ISMS-P 심사 대응 전략: 실패 없이 통과하는 현장 노하우
2023년 한국인터넷진흥원(KISA) 자료 기준, ISMS-P 심사에서 불적합(Non-Conformity) 판정을 받은 조직의 약 38%는 재심사를 거쳤습니다. 인력과 예산을 투입해 준비했음에도 같은 항목에서 반복 지적을 받는 조직이 적지 않습니다. 문제는 대부분 '제도를 몰라서'가 아니라 '심사원이 실제로 보는 것'과 '조직이 준비한 것' 사이의 간극에서 발생합니다.
심사원이 실제로 보는 것은 문서가 아닙니다
많은 보안팀이 정책서, 절차서, 지침서를 방대하게 정비하는 데 심사 준비 기간의 절반 이상을 소비합니다. 그러나 현장 심사에서 심사원이 집중하는 것은 "이 문서가 실제로 이행되고 있는가" 입니다.
ISMS-P 인증기준 2.5.1(사용자 계정 관리) 을 예시로 들면, 계정 관리 절차서 자체보다 퇴직자 계정 삭제 이력 로그, 권한 변경 신청서, 정기 계정 검토 결과보고서가 있는지를 먼저 확인합니다. 특히 증적의 날짜와 담당자 서명 또는 전자 승인 이력이 누락된 경우 문서가 아무리 정교해도 이행 사실을 입증하기 어렵습니다.
실무적으로는 각 인증기준 항목별로 "어떤 증적이 존재해야 하는가"를 미리 매핑하고, 최소 직전 1년치 이행 기록을 확보하는 것이 기본 전제입니다.
반복 불적합이 집중되는 세 가지 영역
심사 결과를 분석하면 불적합이 반복되는 영역은 상당히 일관됩니다.
1. 위험 관리 프로세스의 형식화 (인증기준 1.2.1~1.2.4)
위험 평가를 1년에 한 번 수행했지만, 평가 결과가 실제 보호대책 수립과 연결되지 않는 경우가 빈번합니다. 위험 수용 기준, 잔여 위험 승인 내역, 위험 처리 계획 이행 여부가 하나의 흐름으로 연결되어야 합니다. 위험 평가 보고서만 존재하고 후속 조치 추적이 단절된 구조는 심사에서 거의 반드시 지적됩니다.
2. 내부 감사의 독립성과 실효성 (인증기준 1.3.2)
내부 감사를 보안팀 내부에서 자체 수행하면서 감사 대상 시스템을 직접 운영하는 담당자가 감사자를 겸하는 경우, 독립성 요건을 충족하지 못할 수 있습니다. 감사자와 피감사자의 분리, 감사 결과에 대한 경영진 보고 및 개선조치 이행 여부가 증적으로 남아야 합니다.
3. 개인정보 처리 단계별 보호조치 누락 (인증기준 3.1.1~3.3.3)
ISMS-P는 개인정보보호 영역(3.x)이 포함된 만큼, 개인정보 처리방침의 공개 내용과 실제 처리 현황의 일치 여부를 반드시 점검합니다. 개인정보 보호법 제30조에 따른 처리방침 기재사항과 실제 수집 항목·보유기간이 불일치하면 법 위반과 인증기준 미충족이 동시에 발생합니다.
심사 D-90부터 실행해야 하는 준비 구조
심사 일정이 확정된 시점에서 역산하면 약 90일의 준비 기간이 필요합니다.
D-90~D-60: 전체 101개 인증기준에 대해 현재 이행 상태를 자체 점검(Gap Analysis)합니다. 이때 단순 체크리스트 형태가 아니라 증적 존재 여부와 증적의 완결성을 기준으로 평가해야 합니다. 이 단계에서 발견된 결함은 보완 시간이 있습니다.
D-60~D-30: 불적합 가능성이 높은 항목을 우선순위화하고, 증적 보완과 미비한 프로세스 실행을 집중적으로 진행합니다. 특히 위험 평가, 내부 감사, 교육·훈련 이행 기록(인증기준 1.2.3, 1.3.2, 2.2.4)은 실행 자체에 시간이 소요되므로 이 기간 내에 완료해야 합니다.
D-30~심사 전날: 모의 심사(Mock Audit)를 실시합니다. 내부 담당자가 심사원 역할을 맡아 인터뷰 질문에 답변하는 방식으로 진행하면, 실제 심사에서 담당자가 당황하거나 증적을 즉시 제시하지 못하는 상황을 사전에 방지할 수 있습니다.
심사 당일, 준비된 팀과 그렇지 않은 팀의 차이
현장 심사에서 가장 빈번하게 발생하는 문제는 증적을 어디서 찾아야 하는지 담당자가 모르는 상황입니다. 심사원이 특정 시스템 접근 로그를 요청했을 때 담당자가 수 분 이상 탐색하거나 "다른 팀에 확인해 보겠다"는 답변이 반복되면 심사 분위기 자체가 달라집니다.
증적 관리 체계는 인증기준 항목별로 인덱싱되어 있어야 하며, 심사 당일 접근 가능한 단일 레포지토리에 정리되어 있어야 합니다. 분산된 파일 서버, 이메일 첨부파일, 담당자 개인 PC에 흩어진 증적은 준비가 아닙니다.
마치며
ISMS-P 심사는 101개 인증기준, 328개 세부 점검항목을 대상으로 진행됩니다. 이 규모를 스프레드시트와 수작업으로 관리하면 갱신 인증 주기마다 같은 실수를 반복할 가능성이 높습니다. 심층적인 Gap Analysis나 증적 관리 체계 구축에 대해 검토 중이라면, ComplixShield의 ISMS-P 자동화 솔루션이 실질적인 출발점이 될 수 있습니다.