ISO(International Organization for Standardization)는 글로벌 비정부 전문가 단체로, 프로세스 관리 접근 방식에 대해 보편적으로 인정되는 표준을 지속적으로 달성하기 위한 지침을 제공합니다. Esri는 보안 및 개인정보보증을 다루는 두 가지 ISO 인증을 준수하고 있습니다.
- ISO/IEC 27001:2022 — 인력, 정책, 기술 조사와 관련하여 정보 보안에 대한 전체적인 접근 방식을 촉진합니다.
- ISO/IEC 20243:2023 — 악의적으로 손상되거나 위조된 제품 및 서비스와 관련된 위협을 다룹니다.
Esri 범위 내 서비스
- ArcGIS ISO Cloud
- CSP(Cloud Service Providers)
ArcGIS ISO Cloud
Esri의 ISMS(Information Security Management System)는 ISO 27001:2022 보안 제어 사항을 준수하는 것으로 확인되었습니다. 여기에는 유럽 연합(EU) 지역 호스팅 위치의 ArcGIS Online 및 ArcGIS Location Platform이 모두 포함됩니다. ArcGIS ISO Cloud는 Esri 인증 서비스의 일부분으로, Esri 인증 범위 내에 명시적으로 포함됩니다. 향후 ISO 27001 인증 작업을 통해 추가 서비스 및 지역을 포괄할 예정입니다.
Esri는 2023년 4월 ISO/IEC 20243-1:2018(O-TTPS) 준수에 대한 자체 평가를 완료했습니다. 제품 수명 주기 전반에서 하드웨어 및 상용제품(COTS)의 무결성에 대한 특정 위협을 해결하는 일련의 지침과 요구 사항, 권장 사항입니다. 이후 ISO 20243 표준은 2023년에 업데이트되었으며, Esri는 새 버전에 대한 재인증을 받는 대신 2024년에 사이버 공급망 문제를 더욱 포괄적으로 해결하는 새로운 NIST 800-53 Rev 5 공급망 요구사항을 통합했습니다. Esri의 ISO 27001 인증은 Esri가 EU 기반 서비스 제공을 위해 고객 자산 및/또는 PII를 처리, 전송, 저장하는 데 사용되는 범위 내 플랫폼/서비스/앱의 기밀성, 무결성, 가용성을 유지하기 위한 ISO 27001:2022 제어 사항을 준수하는 ISMS(Information Security Management System)를 운영하고 있음을 입증합니다.
- ArcGIS Online ISO 20243:2018(자체 인증)
비고:
지역 호스팅에는 APAC가 포함되지만, ArcGIS ISO Cloud에 대한 Esri의 ISO 27001 인증은 현재 유럽 지역 호스팅 위치의 범위 내 서비스에만 적용되며 APAC까지는 확장되지 않습니다. Esri는 ISO 27001 인증 범위를 APAC까지 확장하기 위해 적극적으로 노력하고 있습니다. AWS 및 Microsoft Azure는 범위 내 클라우드 서비스에 대해 ISO 27001 인증을 유지관리하고 있으며, 이는 기본 인프라의 보증을 지원하지만 Esri의 ISO 범위를 확장하지는 않습니다.
NIS2 Directive 지원
NIS2(Directive (EU) 2022/2555)는 사이버 보안 위험 관리 조치 및 거버넌스를 요구하며, 승인된 표준의 사용을 장려합니다. ArcGIS ISO Cloud에 대한 Esri의 ISO 27001 인증은 인증된 ISMS에 대한 독립적인 증거, 지속적인 감독이 이루어지는 문서화된 제어, 제21조의 여러 조치 영역에 대한 부합성을 제공함으로써 고객의 NIS2 실사 이행을 지원할 수 있습니다.
고객은 여전히 범위 적합성을 확인하고 부문별 및 국가별 요구사항을 충족할 책임을 집니다.
Cloud Service Providers
ArcGIS ISO Cloud는 ISO 인증을 받은 Amazon Web Service 및 Microsoft Azure cloud 서비스 공급자를 활용합니다.