SOC 2와 ISO 27001: 두 인증을 위한 하나의 통제 세트

SOC 2 보고서와 ISO 27001 인증의 바탕이 되는 보안 업무 대부분은 같습니다. 이를 한 번 구축하고 두 프레임워크 모두에 대한 증적을 남기는 방법을 소개합니다.

이 글은 작성 당시 ControlMapping이 매핑한 11개 프레임워크를 다룹니다. 그 이후 DORA, CPS 234, Cyber Essentials이(가) 2026-10-27에 추가되었으며, 해당 페이지와 커버리지 매트릭스에도 포함되어 있습니다.

국제적으로 소프트웨어를 판매하는 기업은 흔히 두 가지를 모두 갖추게 됩니다. 미국 고객을 위한 SOC 2 보고서와 그 밖의 고객을 위한 ISO 27001 인증입니다. 이를 별도의 두 프로젝트로 운영하면 정책을 두 벌 작성하고, 같은 증적을 두 번 수집하며, 일부 겹치는 감사를 두 번 받게 됩니다. 하나의 통제 세트로 운영하면 두 번째 프레임워크에 드는 비용은 첫 번째의 일부에 불과합니다.

이를 설정하는 방법은 다음과 같습니다.

얼마나 겹치는가

방향	매핑됨	느슨하게 관련됨	매핑 없음
ISO 27001 보유 → SOC 2 필요	41 / 61 (67%)	0	20	보고서 →
SOC 2 보유 → ISO 27001 필요	98 / 123 (80%)	21	4	보고서 →

SOC 2에서 ISO 27001로 넘어갈 때, 거의 모든 Annex A 통제와 ISMS 조항은 SOC 2 기준 하나에 대응됩니다. 대응되지 않는 몇 가지는 ISO의 관리체계 절차 요소, 즉 정보보안 관리체계(ISMS) 자체를 정의하는 일과 문서화된 정보를 관리하는 일입니다. 반대 방향에서 ISO에 대응하는 항목이 없는 SOC 2 기준은 선택 사항인 Privacy 및 Processing Integrity 범주이며, Security 기준은 모두 대응됩니다.

따라서 겹치는 부분은 보안 통제에 있습니다. 차이는 구조에 있습니다. ISO는 통제를 감싸는 관리체계를 요구하고, SOC 2는 일정 기간 동안 통제가 실제로 운영되었다는 증적을 요구합니다.

1단계: 기준축 정하기

공통 통제 세트에는 모든 항목이 연결되는 하나의 주된 구조가 필요합니다. 인증을 보유했거나 취득할 계획이라면 ISO 27001의 Annex A를 기준축으로 사용하십시오. 적용성 선언서(Statement of Applicability)가 이미 모든 통제를 사유와 함께 나열하고 있기 때문입니다. 보고서가 주된 결과물이라면 SOC 2 기준을 사용하십시오. 어느 쪽이든 괜찮으며, 중요한 것은 모든 통제가 반드시 한 곳에 속하도록 하는 것입니다.

2단계: 각 통제를 한 번만 작성하기

각 통제에 대해 다음을 담은 기록을 하나씩 유지하십시오:

통제 내용 요약: 무엇을 하는지에 대한 평이한 설명(“운영 환경 접근은 시스템 소유자가 승인한 티켓을 통해서만 부여되며 분기별로 검토된다”).
담당자와 점검 주기.
충족하는 프레임워크 참조: 예를 들어 ISO A.5.15 및 A.5.18, SOC 2 CC6.1–CC6.3.
생성되는 증적과 그 증적이 보관되는 위치.

