ISA 2027의 정보 보안 모듈: 통제 항목별 분석

정책, 역할 및 자산

1.1.1 – 정보보안 정책은 어느 정도까지 마련되어 있는가?
이제 정보보안 정책은 수립되어 있을 뿐만 아니라 조직 내에 전달(커뮤니케이션)되어야 합니다. 정책 변경사항을 모든 관련 이해관계자에게 공유하도록 요구함으로써, 정책은 존재하지만 실제 현업에는 제대로 전달되지 않는 조직의 일반적인 문제를 보완하고자 합니다.

1.2.2 – 정보보안 책임은 어떻게 체계적으로 관리되고 있는가?
정보보안 관련 역할은 정의되고, 책임이 부여되며, 해당 역할을 수행할 수 있는 권한까지 갖추어야 합니다. 이는 문서상으로만 역할이 지정되어 있고 실제 업무를 수행하거나 요구사항을 이행할 권한은 부족했던 기존의 문제를 개선하기 위한 변경입니다.

1.3.1 – 정보자산은 어느 정도까지 식별 및 관리되고 있는가?
정보자산은 식별되고, 분류되며, 책임자(Owner)가 지정되어야 합니다. 특히 기존보다 자산 분류(Classification)와 명확한 자산 소유권(Ownership)에 더욱 중점을 두고 있습니다.

사고 및 위기 관리

1.6.2 – 보고 대상 보안 이벤트는 어떻게 관리되는가?
보안 이벤트 보고를 위한 에스컬레이션 기준과 대응 기한(Timeframe)을 명확하게 정의해야 합니다. 어떤 상황에서 에스컬레이션이 필요한지와, 언제까지 수행되어야 하는지를 구체적으로 규정하도록 요구사항이 강화되었습니다.

1.6.3 – 조직은 위기 상황에 얼마나 대비되어 있는가?
위기관리 계획은 수립될 뿐만 아니라 실제로 테스트되어야 합니다. 단순히 계획을 문서화하는 수준을 넘어, 실제 위기 대응이 가능한지 검증하고 훈련하는 것까지 요구사항의 범위가 확대되었습니다.

인적 자원 및 접근 관리

2.1.4 – 모바일 근무는 어느 정도까지 관리되고 있는가?
기존의 "Teleworking(원격근무)"라는 용어가 "Mobile Work(모바일 근무)"로 변경되었습니다. 이는 오늘날 조직에서 실제로 사용하는 업무 환경과 용어를 보다 정확하게 반영하기 위한 변경입니다.

4.2.1 – 접근권한은 어떻게 부여되고 관리되는가?
접근권한은 부여, 정기적으로 검토, 그리고 필요 시 회수되어야 합니다. 이는 접근권한 관리를 일회성 설정 작업이 아닌, 사용자 계정의 생애주기 전반에 걸쳐 지속적으로 관리해야 하는 프로세스임을 명확히 하기 위한 개정입니다.

IT 및 사이버 보안

5.2.4 – 이벤트 로그는 어느 정도까지 기록되고 분석되는가?
이제 이벤트 로그에는 원격 세션과 보안정책 위반도 포함되어야 합니다. 특히 원격 접속 활동을 기록함으로써 추적성과 책임성을 강화할 수 있습니다. 다만, 어떤 정책 위반을 기술적으로 신뢰성 있게 식별하고 기록할 수 있는지는 여전히 검토가 필요한 부분입니다.

5.2.6 – IT 시스템 및 서비스는 기술적으로 어떻게 점검되고 있는가? (시스템 및 서비스 심사)
취약점은 식별될 뿐만 아니라, 정해진 기한 내에 조치되어야 합니다. 단순히 취약점을 발견하는 것만으로는 더 이상 충분하지 않으며, 실제 개선 조치까지 완료하는 것이 요구됩니다. 이는 현장에서 해결되지 않은 알려진 취약점이 자주 발견되는 문제를 반영한 요구사항 강화입니다.

