ISO 27001 설명

공인 인증 기관인 DQS가 제공하는 객관적인 개요입니다.

ISO 27001은 정보 보안 관리 시스템(ISMS)을 위한 선도적인 국제 표준입니다. 이 표준은 조직이 정보 보안 위험을 체계적으로 식별, 평가 및 처리하기 위해 충족해야 할 요구 사항을 명시하며, 단일 기술적 통제 수단이 아닌 사람, 프로세스 및 기술을 포괄합니다. 이 표준은 금융 기관, 의료 서비스 제공자, 공공 기관은 물론, 고객, 직원 또는 파트너를 대신하여 민감한 정보를 취급하는 클라우드 서비스 제공자, 제조업체, 소프트웨어 기업에 이르기까지 모든 규모와 분야의 조직에 적용됩니다. 현재 버전은 2013년판을 대체한 ISO/IEC 27001:2022이며, 기존에 인증을 받은 조직에 대한 3년간의 전환 기간은 2025년 10월 31일에 종료되었으며, 2024년에 발표된 개정안(개정안 1:2024)을 통해 기후 행동과 관련된 구체적인 요구 사항이 추가되었습니다.

ISO 27001 주요 정보 한눈에 보기

ISO 27001의 배경 및 추진 요인

정보 보안에 대한 규제 압력

최근 몇 년간, 특히 유럽연합(EU)에서 정보 보안에 대한 규제 환경이 급격히 강화되었습니다. 네트워크 및 정보 보안 지침 2(NIS2)는 사이버 보안 의무를 에너지, 교통, 보건, 디지털 인프라, 제조 등 다양한 분야의 중견 기업을 포함하여 훨씬 더 광범위한 필수 및 중요 기관으로 확대 적용합니다. 금융 기관 및 해당 기관의 핵심 정보통신기술(ICT) 제3자 공급업체에 적용되는 ‘디지털 운영 복원력 법(DORA)’은 ICT 위험 관리, 사고 보고, 복원력 테스트 및 공급업체 감독에 대한 상세한 요건을 규정하고 있습니다. NIS2와 DORA 모두 ISO 27001을 의무적인 기준으로 규정하지는 않지만, 두 지침 모두 국제적으로 인정받는 정보 보안 표준을 참고 기준으로 언급하고 있으며, 많은 조직이 인증된 정보 보안 관리 시스템(ISMS)을 규제 프로그램의 구조적 기반으로 활용하고 있습니다.

시장의 기대와 고객의 신뢰

공식적인 규제를 넘어, 정보 보안은 기업 간(B2B) 계약, 입찰 절차 및 공급업체 자격 심사 프로그램에서 일상적인 주제로 자리 잡았습니다. 기업 고객들은 시스템이나 데이터에 대한 접근 권한을 부여하기 전에 공급업체가 외부에서 검증된 ISMS를 입증할 것을 점점 더 요구하고 있으며, 공인 인증 기관이 발급한 인증서는 이러한 성숙도를 입증하는 증거로 널리 인정받고 있습니다. 소프트웨어 공급업체, 클라우드 제공업체 및 고객 데이터를 기반으로 하는 비즈니스 모델을 가진 기타 조직의 경우, ISO 27001 인증은 많은 분야에서 시장 진입의 필수 요건에 가까워졌습니다. 이러한 추세는 데이터 유출, 랜섬웨어, 공급망 공격에 대한 대중의 인식이 높아짐에 따라 더욱 강화되고 있으며, 이는 조직이 전체 가치 사슬 전반에 걸쳐 정보를 어떻게 보호하는지에 대한 기대치를 높이고 있습니다.

복원력, 개인정보 보호 및 지속가능성과의 융합

정보 보안은 더 이상 고립된 영역이 아닙니다. 운영 복원력, 비즈니스 연속성, 개인정보 보호, 그리고 ‘개정안 1:2024’가 발표된 이후로는 기후 관련 고려 사항과도 점점 더 밀접하게 교차하고 있습니다. 이사회와 리스크 위원회는 정보 보안을 ICT 중단, 제3자 리스크, 그리고 중요 인프라에 영향을 미치는 극한 기상 현상으로 인한 혼란 등을 포함하는 더 넓은 맥락의 한 차원으로 바라보고 있습니다. ISO 27001은 조직이 개인정보 보호, 연속성, 공급업체 감독, 물리적 복원력 등 이러한 관련 주제들을 서로 단절된 개별 이니셔티브의 모자이크가 아닌 단일 관리 시스템으로 통합할 수 있도록 하는 구조적 기반을 제공합니다.