이러한 참조 정보는 저희 대응표와 같은 매핑에서 가져옵니다. 접근 통제의 경우 다음과 같습니다:

프레임워크	접근 통제	링크
NIST CSF 2.0	PR.AA-01 PR.AA-05	주제 정의
ISO 27001	A.5.15 A.5.16 A.5.18 A.8.3	대응표
CIS v8.1	CIS 5.1 CIS 6.1 CIS 6.2 CIS 6.7 CIS 6.8 CIS 3.3 CIS 5.2 CIS 5.3 CIS 5.5 CIS 5.6 CIS 6.6 CIS 12.5	대응표
SOC 2	CC6.1 CC6.2 CC6.3	편집 콘텐츠
PCI DSS	7.2.1 7.2.2 7.2.4 8.2.1	대응표
CMMC	AC.L2-3.1.1 AC.L2-3.1.2	대응표
800-53	AC-2 AC-3	대응표
HIPAA	§164.308(a)(4)§164.312(a)§164.312(a)(2)(i)§164.312(d)	대응표
GDPR	Art.25(2)Art.32(1)(b)	편집 콘텐츠
NIS2	11.1 11.2 11.5	대응표
Essential Eight	—	보유 데이터에 매핑 없음

모든 연결의 상세 내용과 근거: 프레임워크별 접근 통제 →

3단계: 증적은 한 번 수집하고 두 번 태깅하기

SOC 2 Type II 감사인은 관찰 기간 전체에 걸쳐 티켓, 검토 기록, 스캔 결과, 교육 기록 등의 증적을 샘플링합니다. ISO 사후 심사관도 같은 종류의 기록을 요청합니다. 각 증적을 한 곳에 한 번만 수집하고, 해당 통제가 가진 모든 프레임워크 참조를 태그하십시오.

금속 선반 위에 회색 기록 보관 상자 파일이 줄지어 놓여 있는 사진. 두 가지 색의 빈 스티커 점이 붙어 있으며, 일부 상자에는 두 색 모두 붙어 있음 — 증적은 한 번 보관하고, 이를 사용하는 모든 프레임워크에 맞춰 태그하십시오.

4단계: 일정 맞추기

SOC 2 관찰 기간은 통제가 시행되는 바로 그날이 아니라, 몇 주 동안 실제로 운영된 뒤에 시작하십시오.
ISO 내부 감사와 경영검토가 SOC 2 기간 안에 기록을 남기도록 일정을 잡으십시오. 이는 SOC 2 공통 기준에 대해서도 유용한 거버넌스 증적이 됩니다.
감사인이 현장 점검을 조율할 수 있는지 문의하십시오. 조율이 어렵더라도 두 감사를 가까운 시기에 두면 증적 요청이 한 차례로 줄어듭니다.

5단계: 각 측이 남기는 공백 메우기

SOC 2 → ISO 27001 격차 보고서와 그 반대 방향 보고서를 실행하십시오. 다음 두 종류의 새로운 작업이 필요할 것으로 예상됩니다:

ISO 측: 관리체계. 범위, 목표, 위험 평가와 처리, 적용성 선언서, 내부 감사, 경영검토 및 시정조치.
SOC 2 측: 포함하기로 한 선택 범주, 그리고 전체 기간 동안 증적을 지속적으로 보관하는 습관.

ISO 27001 vs SOC 2 비교에서는 양방향의 모든 요구사항을 확인할 수 있으며, SOC 2 및 ISO 27001 가이드에서는 감사 자체를 다룹니다.

매핑 관련 참고 사항

공개 라이선스로 제공되는 SOC 2 대응표는 존재하지 않습니다. 따라서 이 사이트의 모든 SOC 2 연결은 ControlMapping의 편집 판단에 따른 것이며, 근거를 함께 표시하고 있습니다. 대응표로 통제 세트를 설계하되, 의존하기 전에 세부 사항을 감사인과 함께 확인하십시오.

질문

한 명의 감사인이 SOC 2와 ISO 27001을 함께 수행할 수 있습니까?

일부 기업은 CPA 업무 조직과 인가된 인증기관을 모두 두고 감사를 조율하기도 합니다. 그러나 결과물이 SOC 2 보고서와 ISO 27001 인증서인 두 건의 업무로 여전히 나뉩니다.

SOC 2와 ISO 27001 중 무엇을 먼저 해야 합니까?

고객이 먼저 요청하는 것을 선택하십시오. 여기서 설명한 공통 통제 세트를 구축하면, 두 번째 항목은 대부분 (ISO의 경우) 관리체계 조항만, 또는 (SOC 2의 경우) 증적 기간과 선택 기준만 추가하면 됩니다.

2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.

SOC 2와 ISO 27001을 위한 하나의 통제 세트: 같은 작업을 두 번 하지 않고 두 가지를 운영하는 방법