ISO/IEC 27001 쉽게 정리

1) 한눈에 보는 ISO/IEC 27001

구분	내용
한 줄 정의	조직이 정보보호를 체계적으로 관리하기 위한 ISMS(정보보호 관리체계) 국제 표준
핵심 목표	정보자산을 기밀성·무결성·가용성(CIA) 관점에서 관리/보호
적용 대상	기업/기관/조직(산업 무관), IT 뿐 아니라 사람·프로세스·기술 전체
인증 의미	“보안을 잘한다”가 아니라 보안을 관리하는 체계가 갖춰졌다를 외부 심사로 입증
대표 구성	관리체계 요구사항(프로세스) + 통제항목(Controls)
운영 방식	PDCA(Plan-Do-Check-Act) 기반의 지속 개선(지속적 관리가 핵심)

ISO/IEC 27001은 위험평가 결과에 따라 필요한 통제를 선택해 적용하고, 그 근거를 문서화합니다(“왜 적용/미적용인지”).

포인트: Annex A는 “체크리스트” 느낌이지만, 27001은 위험 기반(Risk-based) 으로 “우리 조직에 맞게 선택/설명”하는 게 핵심이에요.

표현	뜻(쉽게)
ISMS	정보보호 관리체계(프로세스/운영 체계)
Risk Assessment	자산-위협-취약점-영향도로 위험을 평가
Risk Treatment	위험을 줄이기 위한 처리(통제 적용 등)
Statement of Applicability(SoA)	통제항목을 적용/미적용한 이유를 정리한 문서(핵심 산출물)
내부심사	조직 내부에서 요구사항 준수 여부 점검
지속적 개선	한 번 구축하고 끝이 아니라 계속 개선

ISO/IEC 27001은 정보보호를 “기술”이 아니라 “관리체계(ISMS)”로 운영해, 위험 기반으로 통제를 적용하고 지속적으로 개선하는 국제 표준이다.

좋아요! 요청하신 대로 (1) SoA 예시 표랑 (2) ISO/IEC 27001 vs ISMS/ISMS-P 비교 표를 블로그용으로 깔끔하게 만들어드릴게요.

SoA는 “통제항목을 적용/미적용한 이유와 상태”를 정리한 문서예요. (심사에서 매우 중요)

통제영역(예시)	통제항목(예시)	적용 여부	적용 이유(위험 기반)	구현 상태	증빙(예시)
접근통제	계정/권한 관리	적용	내부 시스템 무단접근 위험 높음	운영중	권한부여 기록, IAM 정책
접근통제	MFA 적용	적용	계정 탈취 위험(피싱) 대응	부분 적용	MFA 설정 화면, 적용 대상 목록
암호화	저장 데이터 암호화	적용	고객정보 유출 시 영향 큼	운영중	DB 암호화 설정, 키관리 절차
운영보안	로그 수집/모니터링	적용	침해 탐지 및 추적 필요	운영중	SIEM 대시보드, 로그 정책
물리보안	전산실 출입통제	적용	서버/네트워크 장비 물리 위협	운영중	출입 기록, CCTV 점검표
공급망	협력사 보안요구	적용	외주/협력사 통한 사고 위험	운영중	계약서 보안조항, 평가표
(예: 미적용)	(예: 특정 기술 통제)	미적용	해당 자산/서비스 미운영(범위外)	해당없음	범위 정의서

SoA 작성 팁(시험+실무 공통)

구분	ISO/IEC 27001	ISMS(국내)	ISMS-P(국내)
성격	국제 표준 ISMS	국내 법/고시 기반 관리체계 인증	ISMS + 개인정보보호(Privacy) 강화
핵심 초점	위험 기반 정보보호 관리체계 + 통제 적용	국내 요구사항 중심의 관리체계	개인정보 처리 전 과정 통제 포함
적용 대상	산업/국가 무관(글로벌)	국내 주요 정보통신서비스 제공자 등	개인정보 대량 처리/주요 사업자 등
통제 구성 느낌	Annex A 통제 “선택 적용 + SoA”	요구사항/통제 “준수 중심”	개인정보 항목(수집~파기)까지 폭넓음
준비 포인트	위험평가/SoA/지속개선(PDCA)	관리체계 문서화/운영 증빙	ISMS + 개인정보보호 체계/증빙
활용	글로벌 신뢰(해외 고객/파트너)	국내 컴플라이언스/입찰	국내 개인정보 규제 대응에 강점

한 줄 감각:
27001 = 국제 표준(위험 기반 + SoA) / ISMS = 국내 정보보호 관리체계 / ISMS-P = ISMS + 개인정보보호까지 확장

아래는 ISO/IEC 27001(ISMS) 심사 준비 체크리스트 15개를 (문서 + 운영증빙 중심)