ISO 27001에 대응하는 항목이 없는 SOC 2 기준과 그 존재 이유

ISO 27001을 이미 보유한 조직이 고객으로부터 SOC 2 보고서를 요청받는 경우, 작업의 대부분은 이미 완료된 상태입니다. 보안 통제는 상당 부분 겹치며, ISMS는 SOC 2 감사인이 찾는 거버넌스 증거를 제공합니다. 그러나 SOC 2 기준 중 일부는 ISO 27001에 대응하는 항목이 전혀 없으므로, 감사인과 범위를 합의하기 전에 이를 파악해 두는 것이 좋습니다.

핵심 수치

SOC 2의 기준 61개 중 41개(67%)는 ISO 27001의 항목에 대응되고, 0개는 느슨하게만 관련되며, 20개는 저희 데이터에 대응 매핑이 없습니다. 갭 보고서 열기 →

SOC 2 기준 중 ISO에 대해 “느슨하게 관련됨”으로만 분류되는 항목은 없습니다. 각 기준은 매핑되거나 매핑되지 않거나 둘 중 하나입니다. 이처럼 명확히 나뉘는 점이 현재 상황을 설명하는 단서입니다.

ISO 매핑이 없는 기준

SOC 2	요구사항	일치	ISO 27001
P1.1	Privacy notice	보유 데이터에 매핑 없음	—
P2.1	Choice and consent	보유 데이터에 매핑 없음	—
P3.1	Collection limited to privacy objectives	보유 데이터에 매핑 없음	—
P3.2	Explicit consent where required	보유 데이터에 매핑 없음	—
P4.1	Use limited to privacy objectives	보유 데이터에 매핑 없음	—
P5.1	Data subject access	보유 데이터에 매핑 없음	—
P5.2	Correction of personal information	보유 데이터에 매핑 없음	—
P6.1	Disclosure to third parties with consent	보유 데이터에 매핑 없음	—
P6.2	Record of authorized disclosures	보유 데이터에 매핑 없음	—
P6.3	Record of unauthorized disclosures	보유 데이터에 매핑 없음	—
P6.4	Privacy commitments from third parties	보유 데이터에 매핑 없음	—
P6.5	Notification by third parties of unauthorized disclosures	보유 데이터에 매핑 없음	—
P6.7	Accounting of disclosures to data subjects	보유 데이터에 매핑 없음	—
P7.1	Quality of personal information	보유 데이터에 매핑 없음	—
P8.1	Handling privacy inquiries, complaints and disputes	보유 데이터에 매핑 없음	—
PI1.1	Information about processing objectives	보유 데이터에 매핑 없음	—
PI1.2	Controls over system inputs	보유 데이터에 매핑 없음	—
PI1.3	Controls over system processing	보유 데이터에 매핑 없음	—
PI1.4	Controls over system outputs	보유 데이터에 매핑 없음	—
PI1.5	Storing inputs, items in processing and outputs	보유 데이터에 매핑 없음	—

목록의 모든 기준은 SOC 2의 다섯 개 범주 중 두 범주에서 나옵니다: 처리 무결성(PI1)과 개인정보 보호(P1~P8). 두 범주 모두 선택 사항입니다. 모든 SOC 2 보고서에 포함되는 보안 범주(공통 기준 CC1~CC9)는 완전히 매핑되며, 가용성과 기밀성도 마찬가지입니다.

처리 무결성에 ISO 대응 항목이 없는 이유

처리 무결성은 시스템이 데이터를 완전하고, 정확하게, 적시에, 그리고 승인된 대로 처리하는지를 묻습니다. 즉, 입력값이 검증되고, 처리 오류가 탐지되며, 출력이 올바른 곳에 전달되고, 저장된 데이터가 일관성을 유지하는지를 다룹니다. 이는 서비스 주변의 보안이 아니라 서비스 자체의 정확성에 관한 것입니다.

