ISO 27001
포스팅 뷰42
ISO 27001이란 무엇일까요?
- 정의 — 정보보호 관리체계(ISMS)에 대한 국제 표준으로, 조직이 정보보안을 체계적으로 운영하는지 인증하는 제도입니다.
- 핵심 — 위험평가 기반으로 통제를 선택·적용하고, 부속서(Annex A) 통제항목으로 보안 수준을 관리합니다.
- 가치 — 전 세계에서 통용되는 인증으로, 글로벌 거래·대외 신뢰 확보의 기준이 됩니다.
ISO 27001이란 정보보호 관리체계(ISMS)의 수립·운영·개선 요구사항을 규정한 국제 표준이자 인증제도를 말합니다.
ISO 27001이란?
ISO/IEC 27001은 정보보호 관리체계(ISMS, Information Security Management System)에 대한 국제 표준입니다. 조직이 정보 자산을 안전하게 지키기 위해 위험을 평가하고, 그 위험에 맞는 보안 통제를 선택·적용·개선하는 전 과정을 체계적으로 갖췄는지 국제 인증기관이 심사해 인증합니다.
핵심은 '위험 기반 접근'과 '지속적 개선(PDCA)'입니다. 조직마다 위험이 다르므로, 부속서 Annex A의 통제항목(접근통제·암호화·물리보안·운영보안 등)에서 필요한 것을 골라 적용하고 그 근거를 문서(SoA)로 남깁니다. 국내 법정 인증인 ISMS-P와 상당 부분 겹치지만, ISO 27001은 전 세계에서 통용되는 국제 표준이라는 점이 다릅니다.
ISO 27001 인증 취득 절차
인증은 대체로 다음 단계를 거쳐 취득·유지됩니다.
- 범위·위험평가 — 인증 범위를 정하고 정보자산의 위험을 평가합니다.
- ISMS 구축·운영 — 위험에 맞는 통제(Annex A)를 적용하고 일정 기간 운영합니다.
- 심사 — 1단계(문서)·2단계(현장) 심사를 받고 부적합 사항을 보완합니다.
- 인증·사후심사 — 인증을 획득하고(3년), 매년 사후심사로 유지·갱신합니다.
ISO 27001 vs ISMS-P
두 인증은 정보보호 관리체계라는 뿌리는 같지만, 국제 표준이냐 국내 법정 인증이냐에서 갈립니다.
| 구분 | ISO 27001 | ISMS-P |
|---|---|---|
| 성격 | 국제 표준 인증(ISO/IEC) | 국내 법정 인증(KISA) |
| 범위 | 정보보호 관리체계(전 산업) | 정보보호 + 개인정보보호 |
| 통제 기준 | Annex A 통제항목 | 국내 인증기준(관리체계+보호대책) |
| 주 활용 | 글로벌 거래·대외 신뢰 | 국내 규제·의무 대응 |
실무 체크 포인트
ISO 27001 준비의 핵심은 '위험평가'와 '통제의 실제 운영·증적'입니다. 실무에서 다음을 점검하세요.
오피스키퍼가 대응하는 ISO 27001 통제 영역
오피스키퍼의 기능은 ISO 27001 부속서(Annex A)의 다음 통제 영역에 대응해, 통제의 실제 운영·증적을 돕습니다.
| 오피스키퍼 기능 | 대응하는 ISO 27001 통제 영역 |
|---|---|
| 정보유출방지 | 접근 통제 · 매체·자산 취급 · 로깅/모니터링 |
| 민감정보관리 | 암호화 사용 · 정보 분류·취급 |
| 웹/소프트웨어 차단 | 악성코드 방지 · 접근 통제 |
| 문서백업 | 백업 · 사고 관리·연속성 |
| PC취약점 점검 | 기술적 취약점 관리 |
| IT자산관리 | 자산 목록·소유 관리 |
※ 대응 영역은 이해를 돕기 위한 예시이며, 실제 통제항목(Annex A)은 최신 ISO/IEC 27001 표준을 기준으로 확인하시기 바랍니다.
자주 묻는 질문
Q. ISO 27001과 ISMS-P 중 무엇을 받아야 하나요?
A. 국내 규제·의무 대응이 목적이면 ISMS-P, 글로벌 거래·해외 고객 신뢰가 목적이면 ISO 27001이 적합합니다. 두 인증은 요구사항이 많이 겹쳐 함께 준비하는 기업도 많습니다.
Q. Annex A가 무엇인가요?
A. ISO 27001의 부속서로, 조직이 참고해 선택·적용하는 정보보호 통제항목 모음입니다. 접근통제·암호화·물리보안·운영보안 등으로 구성되며, 위험평가 결과에 따라 필요한 통제를 골라 적용합니다.
Q. SoA(적용성 명세서)는 왜 중요한가요?
A. 어떤 통제를 적용했고, 적용하지 않았다면 그 이유가 무엇인지 밝히는 문서입니다. 위험평가와 통제 선택의 근거를 보여 주는 핵심 산출물이라 심사에서 중요하게 봅니다.
Q. 인증은 얼마나 유지되나요?
A. 인증 유효기간은 3년이며, 매년 사후심사(surveillance)를 받아 유지합니다. 3년이 지나면 갱신심사를 통해 재인증을 받습니다.
Q. 준비에서 가장 부담되는 부분은?
A. 문서화만큼이나 '통제가 실제로 운영되는 증적'이 중요합니다. 접근통제·암호화·로그·유출 방지가 평소 작동하고 기록으로 남아 있어야 심사에서 증빙할 수 있습니다.
ISO 27001·ISMS-P 인증 준비, 오피스키퍼로 정보 유출 통제·기록 관리부터 시작하세요.
제품소개서 신청하기