ISMS-P를 준비할 때
운영 증적은 이렇게 쌓습니다
ISMS-P 인증기준은 101개 항목입니다. 그중 로그 관리, 취약점 점검, 이상행위 모니터링, 사고 대응처럼 매일 돌아가야 하는 항목에서 Genox Cybersecurity AI와 보안 서비스가 심사 때 보여 줄 기록을 남길 수 있습니다. 인증을 대신 받아 드리거나 심사 결과를 보장하지는 않습니다.
무엇을 요구하나
ISMS-P는 정보통신망법의 정보보호 관리체계 인증과 개인정보 보호법의 개인정보보호 인증을 하나로 운영하는 제도입니다.
세부 기준은 「정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시」 별표 7에 있습니다.
고시 제23조에 따라 ISMS-P 인증에는 별표 7의 가목부터 다목까지, ISMS 인증에는 가목과 나목만 적용됩니다. 그래서 ISMS는 80개, ISMS-P는 개인정보 처리 단계별 요구사항 21개가 더해져 101개를 봅니다.
심사는 KISA나 지정된 인증기관·심사기관이 서면심사와 현장심사로 합니다. 정책 문서만으로는 부족하고, 정한 대로 실제 운영했다는 기록을 함께 봅니다. 문서는 몇 주면 고칠 수 있지만, 몇 달 치 로그 점검 이력이나 취약점 조치 이력은 심사 직전에 한꺼번에 만들 수 없습니다. 운영 기록은 일찍 쌓기 시작하는 편이 낫습니다.
| 영역 | 분야 (항목 수) |
|---|---|
| 1. 관리체계 수립 및 운영 (16) | 관리체계 기반 마련(6), 위험관리(4), 관리체계 운영(3), 관리체계 점검 및 개선(3) |
| 2. 보호대책 요구사항 (64) | 정책·조직·자산 관리(3), 인적보안(6), 외부자 보안(4), 물리보안(7), 인증 및 권한 관리(6), 접근통제(7), 암호화 적용(2), 정보시스템 도입 및 개발 보안(6), 시스템 및 서비스 운영관리(7), 시스템 및 서비스 보안관리(9), 사고 예방 및 대응(5), 재해복구(2) |
| 3. 개인정보 처리 단계별 요구사항 (21) | 수집 시 보호조치(7), 보유 및 이용 시 보호조치(5), 제공 시 보호조치(4), 파기 시 보호조치(2), 정보주체 권리보호(3) |
인증기준과 Genox 기능의 관계
Genox가 관련 있는 항목만 골랐습니다.
표에 없는 항목, 예를 들어 인적보안이나 물리보안은 Genox가 도울 부분이 거의 없습니다.
| 요구 사항 | 관련 Genox 기능 / 서비스 | 고객이 직접 해야 하는 일 |
|---|---|---|
| 1.2 위험관리 위험 식별과 평가 | Vulnerability Scanner의 자산별 취약점 목록과 우선순위, 모의해킹 · 진단 결과를 위험평가 입력 자료로 제공 | 위험평가 방법 선택, 수용 가능한 위험 수준 결정, 경영진 승인 |
| 1.4 관리체계 점검 및 개선 | 보안 컨설팅의 인증 전 갭 분석과 개선 과제 정리 | 내부 점검 계획 수립과 실행, 개선 조치 승인 |
| 2.8 정보시스템 도입 및 개발 보안 | CI 파이프라인에 붙이는 SAST·SCA 스캔, 출시 전 모의해킹 | 보안 요구사항 정의, 시험 결과 검토와 운영 이관 승인 |
| 2.9.4 로그 및 접속기록 관리 | SIEM·EDR에서 받은 로그를 Threat Correlator가 분석하고, Genox 자체 감사 로그는 서명해 보관 | 남길 로그 종류와 보존 기간 결정. 개인정보처리시스템 접속기록은 해당 시스템이나 DB 접근제어 솔루션이 남겨야 합니다 |
| 2.10 시스템 및 서비스 보안관리 패치, 악성코드 통제 등 | EPSS·KEV를 반영한 패치 우선순위, Behavioral Analyzer 샌드박스 분석 | 패치 적용 일정 결정과 실행, 백신 등 보안 프로그램 운영 |
