ISO 27001 인증심사원 과정, 이제 온라인으로 — 정보보안 심사 인력이 필요해지는 이유

2025년 8월 27일 개인정보보호위원회는 SK텔레콤에 과징금 1,347억 9,100만 원을 부과하기로 의결했습니다. 유출된 정보는 LTE·5G 이용자 2,324만 4,649명(알뜰폰 포함)의 전화번호, 가입자식별번호, 유심 인증키 등 25종이었습니다. 이 처분에 대해서는 SK텔레콤이 행정소송을 제기한 것으로 보도되어 최종 판단이 남아 있습니다.

이 사건에서 눈여겨볼 대목은 침입 기법이 아니라 위원회가 지적한 관리 상태입니다. 보도된 의결 내용에는 내부 관리망과 핵심망이 인터넷으로 접속 가능한 상태였던 점, 유심 인증키 2,614만 4,363건이 암호화되어 있지 않았던 점, 운영체제 보안 업데이트와 백신이 적용되지 않았던 점, 개인정보 보호책임자의 역할이 IT 영역에 한정되어 있던 점이 포함되어 있습니다.

아래는 확인된 사실이 아니라 해석입니다. 위 항목은 정보보호 경영시스템 심사에서 심사원이 증거로 확인하는 사항과 겹칩니다. 망 분리와 접근통제가 문서로만 정해져 있는지 실제 설정으로 확인되는지, 암호화 적용 범위가 정책과 일치하는지, 정보보호 책임이 경영진까지 닿는지를 확인하는 일이 심사입니다. 전망을 덧붙이면, 정보보안 사고의 사회적 비용이 드러날수록 조직이 이 확인을 사고 이전에 받으려는 요구가 늘 가능성이 있고, 그만큼 정보보호 심사 역량을 갖춘 인력의 필요도 커질 수 있습니다. 다만 이는 이 글의 판단이며 수요 통계에 근거한 수치는 아닙니다.

왜 ISO 27001 심사 역량이 따로 필요한가요?

ISO/IEC 27001은 조직이 정보보호 경영시스템을 수립하고 운영하고 개선하는 데 필요한 요구사항을 정한 국제표준입니다. 2022년 10월 25일 개정판이 발행되었고, 2013년판 인증서는 3년의 전환 기간이 끝나는 2025년 10월 31일까지 전환하지 않으면 효력을 잃는 것으로 안내되었습니다. 이 일정은 인증기관 다수가 같은 내용으로 공지했습니다(참고자료 참조). 이제 유효한 ISO 27001 인증은 2022년판을 기준으로 하므로, 심사원에게 요구되는 지식도 2022년판 기준입니다.

정보보호 심사는 다른 표준의 심사와 확인 방식이 다릅니다.

구분	품질·환경·안전보건 심사에서 주로 보는 것	정보보호 심사에서 추가로 보는 것
핵심 대상	제품·공정·현장 활동과 기록	정보자산, 그 자산에 접근하는 사람과 시스템
리스크 평가	프로세스나 위험요인 중심	자산별 기밀성·무결성·가용성 영향 평가
통제 선택	요구사항에 직접 대응	리스크 평가 결과에 따라 부속서 A 통제를 선택하고 적용성명세서에 근거를 기록
증거	문서, 현장, 인터뷰	문서, 인터뷰에 더해 시스템 설정, 접근 권한 목록, 로그

표의 마지막 두 줄이 정보보호 심사에서 자주 어려움이 되는 부분입니다. 통제를 조직이 스스로 고르기 때문에, 심사원은 고른 통제가 리스크 평가 결과와 연결되는지, 고르지 않은 통제의 제외 사유가 타당한지를 판단해야 합니다. 요구사항 문장을 암기하는 것만으로는 이 판단에 필요한 근거를 갖추기 어렵습니다.

KAI인증원의 ISO 27001 온라인 과정은 무엇으로 구성되나요?

과정 이름은 「ISO 27001 정보보호 경영시스템 인증심사원 과정」입니다. 구성은 2026년 9월 30일 기준 KAI인증원 교육 페이지의 안내를 따릅니다.

항목	내용
강의 수	본과정 50강 + 공통 선수 심사기본 28강 (전체 78강)
영상 시간	본과정 약 10.3시간 + 심사기본 약 5.6시간 (합계 약 16시간)
총 학습시간	35시간 (심사기본 16시간 + ISO 27001 19시간)
학습 시간의 구성	영상 강의, 생각해볼 점, 워크샵, 사례연구
다루는 판	ISO/IEC 27001:2022
교재	300쪽 이상의 자체 제작 교재 PDF (수강 시작 후 온라인 교육센터에서 내려받기)
수강 기간	제한 없음

총 학습시간에는 영상 시간뿐 아니라 워크샵, 사례연구, 자격시험 학습이 포함됩니다. 그래서 영상 약 16시간과 총 35시간이 다릅니다. ISO 19011 심사 가이드라인은 다른 표준 과정에서 다시 듣지 않도록 모든 과정에 공통으로 들어 있습니다.