5.2.8 – IT 서비스의 업무 연속성 계획은 어떻게 수립되어 있는가?
이제 DDoS 공격, 랜섬웨어 등 구체적인 위협 시나리오를 명시적으로 정의해야 합니다. 이를 통해 모든 상황에 동일한 연속성 계획을 적용하는 것이 아니라, 각 위협 유형에 맞는 대응 및 복구 전략을 마련하도록 요구하고 있습니다.

5.2.9 – 데이터 및 IT 서비스의 백업과 복구는 어떻게 보장되는가?
백업 및 복구 절차에는 백업, 복구, 복구 순서, 시스템 격리가 모두 정의되어야 합니다. 또한 복구 가능성 검증, 백업 간의 상호 의존성, 그리고 저장 중인 백업 데이터 자체를 보호하는 등 백업의 정보보안 측면에 대한 요구사항도 한층 강화되었습니다.

공급업체 관계 관리

6.1.1 – 협력업체 및 협력 파트너의 정보보안은 어느 정도까지 보장되고 있는가?
이제 정보보안 요구사항은 정의될 뿐만 아니라, 지속적으로 모니터링되고 심사되어야 합니다. 공급업체의 위험 수준은 시간이 지남에 따라 변할 수 있으므로, 과거에는 적합했던 공급업체라도 현재의 평가 기준을 충족하지 못할 수 있습니다. 따라서 정기적인 내부 및 외부 심사는 공급업체의 기밀성(Confidentiality)과 가용성(Availability) 수준을 지속적으로 확인하는 중요한 수단이 됩니다.

실제 품질 검토 과정에서는 많은 조직이 TISAX® 요구사항을 자사의 공급망까지 충분히 전파하지 못하는 경우를 자주 확인할 수 있습니다. 만약 특정 공급업체가 귀사의 제품이나 서비스 제공에 중요한 역할을 한다면, 해당 공급업체 역시 필요한 수준의 가용성 보증을 입증해야 합니다.

마찬가지로 공급업체와 기밀정보를 공유하는 경우에도, 해당 공급업체가 필요한 정보보안 요구사항을 충족하고 있음을 객관적으로 입증하도록 요구해야 합니다.

6.1.3 (기존 1.2.4) – 외부 IT 서비스 제공업체와 조직 간의 책임은 어떻게 정의되어 있는가?
이 통제항목은 공급업체 관리 장으로 이동했으며, 기존의 "IT Suppliers(IT 공급업체)"라는 용어는 "IT Service Providers(IT 서비스 제공업체)"로 변경되었습니다.

기존에는 많은 조직이 'IT 공급업체'를 외주 IT 서비스 업체로만 한정하여 해석하는 경우가 많았습니다. 그러나 이 통제항목은 원래부터 클라우드 서비스와 웹 기반 서비스를 포함한 모든 외부 IT 및 OT 서비스 제공업체를 대상으로 하는 요구사항이었습니다.

개정된 표현은 이러한 범위를 더욱 명확하게 하고 있습니다. 외부 IT 서비스 제공업체는 SLA(서비스 수준 계약) 및 Supplier Statement of Applicability(공급업체 적용성 선언서) 등을 통해 기밀정보를 보호하도록 계약상 요구할 수 있습니다. 반면, 조직은 외부 서비스 제공업체와 공유하는 기밀정보를 자사 임직원이 어떻게 취급해야 하는지에 대한 내부 규정을 마련하고 관리할 책임을 계속 부담해야 합니다.

규정 준수

7.1.2 – 정보보안을 구현할 때 개인정보 보호는 어느 정도까지 고려되고 있는가?
기존 ISO 프레임워크와 GDPR 등 개인정보 보호 법규에서 사용되는 "Personally Identifiable Information(PII, 개인식별정보)"와 함께, 보다 직관적인 용어인 "Personal Data(개인정보)"가 함께 사용됩니다. 이를 통해 개인정보 보호 요구사항을 보다 명확하고 이해하기 쉽게 표현하고자 했습니다.

