ISMS-P 증적자료 자동 수집으로 개발팀 공수 80% 줄이는 방법
ISMS-P 심사 준비 기간이 다가오면, 개발팀 캘린더에는 어김없이 같은 일정이 잡힙니다. "증적 취합 협조 요청." 스프린트 일정은 밀리고, 시니어 엔지니어가 로그 파일을 뒤지는 데 2주를 씁니다. 인증을 위한 작업이 제품 개발보다 우선순위가 높아지는 이 상황, 구조적으로 바꿀 수 있습니다.
왜 개발팀이 증적 수집에 이렇게 많은 시간을 쓰는가
ISMS-P 인증기준 101개 항목 중 개발팀이 직접 증적을 생성하거나 제출해야 하는 영역은 크게 세 곳입니다.
- 2.5.x (인증 및 접근통제): 계정 생성·변경·삭제 이력, 권한 부여 승인 기록
- 2.9.x (시스템 및 서비스 운영관리): 서버·애플리케이션 로그, 패치 이력, 변경관리 기록
- 2.10.x (시스템 및 서비스 보안관리): 취약점 점검 결과, 소스코드 보안 검토 기록
문제는 이 증적들이 GitHub, Jira, AWS CloudTrail, DB 접근 로그, ITSM 티켓 등 서로 다른 시스템에 흩어져 있다는 점입니다. 심사관이 "지난 1년간 서버 계정 변경 이력을 주세요"라고 요청하면, 담당자는 4~5개 시스템을 수동으로 뒤지고 엑셀로 취합해야 합니다.
자동화 전략: 3단계 접근법
1단계 — 증적 발생 지점을 매핑한다 (소요 시간: 1~2일)
자동화에 앞서 "어떤 인증기준 항목이 어느 시스템에서 증적을 생성하는가"를 한 장짜리 매핑 테이블로 만들어야 합니다.
| ISMS-P 항목 | 증적 유형 | 소스 시스템 |
|---|---|---|
| 2.5.2 (사용자 등록 및 권한 부여) | 계정 생성·권한 변경 이력 | IAM / Active Directory |
| 2.9.1 (변경관리) | 배포·변경 승인 기록 | Jira / GitHub PR |
| 2.9.5 (로그 및 접속기록 관리) | 서버·DB 접근 로그 | CloudTrail / SIEM |
| 2.10.2 (취약점 점검 및 조치관리) | 스캔 결과 리포트 | Snyk / SonarQube |
이 매핑 없이 자동화 도구를 먼저 붙이면, 수집되는 데이터가 심사에서 실제로 인정되는 형식과 달라 재작업이 발생합니다.
2단계 — 파이프라인을 구성한다 (소요 시간: 1~2주)
매핑이 완료되면 각 소스 시스템에서 증적을 정기적으로 수집하는 파이프라인을 구성합니다. 핵심 원칙은 두 가지입니다.
① 이벤트 발생 시점에 수집한다
심사 직전에 몰아서 추출하면 이미 삭제되거나 로테이션된 로그가 있을 수 있습니다. 개인정보 보호법 제29조 및 ISMS-P 인증기준 2.9.5는 접속 기록을 6개월 이상 보관하도록 규정합니다. 이벤트 기반으로 실시간 또는 일별 수집 파이프라인을 구성하면 보관 의무도 동시에 충족됩니다.
② 증적에 메타데이터를 붙인다
수집된 로그 파일 자체만으로는 "이것이 어느 인증기준 항목의 증적인가"를 심사관이 파악하기 어렵습니다. 파이프라인 단계에서 ISMS-P 항목 코드, 수집 일시, 시스템 출처를 메타데이터로 태깅하면 심사 시 증적 제출 속도가 크게 단축됩니다.
3단계 — 증적을 항목별로 자동 정렬·저장한다 (소요 시간: 3~5일)
수집된 증적은 인증기준 항목 번호를 기준으로 폴더 또는 저장소를 구조화해 저장합니다. 심사관은 통상 특정 항목을 지정해 증적을 요청하기 때문에, 항목 코드 기반 디렉토리 구조가 곧 대응 속도로 직결됩니다.
/isms-p-evidence
/2.5.2_사용자등록및권한부여
2024-01_iam-change-log.csv
2024-02_iam-change-log.csv
/2.9.5_로그및접속기록관리
cloudtrail-2024-01.json
흔히 하는 실수 두 가지
"있는 로그를 다 모으면 된다"는 접근
로그의 양이 많다고 증적으로 인정되지는 않습니다. 심사관은 "특정 기간 내 특정 행위에 대한 기록"이 존재하는지를 봅니다. 수집 범위를 인증기준 항목에 맞게 정의하지 않으면, 수백 GB의 로그를 모아두고도 "해당 증적 없음" 판정을 받을 수 있습니다.
자동화 도구 도입 후 검증을 생략하는 경우
파이프라인이 실제로 심사 요건에 맞는 데이터를 수집하고 있는지, 최소 분기 1회는 샘플 검증을 해야 합니다. 심사 당일에 파이프라인 오류로 3개월치 로그가 누락된 것을 발견하는 상황은 자동화 없이 수동으로 준비하는 것보다 더 위험합니다.
지금 당장 시작할 수 있는 첫 번째 액션
전체 자동화 파이프라인을 한 번에 구축하려 하면 착수 자체가 늦어집니다. 이번 스프린트 안에 할 수 있는 것 하나만 고르자면, 1단계 매핑 테이블 작성입니다. 담당 엔지니어 한 명이 반나절을 투입하면 충분하고, 이후 모든 자동화 작업의 기준이 됩니다.
증적 수집 파이프라인 구축과 ISMS-P 항목 매핑을 시스템 수준에서 처리하고 싶다면, ComplixShield는 101개 인증기준 항목과 연동된 증적 자동 수집·관리 기능을 제공합니다. 심사 준비 일정이 3개월 이내로 남아 있다면 도입 효과를 바로 확인해볼 수 있습니다.