ISMS-P 인증 준비 체크리스트: 단계별 준비 로드맵
인증 심사일까지 6개월이 남았는데, 팀 내에 ISMS-P를 처음 담당하는 인원이 절반 이상입니다. 어디서부터 손을 대야 할지 모르겠고, 컨설팅사에 맡기자니 예산이 부담스럽습니다. 이 글은 그 상황에 있는 컴플라이언스 팀을 위한 실무 로드맵입니다.
ISMS-P 인증 구조를 먼저 파악하세요
ISMS-P 인증기준은 총 101개 항목, 328개 세부 점검항목으로 구성됩니다. 크게 세 영역으로 나뉩니다.
- 1영역 관리체계 수립 및 운영 (16개 항목): 정책, 조직, 위험 관리 등 ISMS 운영 체계 전반
- 2영역 보호대책 요구사항 (64개 항목): 접근통제, 암호화, 외부자 보안 등 기술·운영 보호대책
- 3영역 개인정보 처리 단계별 요구사항 (21개 항목): 개인정보 수집부터 파기까지 생애주기 관리
심사는 서면 검토와 현장 심사로 진행되며, 심사원은 정책 문서의 존재 여부뿐 아니라 실제 이행 증적을 확인합니다. "정책은 있는데 운영 기록이 없다"는 지적이 가장 흔한 불적합 유형입니다.
단계별 준비 로드맵
1단계: 범위 확정 및 현황 진단 (D-180 ~ D-150)
산출물: 인증 범위 정의서, 현황 진단 보고서
인증 범위를 먼저 확정해야 이후 모든 준비가 흔들리지 않습니다. 인증 범위는 서비스, 시스템, 조직, 물리적 위치를 포함하며, 심사 신청 시 제출하는 범위 기술서와 일치해야 합니다(ISMS-P 인증기준 1.1.2).
범위 확정 후에는 101개 항목 전체를 기준으로 현황 진단을 수행합니다. 자체 진단 시에는 한국인터넷진흥원(KISA)이 배포한 자가점검표를 활용하되, 각 항목별로 이행 여부(이행/부분이행/미이행)와 증적 보유 여부를 함께 기록해야 합니다.
2단계: 위험 평가 및 보호대책 수립 (D-150 ~ D-120)
산출물: 위험 평가 방법론 문서, 위험 평가 결과서, 위험 수용 기준
ISMS-P 인증기준 1.2.3은 조직이 자산 식별, 위협·취약점 분석, 위험도 산정, 위험 처리 계획 수립의 절차를 문서화하도록 요구합니다. 위험 평가는 연 1회 이상 수행해야 하며, 최초 인증 신청 시에는 전체 자산을 대상으로 한 평가 결과가 필요합니다.
실무에서 흔히 하는 실수는 위험 평가를 '양식 채우기'로 처리하는 것입니다. 심사원은 위험 평가 결과와 실제 적용된 보호대책 간의 연계성을 확인하므로, 위험 처리 계획서에는 수용·회피·전가·감소 중 어떤 처리 방식을 선택했는지와 그 근거를 명확히 기술해야 합니다.
3단계: 정책·지침 체계 정비 (D-120 ~ D-90)
산출물: 정보보호 정책서, 세부 지침 목록, 개인정보 처리방침
정책 체계는 정책(Policy) → 지침(Guideline) → 절차(Procedure) 3단계로 구성하는 것이 일반적입니다. 개인정보 처리방침은 개인정보 보호법 제30조에 따라 공개 의무가 있으며, ISMS-P 인증기준 3.1.1과 연계하여 처리 목적, 항목, 보유 기간, 제3자 제공 현황 등이 실제 운영과 일치하는지 확인해야 합니다.
지침 수가 많다고 좋은 것이 아닙니다. 실제로 운영되지 않는 지침은 심사 시 오히려 불리하게 작용할 수 있습니다.
4단계: 이행 증적 수집 및 내부 심사 (D-90 ~ D-30)
산출물: 이행 증적 파일, 내부 심사 보고서, 경영진 검토 보고서
328개 세부 점검항목 각각에 대해 증적을 수집합니다. 증적 유형은 크게 세 가지입니다.
| 유형 | 예시 |
|---|---|
| 문서 | 정책서, 지침, 계획서 |
| 기록 | 회의록, 교육 이수 확인서, 접근 로그 |
| 운영 결과물 | 취약점 점검 결과, 모의 해킹 보고서 |
내부 심사(ISMS-P 인증기준 1.3.2)는 독립성이 있는 인원이 수행해야 합니다. 자기 업무를 자신이 심사하는 구조는 인정되지 않으므로, 팀 간 교차 심사 체계를 설계하세요. 내부 심사 완료 후에는 반드시 경영진 검토 회의를 개최하고 결과를 보고서로 남겨야 합니다(ISMS-P 인증기준 1.3.3).
5단계: 예비 심사 대응 및 최종 점검 (D-30 ~ D-0)
산출물: 불적합 사항 조치 계획서, 심사 대응 담당자 지정표
공식 심사 전 컨설턴트 또는 내부 전문인력을 통해 예비 심사를 진행하면 불적합 가능성을 사전에 낮출 수 있습니다. 심사 당일에는 심사원의 질문에 증적을 즉시 제시할 수 있도록 항목별 증적 색인표를 미리 준비해두는 것이 실무적으로 유효합니다.
준비 과정에서 가장 많이 놓치는 것
준비 기간 동안 가장 자주 발생하는 실패 패턴은 두 가지입니다.
첫 번째, 정책은 만들었지만 임직원 교육 이수 기록이 없는 경우입니다. ISMS-P 인증기준 1.2.1은 보안 인식 제고를 위한 교육 계획 수립과 이행을 요구하며, 교육 이수 확인서나 서명 명부가 없으면 이행으로 인정받기 어렵습니다.
두 번째, 개인정보 처리방침과 실제 시스템 간 불일치입니다. 처리방침에는 명시되지 않은 개인정보 항목이 실제 수집되거나, 보유 기간이 다른 경우 개인정보 보호법 제30조 위반과 ISMS-P 불적합이 동시에 발생합니다.
101개 인증기준 항목에 대한 증적을 팀 내에서 관리하고, 심사 일정에 맞춰 진행률을 추적하는 일은 생각보다 많은 공수가 필요합니다. 준비 과정을 체계적으로 관리하고 싶다면, ComplixShield의 ISMS-P 인증 준비 관리 기능을 통해 항목별 이행 현황과 증적을 한 곳에서 운영하는 방법을 검토해보세요.