앞선 글에서 ISO/IEC 27001:2022의 개요와 인증 절차, 준비 로드맵, 본문 조항과 부속서 A 통제, 필수 산출물까지 살펴봤습니다. 이번 글은 그 다음 단계, 즉 인증 심사를 앞두고 실제로 점검해야 할 것들을 정리합니다. 막바지 점검 체크리스트와 자주 지적되는 부적합 사례, 통제별 증거 예시, 인증기관 견적을 비교하는 기준, 그리고 준비 과정에서 자주 나오는 질문과 용어를 한 번에 볼 수 있도록 묶었습니다.
심사 준비 체크리스트
ISO 27001 심사는 문서가 있는지보다 문서대로 실제로 운영되고 있는지를 봅니다. 아래 항목은 자체 준비 과정에서 특히 자주 걸리는 지점들입니다.
01인증심사 D-30, 막바지 점검
02흔한 부적합(Nonconformity) Top 8
03통제별 증거(Evidence) 예시
심사원은 “문서대로 운영되고 있다”는 증거를 확인합니다. 통제 영역별로 어떤 기록을 남겨야 하는지 정리하면 다음과 같습니다.
| 통제 영역 | 증거 예시 |
|---|---|
| 접근통제 | 권한 신청·승인 기록, 분기 권한 검토 |
| 로깅·모니터링 | 로그 보존, 이상징후 점검 기록 |
| 백업 | 복구 테스트 결과 |
| 변경관리 | 변경요청·승인·검증 기록 |
| 교육·인식 | 이수자 명단·평가 |
| 사고대응 | 사고 대장, 사후검토(PIR) |
| 취약점관리 | 점검 보고서, 패치 대장 |
04인증기관 견적 비교 체크포인트
인증 비용은 조직 규모·적용 범위·심사 일수에 따라 크게 달라지므로, 2~3곳의 견적을 받아 아래 기준으로 비교해 보는 것을 권장합니다.
| 비교 항목 | 확인할 내용 |
|---|---|
| 심사 일수(MD) | 산정 근거가 무엇인지, 조직 규모·인원·사업장 수가 반영되었는지 |
| 심사 범위(Scope) | 정의한 범위가 견적과 일치하는지 |
| 인정마크 | KAB 등 인정마크 요구 여부 — 발주처·고객이 요구하는 인정체계를 확인 |
| 비용 구조 | 1·2단계 심사 + 사후심사(연 1회) + 갱신심사(3년)의 비용 구조 |
| 별도 청구 항목 | 여비·교통비 등 별도 청구 항목, 부적합 시 재심사 비용 |
| 심사원 | 심사원 자격·동종 업종 경험, 일정 가용성 |
05함정 회피 체크리스트
- 부속서 A 기술 통제에만 몰입하지 않기 — 본문(위험평가·내부심사·경영검토)이 핵심입니다.
- 문서를 위한 문서 만들지 않기 — 실제 운영 증거를 확보해야 합니다.
- SoA와 위험처리 결과의 일치 유지 — 적용/제외 사유의 추적성을 확보하세요.
- 내부심사·경영검토는 심사 전 1회 이상 실제 수행하고 회의록을 남기세요.
- 통제 운영 증거를 최소 2~3개월 축적한 뒤 심사를 신청하세요.
- 범위(Scope)는 명확하고 현실적으로 — 과대하거나 모호한 범위는 부적합 위험이 됩니다.
자주 묻는 질문 (FAQ)
자체 준비 기간은 얼마나 걸리나요?
1편의 5단계 로드맵 기준으로 통상 4~6개월이 걸리고, 조직 성숙도에 따라 1년 가까이 걸리기도 합니다. 위험평가·SoA·핵심 문서 작성과 운영 증거 축적에 가장 많은 시간이 듭니다. 통제는 심사 시점에 일정 기간(권장 2~3개월 이상) 운영된 증거가 있어야 합니다.
인증 비용은 어느 정도인가요?
인증기관 심사비(조직 규모·적용 범위·심사 일수에 따라 상이)와 내부 인력 공수가 듭니다. 기관별 차이가 크므로 2~3곳 견적 비교를 권장하며, 구체 금액은 인증기관에 직접 확인하세요.
인증심사 전에 반드시 해야 하는 것은 무엇인가요?
내부심사 1회 + 경영검토 1회 이상이 인증심사 이전에 완료되어 있어야 합니다(필수). 위험평가·SoA·운영 증거도 준비되어야 하며, 이 일정을 과소평가하는 것이 대표적인 지연 원인입니다.
통제를 심사 직전에 구현하면 되나요?
권장하지 않습니다. 통제는 일정 기간 운영된 증거가 있어야 효과성을 인정받습니다(권장 2~3개월 이상).
인증서 유효기간과 사후관리는 어떻게 되나요?
유효기간은 3년입니다. 1·2년차에 사후심사(Surveillance), 3년차에 갱신심사(Recertification)를 받으며, PDCA를 지속 운영해야 인증이 유지됩니다.
통제 93개를 모두 적용해야 하나요?
아니요. 부속서 A는 위험평가 결과에 따라 적용/제외를 선택하는 카탈로그입니다. 제외하는 통제는 SoA에 정당한 사유를 기록하면 됩니다. 다만 본문 조항(4~10)은 제외할 수 없는 필수 요구사항입니다.
SoA(적용성명세서)란 무엇이고 왜 중요한가요?
93개 통제 각각의 적용/제외 여부·사유·이행 상태를 기록하는 인증의 핵심 산출물입니다. 위험처리 결정과 일치해야 하며, 심사에서 가장 먼저 확인됩니다.
