ISMS-P 인증 준비, 처음 맡았다면 이 순서대로 (실무자 로드맵)
정보보안 담당으로 발령받자마자 “올해 ISMS-P 받아야 한다”는 말을 들으셨다면, 지금 머릿속이 하얗게 되셨을 겁니다. 통제항목 문서를 열어보면 용어부터 낯설고, 어디서부터 손대야 할지 감이 잡히지 않습니다.
이 글은 인증을 처음 준비하는 실무자를 대상으로, 전체 흐름과 각 단계에서 실제로 해야 할 일을 정리한 것입니다. 인증 기준을 조문별로 해설하는 글이 아니라, 무엇부터 붙잡아야 하는지에 초점을 맞췄습니다.
ISMS와 ISMS-P는 무엇이 다른가
이름이 비슷해 헷갈리지만 포함 관계로 이해하시면 간단합니다.
ISMS와 ISMS-P의 차이 | 업로드 파일 : a2.png
ISMS는 정보보호 관리체계입니다. 조직의 정보자산을 어떻게 지키고 있는지를 봅니다. ISMS-P는 여기에 개인정보 처리 단계별 요구사항이 더해진 확장 인증입니다.
따라서 개인정보를 수집·이용·제공하는 서비스를 운영한다면 ISMS-P를 검토하는 것이 일반적입니다. 반대로 개인정보 처리가 거의 없는 인프라 사업자라면 ISMS만으로 충분할 수 있습니다.
실무 팁 — 법적 의무 대상은 ISMS입니다. ISMS-P는 의무가 아니라 선택이지만, 개인정보를 다루는 조직이라면 어차피 개인정보 보호법 대응을 해야 하므로 함께 받는 편이 효율적인 경우가 많습니다.
우리 회사가 의무 대상인가
정보통신망법 제47조는 ISMS 인증 의무 대상을 정하고 있습니다. 크게 세 갈래입니다.
| 구분 | 대상 |
| 통신사업자 | 서울특별시 및 모든 광역시에서 정보통신망서비스를 제공하는 사업자 |
| 집적정보통신시설 | 이른바 IDC 사업자 |
| 일정 규모 이상 | 정보통신서비스 부문 전년도 매출액 100억원 이상 / 전년도 직전 3개월간 일일평균 이용자 수 100만명 이상 / 연간 매출·세입 1,500억원 이상인 상급종합병원 및 재학생 1만명 이상 대학 |
주의 — 의무 대상 요건은 개정이 잦은 영역입니다. 위 내용은 이해를 돕기 위한 정리이며, 실제 판단은 국가법령정보센터의 최신 조문과 KISA 안내를 반드시 확인하십시오. 의무 대상인데 인증을 받지 않으면 과태료 부과 대상이 됩니다.
준비는 이 순서로 진행됩니다
전체 흐름을 먼저 머리에 넣어두면 길을 잃지 않습니다.
ISMS-P 인증 준비 6단계 흐름 | 업로드 파일 : a1.png
1단계 — 현황 파악
가장 먼저 할 일은 우리가 무엇을 갖고 있는지 아는 것입니다. 서버, 네트워크 장비, 업무 시스템, 외부 서비스, 위탁 업체, 그리고 어떤 개인정보를 어디에 보관하는지까지 목록으로 만듭니다.
이 작업이 지루하다고 건너뛰면 뒤에서 반드시 되돌아옵니다. 심사에서 가장 자주 지적되는 것이 “파악하지 못한 자산”이기 때문입니다.
2단계 — 인증 범위 확정
전사를 다 넣을지, 특정 서비스만 넣을지 정합니다. 범위가 넓으면 준비 부담이 커지고, 좁으면 인증의 실효성이 떨어집니다. 의무 대상이라면 법이 요구하는 범위가 정해져 있으므로 임의로 줄일 수 없습니다.
3단계 — 차이 분석
인증 기준의 각 통제항목을 놓고 현재 우리 수준이 어디쯤인지 표로 만듭니다. 충족·부분충족·미충족으로 나누면 무엇을 해야 하는지 바로 보입니다.
4단계 — 이행
가장 오래 걸리는 단계입니다. 정책·지침 문서를 만들고, 기술적 조치를 적용하고, 임직원 교육을 실시합니다. 문서만 만들고 실제로 운영하지 않으면 심사에서 걸러집니다.
5단계 — 내부 점검
심사 전에 스스로 한 번 훑는 과정입니다. 내부감사 계획을 세우고 실제로 수행한 뒤, 발견된 사항을 보완합니다. 이 기록 자체가 심사 증적이 됩니다.
6단계 — 심사 신청과 수감
인증기관에 신청하고 심사를 받습니다. 결함이 나오면 보완 조치를 하고 재확인을 거칩니다.
