정보보안 관련 규격과 법규
ISO 27001은 정보 자산의 기밀성, 무결성, 가용성을 관리하는 정보보안경영시스템 요구사항 규격입니다. 법적 의무 대상 여부는 법령과 관계 기관의 안내로 확인해야 합니다.
ISO/IEC 27001:2022 발행
Annex A 통제 항목이 114개에서 93개로 재구성되었고, 위협 인텔리전스, 클라우드 서비스 보안, 데이터 마스킹 등 11개 통제가 새로 추가되었습니다. 기존 인증의 전환 기한은 2025년 10월 31일이었으며, 현재 유효한 인증은 2022년판 기준입니다.
KISA ISMS 인증
법령에 따른 의무 대상은 한국인터넷진흥원(KISA)의 ISMS 인증을 받아야 합니다. 의무 대상 여부와 인증 기준은 KISA 안내로 확인해야 합니다. ISO 27001과 요구사항이 서로 다르며 한쪽이 다른 쪽을 대신하지 않습니다.
* 출처: ISO/IEC 27001:2022, 한국인터넷진흥원(KISA) ISMS 인증 안내
ISO 27001을 검토하는 조직
고객 데이터를 대량 보유한 조직
고객 개인정보, 결제 정보, 의료 정보 등을 다루는 조직입니다. 정보 자산을 식별하고 위험을 평가해 통제를 정하는 체계가 심사 대상입니다.
거래처가 정보보안 관리 체계를 요구하는 조직
SaaS, 클라우드, IT 서비스 조직처럼 거래처가 정보보안 관리 체계에 대한 증빙을 요구하는 조직입니다. 요구 여부와 인정 범위는 거래처가 정합니다.
ISMS 의무 대상은 아니지만 보안 체계를 갖추려는 조직
KISA ISMS 인증은 법령에 따른 의무 대상에게 요구됩니다. 의무 대상이 아닌 조직도 정보보안경영시스템 국제 표준을 적용할 수 있습니다.
개인정보보호법 대응이 필요한 조직
개인정보보호법은 개인정보처리자에게 안전성 확보 조치를 요구합니다. ISO 27001 인증은 법규 준수를 보증하지 않으며, 법적 요구사항은 법령 원문으로 확인해야 합니다.
인증심사에서 확인하는 사항
위험 평가와 처리
정보 자산별 위협, 취약점, 영향도를 평가하고 수용할 위험과 처리할 위험을 구분했는지 확인합니다.
통제 항목과 적용성 보고서
Annex A 통제 항목의 선택과 제외 사유가 적용성 보고서(SoA)에 기록되어 있고, 선택한 통제가 구현되어 있는지 확인합니다.
기술적 통제
접근 권한, 암호화, 로그 관리, 백업 같은 기술적 통제가 정책대로 설정되어 있는지 설정 화면과 기록으로 확인합니다.
보안 교육과 인식
임직원 보안 교육이 실시되었는지, 정책과 절차를 임직원이 알고 따르는지 확인합니다.
인증 절차
신청부터 인증 결정까지의 절차입니다. 일정은 견적 문의 때 안내드립니다.
적용 범위(Scope) 정의
어떤 조직, 시스템, 데이터를 인증 범위에 포함할지 결정합니다. 전사가 아니라 특정 부서·서비스 단위로도 가능합니다.
위험 평가 및 처리
정보 자산을 식별하고, 각 자산에 대한 위협·취약점·영향도를 평가합니다. 수용할 위험과 처리할 위험을 구분합니다.
통제 항목 적용 (Annex A)
2022년 개정된 93개 통제 항목 중 해당 항목을 선택·적용합니다. 적용성 보고서(SoA)로 선택/제외 사유를 문서화합니다.
정책·절차 수립 및 교육
보안 정책, 접근 통제 절차, 사고 대응 계획 등을 수립합니다. 임직원 보안 인식 교육도 이 단계에 포함됩니다.
인증 심사 (1단계 + 2단계)
1단계에서 문서와 시스템 설계를 검토하고, 2단계에서 실제 운영 상태를 현장 심사합니다. 기술적 통제(접근 권한, 로그 관리 등)도 확인합니다.
인증서 발급
심사 통과 후 인증서를 발급받습니다. 인증은 3년 유효이며, 매년 사후심사를 받게 됩니다.
심사원이 확인하는 것
적용 범위(Scope)의 경계를 확인합니다
인증 범위가 전사인지 특정 서비스·시스템인지, 범위의 경계(조직, 장소, 시스템)와 제외 항목이 명확한지 확인합니다. 전사가 아니라 특정 부서·서비스 단위도 범위로 정할 수 있습니다.
기술적 통제의 구현 증거를 확인합니다
접근 제어, 암호화, 로그 관리 같은 기술적 통제는 정책 문서가 아니라 실제 설정과 로그 기록으로 확인합니다.
ISMS를 함께 운영하는 조직은 요구사항별 기록을 확인합니다
ISO 27001과 ISMS는 요구사항이 서로 다르며 한쪽이 다른 쪽을 대신하지 않습니다. 두 인증을 함께 운영하는 조직은 각 인증의 요구사항별 운영 기록을 확인합니다.
인증 비용
심사 비용은 사업장 수·인원·표준에 따라 정해지는 심사일수로 산정하며, 문의하시면 견적을 드립니다.
우리 회사의 정확한 인증 비용이 궁금하신가요?
견적 산정 안내 보기자주 묻는 질문
ISO 27001 인증 비용은 얼마인가요?
심사 비용은 사업장 수·인원·표준에 따라 정해지는 심사일수로 산정하며, 문의하시면 견적을 드립니다.
인증 기간은 얼마나 걸리나요?
심사 일정은 심사일수와 신청 조직의 사정을 확인한 뒤 정합니다. 견적을 문의하실 때 함께 안내드립니다.
ISO 27001과 KISA ISMS의 차이는?
ISO 27001은 국제 표준이고, ISMS는 한국인터넷진흥원(KISA)의 국내 인증입니다. 법령에 따른 의무 대상은 ISMS 인증을 받아야 하며, 의무 대상 여부는 KISA 안내로 확인해야 합니다. 두 인증은 요구사항이 서로 다르며 한쪽이 다른 쪽을 대신하지 않습니다.
IT 기업이 아닌데 ISO 27001 대상인가요?
ISO 27001은 업종과 관계없이 정보 자산을 보유한 조직에 적용할 수 있습니다. 인증 범위는 조직이 정하며, 고객 정보를 보유하고 있다면 그 정보를 다루는 부서와 시스템을 범위에 포함할 수 있습니다.
2022년 개정으로 뭐가 바뀌었나요?
ISO 27001:2022에서 Annex A 통제 항목이 114개에서 93개로 재구성되었고, 위협 인텔리전스, 클라우드 보안, 데이터 마스킹 등 11개 신규 항목이 추가되었습니다. 기존 인증의 전환 기한은 2025년 10월 31일이었으며, 현재 유효한 인증은 2022년판 기준입니다.
보안 사고가 나면 인증이 취소되나요?
사고 자체로 인증이 자동 취소되지는 않습니다. 다만 사후심사에서 시스템이 제대로 운영되지 않았다고 판단되면 인증 정지·취소될 수 있습니다. 중요한 것은 사고 예방 체계와 사고 발생 시 대응 체계 모두를 갖추는 것입니다.