ISO 27001 정보보호 인증 — 데이터를 다루는 기업의 기본기

정보보호를 '관리 체계'로 본다

ISO 27001은 정보보호 경영시스템(ISMS)에 관한 국제표준이다. 핵심은 방화벽이나 백신 같은 개별 장비가 아니라, 조직이 자신이 가진 정보자산을 식별하고 위험을 평가한 뒤 통제 수단을 정해 지속적으로 개선하는 '체계'를 갖추고 있는가에 있다. 아무리 좋은 솔루션을 도입해도 누가 무엇에 접근할 수 있는지 정리되어 있지 않다면 보안은 성립하지 않는다는 관점이다.

어떤 기업이 받아야 하나

첫째, 고객사의 데이터를 위탁받아 처리하는 기업이다. SaaS·클라우드 서비스, 데이터 분석, 콜센터, 인사·급여 아웃소싱 등이 여기에 해당한다. 대기업이나 금융기관과 거래하려면 계약 조건으로 인증을 요구받는 경우가 늘고 있다.

둘째, 해외 고객과 거래하는 기업이다. 해외 발주처는 국내 인증 제도를 알기 어렵기 때문에, 국제표준인 ISO 27001이 사실상 공통 언어 역할을 한다.

셋째, 개인정보를 대량으로 취급하는 기업이다. 사고가 한 번 발생하면 과징금과 신뢰 손실이 매출 규모를 넘어서는 경우가 많다. 인증 준비 과정 자체가 취약 지점을 미리 찾아내는 점검이 된다.

준비의 실제

인증 준비는 대체로 정보자산 목록 작성 → 위험평가 → 통제 항목 선정과 적용 → 정책·절차 문서화 → 내부심사와 경영검토 → 인증심사의 흐름을 따른다. 이 가운데 가장 손이 많이 가는 것은 첫 단계인 자산 식별이다. 어떤 서버에 어떤 데이터가 있고 누가 접근하는지를 정리하는 일은, 인증을 떠나 회사의 기본 관리 수준을 보여주는 작업이다.

국내에는 ISMS-P라는 별도의 법정 인증이 있다. 일정 규모 이상 정보통신서비스 제공자는 ISMS 인증이 의무이므로, 자사가 의무 대상인지 먼저 확인해야 한다. ISO 27001은 임의 인증이지만 국제적으로 통용되고, 두 인증은 요구사항이 상당 부분 겹쳐 함께 준비하면 효율이 높다.

인증 이후가 본론이다

정보보호 인증은 취득 시점의 사진이 아니라 지속적인 운영의 증거여야 한다. 매년 사후심사가 있고, 그 사이 조직 변경·신규 서비스 출시·인력 이동이 일어난다. 접근권한 회수 절차가 작동하지 않아 퇴사자 계정이 살아 있는 사례는 심사에서 흔히 발견된다. 인증서보다 중요한 것은 사고가 났을 때 회사가 어떻게 대응했는지를 설명할 수 있는 기록이다.

본 글은 일반적인 정보 제공을 위한 것으로, 특정 상품 가입이나 투자·세무 의사결정을 권유하지 않습니다. 제도 내용은 입법·정책 진행에 따라 달라질 수 있으며, 구체적 사안은 전문가 상담으로 확인하시기 바랍니다.

최성윤 Ph.D. 컨설팅학 박사, 기업가치평가/가족기업승계/기업퇴직연금제도 문의 및 상담 arepos@gmail.com