ISO 27001 인증 — 통제항목 93개, ISMS와의 차이
ISO/IEC 27001은 정보보호 경영시스템의 국제 표준입니다. 국내 법정 인증인 ISMS·ISMS-P와 무엇이 다른지, 2022 개정판의 통제항목 93개는 어떻게 구성되는지, 그리고 두 인증을 함께 준비할 때 어떤 이점이 있는지를 정리했습니다.
ISO 27001 인증
ISO/IEC 27001은 국제표준화기구(ISO)와 국제전기기술위원회(IEC)가 공동 제정한 정보보호 경영시스템(ISMS, Information Security Management System) 국제 표준입니다. 조직이 정보 자산의 위험을 식별하고 통제하는 경영 체계를 갖추었는지를 인가된 인증기관이 심사하여 증명합니다.
현행 버전은 ISO/IEC 27001:2022입니다. 2013판에서 114개였던 부속서 A(Annex A) 통제항목이 93개로 재편되었고, 위협 인텔리전스·클라우드 보안·데이터 유출 방지 등 11개 통제가 새로 추가되었습니다. 이전 2013판 인증의 전환 기한은 2025년 10월 31일로 이미 종료되어, 현재 유효한 인증은 모두 2022판 기준입니다.
통제항목 93개는 어떻게 구성되는가
표준은 두 부분으로 이루어집니다. 본문 요구사항(4~10장)은 조직 상황 분석, 리더십, 기획, 지원, 운영, 성과평가, 개선으로 이어지는 경영시스템의 순환 구조를 정의하고, 부속서 A는 위험 처리에 적용할 통제항목 93개를 4개 영역으로 제시합니다.
| 부속서 A 영역 | 개수 | 다루는 내용 |
|---|---|---|
| A.5 조직 통제 | 37 | 정책, 역할과 책임, 공급망 보안, 클라우드 서비스, 사고 관리 등 조직 차원의 통제 |
| A.6 인적 통제 | 8 | 채용 전 검증, 보안 인식 교육, 징계 절차, 원격 근무 등 사람에 관한 통제 |
| A.7 물리적 통제 | 14 | 보호구역, 출입 통제, 장비 보호, 물리적 감시 등 시설·장비에 관한 통제 |
| A.8 기술적 통제 | 34 | 접근권한, 암호화, 개발 보안, 백업, 로깅·모니터링, 웹 필터링 등 기술 통제 |
93개를 전부 구현해야 하는 것은 아닙니다. 위험 평가 결과에 따라 적용 여부를 결정하고 그 근거를 적용성 보고서(SoA, Statement of Applicability)에 명시합니다. 심사는 이 문서를 축으로 진행되므로, SoA의 논리적 완결성이 준비의 핵심입니다.
인증 절차 — 2단계 심사와 3년 주기
- 경영시스템 구축·운영 — 위험 평가, SoA 작성, 통제 구현, 내부심사와 경영검토까지 운영 실적을 만듭니다.
- 인증기관 선정·계약 — 인정기구(한국 KAB, 영국 UKAS 등)의 인가를 받은 인증기관을 선택합니다. 인가받지 않은 기관의 인증서는 대외 신뢰도가 떨어지므로 계약 전 인가 여부를 확인해야 합니다.
- 1단계 심사 — 문서 심사. 경영시스템 문서와 준비 상태를 점검합니다.
- 2단계 심사 — 현장 심사. 통제가 실제로 운영되고 있는지 확인합니다.
- 부적합 시정조치 및 인증서 발급 — 유효기간은 3년입니다.
- 사후심사(연 1회)·갱신심사(3년 주기) — 국내 ISMS와 같은 유지 구조입니다.
ISMS·ISMS-P와 무엇이 다른가
| 구분 | ISMS·ISMS-P (국내) | ISO 27001 (국제) |
|---|---|---|
| 성격 | 정보통신망법에 근거한 법정 인증 | 국제 표준에 근거한 민간 인증 |
| 강제성 | 의무대상 존재 (매출·이용자 기준) | 자발적 — 다만 글로벌 고객사의 보안 실사 요건으로 사실상 요구되는 경우가 많음 |
| 통제항목 | 80개(ISMS) / 101개(ISMS-P) | 93개 (위험 기반 선택 적용, SoA로 근거 관리) |
| 심사 주체 | KISA·금융보안원과 지정 심사기관 | 인정기구 인가를 받은 인증기관 |
| 통용 범위 | 국내 법령상 효력 | 국제적으로 통용 |
중요한 것은 ISO 27001이 국내 법정 의무를 대신하지 못한다는 점입니다. 정보통신망법상 의무대상이라면 ISO 27001을 보유하고 있어도 ISMS 또는 ISMS-P를 취득해야 합니다. 의무 여부 판단은 ISMS 인증 의무대상 판단 기준을 참고하십시오.
어떤 인증을 선택해야 하는가
- 국내 의무대상이라면 — 선택의 여지없이 ISMS 또는 ISMS-P가 먼저입니다. 제도 전반은 ISMS-P 인증 안내에 정리되어 있습니다.
- 글로벌 고객·해외 진출이 목표라면 — 해외 발주사와 파트너는 국내 법정 인증보다 ISO 27001을 기준으로 보안 수준을 평가하는 경우가 많습니다.
- 둘 다 필요하다면 — 두 인증의 통제 영역은 상당 부분 겹칩니다. 관리체계를 한 번 구축하면서 두 인증의 기준을 함께 매핑하면 각각 따로 준비하는 것보다 중복 작업이 크게 줄고, 심사 일부 생략 조항의 이점도 활용할 수 있습니다.