정보자산 목록, 어디까지 넣어야 하나 — ISMS-P 준비의 첫 단추

 

정보자산 목록, 어디까지 넣어야 하나 — ISMS-P 준비의 첫 단추

ISMS-P 준비를 시작하면 가장 먼저 만나는 벽이 정보자산 목록입니다. 그리고 대부분 여기서 예상보다 훨씬 많은 시간을 씁니다.

“서버 목록 뽑으면 되는 거 아닌가요?”라고 생각하기 쉽지만, 실제로 조사에 들어가면 몰랐던 것들이 계속 나옵니다. 이 글에서는 무엇을 자산으로 볼지, 어디까지 넣을지, 어떻게 만들지를 정리하겠습니다.

목차

1. 왜 자산 목록이 첫 단추인가

2. 무엇을 자산으로 볼 것인가

3. 목록에 반드시 들어갈 항목

4. 중요도는 어떻게 매기나

5. 자주 빠지는 자산 6가지

6. 실무 진행 순서

7. 갱신은 언제 하나

8. 자주 하는 실수

왜 자산 목록이 첫 단추인가

이유는 단순합니다. 내가 무엇을 갖고 있는지 모르면, 무엇을 지켜야 하는지도 알 수 없기 때문입니다.

자산 목록은 그 자체로 끝나는 문서가 아닙니다. 위험평가, 접근통제, 백업 정책, 사고 대응이 전부 이 목록 위에서 진행됩니다. 목록이 부실하면 그 뒤가 전부 부실해집니다.

심사에서 가장 자주 지적되는 것도 “파악하지 못한 자산”입니다. 목록에 없는 서버에서 사고가 나면, 관리체계 자체가 작동하지 않았다는 뜻이 됩니다.

무엇을 자산으로 볼 것인가

‘자산’이라고 하면 서버와 장비만 떠올리기 쉽지만, 범위가 더 넓습니다.

유형	예시
정보	고객 데이터베이스, 설계 문서, 소스코드, 계약서
소프트웨어	업무 시스템, 상용 SW, 오픈소스, SaaS
하드웨어	서버, 네트워크 장비, 보안장비, PC, 모바일 단말
서비스	클라우드, 회선, 외부 호스팅, 결제 대행
문서·매체	출력물, 백업 테이프, 외장하드, USB
인력	핵심 업무 담당자 (조직에 따라 포함)

어디까지 넣을지는 인증 범위에 달려 있습니다. 범위 안에서 정보를 만들거나, 저장하거나, 전송하거나, 처리하는 것은 전부 대상입니다.

판단이 애매할 때 기준 하나 — “이게 멈추거나 유출되면 곤란한가?”를 물어보십시오. 곤란하다면 목록에 넣으십시오. 넣어놓고 중요도를 낮게 매기는 편이, 아예 빠뜨리는 것보다 낫습니다.

목록에 반드시 들어갈 항목

정보자산 목록 필수 기재 항목  |  업로드 파일 : g1.png

항목	설명
자산번호	고유 식별자. 나중에 위험평가에서 참조합니다
자산명	시스템·장비 이름. 사내에서 실제 부르는 이름으로
자산 유형	정보 / 소프트웨어 / 하드웨어 / 서비스 / 문서
소유자	업무 책임 부서. 폐기·변경을 승인하는 주체
관리자	실제 운영 담당자
설치·보관 위치	IDC / 클라우드 리전 / 사무실 / 캐비닛
개인정보 포함 여부	포함 / 미포함 / 가명처리. 가장 중요한 열
중요도	기밀성·무결성·가용성 등급
도입일·갱신일	이력 추적과 교체 계획용
비고	연계 시스템, 특이사항

이 중 개인정보 포함 여부는 반드시 넣으십시오. ISMS-P 3영역(개인정보 처리단계별 요구사항)이 이 열을 기준으로 전개됩니다.

중요도는 어떻게 매기나

보안에서는 자산의 중요도를 세 가지 축으로 봅니다.

요소	질문	높은 예시
기밀성 (C)	유출되면 얼마나 곤란한가	고객 개인정보 DB
무결성 (I)	변조되면 얼마나 곤란한가	회계 시스템, 정산 데이터
가용성 (A)	멈추면 얼마나 곤란한가	결제 시스템, 대고객 서비스

각 요소를 3단계(상·중·하) 또는 5단계로 평가하고, 합산하거나 최댓값을 취해 등급을 매깁니다. 방식은 조직이 정하되, 기준을 문서로 남기고 일관되게 적용하는 것이 중요합니다.

