오늘 바로 정보자산 목록에 담당자 이름을 붙여라. ISMS 인증 준비 방법을 찾는 중소기업이라면 규정집 초안보다 이 작업이 먼저다. 서버와 SaaS, 노트북, 소스코드 저장소, 고객정보 파일, 백업본을 한 줄씩 적고 서비스·자산·정보 유형·관리 책임자를 연결한다. 빈칸이 보인다. 그 빈칸이 심사 전 보완할 업무다. ISMS 인증 준비 방법은 인증기관이 요구하는 문서를 모으는 과정이면서 실제 업무 흐름에서 누가 무엇을 승인하고 기록하는지 확인하는 과정이기도 하다.
인증 범위부터 좁혀야 한다
중소기업은 회사 전체를 한 번에 범위로 잡으면 인력과 증적이 부족해지기 쉽다. 인증 대상 서비스, 서비스 운영 조직, 개발·운영 인프라, 고객정보 처리 구간, 외주 운영 범위를 먼저 지도처럼 그린 뒤 범위 문구를 정한다. 예를 들어 특정 B2B SaaS 서비스만 대상이라면 해당 서비스의 개발, 배포, 고객지원, 장애 대응, 개인정보와 로그 보관 흐름까지 이어져야 한다. 회계 시스템이나 별도 사업부를 범위에서 제외하더라도 대상 시스템과 데이터가 섞이는 지점은 통제 대상이 된다. 경계가 핵심이다.
ISMS와 ISMS-P 가운데 무엇을 신청할지는 처리하는 개인정보의 성격과 사업 환경, 적용 대상 기준을 함께 검토해야 한다. 의무 대상 여부나 제도 해석은 조직별 사실관계에 따라 달라진다. KISA와 인증기관의 최신 공지, 심사 기준을 확인하고 필요하면 사내 법무·보안 담당자 또는 전문가 검토를 거치는 편이 안전하다.
ISMS 인증 준비 방법 90일 운영표
짧은 일정에서는 통제항목을 부서별 숙제로 던지지 말고 주간 운영 회의로 묶어야 한다. 대표 또는 임원급 책임자는 우선순위와 예산을 결정하고, 실무 총괄은 증적의 형식과 저장 위치를 통일한다. 외부 컨설팅을 쓰더라도 승인 기록과 운영 로그를 만드는 주체는 내부 직원이어야 심사 이후에도 관리가 이어진다.
| 기간 | 핵심 작업 | 남겨야 할 결과물 |
|---|---|---|
| 1~2주 | 범위 확정, 자산·데이터 흐름 조사 | 범위서, 자산대장, 책임자표 |
| 3~5주 | 현황 점검, 위험 식별과 개선 우선순위 결정 | 갭 목록, 위험평가표, 개선 계획 |
| 6~9주 | 정책·절차 정비, 기술·관리 통제 실행 | 승인 문서, 설정 화면, 교육·점검 기록 |
| 10~12주 | 내부감사, 경영검토, 미흡 항목 조치 | 감사 결과, 회의록, 시정조치 내역 |
표의 주차는 예시다. 이미 보안 운영 기록이 남아 있는 조직은 빨라질 수 있고 시스템 정비나 외주 계약 변경이 필요한 곳은 더 길어진다. 중요한 일은 일정표가 아니라 매주 미완료 항목의 책임자와 마감일을 갱신하는 일이다.
문서와 증적을 따로 만들지 않는다
심사 준비에서 자주 생기는 문제는 문서에는 절차가 있는데 실제 담당자는 다른 방식으로 일하는 경우다. 문서는 현실을 따라가야 한다. 입사자 계정 발급을 예로 들면 인사팀의 입사 통보, 부서장의 권한 승인, IT 담당자의 계정 생성, 퇴사 시 권한 회수, 정기 권한 검토까지 하나의 흐름으로 적는다. 티켓 시스템, 전자결재, 메신저 승인, IAM 로그 중 실제 사용하는 도구에서 증적을 꺼내면 된다.
증적 폴더는 통제항목 번호만 나열하기보다 업무별로 구성하면 찾기 쉽다. 접근통제, 변경관리, 사고대응, 백업·복구, 외주관리, 교육, 취약점 조치처럼 나누고 각 폴더에 최신 정책, 실행 기록, 검토 기록을 함께 둔다. 파일명에는 날짜와 시스템명을 넣는다. 간단하다.
특히 아래 기록은 나중에 몰아서 만들기 어렵다. 운영 중 자연스럽게 남도록 담당 업무에 연결해야 한다.
- 관리자와 퇴사자의 계정 권한 검토 및 회수 기록
- 운영 서버 변경의 요청·검토·승인·배포·롤백 기록
- 백업 성공 여부와 복구 테스트 결과
- 보안사고 또는 이상징후 신고, 대응 훈련, 후속 조치 기록
- 외주사 접근 권한, 보안 요구사항, 계약 종료 시 반납·삭제 확인 기록
기술 조치보다 책임 흐름을 먼저 본다
MFA, EDR, 취약점 스캐너, 로그 분석 도구는 도움이 되지만 도입 사실만으로 운영이 완성되지는 않는다. 누가 경고를 확인하는지, 야간 경보는 어디로 전달되는지, 심각도를 어떤 기준으로 정하는지, 조치 완료를 누가 검토하는지가 빠지면 통제는 멈춘다. 작은 조직은 24시간 전담 관제 대신 비상 연락 체계와 외부 서비스 활용 범위를 명확히 정하고 실제 연락 훈련을 해보는 방식이 현실적이다.
