ISMS-P 위험평가 방법론: 보안팀을 위한 실전 가이드
인증심사 D-3개월, 위험평가 보고서를 처음 맡은 담당자가 가장 먼저 하는 일은 전년도 문서를 그대로 복사하는 것입니다. 심사원은 이를 금방 알아챕니다. 자산 목록 날짜가 2년 전이거나, 위협 시나리오가 현재 운영 환경과 맞지 않을 때 "위험평가가 형식적으로 수행되었다"는 심사 의견이 따라옵니다. ISMS-P 인증기준 1.2.1은 위험관리 체계 수립을, 1.2.2는 위험 식별·평가를, 1.2.3은 위험 수용 및 처리를 각각 요구합니다. 이 세 항목이 하나의 흐름으로 연결되지 않으면 개별 항목이 아무리 잘 작성되어도 전체 평가가 흔들립니다.
1단계: 위험평가 방법론 선정과 경영진 승인
위험평가를 시작하기 전에 "어떤 방법론으로 평가할 것인가"를 먼저 문서화해야 합니다. 베이스라인(Baseline), 상세위험분석(Detailed Risk Analysis), 복합접근법(Combined Approach) 중 조직 규모와 운영 환경에 맞는 방식을 선택하고, 이 선택을 최고경영자 또는 CISO가 승인한 문서로 남겨야 합니다.
산출물: 위험관리 지침서 (방법론 선택 근거, 위험 수용 기준, 평가 주기 포함)
기한: 인증 신청 최소 6개월 전
위험 수용 기준은 수치로 정의해야 합니다. "위험도 상(High) 이상은 수용 불가"처럼 모호하게 쓰면 심사 시 "상의 기준이 무엇인가"라는 질문을 받습니다. 5×5 매트릭스를 사용한다면 발생가능성 15, 영향도 15로 정의하고, 위험값 15 이상은 처리 필수, 10~14는 조건부 수용, 9 이하는 수용 가능 등으로 구체화하십시오.
2단계: 자산 식별과 가치 산정
위험평가의 대상은 정보자산입니다. ISMS-P 인증기준 2.1.1은 정보자산 식별 및 분류를 요구하며, 자산 목록은 위험평가 시점 기준으로 최신화되어 있어야 합니다.
자산 식별 시 자주 누락되는 항목은 세 가지입니다.
- 외부 클라우드 서비스: AWS, Azure 등 퍼블릭 클라우드에 올라간 데이터와 시스템은 자산 목록에 포함해야 합니다.
- 퇴직자 계정 및 권한: 운영 중인 시스템에 남아 있는 구 계정도 위험 요소를 가진 자산입니다.
- 개인정보 처리 시스템: ISMS-P는 개인정보 보호 영역을 포함하므로, 개인정보가 흐르는 경로와 시스템은 별도로 표기해야 합니다.
자산 가치는 기밀성(C), 무결성(I), 가용성(A) 기준으로 각각 1~3점을 부여하고 합산하는 방식이 실무에서 가장 범용적으로 쓰입니다.
산출물: 정보자산 목록 (자산명, 유형, 소유자, CIA 점수, 개인정보 포함 여부)
기한: 위험평가 착수 2주 전 완료
3단계: 위협 및 취약점 식별
자산별로 위협 시나리오를 작성합니다. "해킹", "내부자 유출" 같은 추상적 표현 대신, "VPN 미사용 재택근무자 계정에 대한 크리덴셜 스터핑 공격"처럼 구체적으로 기술해야 심사원이 실제 환경을 검토했다고 판단합니다.
취약점 식별은 기술적 취약점과 관리적 취약점으로 나눠서 진행합니다.
| 구분 | 식별 방법 | 예시 |
|---|---|---|
| 기술적 취약점 | 취약점 스캐닝, 모의해킹 결과 | 운영 서버 패치 미적용, 불필요 포트 개방 |
| 관리적 취약점 | 인터뷰, 체크리스트 점검 | 접근권한 주기적 검토 미수행, 보안 서약서 누락 |
취약점 스캐닝 결과는 보고서 형태로 첨부하면 증적으로 활용할 수 있습니다.
4단계: 위험도 산정과 처리 계획
위험도 = 자산가치 × 위협 발생가능성 × 취약점 수준으로 계산합니다. 위험 수용 기준을 초과한 항목은 반드시 위험 처리 계획을 수립해야 합니다. 처리 방식은 위험 감소(대책 적용), 위험 회피(해당 업무 중단), 위험 전가(보험·아웃소싱), 위험 수용 네 가지입니다.
위험 처리 계획서에는 담당자, 목표 완료일, 적용할 보호대책(ISMS-P 인증기준 항목 연계)을 반드시 기재해야 합니다. 심사원은 위험 처리 계획과 실제 이행 증적이 연결되는지를 확인합니다.
산출물: 위험도 산정 결과표, 위험 처리 계획서
기한: 경영진 보고 후 처리 계획 확정
보안팀이 반복적으로 하는 실수 2가지
첫 번째: 위험평가 결과와 보호대책이 따로 논다.
위험평가에서 "접근통제 취약"이 도출됐는데, 보호대책 이행 계획에 관련 항목이 없는 경우입니다. ISMS-P 인증기준 1.2.3은 위험 처리 계획이 보호대책과 연계되어야 함을 명시합니다. 위험평가 결과 테이블에 인증기준 항목 번호를 컬럼으로 추가하면 이 문제를 예방할 수 있습니다.
두 번째: 연 1회 수행 후 방치.
ISMS-P 인증기준 1.2.2는 위험평가를 정기적으로, 그리고 중요한 변경이 있을 때마다 수행하도록 요구합니다. 신규 서비스 오픈, 주요 시스템 변경, 인력 이동이 발생했을 때 위험평가를 재수행했는지 여부가 심사에서 확인됩니다.
위험평가 전 과정에서 자산 목록 관리, 항목별 인증기준 연계, 처리 계획 이행 추적을 하나의 플랫폼에서 관리하고 싶다면, ComplixShield가 이 흐름을 구조화된 워크플로우로 지원합니다. 시간을 단축하고 싶다면 도입 상담을 통해 현재 위험평가 체계를 점검해 보십시오.