ISO/IEC 27000과 ISMS로 정보보호 체계 설계하기

정보자산 보호를 관리체계로 다루는 표준

ISO/IEC 27000 시리즈는 정보보호관리시스템(Information Security Management System, ISMS)을 위한 국제 표준이다. 조직이 중요한 정보자산을 식별하고 평가하며 보호할 수 있도록 체계적인 접근 방식을 제시한다.

이 표준 체계는 기업, 정부기관, 비영리 단체처럼 규모와 유형이 다른 조직에 적용할 수 있다. 핵심은 위험 기반 접근법이다. 정보보호를 개별 제품이나 기술의 문제가 아니라 조직의 비즈니스 위험과 연결된 관리 활동으로 본다.

ISO(국제표준화기구)와 IEC(국제전기기술위원회)의 공동 기술위원회인 JTC 1이 이 시리즈를 개발한다.

ISMS는 조직 전반의 관리시스템 일부로서, 비즈니스 위험을 기준으로 정보보호를 관리하는 체계다. 여기에는 조직체계와 정책, 정보보호 프로세스 및 절차, 정보보호통제가 포함된다.

이 체계를 도입하면 정보 유출과 보안 사고의 발생 가능성을 낮추고, 사고 발생 시 대응 체계를 갖출 수 있다. 법적·규제적 요구사항 준수도 수월해지며, 조직 내부의 정보보호 인식, 비즈니스 연속성, 고객 신뢰도에도 영향을 준다.

표준 문서가 맡는 역할

⤢✕

ISO/IEC 27001은 ISMS를 구축하고 운영하기 위해 충족해야 할 요구사항을 명시한다. 인증 취득의 기본 표준이며, 조직 상황, 리더십, 계획, 지원, 운영, 성과 평가, 개선 등 10개 조항과 부록 A의 통제 목표 및 통제 항목으로 구성된다. 관리체계 운영에는 PDCA(Plan-Do-Check-Act) 사이클을 적용한다.

ISO/IEC 27002는 ISO/IEC 27001 부록 A에 정의된 통제 항목을 구현할 때 참고하는 지침이다. 최신 버전 기준으로 14개 영역, 35개 통제 목표, 114개 통제 항목을 포함한다. 정보보호 정책, 인적 자원 보안, 자산 관리, 접근 통제, 암호화, 물리적 환경적 보안, 운영 보안, 통신 보안 등이 주요 영역이다.

ISO/IEC 27005는 정보보호 위험 관리 프로세스를 다룬다. 위험 식별, 분석, 평가, 대응 방안을 설명하고, 위험을 계속 모니터링하고 검토하는 활동을 강조한다.

PDCA로 운영하는 ISMS

ISMS는 문서를 한 번 작성하는 활동이 아니라 PDCA 사이클을 반복하는 운영 체계다.

⤢✕

계획 단계에서는 조직의 상황과 이해관계자 요구사항을 파악하고, ISMS 범위를 정한다. 정보보호 정책을 수립한 뒤 위험 평가와 처리 계획을 마련하며, 적용성 보고서(Statement of Applicability, SoA)를 작성한다.

실행 단계에서는 위험 처리 계획을 실제로 수행한다. 선택한 통제 항목을 구현하고, 정보보호 인식 교육과 훈련을 실시하며, ISMS를 운영·관리한다.

점검 단계의 대상은 ISMS 성과다. 성과를 모니터링하고 측정하며, 내부 감사와 경영진 검토를 수행한다. 개선 단계에서는 부적합 사항을 식별해 시정 조치하고 지속적인 개선 활동으로 다시 연결한다.

인증 이후에도 이어지는 관리 활동

ISO/IEC 27001 인증 준비에는 ISMS 구축 및 문서화, 내부 감사, 부적합 사항 시정, 경영 검토가 포함된다.

인증 심사는 문서 검토 중심의 1단계 심사와 현장 검증 중심의 2단계 심사로 진행된다. 심사에서 확인된 부적합 사항에는 시정 조치가 필요하다.

