ISO 27001 적용성 선언서(SoA): 작성 방법

적용성 선언서(SoA)는 ISO 27001 감사에서 가장 면밀히 검토되는 문서이며, 템플릿에 의존하는 경우도 가장 많은 문서 중 하나입니다. 감사에서 문제없이 통과하는 SoA를 작성하는 방법을 소개합니다.

ISO/IEC 27001 6.1.3(d)항은 적용성 선언서(SoA)를 요구합니다. SoA는 필요한 통제 항목, 각 항목을 포함한 이유, 구현 여부, 그리고 부록 A의 93개 통제 항목 중 제외한 항목이 있다면 그 이유를 나열한 문서입니다. 단순한 행정 문서처럼 보이지만, 실제로는 위험 평가와 통제 항목을 잇는 연결고리입니다. 인증 심사원은 SoA를 꼼꼼히 검토하는데, SoA가 부실하다는 것은 대개 그 뒤의 위험 관리 절차에도 문제가 있다는 뜻이기 때문입니다.

반드시 포함해야 할 내용

부록 A의 모든 통제 항목과 조직이 자체적으로 추가한 통제 항목 각각에 대해 다음을 기재합니다.

적용 여부.
포함 사유: 보통 해당 통제가 다루는 위험, 법적 또는 계약상 요구사항, 또는 경영상의 결정입니다.
구현 현황: 구현됨, 부분 구현됨 또는 계획됨.
제외 사유(제외한 경우).

많은 SoA에는 각 통제가 어떻게 구현되는지에 대한 짧은 설명과 해당 정책 또는 절차에 대한 참조가 추가로 들어갑니다. 이는 엄격히 요구되는 사항은 아니지만 감사를 훨씬 빠르게 진행하도록 돕습니다.

포함 사유 정당화

각 통제를 구체적인 근거와 연결하십시오. 위험 대장에 등록된 위험, 법적 요구사항(GDPR 제32조, NIS2, 산업 분야별 규제), 계약 또는 고객 요구사항이 그 예입니다. "모범 사례"는 약한 근거이며, "위험 R-12 및 R-17을 다루며 NIS2 의무에 따라 필요함"은 강한 근거입니다. 통제를 법적 요구사항과 연결해 두면 여러 프레임워크에 대응해야 할 때도 도움이 됩니다. 저희 요구사항 페이지에서는 부록 A의 각 통제가 다른 어떤 프레임워크와 매핑되는지 확인할 수 있습니다. 예를 들어 A.8.24 암호 기술의 사용을 참고하십시오.

닫힌 노트북과 펜 옆, 빈 회의 테이블 위에 놓인 얇고 닫힌 링 바인더 사진 — 짧고 구체적인 것이 길고 일반적인 것보다 낫습니다.

제외 사유 정당화

통제 제외는 허용되지만, 감사인이 검증할 수 있는 사유가 각 항목마다 필요합니다. 적절한 사유는 다음과 같습니다.

해당 활동이 적용 범위 내에서 일어나지 않음. 외주 개발을 하지 않으므로 A.8.30을 제외함.
해당 위험이 적용 범위 내에 존재하지 않음. 사무실 없이 전면 원격으로 운영하는 조직은 일부 A.7 물리적 통제를 제외할 수 있으나, 장비와 매체가 어디에 있든 이를 다루는 통제는 제외할 수 없습니다.

부적절한 사유는 "관련 없음", "IT 부서에서 처리함", "클라우드 제공업체가 수행함" 등입니다. 공급업체가 통제를 수행하더라도 해당 통제는 여전히 적용 대상이며, 공급업체 통제를 통해 관리하면 됩니다.

흔한 감사 지적 사항

SoA가 위험 처리 계획과 일치하지 않음. 위험 처리에서 선택한 통제는 SoA에 반드시 포함되어야 하며, 그 반대도 마찬가지입니다.
증거 없는 구현 통제. 통제를 구현됨으로 표시하면 입증 자료를 요청받게 됩니다.
템플릿 문구 그대로 사용. 실제 수행 내용과 맞지 않는 템플릿 설명을 그대로 옮긴 경우입니다.
오래된 버전. 2013년 부록 A 번호 체계를 여전히 사용하거나, 중대한 변경 후에도 갱신하지 않은 SoA입니다.

실용적인 구조

통제 항목 하나당 한 행을 사용합니다. 항목에는 ID와 제목, 적용 여부(예/아니오), 사유(위험, 법적 및 계약상 요구사항), 상태, 수행 방식에 대한 한 줄 설명, 담당자, 증거 참조가 포함됩니다. 스프레드시트나 문서 통제가 적용된 GRC 도구에 보관하고, 위험 평가를 실시할 때마다 검토하십시오.

SoA를 최신 상태로 유지하기

첫 인증을 위해 작성한 뒤 다시 손대지 않은 SoA는 다음 감사에서 지적 사항이 됩니다. 다음 경우에는 SoA를 갱신하여 최신 상태를 유지하십시오.

위험 평가로 선택된 통제가 바뀐 경우;
적용 범위가 바뀐 경우(새 제품, 사무실 또는 클라우드 제공업체 추가 등);
통제의 구현 현황이 바뀐 경우;
새로운 법적 또는 계약상 요구사항이 적용된 경우(예: NIS2 또는 고객 계약).

매번 버전, 날짜, 승인자를 기록하십시오.

핵심 요약

제외 항목을 포함하여 부록 A의 모든 통제 항목에는 결정과 사유가 필요합니다.
포함 사유는 구체적인 위험 및 법적 또는 계약상 요구사항과 연결하십시오.
SoA는 위험 처리 계획과 일관되게, 그리고 최신 상태로 유지하십시오.

여러 프레임워크를 동시에 대응하기

SOC 2, NIS2 또는 PCI DSS에도 대응해야 한다면, 각 프레임워크의 대응 요구사항을 기재하는 열을 추가하십시오. 그러면 SoA가 공통 통제 세트의 기반이 됩니다. 저희 글 SOC 2와 ISO 27001을 위한 하나의 통제 세트에서 이 방식을 자세히 다루며, 격차 분석에서는 모든 부록 A 통제 항목을 다른 프레임워크와 비교한 결과를 확인할 수 있습니다. 인증 전반에 대해서는 ISO 27001 가이드를 참고하십시오.

질문

ISO 27001에서 부록 A 통제 항목을 제외할 수 있습니까?

예. 제외에 정당한 사유가 있다면 가능하며, 일반적으로 해당 위험이 조직의 적용 범위에 존재하지 않을 때입니다(예: 외주 개발을 하지 않는 경우의 외주 개발). 제외 사항은 적용성 선언서(SoA)에 정당화되어야 합니다.

적용성 선언서(SoA)에는 무엇이 포함되어야 합니까?

ISO 27001 6.1.3(d)항은 필요한 통제 항목, 해당 항목을 포함한 사유, 구현 여부, 그리고 부록 A 통제 항목을 제외한 경우 그 사유를 요구합니다.

적용성 선언서(SoA)를 고객과 공유합니까?

보통 전체 문서를 공유하지는 않습니다. SoA는 인증 기관이 검토하는 내부 문서입니다. 일부 조직은 어떤 통제가 적용되는지 보여주기 위해 비밀유지계약(NDA)에 따라 요약본을 고객과 공유하기도 합니다.

2026-10-27 기준 데이터: 본 게시물의 수치는 현재 대응표에서 계산되며, 대응표가 변경되면 함께 업데이트됩니다. 대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 컴플라이언스 자문 아님.

감사를 통과하는 적용성 선언서(SoA) 작성법