ISO 27001의 핵심 요구사항

ISO/IEC 27001:2022는 현대적인 ISO 경영 시스템 표준들이 공통으로 채택하고 있는 부록 SL(Annex SL) 조화 구조를 따릅니다. 제1~3조는 적용 범위, 규범적 참조 및 용어를 규정합니다. 제4~10조에는 아래에 요약된 감사 가능한 경영 시스템 요구사항이 포함되어 있습니다. 부록 A는 ISO 27002에 상세히 기술된 93개의 정보 보안 통제 조치를 참조하며, 조직은 자체 위험 평가를 바탕으로 적용 가능한 조치를 선택합니다.

조항 4 — 조직의 맥락

조직은 자사의 정보보안관리시스템(ISMS)에 영향을 미치는 내부 및 외부 사안을 파악하고, 고객, 규제 당국, 공급망 파트너, 주주 등 이해관계자의 요구와 기대를 파악합니다. 이를 바탕으로, 적용 대상인 사업장, 사업 활동, 기술 및 정보 자산을 포함하여 ISMS의 적용 범위를 정의합니다.

제5조 — 리더십

최고 경영진은 ISMS에 대한 리더십과 헌신을 보여주며, 정보 보안 정책에 서명하고, 역할, 책임 및 권한을 할당합니다. 정보 보안은 위임된 기술적 기능이 아닌 전략적으로 중요한 주제로 자리매김합니다.

제6조 — 계획

조직은 정보 보안 위험 평가를 수행하고, 위험을 수용 및 처리하기 위한 기준을 정의하며, 해당 위험을 해결하기 위해 필요한 통제 수단을 선정합니다. 적용 범위 명세서에는 부록 A의 통제 수단 중 어떤 것이 적용되고, 어떤 것이 제외되는지, 그리고 각 경우에 대한 근거가 문서화됩니다. 정보 보안 목표가 정의되고 정책과 연계됩니다.

제7조 — 지원

자원, 역량, 인식 제고, 의사소통 및 문서화된 정보가 다루어집니다. ISMS에 관여하는 인력은 적절한 교육을 받으며, 문서는 조직의 규모와 복잡성에 상응하는 형태로 유지 관리됩니다.

제8조 — 운영

조직은 정보 보안 요구 사항을 충족하는 데 필요한 프로세스를 계획, 구현 및 통제하고, 위험 평가 및 처리 계획을 실행하며, ISMS에 영향을 미칠 수 있는 변경 사항을 관리합니다.

제9조 — 성과 평가

ISMS를 모니터링, 측정 및 분석합니다. 내부 감사 및 경영 검토를 통해 시스템이 효과적인지, 요구 사항을 준수하는지, 지속적으로 개선되고 있는지를 평가하는 근거를 마련합니다. 이러한 결과는 계획 수립 및 운영 결정에 반영됩니다.

조항 10 — 개선

부적합 사항은 시정 조치를 통해 해결되며, 조직은 ISMS의 적합성, 적절성 및 효과성을 지속적으로 개선해야 합니다. 지속적인 개선은 선택적 부가 사항이 아니라 본 표준의 구조적 특징입니다.

부록 A — 참조 통제 항목

부록 A는 4가지 주제(조직적 통제(37), 인적 통제(8), 물리적 통제(14), 기술적 통제(34))로 분류된 93개의 통제를 참조하고 있습니다. 2022년 개정판에서는 2013년 버전의 114개 통제 항목을 통합 및 재구성하고, 11개의 새로운 통제 항목(위협 인텔리전스, 클라우드 서비스 정보 보안, 비즈니스 연속성을 위한 ICT 준비 상태, 물리적 보안 모니터링, 구성 관리, 정보 삭제, 데이터 마스킹, 데이터 유출 방지, 모니터링 활동, 웹 필터링 및 보안 코딩)을 도입했으며, 필터링 및 보고를 지원하기 위해 각 통제 항목에 5가지 속성(통제 유형, 정보 보안 속성, 사이버 보안 개념, 운영 역량 및 보안 영역)을 적용했습니다.

ISO 27001의 대상 그룹 및 적용 분야

ISO 27001은 설계상 특정 산업 분야에 구애받지 않습니다. 이 표준의 요구사항은 다국적 은행, 지역 병원 네트워크, 공공기관, 그리고 고객을 대신하여 고객 데이터를 처리하는 소프트웨어 스타트업에 동등하게 적용됩니다. 실제로는 특정 적용 분야가 특히 두드러지게 나타나고 있습니다.

클라우드 플랫폼, SaaS(Software-as-a-Service) 공급업체, 관리형 서비스 제공업체, 데이터 센터 운영업체를 포함한 정보통신기술(ICT) 제공업체들은 종종 ISO 27001을 기업 고객들이 기대하는 기본 보증 프레임워크로 간주합니다. 금융 서비스 기관은 ISO 27001을 활용하여 DORA(데이터 보호 및 책임법) 의무도 지원하는 ICT 위험 관리 프로그램을 구축합니다. 의료 기관은 환자 정보와 임상 시스템을 보호하기 위해 이 표준을 적용하며, 종종 해당 부문별 개인정보 보호 및 보안 요구 사항과 병행하여 적용합니다. 공공 부문 기관 및 중요 인프라 운영사는 NIS2 및 국가 사이버 보안 법규에 따른 의무를 이행하기 위해 ISO 27001을 도입합니다. 제조 기업은 지적 재산을 보호하고, 운영 기술(OT) 환경을 보안하며, OEM(Original Equipment Manufacturers)을 포함한 대형 고객의 공급망 보안 요구 사항에 대응하기 위해 이를 채택합니다.