ISO 27001은 정보 보안 표준입니다. 정보의 기밀성, 무결성, 가용성을 보호하지만, 여기서 “무결성”은 승인되지 않은 변경으로부터의 보호를 뜻하며, 급여 처리에서 모든 급여가 정확히 계산되었는지를 뜻하지 않습니다. 부속서 A의 어떤 통제도 업무 처리의 검증을 요구하지 않습니다. 따라서 고객이 시스템에 의존해 금액을 정확히 산출하는 경우(결제, 청구, 급여, 보험금 청구, 데이터 파이프라인), 성숙한 ISMS를 갖추었더라도 처리 무결성은 새로운 작업입니다: 입력 검증, 대사(reconciliation), 오류 처리, 출력 통제를 증거와 함께 마련해야 합니다.

대부분의 개인정보 보호 기준에 ISO 대응 항목이 없는 이유

SOC 2의 개인정보 보호 기준은 개인정보의 생애주기를 따릅니다: 고지(P1), 선택과 동의(P2), 수집(P3), 이용·보유·파기(P4), 접근과 정정(P5), 제공(P6), 품질(P7), 모니터링과 불만 처리(P8). 이는 보안보다는 개인정보 보호 프로그램의 요구사항에 가깝습니다.

ISO 27001은 이 중 일부를 다룹니다. A.5.34는 개인정보 보호 의무를 식별하고 충족하도록 요구하며, A.5.33은 기록 보호를, A.8.10은 정보 삭제를 다룹니다. 그래서 보유(P4.2), 파기(P4.3), 침해 통지(P6.6)는 당사 데이터에서 편집 콘텐츠 링크와 근거 설명을 통해 매핑되어 있습니다. 개인정보 처리방침, 동의, 정보주체 접근 요청, 제공 기록 같은 나머지 항목에는 부속서 A 통제가 없습니다.

필요한 경우 ISO/IEC 27701은 ISMS를 개인정보 관리 체계로 확장하며, 자연스러운 보완 표준입니다. GDPR 측면에서는 ISO 27001이 GDPR의 보안 관련 조항과 어떻게 비교되는지 확인하십시오.

대응 방법

1. 범위를 먼저 합의하십시오. 고객이 필요로 하는 경우에만 처리 무결성 또는 개인정보 보호를 포함하십시오. 많은 SOC 2 보고서는 보안만 다루거나, 보안과 가용성 및 기밀성을 함께 다룹니다.
2. 포함하는 경우 새로운 통제로 취급하십시오. ISO 매핑 작업이 아니라, 통제를 설계하고 운영하며 관찰 기간 전체에 걸쳐 증거를 보관하십시오.
3. 나머지 항목은 ISMS를 재사용하십시오. ISO 27001 → SOC 2 격차 보고서에서 모든 기준과 ISO 매칭 결과를 확인할 수 있으며, 하나의 통제 세트를 두 표준에 함께 운용하는 방법을 다룬 글에서 세부 방식을 설명합니다.

반대 방향은 다른 이야기입니다. SOC 2에서 ISO 27001로 가는 경우 새로운 작업은 관리 체계 자체입니다. ISO 27001 vs SOC 2 비교에서 두 방향을 모두 다룹니다.

데이터에 관한 참고 사항

공개 라이선스된 SOC 2 대응표는 존재하지 않으므로, 여기의 모든 SOC 2 연결은 ControlMapping의 편집 판단이며 각 요구사항 페이지에 근거가 표시되어 있습니다. 위의 수치는 현재 데이터에서 실시간으로 계산됩니다.

질문

ISO 27001은 SOC 2 개인정보 보호 기준을 다루나요?

대부분 그렇지 않습니다. ISO 27001은 개인정보를 정보의 일부로서 보호하지만(A.5.34), 개인정보 처리방침, 동의, 정보주체 접근, 제공 기록은 요구하지 않습니다. ISO/IEC 27701은 ISMS를 개인정보 관리로 확장하며 더 가까운 대응 표준입니다.

SOC 2 보고서에 처리 무결성을 반드시 포함해야 하나요?

아니요. 보안 범주(공통 기준)만 필수입니다. 고객이 시스템이 데이터를 완전하고 정확하게 처리하는 데 의존하는 경우(예: 결제 또는 급여)에 처리 무결성을 추가하십시오.