ISMS-P 인증 받은 뒤가 더 중요합니다 — 사후심사와 갱신심사 준비
인증을 받으면 끝났다고 생각하기 쉽습니다. 그런데 실제로는 그때부터 유지 관리가 시작됩니다.
최초 심사 때 만든 문서가 그대로 방치돼 있으면 사후심사에서 바로 드러납니다. 이 글에서는 인증 이후 무엇을 어떻게 유지해야 하는지 정리하겠습니다.
인증 이후 일정
인증 유효기간과 심사 주기 | 업로드 파일 : v1.png
ISMS·ISMS-P 인증의 유효기간은 3년이며, 그 기간 중 매년 사후심사를 받습니다. 유효기간이 끝나기 전에는 갱신심사를 받아야 합니다.
| 시점 | 심사 | 성격 |
| 1년차 | 최초 심사 | 인증 취득 |
| 2년차 | 사후심사 | 유지 여부 확인 |
| 3년차 | 사후심사 | 유지 여부 확인 |
| 만료 전 | 갱신심사 | 다음 3년을 위한 재심사 |
갱신심사는 여유를 두고 신청하십시오. 유효기간 만료 직전에 신청하면 심사 일정과 보완 조치 기간이 부족해집니다. 인증기관의 신청 기한 안내를 미리 확인해 두십시오.
사후심사는 무엇을 보나
핵심은 “정한 대로 운영하고 있는가”입니다.
| 확인 영역 | 보는 것 |
| 운영 기록 | 점검·교육·감사를 실제로 수행했는가 |
| 변화 반영 | 조직·시스템 변경이 문서에 반영됐는가 |
| 이전 결함 | 지난번 지적 사항이 개선됐는가 |
| 신규 위험 | 새로 도입한 시스템·서비스의 위험 관리 |
| 법령 개정 | 바뀐 법령이 정책에 반영됐는가 |
최초 심사는 “체계를 갖췄는가”를 봅니다. 사후심사는 “그 체계가 살아 있는가”를 봅니다. 그래서 문서보다 1년 치 운영 기록이 훨씬 중요합니다.
1년 동안 돌려야 할 열 가지
연간 운영 항목 | 업로드 파일 : v2.png
| 주기 | 항목 | 산출물 |
| 매월 | 접속기록 점검 | 점검 기록 |
| 분기 | 개인정보 파기 실행 | 파기 대장 |
| 반기 | 접근권한 재검토 | 권한 대장 |
| 반기 | 자산 목록 갱신 | 갱신 이력 |
| 연 1회 | 임직원 보안 교육 | 이수 기록 |
| 연 1회 | 위탁사 점검 | 점검 결과서 |
| 연 1회 | 위험평가 재수행 | 평가 결과표 |
| 연 1회 | 내부감사 | 감사 보고서 |
| 연 1회 | 사고 대응 훈련 | 훈련 기록 |
| 수시 | 처리방침 갱신 | 개정 이력 |
이 열 가지를 연초에 달력에 걸어두십시오. 각 항목의 산출물이 그대로 사후심사 증적이 됩니다. 심사 직전에 몰아서 만들려고 하면 날짜가 맞지 않아 오히려 문제가 됩니다.
갱신심사는 무엇이 다른가
| 구분 | 사후심사 | 갱신심사 |
| 목적 | 유지 여부 확인 | 재인증 여부 판단 |
| 범위 | 상대적으로 축약 | 최초 심사에 준하는 범위 |
| 준비 부담 | 중간 | 높음 |
| 시점 | 매년 | 유효기간 만료 전 |
갱신심사는 사실상 다시 심사받는다고 보시면 됩니다. 3년간 조직과 시스템이 많이 바뀌었을 것이므로, 범위 재검토부터 시작하십시오.
인증이 취소될 수 있는 경우
인증은 영구적이지 않습니다. 거짓이나 부정한 방법으로 인증을 받은 경우, 사후심사나 갱신심사를 받지 않은 경우, 인증기준에 미달하게 된 경우 등에는 인증이 취소될 수 있습니다. 구체적 사유는 관련 법령과 고시를 확인하십시오.
특히 사후심사를 받지 않는 것은 단순 지연이 아니라 인증 자체가 흔들리는 문제입니다. 담당자가 바뀌면서 일정을 놓치는 경우가 있으니, 인수인계 항목에 반드시 포함하십시오.
심사 전 준비
| 시점 | 할 일 |
| D-60 | 심사 신청, 일정 협의 |
| D-30 | 1년 치 운영 기록 취합 |
| D-25 | 조직·시스템 변경 사항 문서 반영 |
| D-20 | 이전 결함 조치 결과 정리 |
| D-15 | 자산 목록·권한 전수 검증 |
| D-10 | 내부감사 수행 및 조치 |
| D-7 | 증적 폴더 정리, 담당자 배정 |
| D-3 | 예상 질의 정리 및 리허설 |
앞선 심사 결함 글에서 말씀드린 인증 증적 폴더를 평소에 운영하시면 D-30 작업이 거의 사라집니다. 각 활동이 끝날 때마다 결과물을 그 폴더에 넣어두는 것만으로 충분합니다.
자주 하는 실수
| 실수 | 문제 |
| 인증 후 운영 중단 | 사후심사에서 바로 드러납니다 |
| 심사 직전 기록 몰아 만들기 | 날짜와 정황이 맞지 않습니다 |
| 담당자 변경 시 인수인계 부실 | 일정과 이력이 끊깁니다 |
| 조직·시스템 변경 미반영 | 현행화되지 않은 문서로 판단 |
| 갱신심사 신청 지연 | 일정 부족으로 위험 |
| 이전 결함 재발 | 개선이 표면적이었다는 뜻 |
마치며
인증은 받는 것보다 유지하는 것이 어렵습니다. 최초 심사는 프로젝트지만, 유지는 일상 업무이기 때문입니다.
그런데 관점을 바꾸면, 유지가 잘 되는 조직은 심사를 특별히 준비할 필요가 없습니다. 평소에 하던 것을 보여주면 되기 때문입니다.
이 시리즈에서 다룬 자산 목록, 위험평가, 접근통제, 파기, 교육, 내부감사가 각자의 주기대로 돌아가면 그것이 곧 관리체계입니다. 그때부터 인증은 결과일 뿐입니다.
이 글은 공개된 법령·고시와 실무 경험을 바탕으로 정리한 일반 정보이며, 법률자문이 아닙니다. 기준과 수치는 개정될 수 있으므로 국가법령정보센터와 개인정보보호위원회·KISA의 최신 자료를 확인하시고, 중요한 사안은 전문가 자문을 받으시기 바랍니다.
태그
#ISMSP #사후심사 #갱신심사 #인증유지 #관리체계 #보안실무 #인증준비 #KISA
'ISMS-P 인증' 카테고리의 다른 글
| ISMS-P 심사 결함, 자주 나오는 유형 8가지와 예방법 (0) | 2026.09.05 |
|---|---|
| ISMS-P 내부감사, 계획서부터 개선 확인까지 (양식 항목 포함) (0) | 2026.09.04 |
| 개인정보 국외이전, 언제 동의가 필요한가 — 클라우드 쓴다면 꼭 확인 (0) | 2026.09.04 |
| ISMS-P 위험평가와 DoA, 처음부터 끝까지 (실무 절차) (0) | 2026.08.31 |
| 정보자산 목록, 어디까지 넣어야 하나 — ISMS-P 준비의 첫 단추 (0) | 2026.08.30 |
