프레임워크
ISO/IEC 27001:2022
개요
정보보안 관리체계(ISMS)에 관한 국제 표준입니다. 4~10항은 필수 관리체계 요구사항이며, 부속서 A는 93개의 참조 통제항목을 나열합니다. 이 통제항목들은 위험 처리를 통해 선정되며, 적용성 선언서(SoA)에서 그 근거를 제시합니다.
필요한 대상
공인된 보안 역량을 국제적으로 입증해야 하는 조직입니다. 특히 미국 외 지역에서 기업 및 공공 부문에 소프트웨어나 서비스를 판매하는 기업에서 흔히 필요로 합니다.
평가 방식
공인 인증기관이 1단계(문서) 심사와 2단계(이행) 심사를 실시합니다. 인증서의 유효기간은 3년이며, 1년차와 2년차에 사후 심사(surveillance audit)가 진행됩니다. 자세한 내용은 인증 취득 방법을 참고하십시오.
123
부속서 A 통제 및 ISMS 조항
123
다른 프레임워크에 매핑됨
100%
다루는 주제 (50/50)
집계 기준: 절은 가장 낮은 수준에서 계산 (6.1.1–6.1.3, 6.1이 아님).
비교 자료
NIST CSF 2.0 vs ISO 27001ISO 27001 vs CIS v8.1ISO 27001 vs SOC 2ISO 27001 vs PCI DSSISO 27001 vs 800-53ISO 27001 vs HIPAAISO 27001 vs GDPRISO 27001 vs NIS2ISO 27001 vs Essential Eight
요구사항
요구사항 ID와 제목은 각 프레임워크가 발표한 그대로 영문으로 표시됩니다.
| ID | 요구사항 | 주제 | 매핑 위치: |
|---|---|---|---|
| A.5 Organizational controls · 37 | |||
| A.5.1 | Policies for information security | 거버넌스 정책 | 9 / 13 |
| A.5.2 | Information security roles and responsibilities | 역할 및 책임 | 9 / 13 |
| A.5.3 | Segregation of duties | — | 3 / 13 |
| A.5.4 | Management responsibilities | 역할 및 책임 | 9 / 13 |
| A.5.5 | Contact with authorities | 보고 | 12 / 13 |
| A.5.6 | Contact with special interest groups | 커뮤니케이션 | 8 / 13 |
| A.5.7 | Threat intelligence | 위협 인텔리전스 | 7 / 13 |
| A.5.8 | Information security in project management | — | 1 / 13 |
| A.5.9 | Inventory of information and other associated assets | 자산 관리 | 13 / 13 |
| A.5.10 | Acceptable use of information and other associated assets | — | 2 / 13 |
| A.5.11 | Return of assets | 자산 관리 | 13 / 13 |
| A.5.12 | Classification of information | 데이터 분류 | 9 / 13 |
| A.5.13 | Labelling of information | 데이터 분류 | 9 / 13 |
| A.5.14 | Information transfer | 데이터 보호, 이메일 보안 | 12 / 13 |
| A.5.15 | Access control | 접근 통제, 제로 트러스트 | 11 / 13 |
| A.5.16 | Identity management | 접근 통제 | 11 / 13 |
| A.5.17 | Authentication information | — | 2 / 13 |
| A.5.18 | Access rights | 접근 통제 | 11 / 13 |
| A.5.19 | Information security in supplier relationships | 공급망 위험, 벤더 리스크 관리 | 10 / 13 |
| A.5.20 | Addressing information security within supplier agreements | 벤더 리스크 관리 | 10 / 13 |
| A.5.21 | Managing information security in the ICT supply chain | 공급망 위험 | 9 / 13 |
| A.5.22 | Monitoring, review and change management of supplier services | 벤더 리스크 관리 | 10 / 13 |
| A.5.23 | Information security for use of cloud services | 클라우드 보안 | 11 / 13 |
| A.5.24 | Information security incident management planning and preparation | 사고 대응 | 12 / 13 |
| A.5.25 | Assessment and decision on information security events | SIEM / SOC, 사고 대응 | 12 / 13 |
| A.5.26 | Response to information security incidents | 사고 대응, 완화, 커뮤니케이션 및 복구 | 12 / 13 |
| A.5.27 | Learning from information security incidents | 교훈 도출 | 9 / 13 |
| A.5.28 | Collection of evidence | 포렌식 | 7 / 13 |
| A.5.29 | Information security during disruption | 복구 계획 수립, 비즈니스 연속성 | 9 / 13 |
| A.5.30 | ICT readiness for business continuity | 복구 계획 수립, 비즈니스 연속성, 재해 복구 | 10 / 13 |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | 컴플라이언스 | 10 / 13 |
| A.5.32 | Intellectual property rights | — | 2 / 13 |