실무 팁 — 처음에는 3단계로 시작하십시오. 5단계로 하면 평가자마다 기준이 흔들려 오히려 신뢰도가 떨어집니다.

자주 빠지는 자산 6가지

목록에서 자주 빠지는 자산  |  업로드 파일 : g2.png

① 부서가 자체 도입한 SaaS

결재 없이 법인카드로 결제한 협업 도구, 번역 서비스, 디자인 툴 등입니다. 여기에 회사 데이터가 올라가 있는 경우가 많습니다. 재무팀 카드 사용 내역을 훑으면 상당수가 드러납니다.

② 테스트·개발 서버

“운영 서버가 아니니까”라며 빠뜨리는데, 운영 데이터를 복사해 쓰는 경우가 흔합니다. 보안 수준은 훨씬 낮은데 데이터는 같습니다.

③ 백업 매체와 보관 문서

외장하드, 백업 테이프, 캐비닛 속 출력물입니다. 전산 자산만 세다 보면 통째로 빠집니다.

④ 퇴사자 계정과 권한

자산이라기보다 ‘접근 경로’지만, 목록화하지 않으면 회수 여부를 확인할 수 없습니다.

⑤ 협력사가 보유한 시스템

위탁했다고 관리 대상에서 빠지지 않습니다. 수탁사가 우리 데이터를 어디에 두고 있는지도 파악 대상입니다.

⑥ 개인 단말과 원격 접속 경로

재택근무용 노트북, VPN 계정, 원격 데스크톱 등입니다.

실무 진행 순서

단계	할 일	걸리는 시간(예시)
1	부서별 조사 양식 배포 (템플릿 제공)	1주
2	회신 취합	1~2주
3	교차 검증 (자산관리대장·구매내역·카드내역·네트워크 스캔 대조)	1주
4	중요도 평가 (소유 부서와 협의)	1주
5	최종 검토·승인	3일

가장 중요한 것은 3단계입니다. 부서 회신만 믿으면 반드시 누락이 생깁니다. 구매 내역, 카드 사용 내역, 네트워크 스캔 결과와 대조하십시오. 대조 과정에서 나오는 차이가 곧 ‘몰랐던 자산’입니다.

협조 요청은 구두로 하면 대부분 밀립니다. 경영진 명의의 공문 + 회신 기한 명시 + 양식 제공 세 가지를 갖추면 회수율이 크게 올라갑니다.

갱신은 언제 하나

목록은 만드는 것보다 유지하는 것이 어렵습니다. 갱신 시점을 규정에 명시해 두십시오.

시점	조치
정기	반기 또는 연 1회 전수 점검
시스템 도입·폐기 시	즉시 반영
조직 개편 시	소유자·관리자 정보 갱신
위탁 계약 변경 시	협력사 보유 자산 갱신
인증 심사 전	전수 검증

자주 하는 실수

실수	왜 문제인가
처음부터 완벽하게 만들려 함	착수가 늦어집니다. 초안을 만들고 채워가는 편이 빠릅니다
IT 자산만 넣음	문서·매체·서비스가 빠지면 범위 누락이 됩니다
중요도를 전부 '상'으로 매김	우선순위가 사라져 위험평가가 무의미해집니다
소유자를 IT팀으로 통일	업무 책임 부서가 소유자입니다. 폐기 승인 주체가 달라집니다
한 번 만들고 방치	갱신 기록이 없으면 심사에서 지적됩니다

마치며

자산 목록 작업은 지루하고 표도 안 납니다. 그런데 이 목록의 품질이 이후 모든 작업의 품질을 결정합니다.

조사할수록 몰랐던 것이 나와 당황하실 수 있습니다. 그건 실패가 아니라 이 작업이 제대로 되고 있다는 신호입니다. 사고가 난 뒤에 발견하는 것보다 지금 발견하는 편이 훨씬 낫습니다.

앞서 다룬 ISMS-P 인증 준비 로드맵과 통제항목 3개 영역 글을 함께 보시면, 이 작업이 전체 흐름 어디에 위치하는지 보이실 겁니다.

이 글은 공개된 인증기준과 실무 경험을 바탕으로 정리한 일반 정보입니다. 세부 요구사항은 인증기준 고시 개정에 따라 달라질 수 있으므로 KISA ISMS-P 인증 안내의 최신 기준을 확인하시기 바랍니다.

태그
#정보자산목록 #ISMSP #자산관리 #위험평가 #정보보호관리체계 #보안실무 #인증준비 #KISA