ISMS란? 정보보호 관리체계의 개념과 인증 준비 절차

ISMS란?

ISMS(Information Security Management System)는 정보보호 정책·조직·절차·보안대책을 마련하고 지속적으로 운영·개선하는 정보보호 관리체계입니다.

쉽게 말해 어떤 정보를 보호해야 하는지, 누가 관리하는지, 위험을 어떻게 줄이고 사고에 어떻게 대응할지를 정해 업무에서 실천하는 방식입니다. 기술적 보안 조치뿐 아니라 담당자의 역할, 임직원 교육, 점검과 개선 활동도 포함합니다. 국내의 ISMS 인증은 이러한 정보보호 활동이 정해진 인증기준에 적합한지 심사하는 제도입니다. 따라서 관리체계를 구축하는 것과 인증을 취득하는 것은 구분해야 합니다.

라온시큐어는 조직이 정보보호 관리체계를 업무에 맞게 구축하고 개선할 수 있도록 라온 보안컨설팅을 제공합니다.

ISMS 인증은 누가 받아야 하나요?

국내 ISMS 인증은 법령상 의무대상자가 취득해야 하며, 그 밖의 기업·기관도 자율적으로 신청할 수 있습니다.

대표적인 의무대상에는 법령상 요건을 충족하는 정보통신망서비스 제공자(ISP), 집적정보통신시설(IDC) 사업자, 일정 규모 이상의 정보통신서비스 제공자 등이 포함됩니다.

정보통신서비스 부문 전년도 매출액이 100억 원 이상이거나 전년도 일일평균 이용자 수가 100만 명 이상인 경우가 대표적인 판단 기준입니다. 전년도 매출액 또는 세입이 1,500억 원 이상인 상급종합병원과, 해당 요건을 충족하면서 직전연도 말 재학생이 1만 명 이상인 대학 등도 대상이 될 수 있습니다.

의무대상자는 ISMS 또는 ISMS-P 중 하나를 취득해 인증 의무를 이행할 수 있습니다. 실제 의무 여부는 사업 형태와 매출·이용자 수 산정 방식, 법령상 세부요건 등을 확인해 판단해야 합니다.

ISMS 인증에서는 무엇을 확인하나요?

정보보호 정책과 보호대책을 마련했는지뿐 아니라, 이를 실제 업무에서 지속적으로 운영하고 있는지를 확인합니다.

국내 ISMS 인증기준은 총 80개로, 관리체계 수립 및 운영 16개와 보호대책 요구사항 64개로 구성됩니다. 관리체계 영역에서는 경영진 참여, 책임과 역할, 위험관리, 점검과 개선 등을 살펴봅니다. 보호대책 영역에서는 인적·물리적 보안, 인증과 권한 관리, 접근통제, 암호화, 시스템 운영, 사고 대응과 복구 등을 확인합니다.

예를 들어 ‘퇴사자의 계정을 회수한다’는 규정을 두는 것만으로 충분하지 않습니다. 실제 계정 회수 기록과 권한 점검 결과를 통해 규정이 제대로 운영되고 있는지 확인할 수 있어야 합니다.

라온시큐어의 TouchEn Wiseaccess는 SSO·EAM·IM 기반 통합인증과 계정·권한 관리를 지원해 접근권한 관리체계의 기술적 구현에 활용할 수 있습니다. 다만 제품 도입만으로 인증기준을 충족하는 것은 아니며, 조직의 정책과 운영 기록을 함께 관리해야 합니다.

ISMS 인증은 어떻게 준비하나요?

인증 대상과 범위를 정하고 현황·위험을 점검한 뒤, 필요한 보호대책을 운영하고 심사를 준비합니다.

일반적인 준비 과정은 다음과 같습니다. 조직의 규모와 인증 범위, 기존 보안 수준에 따라 단계별 소요 기간은 달라질 수 있습니다.

라온시큐어는 라온 보안컨설팅의 RAON SCM(Security Consulting Methodology)을 통해 현황 진단과 위험 분석, 인증기준에 따른 개선 활동을 체계적으로 지원합니다.

ISMS 인증을 받은 뒤에도 관리가 필요한가요?

인증 취득 후에도 관리체계를 계속 운영하고, 정기적으로 심사를 받아야 합니다.

최초심사를 거쳐 취득한 인증의 유효기간은 3년이며, 유효기간 중에는 매년 1회 이상 사후심사를 받습니다. 인증을 계속 유지하려면 유효기간 만료 전에 갱신심사를 받아야 합니다.

서비스와 시스템, 업무환경이 바뀌면 정보보호 위험도 달라집니다. 따라서 문서 보관에 그치지 않고 변경 사항과 운영 기록, 점검 결과를 반영해 관리체계를 개선해야 합니다.

ISMS·ISMS-P·ISO 27001은 무엇이 다른가요?

국내 ISMS와 ISMS-P는 법령에 기반한 국내 인증제도이고, ISO/IEC 27001은 정보보호 관리체계의 요구사항을 정한 국제표준입니다.

여기서 비교하는 ISMS는 일반적인 관리체계 개념이 아니라 국내 ISMS 인증을 뜻합니다. ISMS는 정보보호 관리체계 80개 기준을, ISMS-P는 여기에 개인정보 처리단계별 요구사항 21개를 더한 총 101개 기준을 적용합니다.

세 인증 모두 정보보호 위험을 관리하고 관리체계를 개선하는 데 목적이 있지만, 적용 기준과 심사 절차는 다릅니다. ISO/IEC 27001 인증을 보유했다고 해서 국내 ISMS 인증 의무가 자동으로 충족되는 것은 아닙니다. 국내 법령과 계약·고객 요구사항을 구분해 확인해야 합니다.

ISMS 준비에 컨설팅과 보안 솔루션은 어떻게 활용하나요?

컨설팅은 인증기준에 맞춘 관리체계 정비를 돕고, 보안 솔루션은 계정·권한 관리 같은 기술적 보호대책의 운영을 지원합니다.

먼저 인증기준과 현재 운영 방식의 차이를 분석하고, 정책·담당자·관리 절차를 정비해야 합니다. 예를 들어 계정 관리에서는 권한 승인 기준, 변경·회수 절차, 정기 점검과 운영 기록까지 함께 갖춰야 합니다.

라온시큐어는 라온 보안컨설팅으로 인증 준비와 관리체계 개선을 지원하고, TouchEn Wiseaccess로 통합인증과 계정·권한 관리 기능을 제공해 필요한 보호대책의 구현을 돕습니다.

라온시큐어는 ISMS 구축과 운영을 어떻게 지원하나요?

라온시큐어는 정보보호 인증지원 컨설팅과 계정·권한 관리 솔루션으로 ISMS 구축과 기술적 보호대책 운영을 지원합니다.

인증 준비와 관리체계 개선에는 라온 보안컨설팅을, 업무 시스템의 인증·계정·권한 통제에는 TouchEn Wiseaccess를 활용할 수 있습니다.

컨설팅과 보안 솔루션은 관리체계 구축을 돕는 수단이며, 인증 취득 자체를 보장하지는 않습니다. 최종적으로는 조직의 정책·절차와 실제 운영 결과를 기준으로 인증 적합성을 판단합니다.