ISO/IEC 27001
더 많은 작업
- 정보보안경영시스템(ISMS; Information Security Management System)에 대한 국제적인 표준으로써 전세계 선진기업이 합의한 Best Practice를 활용하여 해당 조직이 정보보호경영을 실행하기 위한 Framework을 확인하고 이를 자사에 적용 할 수 있는 지침을 제공
ISO 27001 표준에 따라 정보자산의 기밀성, 무결성, 가용성을 실현하기 위하여 관련 프로세스를 체계적으로 수립, 문서화하고 이를 지속적으로 운영, 관리하여 이의 적합성을 제3자 인증기관에 의해 인증 받음
ISO/IEC 27001은 ISO와 IEC의 공동 기술위원회 소위원회(ISO/IEC JTC 1/SC 27)가 만든 정보보안 관리체계(ISMS) 요구사항 표준이다. 어떤 기술을 쓰라고 정하지 않고, 조직이 위험을 평가해 통제를 정하고 운영하며 계속 개선하는 관리 체계를 갖추었는지를 요구사항으로 규정한다. 그래서 규모와 업종에 관계없이 적용할 수 있고, 인정받은 인증기관의 심사를 거쳐 제3자 인증을 받을 수 있다. ISO는 ISO Survey 2022 기준으로 150개 나라에서 7만 건이 넘는 인증서가 보고되었다고 밝히고 있다.
CISSP 출제 범위 1.3은 ISO를 보안 통제 프레임워크의 예로, 1.9는 위험 관리 프레임워크의 예로 든다. 시험에서는 27001이 인증을 받는 관리체계 요구사항이고 ISO/IEC 27002는 인증 대상이 아닌 통제 지침이라는 구분이 가장 자주 나온다.
| 판 | 발행 | 비고 |
|---|---|---|
| ISO/IEC 27001:2005 | 2005년 | 초판. |
| ISO/IEC 27001:2013 | 2013년 | 2판. 부속서 A 통제는 114개였다. |
| ISO/IEC 27001:2022 | 2022년 10월(3판) | 현행판. 정식 명칭은 "Information security, cybersecurity and privacy protection — Information security management systems — Requirements"이다. 부속서 A 통제가 93개로 바뀌었다. |
| ISO/IEC 27001:2022/Amd 1:2024 | 2024년 2월 | 기후 행동 관련 변경(climate action changes)을 반영한 추록(amendment). |
2013판 인증은 3년의 전환 기간이 끝난 2025년 10월 31일 이후 효력을 잃었다. 지금 유효한 인증은 모두 2022판 기준이다.
본문 0~3절은 소개, 적용 범위, 인용 표준, 용어이고, 실제 요구사항은 4~10절에 있다. 이 구조는 ISO 경영시스템 표준(ISO 9001, ISO 22301 등)이 공통으로 쓰는 틀이라 여러 경영시스템을 통합 운영하기 쉽다. 현행판 본문은 PDCA라는 말을 직접 쓰지 않지만, 절의 흐름은 PDCA 순환에 대응해 이해하면 편하다.
| 절 | 제목 | 주요 요구사항 | PDCA |
|---|---|---|---|
| 4 | 조직 상황(Context of the organization) | 내부·외부 이슈, 이해관계자 요구, ISMS 적용 범위 결정 | Plan |
| 5 | 리더십(Leadership) | 최고경영자의 의지와 책임, 정보보안 정책, 역할·책임·권한 부여 | Plan |
| 6 | 기획(Planning) | 위험 평가와 위험 처리, 적용성 보고서(SoA), 정보보안 목표, 변경 계획 | Plan |
| 7 | 지원(Support) | 자원, 역량, 인식, 의사소통, 문서화된 정보 | Plan·Do |
| 8 | 운영(Operation) | 운영 계획과 통제, 위험 평가·처리의 실행 | Do |
| 9 | 성과 평가(Performance evaluation) | 모니터링·측정, 내부 감사, 경영 검토 | Check |
| 10 | 개선(Improvement) | 지속적 개선, 부적합과 시정 조치 | Act |
적용성 보고서(SoA, Statement of Applicability)는 위험 처리에 필요한 통제를 정하고, 그 결과를 부속서 A와 비교해 빠진 통제가 없는지 확인한 뒤, 각 통제의 적용 여부와 이유를 적은 문서이다. 심사에서 반드시 확인하는 핵심 산출물이다. 필요한 통제는 부속서 A에 없는 것이어도 되고, 부속서 A 통제라도 위험 처리상 필요 없으면 근거를 들어 제외할 수 있다.