| 2.11.2 취약점 점검 및 조치 | Vulnerability Scanner 정기 스캔, 모의해킹 · 진단, 조치 후 재스캔 기록 | 점검 결과별 조치 계획 수립과 이행, 조치하지 못한 건의 위험 수용 승인 |
| 2.11.3 이상행위 분석 및 모니터링 | AI 보안관제 · MDR, 판정마다 증거와 근거가 붙은 기록, 월간 리포트 | 모니터링 범위와 임계치 승인, 관제 보고서를 검토했다는 기록 남기기 |
| 2.11.4 사고 대응 훈련 및 개선 | 모의훈련, 선제적 보안 검증 (레드팀 · 블루팀) | 훈련 계획 승인, 훈련 결과를 대응 절차에 반영 |
| 2.11.5 사고 대응 및 복구 | 침해사고 대응, Threat Correlator의 사건 타임라인 | 법령에 따른 신고와 통지(개인정보 유출 신고 등), 대외 커뮤니케이션 |
| 3. 개인정보 처리 단계별 요구사항 | 직접 관련된 기능은 거의 없습니다. Behavioral Analyzer의 대량 조회·반출 탐지가 보유·이용 단계의 오남용 감시에 일부 쓰일 수 있습니다 | 수집 동의와 고지, 제3자 제공, 파기, 정보주체 권리 행사 절차 전부 |
항목 번호와 이름은 KISA·개인정보보호위원회가 공개한 인증기준 체계를 따랐습니다. 세부 점검항목은 개정될 수 있으니 최신 인증기준 안내서를 함께 보세요.
Genox가 대신하지 않는 일
ISMS-P는 조직이 스스로 관리체계를 세우고 굴리는지를 보는 인증입니다.
도구가 채워 줄 수 있는 부분은 생각보다 좁습니다.
- 인증 심사와 인증서 발급은 KISA나 지정 인증기관이 합니다. Genox는 그 어느 쪽도 아닙니다.
- 정보보호 정책과 지침의 승인, 최고책임자 지정, 조직 구성은 고객이 결정합니다.
- 어떤 위험을 받아들일지는 경영진이 정합니다. Genox는 판단 자료만 드립니다.
- 인적보안, 물리보안, 외부자 계약 관리, 개인정보 동의 절차는 Genox 기능과 관련이 없습니다.
- Genox도 아직 ISMS-P 인증을 받지 않았습니다. 준비 일정은 Trust Center에 있습니다.
자주 묻는 질문
Genox를 도입하면 ISMS-P 심사에서 유리한가요?
심사원은 도구 이름을 보지 않고, 정한 절차대로 운영했는지를 봅니다. Genox가 남기는 스캔 이력, 조치 이력, 관제 판정 기록은 운영 증적으로 쓸 수 있지만, 그 기록을 누가 언제 검토했는지는 고객 쪽에서 남겨야 합니다.
이미 관제업체와 SIEM이 있는데 같이 쓸 수 있나요?
네. Threat Correlator는 쓰고 있는 SIEM이나 EDR에서 API나 Syslog로 경보를 받아 분석하고, 결과를 다시 SIEM과 티켓 시스템으로 보냅니다. 기존 관제 계약 범위에서 빠진 시스템이 있다면 그 부분을 먼저 확인해 보시길 권합니다.
ISMS만 받으려는데 이 내용이 그대로 적용되나요?
1번과 2번 영역은 ISMS와 ISMS-P가 같습니다. ISMS는 3번 개인정보 처리 단계별 요구사항이 빠진 80개 항목을 봅니다.
증적은 어떤 형태로 받을 수 있나요?
취약점 결과는 SARIF와 SBOM으로 내보낼 수 있고, 관제 판정은 증거, 근거, 신뢰도가 한 묶음으로 저장됩니다. 서비스를 이용하시면 월간 리포트에 오탐률과 놓친 사례까지 함께 실어 드립니다.
참고 자료
- 정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시, 국가법령정보센터
- ISMS-P 인증제도 소개와 인증기준 구성, 한국인터넷진흥원(KISA)
- 인증제도(ISMS-P), 개인정보보호위원회
인증 일정이 잡혀 있다면 갭 분석부터 하시죠
인증 범위와 목표 시점을 알려 주시면 지금 부족한 운영 증적이 무엇인지부터 정리해 드립니다.