| A.5.33 | Protection of records | — | 2 / 13 |
| A.5.34 | Privacy and protection of PII | — | 2 / 13 |
| A.5.35 | Independent review of information security | — | 3 / 13 |
| A.5.36 | Compliance with policies, rules and standards for information security | 컴플라이언스 | 10 / 13 |
| A.5.37 | Documented operating procedures | 거버넌스 정책 | 9 / 13 |
| A.6 People controls · 8 | |||
| A.6.1 | Screening | 내부자 위협 | 9 / 13 |
| A.6.2 | Terms and conditions of employment | — | 2 / 13 |
| A.6.3 | Information security awareness, education and training | 인식 제고 및 교육 | 10 / 13 |
| A.6.4 | Disciplinary process | 내부자 위협 | 9 / 13 |
| A.6.5 | Responsibilities after termination or change of employment | — | 2 / 13 |
| A.6.6 | Confidentiality or non-disclosure agreements | — | 1 / 13 |
| A.6.7 | Remote working | 모바일 보안 | 7 / 13 |
| A.6.8 | Information security event reporting | 보고 | 12 / 13 |
| A.7 Physical controls · 14 | |||
| A.7.1 | Physical security perimeters | 물리적 보안 | 8 / 13 |
| A.7.2 | Physical entry | 물리적 보안 | 8 / 13 |
| A.7.3 | Securing offices, rooms and facilities | 물리적 보안 | 8 / 13 |
| A.7.4 | Physical security monitoring | 물리적 보안 | 8 / 13 |
| A.7.5 | Protecting against physical and environmental threats | 물리적 보안 | 8 / 13 |
| A.7.6 | Working in secure areas | 물리적 보안 | 8 / 13 |
| A.7.7 | Clear desk and clear screen | — | 2 / 13 |
| A.7.8 | Equipment siting and protection | 물리적 보안 | 8 / 13 |
| A.7.9 | Security of assets off-premises | — | 1 / 13 |
| A.7.10 | Storage media | — | 2 / 13 |
| A.7.11 | Supporting utilities | 물리적 보안 | 8 / 13 |
| A.7.12 | Cabling security | 물리적 보안 | 8 / 13 |
| A.7.13 | Equipment maintenance | — | 2 / 13 |
| A.7.14 | Secure disposal or re-use of equipment | 자산 관리 | 13 / 13 |
| A.8 Technological controls · 34 | |||
| A.8.1 | User endpoint devices | 엔드포인트 보호, 모바일 보안 | 10 / 13 |
| A.8.2 | Privileged access rights | 특권 접근 | 10 / 13 |
| A.8.3 | Information access restriction | 접근 통제 | 11 / 13 |
| A.8.4 | Access to source code | — | 1 / 13 |
| A.8.5 | Secure authentication | 다단계 인증, 제로 트러스트, API 보안 | 10 / 13 |
| A.8.6 | Capacity management | — | 2 / 13 |
| A.8.7 | Protection against malware | 엔드포인트 보호 | 10 / 13 |
| A.8.8 | Management of technical vulnerabilities | 취약점 관리, 패치 관리 | 13 / 13 |
| A.8.9 | Configuration management | 보안 구성 | 9 / 13 |
| A.8.10 | Information deletion | 데이터 보호 | 11 / 13 |
| A.8.11 | Data masking | 데이터 보호 | 11 / 13 |
| A.8.12 | Data leakage prevention | DLP | 7 / 13 |
| A.8.13 | Information backup | 백업 및 복구 | 11 / 13 |
| A.8.14 | Redundancy of information processing facilities | 비즈니스 연속성, 재해 복구 | 10 / 13 |
| A.8.15 | Logging | 로깅 및 감사 | 10 / 13 |
| A.8.16 | Monitoring activities | 지속적 모니터링, 침입 탐지, 이상 징후 탐지, SIEM / SOC, 내부자 위협 | 12 / 13 |
| A.8.17 | Clock synchronization | 로깅 및 감사 | 10 / 13 |
| A.8.18 | Use of privileged utility programs | 특권 접근 | 10 / 13 |
| A.8.19 | Installation of software on operational systems | 엔드포인트 보호 | 10 / 13 |
| A.8.20 | Networks security | 방화벽 / 네트워크 분리, DNS 보안, WAF | 9 / 13 |
| A.8.21 | Security of network services | 방화벽 / 네트워크 분리, DNS 보안 | 9 / 13 |