클라우드와 SaaS도 자산대장 밖에 두면 안 된다. AWS나 Azure 같은 인프라 계정뿐 아니라 Google Workspace, 협업도구, CRM, 고객지원 도구, 코드 저장소, 생성형 AI 도구의 관리자 계정과 데이터 보관 위치를 확인한다. 무료 플랜을 포함해 팀원이 업무에 쓰는 서비스가 많으면 정보 유출, 퇴사자 계정, 계약 종료 뒤 데이터 삭제 확인에서 누락이 생긴다. 사용 금지 공지만 내기보다 승인 절차와 대체 도구를 정해야 현장에서 지켜진다.
위험평가는 우선순위를 정하는 회의다
위험평가표를 복잡하게 만들 필요는 없다. 자산별로 위협, 취약한 상태, 발생했을 때의 영향, 현재 통제, 추가 조치, 책임자, 완료일을 적으면 출발할 수 있다. 고객 DB에 과도한 관리자 권한이 있고 퇴사자 계정 회수가 수동이라면 권한 목록 정비와 자동 회수 절차가 개선 과제가 된다. 영향이 큰 항목부터 처리한다.
남은 위험을 경영진이 알고 승인하는 흐름도 필요하다. 예산이나 기술 제약 탓에 즉시 고치지 못하는 문제를 실무자가 혼자 떠안으면 위험평가가 문서 작업으로 끝난다. 경영검토 회의에서는 주요 위험, 사고·장애 현황, 감사 지적, 개선 진행률, 필요한 인력과 비용을 보고하고 결정 내용을 회의록으로 남긴다. 한 장이면 된다.
심사 직전에는 모의 인터뷰를 한다
심사 전 2주에는 정책 문구보다 담당자의 답변과 증적 위치를 확인한다. 개발 담당자에게 최근 배포 승인 기록을, 인사 담당자에게 퇴사자 계정 회수 흐름을, 운영 담당자에게 최근 장애 대응 기록을 요청해 본다. 질문을 받은 사람이 5분 안에 실제 기록을 보여주지 못하면 폴더 구조나 업무 절차를 고쳐야 한다. 없는 기록을 새로 꾸미는 방식은 피해야 한다.
내부감사는 작성자가 아닌 다른 사람이 수행하는 편이 좋다. 규모가 작아 분리가 어렵다면 대표나 다른 부서 책임자가 표본을 점검하고 이해관계 충돌을 기록한다. 발견 사항에는 원인, 조치 담당자, 완료 예정일, 완료 확인자를 붙인다. 심사 일정과 신청 절차, 비용, 요구 자료는 인증기관마다 달라질 수 있으니 계약 전 공식 안내를 비교 확인한다.
FAQ
중소기업도 컨설팅 없이 준비할 수 있나?
내부에 보안·IT 운영을 정리할 담당자와 시간이 있으면 시작은 가능하다. 다만 범위 설정, 기준 해석, 심사 대응 경험이 부족하면 재작업이 커질 수 있다. 컨설팅을 이용하더라도 자산대장, 승인 절차, 로그 검토처럼 일상 운영은 내부 담당자가 직접 맡아야 한다.
준비 기간은 얼마나 잡아야 하나?
현재 운영 기록의 수준, 대상 서비스 수, 외주사 수, 기술 개선 난이도에 따라 크게 달라진다. 최소 몇 달 단위의 계획을 세우고 인증 신청 전 내부감사와 시정조치 기간을 별도로 확보하는 편이 낫다. 일정만 앞세우면 증적의 연속성이 약해진다.
이미 ISO 27001이 있으면 ISMS 준비가 쉬운가?
자산관리, 위험평가, 내부감사 같은 운영 체계는 활용할 여지가 있다. 하지만 인증 기준, 적용 범위, 요구 증적과 국내 운영 환경은 별도로 확인해야 한다. 기존 문서를 그대로 제출하기보다 실제 서비스와 조직 체계에 맞는지 대조한다.
가장 먼저 고칠 보안 항목은 무엇인가?
고객정보와 핵심 서비스에 접근하는 관리자 계정부터 확인한다. MFA 적용, 공유 계정 정리, 퇴사자 권한 회수, 최소 권한 부여, 정기 검토는 작게 시작해도 효과가 큰 운영 항목이다. 백업 복구 테스트와 변경 승인 기록도 같은 우선순위로 관리한다.
이 글은 일반적인 정보 제공과 참고 목적으로 작성되었으며, 법률 자문·보안 컨설팅·컴플라이언스 판단을 대체하지 않습니다. 소개하는 설정과 절차는 소프트웨어 버전이나 조직 환경에 따라 다르게 동작할 수 있으며, 어떤 보안 조치도 완전한 안전을 보장하지는 않습니다. 실제 적용 전에는 반드시 소속 조직의 정책과 담당 부서(보안·IT·법무)의 확인을 거치고, 중요한 시스템에는 백업과 사전 테스트 후 적용하시기 바랍니다. 규제 해석과 합법·불법 여부는 사안과 시점마다 달라질 수 있으므로 공식 규정과 전문가 상담으로 확인이 필요합니다. 본 사이트는 내용의 정확성과 최신성을 보장하지 않으며, 이 글의 내용을 적용하여 발생하는 어떠한 결과에 대해서도 책임을 지지 않습니다.