인증을 취득한 뒤에도 관리 활동은 계속된다. 사후 관리 심사는 연 1회 실시되고, 갱신 심사는 3년 주기로 진행된다.

산업별 적용에서 확인되는 요구사항

금융 산업에서는 고객 정보 보호와 규제 준수를 위해 ISO/IEC 27001 인증을 활용할 수 있다. A은행은 인증을 통해 고객 금융 정보 보호 체계를 강화하고 금융 당국의 보안 규제 준수를 용이하게 했다. 정보 유출 사고 발생률은 30% 감소했으며, 고객 신뢰도 향상에 따른 신규 고객 유치율 증가도 언급됐다.

의료 산업에서는 환자 의료정보 보호가 ISMS 구축의 중심이 된다. B병원은 ISO/IEC 27001 기반 ISMS를 구축해 민감한 환자 정보의 접근 통제를 강화하고, 의료 정보 시스템 가용성을 높였다. 다운타임은 50% 감소했으며, 의료법 및 개인정보보호법 준수 체계와 직원의 정보보호 인식 수준도 함께 개선했다.

C클라우드는 다양한 산업 고객에게 신뢰성 있는 서비스를 제공하기 위해 ISO/IEC 27017(클라우드 서비스 보안)과 ISO/IEC 27001 인증을 함께 획득했다. 다중 테넌트 환경의 데이터 격리와 보호를 강화했고, 서비스 가용성 99.99%를 달성했다. 보안 사고 대응 시간은 60% 단축됐으며 글로벌 고객 유치도 증가했다.

신기술과 산업 특화 표준으로 넓어지는 범위

ISO/IEC 27000 시리즈는 디지털 전환에 따라 바뀌는 보안 요구사항을 반영한다. 클라우드 컴퓨팅, 사물인터넷(IoT), 인공지능(AI) 같은 신기술의 보안 지침이 강화되고, 개인정보보호와 규제 준수 요구사항도 통합되는 흐름이다.

산업별 요구에 대응하는 특화 표준도 있다.

ISO/IEC 27017: 클라우드 서비스 보안
ISO/IEC 27018: 클라우드 서비스의 개인식별정보 보호
ISO/IEC 27019: 에너지 산업 정보보호
ISO/IEC 27799: 의료 산업 정보보호

향후에는 제로 트러스트 보안 모델과의 통합, AI 기반 보안 위협 탐지 및 대응 방안, 공급망 보안 강화 요구사항, 국가별 규제와의 조화가 확대될 것으로 전망된다.

국내 ISMS-P와 ISO/IEC 27001의 연결점

한국의 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증은 ISO/IEC 27001을 기반으로 하며, 국내 법규와 환경을 반영한 추가 요구사항을 포함한다. 따라서 국내 기업은 ISMS-P와 ISO/IEC 27001 인증을 동시에 추진하기도 한다.

⤢✕

인증을 목표로 끝내지 않는 운영

ISMS를 도입할 때는 비즈니스 목표와 정보보호 목표를 연결하고, 경영진의 적극적인 지원을 확보해야 한다. 통제 항목은 형식적인 목록이 아니라 실질적인 위험 평가를 바탕으로 선택하며, 조직 문화에 맞춰 단계적으로 적용한다. 이후에도 모니터링과 개선 체계를 유지해야 한다.

기존 관리 체계와 통합하면 운영 효율을 높일 수 있다. 정보보호 인식 교육은 정기적으로 실시하고 효과를 측정하며, 공급업체와 외부 협력사 관리 체계도 함께 마련한다. 자동화 도구는 통제 이행과 모니터링의 효율화에 활용할 수 있고, 위험 기반 접근법은 전 과정에서 일관되게 적용해야 한다.

ISO/IEC 27000 시리즈는 정보자산의 기밀성, 무결성, 가용성을 보장하기 위한 관리체계의 기반을 제공한다. 인증 취득 자체보다 정보보호 성숙도를 높이고 비즈니스 가치를 만드는 방식으로 운영할 때 그 효과가 커진다.