| A.8.22 | Segregation of networks | 방화벽 / 네트워크 분리, 제로 트러스트 | 9 / 13 |
| A.8.23 | Web filtering | — | 1 / 13 |
| A.8.24 | Use of cryptography | 암호화 | 10 / 13 |
| A.8.25 | Secure development life cycle | 보안 개발 | 8 / 13 |
| A.8.26 | Application security requirements | 보안 개발, 웹 보안, API 보안 | 8 / 13 |
| A.8.27 | Secure system architecture and engineering principles | — | 1 / 13 |
| A.8.28 | Secure coding | 보안 개발 | 8 / 13 |
| A.8.29 | Security testing in development and acceptance | 보안 개발 | 8 / 13 |
| A.8.30 | Outsourced development | — | 2 / 13 |
| A.8.31 | Separation of development, test and production environments | — | 2 / 13 |
| A.8.32 | Change management | — | 4 / 13 |
| A.8.33 | Test information | — | 2 / 13 |
| A.8.34 | Protection of information systems during audit testing | — | 1 / 13 |
| ISMS clauses 4–10 · 30 | |||
| Clause 4.1 | Understanding the organization and its context | 사업 환경 | 5 / 13 |
| Clause 4.2 | Understanding the needs and expectations of interested parties | 사업 환경 | 5 / 13 |
| Clause 4.3 | Determining the scope of the ISMS | — | 2 / 13 |
| Clause 4.4 | Information security management system | — | 1 / 13 |
| Clause 5.1 | Leadership and commitment | — | 2 / 13 |
| Clause 5.2 | Policy | 거버넌스 정책 | 9 / 13 |
| Clause 5.3 | Organizational roles, responsibilities and authorities | — | 3 / 13 |
| Clause 6.1.1 | General | 위험 관리 | 10 / 13 |
| Clause 6.1.2 | Information security risk assessment | 위험 평가 | 10 / 13 |
| Clause 6.1.3 | Information security risk treatment | 위험 관리, 위험 평가 | 10 / 13 |
| Clause 6.2 | Information security objectives and planning to achieve them | — | 3 / 13 |
| Clause 6.3 | Planning of changes | — | 2 / 13 |
| Clause 7.1 | Resources | — | 2 / 13 |
| Clause 7.2 | Competence | — | 3 / 13 |
| Clause 7.3 | Awareness | 인식 제고 및 교육 | 10 / 13 |
| Clause 7.4 | Communication | 커뮤니케이션, 커뮤니케이션 및 복구 | 9 / 13 |
| Clause 7.5.1 | General | — | 1 / 13 |
| Clause 7.5.2 | Creating and updating | — | 1 / 13 |
| Clause 7.5.3 | Control of documented information | — | 1 / 13 |
| Clause 8.1 | Operational planning and control | — | 2 / 13 |
| Clause 8.2 | Information security risk assessment | — | 4 / 13 |
| Clause 8.3 | Information security risk treatment | — | 4 / 13 |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | 컴플라이언스 | 10 / 13 |
| Clause 9.2.1 | General | — | 1 / 13 |
| Clause 9.2.2 | Internal audit programme | — | 1 / 13 |
| Clause 9.3.1 | General | — | 1 / 13 |
| Clause 9.3.2 | Management review inputs | — | 1 / 13 |
| Clause 9.3.3 | Management review results | — | 1 / 13 |
| Clause 10.1 | Continual improvement | 교훈 도출 | 9 / 13 |
| Clause 10.2 | Nonconformity and corrective action | — | 2 / 13 |
주제 커버리지
ISO 27001 요구사항과 매핑된 주제 (50개):
거버넌스 정책인식 제고 및 교육위험 관리공급망 위험역할 및 책임컴플라이언스자산 관리위험 평가사업 환경데이터 분류취약점 관리위협 인텔리전스접근 통제다단계 인증암호화데이터 보호백업 및 복구특권 접근방화벽 / 네트워크 분리엔드포인트 보호패치 관리보안 구성보안 개발이메일 보안웹 보안제로 트러스트모바일 보안클라우드 보안DNS 보안WAFDLP지속적 모니터링로깅 및 감사침입 탐지이상 징후 탐지SIEM / SOC사고 대응포렌식커뮤니케이션완화보고복구 계획 수립비즈니스 연속성교훈 도출커뮤니케이션 및 복구재해 복구API 보안내부자 위협벤더 리스크 관리물리적 보안