정보보호 시스템 평가 기준에 대한 설명으로 옳은 것은?