ISMS-P 증적자료 자동 수집으로 개발팀 공수 80% 줄이는 방법

ISMS-P 인증 시즌이 되면 개발팀에 어김없이 요청이 들어옵니다. "접근 로그 뽑아줄 수 있어요?", "지난 6개월치 배포 이력 있나요?", "취약점 점검 결과 어디 있죠?" 인증 심사 3~4주 전부터 시작되는 이 요청들이 스프린트 일정을 흔들어 놓는다는 걸 CTO라면 이미 알고 계실 겁니다.

문제는 반복성입니다. 매년 같은 항목에 대해 같은 방식으로 수작업 수집이 이루어집니다. ISMS-P 101개 인증기준, 328개 세부 점검항목 중 상당수는 시스템 로그, 배포 이력, 접근 권한 변경 내역처럼 이미 시스템 어딘가에 존재하는 데이터입니다. 수집하지 못해서 없는 게 아니라, 자동으로 모으는 구조가 없어서 매번 수작업으로 처리하게 됩니다.

1단계: 어떤 항목이 자동화 가능한지 먼저 분류하라

모든 증적이 자동화 대상은 아닙니다. 정책 문서, 교육 결과서처럼 사람이 작성해야 하는 항목은 별도입니다. 자동 수집이 가능한 증적은 크게 세 가지 유형으로 나뉩니다.

• 시스템 로그형: 접근 로그, 인증 시도 이력, 관리자 권한 사용 내역 (ISMS-P 인증기준 2.5.4, 2.5.5 관련)
• 변경 이력형: 소스 코드 커밋 이력, 배포 파이프라인 실행 기록, 인프라 변경 이력 (ISMS-P 인증기준 2.9.2, 2.9.3 관련)
• 점검 결과형: 취약점 스캐너 리포트, SAST/DAST 결과, 패치 적용 내역 (ISMS-P 인증기준 2.11.1 관련)

이 분류를 먼저 하지 않으면 자동화 범위를 정할 수 없습니다. 담당 보안팀과 2시간짜리 워크숍을 한 번 하는 것이 이후 수개월의 수작업보다 훨씬 효율적입니다. 산출물: 자동화 가능 항목 목록 (전체 세부 점검항목 대비 비율 포함)

2단계: 기존 파이프라인에 증적 수집을 끼워 넣어라

별도 시스템을 새로 구축할 필요가 없습니다. 이미 운영 중인 CI/CD 파이프라인과 클라우드 환경을 활용하면 됩니다.

배포 이력 자동 저장: GitHub Actions, GitLab CI, Jenkins 등 파이프라인 완료 시점에 배포 정보(일시, 담당자, 커밋 해시, 환경)를 지정된 스토리지에 자동 저장하는 훅(hook)을 추가합니다. 추가 공수는 파이프라인 파일 수정 기준 1~2시간 수준입니다.

접근 로그 중앙화: AWS CloudTrail, GCP Audit Logs, Azure Monitor 등 클라우드 네이티브 감사 로그를 S3 또는 BigQuery로 자동 수집하도록 설정합니다. 이미 켜져 있는 경우가 많지만, 수집 범위와 보존 기간이 개인정보 보호법 제29조 및 ISMS-P 인증기준 2.9.4의 요건을 충족하는지 반드시 확인해야 합니다.

취약점 스캔 결과 자동 아카이빙: OWASP ZAP, SonarQube, Trivy 등 스캐너 실행 결과를 JSON 또는 PDF로 자동 내보낸 뒤 인증기준 항목 코드와 함께 파일명에 날짜를 포함해 저장합니다. 예: 2025-07-15_2.11.1_trivy-report.pdf

산출물: 파이프라인별 증적 수집 스크립트, 스토리지 저장 경로 정의서

3단계: 증적을 인증기준 항목에 자동 매핑하라

수집만 해놓고 어떤 항목의 증적인지 모른다면 심사 직전에 또 수작업이 발생합니다. 파일 저장 시점부터 인증기준 코드를 메타데이터로 함께 기록하는 구조가 필요합니다.

가장 단순한 방법은 스프레드시트 기반 인덱스입니다. 열 구성은 인증기준 항목 코드 | 점검 항목명 | 증적 파일 경로 | 수집 방식(자동/수동) | 최종 수집 일시로 구성하고, 자동 수집 스크립트가 실행될 때마다 해당 행을 업데이트하도록 연동합니다. 이 인덱스가 있으면 심사관이 특정 항목의 증적을 요구할 때 수 분 내에 제출이 가능합니다.

흔히 하는 실수: 자동 수집 스크립트를 만들었지만 보존 기간 정책이 없어서 로그가 30일 뒤 삭제되는 경우입니다. ISMS-P 인증기준 2.9.4에서는 로그의 보존 기간을 정책으로 정하고 준수하도록 요구합니다. 스토리지 라이프사이클 정책을 인증 심사 주기(통상 1년)보다 긴 13~14개월로 설정해야 합니다.

산출물: 증적-인증기준 매핑 인덱스, 스토리지 보존 기간 정책 문서

4단계: 연간 운영 체계로 전환하라

1~3단계까지 구축했다면, 이후에는 심사 시즌이 따로 존재하지 않습니다. 증적이 상시 축적되기 때문입니다. 월 1회 자동 수집 현황을 보안팀과 공유하고, 누락 항목이 있는지 점검하는 정기 리뷰 30분이면 충분합니다.

이 체계가 갖춰지면 개발팀이 인증 준비를 위해 별도로 투입하는 공수가 실질적으로 80% 이상 감소합니다. 기존에 2~3주 소요되던 증적 수집 작업이 인덱스 검토와 보완 수준으로 줄어들기 때문입니다.

자동화 범위 설계부터 인증기준 매핑 구조까지, 개발팀이 직접 설계하기에는 ISMS-P 기준에 대한 이해가 병행되어야 하는 부분이 있습니다. 시간을 단축하고 싶다면, ComplixShield가 ISMS-P 101개 인증기준에 대한 증적 수집 자동화와 매핑 구조를 SaaS 형태로 지원합니다. 개발팀의 파이프라인과 연동해 실제 운영 환경에서 바로 시작할 수 있습니다.