처음 3주에 해야 할 일
막막하실 때 이 순서로 시작하시면 됩니다.
| 주차 | 할 일 | 산출물 |
| 1주차 | 정보자산 목록 작성 (서버·네트워크·시스템·외부서비스) | 자산 목록표 |
| 1주차 | 개인정보 처리 현황 조사 (수집 항목·보유 기간·처리 목적) | 개인정보 처리 현황표 |
| 2주차 | 외부 위탁 현황 정리 (위탁사·위탁 업무·계약서 유무) | 수탁사 목록 |
| 2주차 | 기존 보안 정책·지침 문서 수집 | 문서 목록 |
| 3주차 | 통제항목 대비 차이 분석 | GAP 분석표 |
| 3주차 | 경영진 보고 (범위·일정·필요 자원) | 추진계획서 |
이 6개 문서만 만들어도 전체 준비의 30% 이상이 끝납니다. 그리고 이후 모든 작업이 이 문서들 위에서 진행됩니다.
실무에서 자주 막히는 지점 5가지
① 자산 목록이 계속 늘어납니다
조사할수록 몰랐던 시스템이 나옵니다. 부서에서 자체적으로 쓰던 SaaS, 담당자가 퇴사하며 인수인계가 안 된 서버 등입니다. 이건 정상입니다. 오히려 지금 발견하는 것이 다행입니다.
② 위탁 계약서에 필수 조항이 빠져 있습니다
개인정보 처리를 위탁하면 계약서에 담아야 할 항목이 법으로 정해져 있습니다. 기존 계약서를 열어보면 대부분 빠져 있습니다. 재계약 또는 부속 합의서 체결이 필요합니다.
③ 접근권한 관리가 기록으로 남아 있지 않습니다
누가 언제 어떤 권한을 받았고 왜 회수됐는지가 남아 있어야 합니다. 구두로 처리해 온 조직이 많습니다. 지금부터라도 기록을 남기는 절차를 만드십시오.
④ 다른 부서가 협조하지 않습니다
보안팀만의 일이 아닌데 보안팀 일로 여겨집니다. 경영진 명의의 공문과 일정이 명시된 협조 요청이 실질적으로 효과가 있습니다. 구두 요청은 대부분 밀립니다.
⑤ 문서는 있는데 운영이 안 됩니다
심사에서 가장 뼈아픈 지적입니다. 정책에 “분기 1회 점검”이라고 써놓고 한 번도 하지 않은 경우입니다. 지킬 수 있는 수준으로 문서를 쓰는 것이 지키지도 못할 이상적인 문서보다 낫습니다.
일정은 얼마나 잡아야 하나
조직 규모와 현재 수준에 따라 크게 다르지만, 처음 받는 경우 최소 6개월은 잡으시는 것이 현실적입니다.
| 구간 | 기간(예시) | 비고 |
| 현황 파악 ~ 차이 분석 | 1~2개월 | 가장 과소평가되는 구간 |
| 이행 | 3~4개월 | 기술 조치는 예산·구매 일정에 좌우됨 |
| 내부 점검·보완 | 1개월 | 심사 전 최종 점검 |
| 심사 신청 ~ 인증 | 1~2개월 | 인증기관 일정에 따라 변동 |
특히 기술적 조치는 예산과 구매 절차에 묶여 있어 담당자가 통제하기 어렵습니다. 필요한 솔루션이 있다면 예산 편성 시점을 역산해 미리 움직이셔야 합니다.
자주 묻는 질문
| 질문 | 답 |
| 혼자서도 준비할 수 있나요? | 가능은 하지만 권하지 않습니다. 최소한 인프라·개발·인사 담당자의 협조 체계가 필요합니다. |
| 컨설팅을 받아야 하나요? | 처음이라면 도움이 됩니다. 다만 컨설팅사가 만든 문서를 그대로 두면 운영이 안 되어 심사에서 걸립니다. |
| 인증 후에는 끝인가요? | 아닙니다. 사후심사와 갱신심사가 있습니다. 운영을 계속해야 합니다. |
| 범위를 좁게 잡아도 되나요? | 의무 대상이라면 법이 정한 범위를 따라야 합니다. 임의 축소는 불가합니다. |
마치며
ISMS-P 준비는 시험공부가 아니라 체력 훈련에 가깝습니다. 벼락치기로 문서를 만들어 통과할 수는 있어도, 사후심사에서 결국 드러납니다.
가장 확실한 방법은 지킬 수 있는 수준의 규칙을 만들고 실제로 지키는 것입니다. 그러면 심사는 그 결과를 확인하는 절차가 됩니다.
다음 글에서는 CISO 지정 의무 판단 기준을 다루겠습니다. 인증 준비와 함께 자주 나오는 질문이기 때문입니다.
이 글은 실무 경험과 공개된 법령·가이드를 바탕으로 정리한 일반 정보이며, 법률자문이 아닙니다. 인증 기준과 법령은 개정될 수 있으므로 최신 내용은 KISA ISMS-P 인증 안내와 국가법령정보센터에서 확인하시기 바랍니다.
태그
#ISMSP #ISMS인증 #정보보호관리체계 #개인정보보호 #보안실무 #KISA #인증심사 #정보보안담당자 #컴플라이언스