담 및 설문을 진행하는 단계와;

제 2 항에 있어서, 상기 업무현황분석에 필요한 항목은,

정보시스템의 조직인적구성과, 조직업무구성과, 물리적시스템구성과, 논리적시스템구성과, 조직의 보안정책 중 적어도 어느 하나를 포함하는 것을 특징으로 하는 정보시스템 진단방법

제 1 항에 있어서, 구성요소별 취약점을 분석하는 단계는,

상기 정보시스템의 운용에 관련된 정보데이터를 식별하고 분류하는 자산분류단계와;

상기 각 자산에 대한 중요도를 평가하는 단계와;

상기 각 자산에 피해를 가할 수 있는 잠재적인 위협을 식별하고 상기 위협의 정도를 평가하는 단계와;

상기 각 자산의 속성과 중요도를 바탕으로 상기 자산이 근본적으로 가지고있는 약점인 취약성을 발굴하고 상기 취약성의 정도를 평가하는 단계를 포함하는 것을 특징으로 하는 정보시스템 진단방법

제 4 항에 있어서, 상기 정보시스템의 위험요소를 분석하는 단계는,

상기 자산의 위험도산정기준을 설정하는 단계와;

상기 자산의 중요도, 위협정도, 취약성, 위험도에 따라 소정의 점수를 배정하는 산정매트릭스를 작성하는 단계와;

상기 산정매트릭스에 기초하여 상기 자산의 가치, 위협의 발생 가능성, 취약도를 상호 매핑하여 위험도를 산정하는 단계와;

상기 산정매트릭스를 통해 평가된 위험도와 상기 위험도산정기준이 상호 부합되는지 여부를 판단하는 단계와;

상기 상기 산정매트릭스를 통해 평가된 위험도와 상기 위험도산정기준이 부합되지 아니하는 경우, 상기 산정매트릭스를 보정하여 상기 위험도를 재산정하는 단계를 포함하는 것을 특징으로 하는 정보시스템 진단방법

제 1 항에 있어서, 상기 보호대책을 안출하는 단계는,

조직에 관련된 통제분야에 대한 위험과 취약성을 설명하고 이를 해결하기 위한 관리적부문대책을 안출하는 단계와;