보안팀 없는 스타트업의 ISMS-P 도전기: 자동화 플랫폼 활용 후기
"ISMS-P요? 저희 팀에 보안 담당자가 없는데요."
ISMS-P 의무 인증 대상이 됐다는 사실을 처음 알았을 때, 많은 스타트업 CTO가 하는 말입니다. 인증 컨설팅 업체에 문의하면 수천만 원짜리 견적서가 날아오고, 내부에서 직접 하려니 어디서부터 손을 대야 할지 막막합니다. 이 글은 그 막막함을 직접 겪어본 입장에서 씁니다.
ISMS-P가 뭔지부터 잠깐
ISMS-P는 정보보호 및 개인정보보호 관리체계 인증입니다. 과학기술정보통신부와 개인정보보호위원회가 공동으로 운영하며, 한국인터넷진흥원(KISA)이 심사를 담당합니다.
인증기준은 총 101개 항목, 328개 세부 점검항목으로 구성되어 있습니다. 관리체계 수립·운영(16개), 보호대책 요구사항(64개), 개인정보처리 단계별 요구사항(21개)으로 나뉩니다. 숫자만 보면 압도적이지만, 실제로는 "우리 회사가 정보와 개인정보를 제대로 관리하고 있나"를 체계적으로 점검하는 프레임이라고 보면 됩니다.
의무 인증 대상은 정보통신망법 제47조에 따라 지정되며, 전년도 매출 100억 원 이상이거나 일일 이용자 수 100만 명 이상인 정보통신서비스 제공자가 해당됩니다. 해당 여부가 불확실하다면 KISA에 직접 문의하는 것이 가장 정확합니다.
혼자 하면 …
보안팀 없이 인증을 준비할 때 가장 먼저 부딪히는 건 문서화입니다. ISMS-P는 단순히 보안 기술을 갖추는 것이 아니라, 정책·절차·증적(실제로 했다는 기록)을 모두 갖춰야 합니다. ISMS-P 인증기준 1.1.1(경영진의 참여)부터 시작해서 각 항목마다 "우리 회사에서 이 통제를 어떻게 실행하고 있는가"를 문서로 증명해야 합니다.
개발팀이 이 작업을 병행하면 어떤 일이 생기냐고요? 스프린트가 멈춥니다. 누군가 정책 문서 초안을 쓰고, 다른 누군가가 접근제어 현황을 엑셀로 정리하고, 또 다른 누군가가 서버 패치 이력을 수작업으로 모으다 보면, 본업인 제품 개발이 뒤로 밀립니다.
여기에 갱신 심사라는 변수도 있습니다. ISMS-P는 최초 인증 후 매년 사후심사, 3년마다 갱신심사를 받아야 합니다. 한 번 받고 끝이 아닌, 지속적인 관리 체계가 필요한 구조입니다.
자동화 플랫폼을 도입했을 때 실제로 달라진 것
자동화 플랫폼을 도입한 뒤 가장 먼저 체감한 변화는 현황 파악에 걸리는 시간이었습니다.
기존에는 "지금 우리가 101개 항목 중 몇 개를 충족하고 있나"를 파악하는 것 자체가 며칠짜리 작업이었습니다. 플랫폼을 연동하고 나서는 클라우드 인프라, 접근권한, 로그 관리 현황이 대시보드에 실시간으로 집계됐습니다. 갭(gap)이 어디에 있는지 눈으로 보이니, 우선순위를 정하는 것도 훨씬 수월해집니다.
문서화 측면에서도 차이가 있었습니다. 각 인증기준 항목에 맞는 정책 템플릿이 제공되고, 증적 파일을 항목별로 매핑해서 관리할 수 있습니다. 수십 개의 엑셀 파일을 관리하다가 심사 직전에 파일 버전이 뒤섞이는 상황을 경험해본 분이라면 이 차이가 얼마나 큰지 바로 이해가 될 겁니다.
한 가지 오해를 짚고 넘어가자면, 자동화 플랫폼이 "알아서 다 해준다"는 의미는 아닙니다. ISMS-P 인증기준 1.2.1(최고책임자의 지정)처럼 조직 내부의 의사결정과 실행이 필요한 항목은 여전히 사람이 직접 해야 합니다. 플랫폼이 하는 일은, 해야 할 것들이 무엇인지 명확히 보여주고 기록을 체계적으로 쌓을 수 있게 돕는 것입니다.
3줄 요약
- ISMS-P는 101개 항목, 328개 세부 점검항목으로 구성되며 의무 대상은 정보통신망법 제47조 기준으로 결정됩니다.
- 보안팀 없이 준비하면 문서화와 증적 관리에서 개발 리소스가 심각하게 소모됩니다.
- 자동화 플랫폼은 현황 파악과 문서 관리 부담을 줄여주지만, 조직 의사결정이 필요한 항목은 직접 챙겨야 합니다.
어디서부터 시작해야 할지 모르겠다면, ComplixShield의 ISMS-P 갭 분석 기능으로 현재 우리 조직의 충족 현황부터 확인해보시기 바랍니다. 숫자로 현황이 보여야 다음 단계가 보입니다.