추가적으로 보완이 필요한 부분: IT/OT 적용 범위(Scope) 명확화

특히 주목할 필요가 있는 부분은 많은 조직이 ISA 카탈로그에서 정의하는 'IT 시스템'의 범위가 생각보다 훨씬 넓다는 점을 인지하지 못하고 있다는 것입니다.

ISA에서 IT 시스템은 전자적인 정보 처리를 수행하는 모든 시스템을 의미합니다. 따라서 일반적인 IT 시스템뿐만 아니라 스위치, 카메라, 센서 등 운영기술(OT, Operational Technology) 환경까지 포함될 수 있습니다.

이 때문에 IT 시스템을 대상으로 하는 통제항목, 특히 IEC 62443-2-1과 연계된 요구사항은 전통적인 IT 환경에만 적용되는 것이 아니라 IT와 OT 환경 모두에 적용된다는 점을 이해해야 합니다.

이러한 해석은 기존 ISA 6.0에서도 동일하게 적용되었지만, ISA 2027에서는 OT 적용 범위를 보다 명확하게 강조했더라면 더욱 도움이 되었을 것으로 보입니다.

실무적으로는 IT와 OT를 서로 다른 조직이나 담당 부서에서 운영하거나, 서로 다른 보안 통제를 적용하고 있다면, 자가평가(Self-Assessment) 시 IT와 OT를 구분하여 각각의 운영 현황과 통제 방법을 설명하는 것이 바람직합니다. 이를 통해 ISA 통제항목의 요구사항을 보다 명확하게 충족하고 있음을 입증할 수 있습니다.

실무적으로 무엇을 의미할까요?

이번 ISA 2027 개정으로 인해 조직이 정보보호관리체계(ISMS)를 처음부터 다시 구축해야 하는 것은 아닙니다. 다만, 다음 TISAX 평가를 준비하기 전에 현재 운영 중인 정책과 문서를 기준으로 아래 사항은 반드시 점검해 볼 필요가 있습니다.

• 정책 공유 및 역할 수행 권한 강화
  단순히 정책과 역할이 존재하는지 확인하는 것을 넘어, 조직 내에 충분히 공유되고 실제로 실행 가능한 수준으로 운영되고 있는지 점검해야 합니다.
• 공급망으로의 요구사항 전파(Supplier Cascading)
  고객에게 요구받는 가용성 및 기밀성 수준을 충족하기 위해, 자사의 공급업체에도 동일한 수준의 정보보안 요구사항이 적용되고 있는지 확인해야 합니다.
• 책임과 역할의 명확화
  임직원이 제공된 웹 서비스와 IT 서비스를 안전하고 책임감 있게 사용할 수 있도록 필요한 지침과 역할이 명확히 정의되어 있는지 검토해야 합니다.
• OT 환경의 적용 범위 확인
  자가평가(Self-Assessment) 시 스위치, 센서, 카메라, 산업제어시스템(ICS) 등 OT(운영기술) 시스템도 기존 IT 시스템과 함께 평가 범위에 포함하고 있는지 확인하는 것이 중요합니다.

프로토타입 보호 절차의 간소화 및 새로운 연간 간행 주기 등을 포함하여 ISA 2027 카탈로그 전반에 걸쳐 어떤 변화가 일어나고 있는지 더 폭넓게 파악하고 싶으시다면, 다음 관련 아티클을 참조하시기 바랍니다. "ISA 2027: 새로운 TISAX® 카탈로그에서 변경되는 사항"을 참조하십시오.

이 기사는 작성 시점의 ISA 2027에 관한 공개된 정보를 반영합니다. 새로운 카탈로그가 출시될 때마다 그렇듯이, 정확한 전환 일정 및 절차와 관련된 일부 세부 사항은 ENX와 VDA에 의해 추후 명확해질 수 있습니다. 추가 정보가 확보되는 대로 본 내용을 업데이트하겠습니다.