정보보호 관리체계 표준과 인증 | 정보보안기사 필기

1. 관리체계와 인증

관리체계는 목표·조직·위험·통제·운영·점검·개선을 연결하는 실제 활동이다. 인증은 정한 범위가 요구 기준에 적합한지를 심사해 확인하는 제도다. 정책 문서, 운영 증적과 통제 효과를 함께 본다.

국제표준 인증과 국내 법령에 따른 인증은 같은 인증이 아니다. 과거 BS 7799·ISO/IEC 17799 등은 역사적 연결로 구분하고 현행 적용판과 혼동하지 않는다.

2026년 9월 13일 공식 안내 기준이다. 아래 수는 인증기준 항목 수이며 실제 세부점검항목 수와 같지 않다.

ISMS는 16 + 64 = 80개, ISMS-P는 80 + 21 = 101개다. 개인정보 처리단계 22개·총 102개로 적힌 과거 기준과 구분한다. ISMS만으로 ISMS-P 추가 영역의 심사까지 받은 것은 아니다.

범위는 조직 이름만이 아니라 대상 서비스, 조직·장소, 자산·시스템과 의존성을 포함해 정한다. 쇼핑 서비스에 인증을 받았다고 독립된 인사시스템까지 자동으로 인증되는 것은 아니다.

신청·범위 확인 → 인증심사 → 결함 보완 → 결과 심의·인증 → 사후관리로 이어진다. 심사에서는 문서, 인터뷰, 현장·표본 점검과 운영 기록을 확인한다. 접근권한 검토 절차가 있다면 실제 검토·회수·예외 승인 결과까지 필요하다.

최초·갱신 인증의 유효기간은 3년이며 유효기간 중 매년 1회 이상 사후심사를 받는다. 갱신심사는 유효기간 연장을 위한 재평가다. 인증서 발급 후 아무 활동 없이 자동 유지되는 구조가 아니다.

의무 대상이 아니어도 자율 신청이 가능하다. ISMS 의무 대상은 법령상 요건을 충족하는 정보통신망서비스 제공자(ISP), 집적정보통신시설(IDC) 사업자, 일정 규모 이상의 사업자·기관 등이다.

대표 규모 조건은 다음과 같이 구분한다.

병원·학교의 결합조건과 서비스 매출 조건을 섞지 않는다. 의무 대상자는 ISMS 또는 ISMS-P를 선택할 수 있다. 실제 대상·산정 범위·예외는 사업자 유형과 해당 시행 규정으로 판단한다.

인증은 특정 범위·기준·기간의 적합성을 확인한다. 무사고, 모든 법적 의무 충족, 모든 제품의 무취약점을 보증하지 않는다. 변경·사고·심사결과를 위험평가와 통제 개선에 반영하고 인증범위와 운영 상태를 유지해야 한다.