2022판 부속서 A는 93개 통제를 네 가지 주제(theme)로 묶는다. 통제의 이름과 번호는 ISO/IEC 27002:2022와 같고, 27002가 "~해야 한다(should)"는 권고 형태로 구현 지침을 주는 반면 27001 부속서 A는 "~한다(shall)"는 요구 형태로 짧게 적는다.
| 주제 | 번호 | 통제 수 | 예 |
|---|---|---|---|
| 조직적 통제(organizational) | 5.x | 37 | 정보보안 정책, 역할과 책임, 직무 분리, 위협 인텔리전스, 자산 목록, 접근통제, 공급자 관계, 클라우드 서비스 이용 보안, 사고 관리, 업무 연속성을 위한 ICT 준비 |
| 인적 통제(people) | 6.x | 8 | 채용 전 신원 검증, 고용 조건, 보안 인식·교육·훈련, 징계 절차, 비밀유지 계약, 원격 근무 |
| 물리적 통제(physical) | 7.x | 14 | 물리적 보안 경계, 출입 통제, 물리적 보안 모니터링, 장비 보호, 저장 매체, 장비의 안전한 폐기·재사용 |
| 기술적 통제(technological) | 8.x | 34 | 단말 보호, 특권 접근 권한, 보안 인증, 악성코드 보호, 기술적 취약점 관리, 형상 관리, 정보 삭제, 데이터 마스킹, 데이터 유출 방지, 로깅, 모니터링, 웹 필터링, 암호 사용, 시큐어 코딩 |
27002:2022는 통제마다 속성(attribute)을 붙여 다른 관점으로 정렬할 수 있게 했다. 속성은 통제 유형(예방·탐지·교정), 정보보안 특성(기밀성·무결성·가용성), 사이버보안 개념(식별·보호·탐지·대응·복구), 운영 역량, 보안 영역의 다섯 가지이다. 예를 들어 통제 유형 속성으로 정렬하면 보안 통제 유형별 목록을 바로 얻는다.
| 구분 | 2013판 | 2022판 |
|---|---|---|
| 부속서 A 통제 수 | 114개 | 93개 |
| 분류 | A.5~A.18의 영역(도메인)별 분류 | 조직적·인적·물리적·기술적 네 주제 |
| 신규 통제 | - | 11개: 위협 인텔리전스, 클라우드 서비스 이용 보안, 업무 연속성을 위한 ICT 준비, 물리적 보안 모니터링, 형상 관리, 정보 삭제, 데이터 마스킹, 데이터 유출 방지, 모니터링 활동, 웹 필터링, 시큐어 코딩 |
| 통합·갱신 | - | 기존 통제 다수를 합치거나 내용을 고쳐 전체 수가 줄었다. |
| 본문(4~10절) | - | 변경 계획(planning of changes), 운영 계획과 통제(operational planning and control) 등의 요구사항이 보강되었다. |
| 통제 속성 | 없음 | 27002에 다섯 가지 속성 도입 |
인증은 ISO가 직접 하지 않는다. 인정기관(accreditation body)에게 인정받은 인증기관(certification body)이 심사하고 인증서를 발급한다. 인증기관의 심사 방식은 경영시스템 인증기관 요구사항인 ISO/IEC 17021-1과 ISMS 인증기관용 요구사항인 ISO/IEC 27006을 따른다. 최초 인증 심사를 1단계와 2단계로 나누고, 3년 인증 주기 안에서 감시 심사와 갱신 심사를 하는 틀은 경영시스템 인증 전반에 공통이다.