이러한 모든 조직에 있어, 인증된 정보보안관리시스템(ISMS)은 정보 보안 투자 및 우선순위에 대한 증거 기반의 의사결정을 위한 체계적인 프레임워크를 제공합니다. 이는 경영진의 정보에 입각한 의사결정을 지원하고, 규제 당국, 고객 및 공급망 파트너와의 위험 기반 대화를 위한 기반을 마련하는 동시에, 실질적인 의사결정은 해당 책임자에게 맡깁니다.

ISO 27001 관련 표준

조화 구조 및 일반적인 조합

ISO 27001은 ISO 9001 (품질), ISO 14001 (환경), ISO 22301 (비즈니스 연속성)을 비롯한 널리 사용되는 다른 경영 시스템 표준들과 ‘부록 SL (Annex SL) 통합 구조’를 공유합니다. 이러한 공통 구조를 통해 조직은 정보 보안, 품질, 환경 및 비즈니스 연속성 요구 사항이 리더십의 약속, 계획 수립 프로세스, 내부 감사 및 경영 검토를 공유하는 통합 경영 시스템을 운영할 수 있습니다. 실무에서는 이러한 표준 간 통합 감사가 흔히 이루어지며, 이를 통해 중복 작업을 줄이는 경향이 있습니다.

ISO 27000 계열 

ISO 27001은 정보 보안 관리를 심도 있게 다루는 ISO 27000 표준 계열의 중심에 위치합니다. ISO 27000은 이 표준 계열에 대한 개요와 용어를 제공합니다. ISO 27002는 부록 A의 각 통제 항목을 상세한 구현 지침으로 확장하며, ISO 27001을 구현할 때 가장 자주 참조되는 표준입니다. ISO 27005는 정보 보안 위험 관리에 대한 지침을 제공하며, ISO 27001의 위험 기반 조항을 운영화하는 데 널리 사용됩니다. ISO 27017과 ISO 27018은 각각 제어 항목을 클라우드 서비스 및 퍼블릭 클라우드 환경에서의 개인 식별 정보(PII) 보호로 확장합니다. ISO 27019는 에너지 공급에 사용되는 제어 시스템을 위한 정보 보안 관리 체계를 구축하기 위한 지침 표준입니다. 이 표준은 ISO 27002에 명시된 정보 보안 통제 사항을 기반으로 하며, 해당 표준에서 정의된 일반적인 조치를 넘어서는 분야별 요구 사항을 추가합니다. ISO 27701은 개인정보 관리 시스템(PIMS)에 대한 요구 사항과 지침을 규정합니다.

분야 및 주제별 확장

여러 분야별 표준이 규범적 측면에서 ISO 27001을 기반으로 합니다. ISO/IEC 27011은 통신 기관을 위한 추가 지침을 제공합니다. ISO/IEC 27017 및 ISO/IEC 27018은 클라우드 관련 통제 사항을 다룹니다. ISO/IEC 27019는 에너지 유틸리티 산업을 위한 지침을 제공합니다. ISO/IEC 27799는 ISO/IEC 27002의 통제 조치를 의료 정보학 분야에 적용합니다. 이러한 확장 표준들은 ISO 27001 관리 체계를 재사용하며, 해당 산업 분야와 관련된 통제 조치를 추가하거나 세분화합니다.

유사 프레임워크와의 차별점

ISO 27001은 때때로 SOC 2 및 NIST 사이버보안 프레임워크와 같은 다른 정보 보안 프레임워크와 비교되기도 합니다. ISO 27001은 인증 기관을 통해 정보보안관리시스템(ISMS)의 인증을 받을 수 있는 국제 표준입니다. SOC 2는 미국공인회계사협회(AICPA)가 정의한 보고 프레임워크로, 이에 따라 보증 전문가들은 보안, 가용성, 처리 무결성, 기밀성 또는 개인정보 보호와 관련된 통제 사항에 대한 보증 보고서를 발행합니다. 두 프레임워크의 다루는 영역은 일부 겹치지만, 적용 범위가 다르고 거버넌스 모델도 상이하므로 동등한 것으로 간주되어서는 안 됩니다. NIST 사이버 보안 프레임워크는 특히 미국 내에서 위험 관리를 안내하기 위한 자발적 프레임워크이며, ISO 27001과 같은 의미에서 인증을 받을 수 있는 것이 아닙니다.