적용 범위는 좁게 잡아야 하나요, 넓게 잡아야 하나요?
좁히면 준비 부담이 줄지만 인증의 가치도 줄고, 넓히면 그 반대입니다. 고객·영업 요구를 고려해 결정하고, 인터페이스와 의존성을 명확히 기술하세요.
부속서 A(기술 통제)만 잘하면 되나요?
가장 흔한 실패 원인입니다. 심사원은 오히려 본문(위험평가·내부심사·경영검토·시정조치)을 더 집중적으로 확인합니다.
문서만 잘 만들면 통과하나요?
아니요. 2단계 심사는 “문서대로 실제 운영되는지에 대한 증거”를 봅니다. 로그·결재 이력·점검 기록 같은 운영 증거가 필요합니다.
기존 2013 버전 문서를 재활용해도 되나요?
가능하지만 2022 구조(93개 통제·4개 테마)에 맞게 SoA와 문서를 갱신해야 합니다. 2013→2022 전환 마감(2025-10-31)은 종료되어, 신규 취득은 처음부터 2022 버전으로 진행합니다.
내부심사를 우리가 직접 해도 되나요?
가능합니다. 단, 독립성이 필요해 자기 업무를 자기가 심사할 수는 없습니다. 부서 간 교차 심사 또는 외부 위탁으로 객관성을 확보하세요.
ISMS-P가 있으면 ISO 27001이 쉬운가요?
통제·문서·증거를 상당 부분 재활용할 수 있습니다. 다만 둘은 별개 제도라 ISO 27001의 SoA와 본문 요구사항은 별도로 충족해야 합니다.
클라우드를 사용하면 보안 책임은 누구에게 있나요?
책임 공유 모델이 적용됩니다. 제공자와 이용자의 책임 경계를 범위·SoA에 명확히 하고, A.5.23(클라우드 서비스 이용 보안)을 적용하세요.
용어집
| 용어 | 설명 |
|---|---|
| ISMSInformation Security Management System | 정보보안경영시스템 — 정보보안을 체계적으로 관리하는 경영 체계 |
| ISMS-PPersonal Information & Information Security Management System | 국내 정보보호 및 개인정보보호 관리체계 인증 |
| SoAStatement of Applicability | 적용성명세서 — 부속서 A 통제의 적용/제외와 사유를 기록한 문서 |
| PDCAPlan–Do–Check–Act | 계획-실행-점검-개선 지속 개선 순환 |
| CIAConfidentiality · Integrity · Availability | 기밀성·무결성·가용성 (정보의 3대 보호 속성) |
| RTORecovery Time Objective | 목표 복구 시간 — 장애 후 서비스 복구까지 허용 시간 |
| RPORecovery Point Objective | 목표 복구 시점 — 허용 가능한 데이터 손실 시간 범위 |
| CISOChief Information Security Officer | 최고정보보호책임자 |
| ISMInformation Security Manager | 정보보안 담당(관리자) |
| CSIRTComputer Security Incident Response Team | 침해사고 대응 팀 |
| IRPIncident Response Plan | 사고대응 계획서 |
| CAPACorrective And Preventive Action | 시정 및 예방 조치 (부적합 관리) |
| SBOMSoftware Bill of Materials | 소프트웨어 구성요소 목록 — 공급망 보안에 사용 |
| DLPData Loss Prevention | 데이터 유출 방지 |
| MFAMulti-Factor Authentication | 다중 인증 (예: TOTP) |
| PAMPrivileged Access Management | 특권 접근 관리 |
| RBACRole-Based Access Control | 역할 기반 접근통제 |
| NDANon-Disclosure Agreement | 비밀유지 서약 |
| SLAService Level Agreement | 서비스 수준 협약 |
| PIIPersonally Identifiable Information | 개인식별정보 (개인정보) |
| WORMWrite Once Read Many | 기록 후 변경 불가 저장 — 로그 무결성 보존 |
| KABKorea Accreditation Board | 한국인정지원센터 — 인증기관을 인정하는 국내 인정기구 |
심사에서 로그가 중요한 이유
위 체크리스트를 다시 보면 로그와 맞닿은 항목이 여러 번 등장합니다. 흔한 부적합 사례에는 ‘로그 보존·점검 미흡’이 올라 있고, 로깅·모니터링 통제의 증거로는 ‘로그 보존, 이상징후 점검 기록’이 요구됩니다. 정책과 절차가 실제로 운영되고 있다는 증거를 2~3개월 이상 쌓아야 한다는 원칙을 떠올리면, 로그는 심사에서 가장 먼저 꺼내 보이게 되는 운영 증거에 가깝습니다. 용어집에 WORM(기록 후 변경 불가 저장)이 로그 무결성 보존과 함께 소개된 것도 같은 맥락입니다. 쌓아둔 기록이 위·변조되지 않았음을 보여줄 수 있어야 증거로서 힘을 갖기 때문입니다.
이너버스의 LogCenter는 여러 시스템의 로그를 한곳에 수집해 저장하고, 저장된 로그의 무결성을 확인할 수 있도록 지원합니다. 그 위에서 SecuForge SIEM은 흩어진 보안 이벤트를 상관분석해 이상 징후를 확인하는 데 쓰입니다. 로그 보존과 이상징후 점검 기록을 체계적으로 남기는 일은 인증 준비를 하는 조직이 가장 먼저 손대야 할 기본기 중 하나입니다.
※ 본 글은 ISO/IEC 27001:2022 표준 구조와 일반적인 인증 절차에 기반한 범용 참고 자료입니다. 통제별 구현 요구는 ISO/IEC 27002:2022를, 인증기관별 세부 절차·비용은 선정한 기관에 직접 확인하시기 바랍니다.