| 단계 | 내용 |
|---|---|
| 준비 | 적용 범위를 정하고, 위험 평가·처리, SoA, 정책과 절차를 만들고, 일정 기간 운영한 뒤 내부 감사와 경영 검토를 한 번 이상 마친다. |
| 1단계 심사(Stage 1) | 문서 중심 심사. ISMS 문서와 적용 범위, 위험 평가 결과, 내부 감사·경영 검토 실시 여부를 확인하고 2단계 심사 준비가 되었는지 판단한다. |
| 2단계 심사(Stage 2) | 현장 심사. 요구사항과 통제가 실제로 구현되어 효과적으로 운영되는지 면담·관찰·기록 확인으로 검증한다. 부적합이 나오면 시정 조치를 마쳐야 인증이 결정된다. |
| 감시 심사(surveillance audit) | 인증 후 3년 인증 주기 동안 해마다 일부 범위를 심사해 ISMS가 계속 유지·개선되는지 확인한다. |
| 갱신 심사(recertification audit) | 3년 주기가 끝나기 전에 ISMS 전체를 다시 심사해 인증을 갱신한다. |
- 27001은 ISMS가 갖춰야 할 요구사항을 정하고, 27002는 통제를 어떻게 구현할지에 대한 지침을 준다.
- 인증은 27001로만 받는다. ISO도 27002는 인증 대상이 아니라고 밝히고 있다.
- 27001 부속서 A의 93개 통제는 27002의 통제와 번호·이름이 같다. 27001 6.1.3절의 위험 처리에서 부속서 A를 비교 기준으로 쓰고, 구현할 때 27002를 참고한다.
- 같은 계열에서 ISO/IEC 27017(클라우드), ISO/IEC 27018(클라우드 개인정보), ISO/IEC 27701(개인정보 관리체계), ISO/IEC 27005(정보보안 위험 관리) 같은 표준이 27001을 보완한다. 전체 계열은 ISO/IEC 27000 시리즈를 참고한다.
| 구분 | ISO/IEC 27001 | ISMS-P |
|---|---|---|
| 성격 | 국제표준. 자율 인증 | 국내 법정 인증. 정보통신망법 제47조와 개인정보 보호법에 근거 |
| 의무 여부 | 의무 없음. 계약·입찰 요건으로 요구되는 경우가 많다. | 정보보호 관리체계(ISMS) 인증은 법이 정한 요건에 해당하는 사업자에게 의무. ISMS-P는 자율 |
| 인증 주체 | 인정받은 민간 인증기관 | 한국인터넷진흥원과 지정된 인증기관·심사기관 |
| 기준 | 본문 요구사항(4~10절) + 부속서 A 93개 통제 | 관리체계 수립 및 운영 16개, 보호대책 요구사항 64개, 개인정보 처리 단계별 요구사항 21개(ISMS는 앞의 80개) |
| 개인정보 | 별도 표준(ISO/IEC 27701)으로 확장 | 개인정보 처리 단계별 요구사항을 기준에 포함 |
| 유효기간과 사후관리 | 3년 인증 주기, 해마다 감시 심사 | 유효기간 3년, 연 1회 이상 사후관리 |
두 인증은 위험 기반 관리체계라는 뼈대가 같아 통제 대부분이 서로 대응한다. 해외 고객에게는 27001을, 국내 법적 의무와 개인정보 요구에는 ISMS-P를 함께 운영하는 조직이 많다.
- 인증을 받을 수 있는 것은 27001이다. 27002는 지침이라 인증 대상이 아니다. "27002 인증"은 오답이다.
- 27001은 특정 기술을 강제하지 않는다. 위험 평가 결과에 따라 통제를 정하고, SoA에 적용 여부와 근거를 남기는 것이 핵심이다.
- ISMS의 출발점은 최고경영자의 의지(5절 리더십)와 적용 범위 결정(4절)이다. "가장 먼저"를 물으면 경영진 지원과 범위 정의를 고른다.
- 내부 감사와 경영 검토는 9절(성과 평가), 부적합 시정은 10절(개선)이다. PDCA의 Check·Act에 대응한다.
- 2022판 부속서 A는 93개 통제, 조직적·인적·물리적·기술적 네 주제이다.
- ISO/IEC 27001:2022 Information security management systems — Requirements – ISO
- ISO/IEC 27001:2022/Amd 1:2024 Climate action changes – ISO
- ISO/IEC 27002:2022 Information security controls – ISO
- SC 27 Journal 2025 (Issue 1) – ISO/IEC JTC 1/SC 27
- Navigating the ISO/IEC 27001:2022 Transition: A 90-Day Challenge – ISACA Journal
- IAF MD 5:2023 Determination of Audit Time of Quality, Environmental, and Occupational Health & Safety Management Systems – 국제인정협력기구(IAF)