ISMS-P 통제항목, 3개 영역 구조부터 이해하기 (입문 가이드)

---

ISMS-P 통제항목, 3개 영역 구조부터 이해하기 (입문 가이드)

ISMS-P 인증기준 문서를 처음 열면 항목이 끝없이 이어집니다. 하나씩 읽다 보면 어느새 길을 잃습니다.

그런데 이 항목들은 무작정 나열된 것이 아니라 세 개의 층으로 나뉘어 있습니다. 구조를 먼저 잡으면 개별 항목이 훨씬 잘 읽힙니다.

목차

1. 왜 구조부터 봐야 하나

2. 세 개의 영역

3. 영역별 분야 구성

4. 각 영역은 무엇을 묻는가

5. 우리 회사는 어디부터 봐야 하나

6. 자주 하는 오해

왜 구조부터 봐야 하나

통제항목을 처음부터 순서대로 읽는 방식은 비효율적입니다. 항목마다 담당 부서가 다르고, 준비 난이도도 제각각이기 때문입니다.

구조를 알면 “이 항목은 누가 담당해야 하는가”가 바로 보입니다. 인사팀에 넘길 것, 인프라팀에 넘길 것, 내가 직접 해야 할 것이 구분됩니다.

세 개의 영역

ISMS-P 통제항목의 세 개 영역  |  업로드 파일 : f1.png

영역	이름	무엇을 다루나	인증 구분
1	관리체계 수립 및 운영	조직·계획·점검의 뼈대	ISMS / ISMS-P 공통
2	보호대책 요구사항	실제 보안 조치 전반	ISMS / ISMS-P 공통
3	개인정보 처리단계별 요구사항	수집부터 파기까지	ISMS-P 만

즉 ISMS는 1번과 2번, ISMS-P는 여기에 3번이 더해진 것입니다. 앞서 다룬 “ISMS와 ISMS-P의 차이”가 여기서 구조적으로 드러납니다.

영역별 분야 구성

영역별 분야 구성  |  업로드 파일 : f2.png

1영역 — 관리체계 수립 및 운영

분야	핵심 질문
관리체계 기반 마련	조직과 범위, 정책이 갖춰져 있는가
위험 관리	위험을 식별하고 수용 수준을 정했는가
관리체계 운영	계획대로 실제로 운영하고 있는가
관리체계 점검 및 개선	스스로 점검하고 고치고 있는가

이 영역은 보안팀이 직접 책임지는 부분입니다. 문서와 회의록, 점검 기록이 증적이 됩니다.

2영역 — 보호대책 요구사항

분야	주 담당
정책·조직·자산 관리	보안팀
인적 보안	인사팀
외부자 보안	구매·계약 부서
물리 보안	총무·시설
인증 및 권한관리	인프라·시스템 운영
접근통제	인프라·시스템 운영
암호화 적용	개발·인프라
정보시스템 도입 및 개발 보안	개발
시스템 및 서비스 운영관리	인프라
시스템 및 서비스 보안관리	인프라·보안
사고 예방 및 대응	보안팀
재해복구	인프라·경영지원

이 표가 이 글의 핵심입니다. 12개 분야 중 보안팀이 직접 하는 것은 일부이고, 나머지는 다른 부서의 협조 없이는 불가능합니다. 준비 초기에 이 배분표를 만들어 공유하십시오.

3영역 — 개인정보 처리단계별 요구사항

단계	확인 사항
수집 시	동의를 적법하게 받았는가, 최소 수집인가
보유 및 이용 시	목적 범위 내에서 쓰고 있는가
제공 시	제3자 제공·위탁·국외이전이 적법한가
파기 시	기간이 지난 정보를 실제로 지우는가
정보주체 권리보호	열람·정정·삭제 요구에 대응 체계가 있는가

이 영역은 개인정보의 생애주기를 그대로 따라갑니다. 수집 → 이용 → 제공 → 파기의 흐름이고, 마지막에 정보주체 권리 대응이 붙습니다.

각 영역은 무엇을 묻는가

한 문장으로 정리하면 이렇습니다.

영역	질문
1영역	어떻게 운영하는가 — 체계가 있고 돌아가는가
2영역	무엇을 지키는가 — 실제 조치가 되어 있는가
3영역	개인정보를 어떻게 다루는가 — 생애주기별로 적법한가

우리 회사는 어디부터 봐야 하나

처음이라면 1영역부터 보십시오. 이유가 있습니다.

2영역과 3영역은 “무엇을 해야 하는가”의 목록이지만, 1영역은 “그것을 어떻게 관리할 것인가”의 틀입니다. 틀 없이 개별 조치만 하면 나중에 관리가 안 됩니다.

순서	영역	이유
1	1영역	조직·범위·위험관리 틀을 먼저 세움
2	3영역	개인정보 흐름을 그리면 2영역 대상이 명확해짐
3	2영역	가장 방대하므로 부서 배분 후 병행 진행

특히 3영역을 2영역보다 먼저 보는 것을 권합니다. 개인정보가 어디서 어떻게 흐르는지 그려야, 어느 시스템에 어떤 보호대책이 필요한지 판단할 수 있기 때문입니다.

자주 하는 오해

① “항목이 많으니 다 새로 만들어야 한다”

아닙니다. 이미 하고 있는 일이 상당수 해당합니다. 없는 것을 만드는 작업보다, 하고 있는 일을 기록으로 남기는 작업이 더 많습니다.

② “문서만 잘 만들면 된다”

심사는 문서와 실제 운영 기록을 함께 봅니다. 정책에 “분기 1회 점검”이라고 써놓고 수행 기록이 없으면 결함이 됩니다.

③ “보안팀 일이다”

2영역 12개 분야 중 보안팀 단독으로 가능한 것은 소수입니다. 전사 과제로 인식시키는 것이 담당자의 첫 번째 일입니다.

마치며

통제항목은 외우는 것이 아니라 구조로 이해하는 것입니다. 세 영역과 분야 구성만 머리에 넣어두면, 개별 항목을 볼 때 “아, 이건 접근통제 쪽 이야기구나” 하고 위치가 잡힙니다.

다음 글에서는 정보자산 목록 작성을 다루겠습니다. 1영역의 출발점이자, 준비 과정에서 가장 시간이 많이 드는 작업입니다.

이 글은 공개된 인증기준과 실무 경험을 바탕으로 정리한 일반 정보입니다. 분야 수와 통제항목 수는 인증기준 고시 개정에 따라 달라질 수 있으므로, 실제 준비 시에는 KISA ISMS-P 인증 안내의 최신 기준을 확인하시기 바랍니다.

태그
#ISMSP #통제항목 #인증기준 #정보보호관리체계 #개인정보보호 #KISA #보안실무 #인증준비