교육 내용은 정보자산 식별, 정보보호 리스크 평가와 조치, 적용성명세서(SoA) 검토, 부속서 A 통제의 구현 증거를 확인하는 방법에 맞춰져 있습니다. 조항을 설명하는 데서 그치지 않고, 심사원이 각 조항에서 무엇을 묻고 어떤 증거를 보는지를 다룹니다.

온라인으로 수강하면 무엇이 달라지나요?

이 과정은 정해진 교육 일정에 맞춰 며칠을 비울 필요가 없습니다. 업무를 유지하면서 나누어 학습할 수 있다는 점이 온라인 과정의 가장 큰 차이입니다.

• 수강 시간과 장소. 강의는 PC와 모바일에서 이어서 볼 수 있습니다. 출퇴근 시간이나 업무가 없는 저녁에 나누어 들을 수 있습니다.
• 반복 학습. 수강 기간에 제한이 없으므로 이해가 덜 된 강의를 다시 볼 수 있습니다. 적용성명세서나 통제 증거처럼 한 번에 파악하기 어려운 강의를 시험 전에 다시 확인하는 데 쓰기 좋습니다.
• 교재. 강의 화면에서 교재 PDF를 내려받아 몇 번이든 다시 받을 수 있습니다.
• 과제. 워크샵과 사례연구 과제를 제출하면 피드백을 받아 고쳐서 다시 낼 수 있습니다.

자격시험은 어떻게 진행되나요?

영상과 과제를 마치면 온라인 교육센터에서 수료증이 발급됩니다. 수료증을 따로 제출할 필요는 없고, KAI인증원이 수료를 확인한 뒤 자격시험 일정과 방법을 안내합니다. 시험은 시험장을 찾아가는 방식이 아니라 온라인 시험 시스템에 로그인해서 응시합니다. 합격하면 심사원(보) 자격이 부여됩니다.

ISO 27001 시험에는 응시 시작일과 종료일이 정해져 있지 않아, 등록이 끝나면 준비가 되었을 때 원하는 날에 볼 수 있습니다. 문항은 50문항이고 제한 시간은 110분이며, 100점 만점에 70점 이상이 합격선입니다. 응시 기회는 수강료에 2회까지 포함되고, 3회째부터의 응시료는 교육 페이지의 안내를 따릅니다.

수료하면 어떤 일까지 할 수 있나요?

과정을 수료하고 시험에 합격하는 것은 심사원 자격을 갖추는 첫 단계입니다. 인증심사에 실제로 참여하는 일은 이와 다른 조건을 따릅니다. 인증기관은 자체 절차로 심사원의 학력, 실무 경력, 심사 경험을 평가해 심사 배정 여부를 정합니다. 자격의 종류와 취득 순서는 ISO 심사원 자격증 취득 로드맵에서 다루었습니다.

두 가지를 구분해서 기억하시면 좋습니다.

1. 자격 취득과 심사 활동은 다른 단계입니다. 정보보호 분야의 실무 경력이 있으면 심사 활동으로 이어질 여지가 넓어지지만, 이는 배정 기준에 따라 달라지며 이 과정이 보장하는 것이 아닙니다.
2. 회사 내부의 정보보호 관리가 목적이라면 다른 과정이 맞을 수 있습니다. 조직 내부의 점검이 목적일 때의 선택 기준은 내부심사원 교육과 인증심사원 교육의 비교에서 정리했습니다.

ISO 27001 인증은 KAI인증원이 직접 하나요?

ISO 27001 인증은 KAI인증원이 직접 수행하는 심사가 아니라 제휴 인증으로 안내하는 서비스입니다. 이 페이지가 소개하는 것은 인증이 아니라 심사원 교육 과정입니다. 서비스 구분은 ISO 27001 서비스 안내에서 확인하실 수 있습니다. 인증기관으로서의 인정 범위는 인정 현황 페이지에 따로 공개되어 있습니다.

과정 구성, 수강료, 신청 방법은 ISO 27001 교육 페이지에서 확인하실 수 있습니다.

참고자료

• 개인정보보호위원회 SK텔레콤 처분 의결 내용(2025년 8월 27일 의결): 경향신문 보도, 2026년 9월 30일 확인
• ISO/IEC 27001:2022 전환 기간 종료(2025년 10월 31일): SGS 안내, BSI 안내, 2026년 9월 30일 확인. 표준 원문(ISO)은 열람하지 못했고 인증기관 공지로 확인했습니다.
• KAI인증원 온라인 과정 구성: 교육 페이지(/education/iso-27001/) 안내, 2026년 9월 30일 기준