ISO 27001에 매핑된 GDPR 보안 요구사항

GDPR은 주로 개인정보의 적법한 이용에 관한 법이지만, 몇몇 조항은 사실상 보안 요구사항입니다. 보안팀이 이미 사용하고 있는 프레임워크와 이 조항들이 어떻게 맞물리는지 설명합니다.

GDPR은 개인정보 보호법입니다. 대부분의 내용은 개인정보를 처리해도 되는지 여부, 정보주체에게 이를 고지하는 방법, 그리고 정보주체가 가진 권리에 관한 것입니다. 하지만 일부 조항은 보안 의무를 부과하며, 보안팀이 이 규정과 만나는 지점이 바로 그 조항들입니다. ControlMapping은 해당 조항들만 매핑합니다: 무결성과 기밀성(제5조(1)(f)), 책임성(제24조), 설계 단계의 개인정보 보호(제25조), 처리자(제28조), 처리 활동 기록(제30조), 처리의 보안(제32조), 침해 통지(제33조 및 제34조), 영향평가(제35조), 그리고 개인정보 보호책임자(제37조~제39조).

ISO 27001이 이를 다루는 방식

GDPR의 보안 관련 글 13개 중 12개(92%)는 ISO 27001의 항목에 대응되고, 0개는 느슨하게만 관련되며, 1개는 저희 데이터에 대응 매핑이 없습니다. 갭 보고서 열기 →

거의 모든 보안 관련 GDPR 조항은 ISO 27001에 매핑됩니다. ISMS는 위험 기반 보안 조치(제32조), 침해 통지로 이어질 수 있는 사고 관리(제33조 및 제34조), 처리자에 대한 공급업체 통제(제28조), 그리고 문서화된 책임 체계를 제공합니다. ISO 27001에 매핑되지 않는 유일한 조항은 제38조, 즉 개인정보 보호책임자의 지위입니다. 이는 ISO 27001이 다루지 않는 독립성과 보고 체계에 관한 내용입니다.

조항별 분석

GDPR	요구사항	일치	ISO 27001
Art.5(1)(e)	Principles relating to processing of personal data	편집 콘텐츠	A.5.14 A.8.10 A.8.11 A.5.31
Art.24(1)	Responsibility of the controller	편집 콘텐츠	Clause 6.1.1 Clause 6.1.3 A.5.37 Clause 5.2
Art.25(1)	Data protection by design and by default	편집 콘텐츠	A.8.25 A.8.26 A.8.28 A.8.29
Art.28(1)	Processor	편집 콘텐츠	A.5.19 A.5.20 A.5.21 A.5.22
Art.29	Processing under the authority of the controller or processor	편집 콘텐츠	A.6.1 A.6.4 A.8.16
Art.30(1)	Records of processing activities	편집 콘텐츠	A.5.9 A.5.11 A.7.14
Art.32(1)(a)	Security of processing	편집 콘텐츠	A.8.24 A.5.16 A.5.18 A.5.29
Art.33(1)	Notification of a personal data breach to the supervisory authority	편집 콘텐츠	A.5.5 A.5.24 A.5.25 A.5.26
Art.34(1)	Communication of a personal data breach to the data subject	편집 콘텐츠	A.5.5 A.5.26 A.6.8 Clause 7.4
Art.35(1)	Data protection impact assessment	편집 콘텐츠	Clause 6.1.2 Clause 6.1.3
Art.37(1)	Designation of the data protection officer	편집 콘텐츠	A.5.2 A.5.4
Art.38	Position of the data protection officer	보유 데이터에 매핑 없음	—
Art.39(1)	Tasks of the data protection officer	편집 콘텐츠	A.5.2 A.5.4 A.6.3 Clause 7.3

사무용 종이 파쇄기 사진으로, 옆에는 빈 종이 더미와 파쇄된 종이 조각이 담긴 통이 있습니다. — 데이터 최소화와 삭제는 GDPR이 보안 프레임워크를 넘어서는 영역입니다.

GDPR이 ISO 27001에 없는 내용으로 추가하는 사항

보안 조항 안에서도 GDPR은 일부 측면에서 더 구체적입니다:

침해 통지 기한. 개인정보 침해를 인지한 때로부터 72시간 이내에 감독기관에 통지하고(제33조), 위험이 높은 경우 정보주체에게는 부당한 지연 없이 통지하십시오(제34조). ISO는 사고 관리를 요구하지만, 기한이 정해진 규제 통지를 요구하지는 않습니다.
가명처리와 암호화는 고려해야 할 조치로 제32조에 명시되어 있습니다.
기본값에 의한 설계 및 기본 설정에 의한 개인정보 보호(제25조)는 시스템을 보호하는 데 그치지 않고, 시스템이 어떻게 구축되고 구성되는지까지 적용됩니다.
고위험 처리에 대한 영향평가(제35조)는 ISO 보안 위험 평가보다 범위가 넓은 개인정보 보호 평가입니다.

반대 방향

ISO 27001의 부속서 A 통제 및 ISMS 조항 123개 중 47개(38%)는 GDPR의 항목에 대응되고, 47개는 느슨하게만 관련되며, 29개는 저희 데이터에 대응 매핑이 없습니다. 갭 보고서 열기 →

GDPR에서 ISO 27001로 가는 방향으로 보면, 부속서 A의 대부분은 매핑되거나 느슨하게 관련되어 있지만, ISMS 조항, 물리적 보안, 그리고 일부 기술 통제에는 GDPR에 대응하는 항목이 없습니다. GDPR은 경영체계를 요구하지 않으며 기술 통제를 규정하지도 않습니다. 위험에 적합한 조치를 요구할 뿐이며, 그 선택은 사업자에게 맡깁니다.

중복 영역 활용 방법

제32조를 ISMS의 요구사항으로 취급하십시오: 법적 및 계약상 요구사항(ISO A.5.31)에 나열하고 위험 평가에서 이를 참조하십시오.
개인정보 침해를 위한 사고 절차를 확장하십시오: 통지 여부에 대한 결정, 72시간 기한, 통지 여부와 관계없이 모든 침해에 대한 기록(제33조(5))을 포함하십시오.
처리자에 대해 공급업체 통제를 적용하고, 계약에 제28조 조건을 포함하십시오.
보안을 넘어 개인정보 보호까지 살펴보십시오: ISO/IEC 27701은 ISMS를 개인정보 관리로 확장합니다.

이 사이트의 모든 GDPR 연결은 공식 대응표가 존재하지 않으므로 ControlMapping의 편집 콘텐츠 판단에 따른 것입니다. ISO 27001 vs GDPR 비교와 GDPR 프레임워크 페이지는 각 매핑과 그 근거를 나열하며, 격차 분석에서 이를 내보낼 수 있습니다.

질문

GDPR 제32조는 무엇을 요구합니까?

처리의 보안: 위험에 적합한 수준의 보안을 보장하기 위한 적절한 기술적·관리적 조치로서, 적절한 경우 가명처리와 암호화, 처리 시스템 및 서비스의 지속적인 기밀성, 무결성, 가용성 및 회복탄력성, 사고 발생 시 적시에 복구하는 능력, 그리고 조치의 효과를 정기적으로 시험, 평가 및 검토하는 절차를 포함합니다.

ISO 27001을 도입하면 GDPR을 준수하게 됩니까?

아닙니다. ISO 27001은 특히 제32조와 같은 보안 의무를 뒷받침하지만, GDPR은 적법 근거, 투명성, 정보주체의 권리 등 ISO 27001이 다루지 않는 많은 사항도 요구합니다.

2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.

GDPR의 보안 조항 정리: 개인정보 보호법의 보안 측면