ISO 27001 인증 취득 방법
Paul Gillet 기준 · 2026-10-17 업데이트
ISO/IEC 27001은 정보보안 관리체계(ISMS)에 관한 국제 표준입니다. 조직이 어떤 보안 위험이 중요한지 결정하고, 이를 처리하며, 지속적으로 개선하는 방식을 다룹니다. SOC 2와 달리 공인 인증기관이 발급하는 인증서로 마무리되며, 인증서는 3년간 유효하고 그 사이에 사후심사(surveillance audit)가 이루어집니다.
표준의 요구사항
- 4~10항은 필수 사항입니다: 상황 및 적용 범위(4항), 리더십과 정책(5항), 위험 평가, 위험 처리 및 목표(6항), 자원, 역량, 인식, 의사소통 및 문서화된 정보(7항), 계획의 운영(8항), 모니터링, 내부 감사 및 경영검토(9항), 시정 조치 및 개선(10항).
- 부속서 A에는 조직적, 인적, 물리적, 기술적 등 네 가지 주제에 걸친 93개 통제 항목이 있습니다. 이는 체크리스트가 아니라 참고용 목록입니다. 위험 처리를 통해 통제 항목을 선택하고, 포함 및 제외 사유를 적용성 선언서(SoA)에 모두 정당화해야 합니다.
현행 판은 ISO/IEC 27001:2022이며(2024년 개정으로 상황 조항에 기후변화가 추가됨), 2013년 판에서 2022년 판으로의 전환은 2025년 10월 31일에 종료되었습니다. 따라서 현재 유효한 모든 인증서는 2022년 판에 해당합니다.
단계
- 적용 범위 설정(4.3): 조직의 어떤 부분, 어떤 사업장, 어떤 서비스를 포함할지 정합니다. 고객은 인증서에 기재된 적용 범위를 확인하므로, 고객이 구매하는 대상이 포함되도록 하십시오.
- 경영진의 의지 확보(5): 정보보안 정책, 역할과 책임의 배정, 자원 확보.
- 위험 평가 방법을 정의하고 실행(6.1.2): 기밀성, 무결성, 가용성에 대한 위험을 식별하고, 각 위험의 책임자, 발생 가능성 및 영향을 정합니다.
- 위험 처리(6.1.3): 통제 항목을 선택하고 부속서 A와 비교한 뒤, 위험 책임자가 승인한 SoA와 위험 처리 계획을 작성합니다.
- 측정 가능한 보안 목표 설정(6.2) 및 이를 달성할 계획을 수립합니다.
- 이행 및 운영(7~8): 정책, 절차, 교육 및 인식 제고, 통제 항목, 그리고 이들이 실제로 작동한다는 문서화된 증거.
- 측정 및 검토(9): ISMS를 모니터링하고, 감사 대상 업무와 독립된 담당자가 내부 감사를 수행하며, 경영검토를 실시합니다.
- 발견 사항 시정(10): 부적합 사항과 시정 조치를 기록합니다.
- 1단계 감사: 인증기관이 문서와 준비 상태를 검토합니다.
- 2단계 감사: 인증기관이 ISMS가 실제로 작동하는지 검증합니다. 중대 부적합 사항은 인증서 발급 전에 종결되어야 합니다.
인증기관 선정
국제인정기구포럼(International Accreditation Forum)에 가입된 국가 인정기관(예: UKAS, ANAB, DAkkS, JAS-ANZ)으로부터 ISO/IEC 27001 인정을 받은 기관을 이용하고, 그 인정 범위가 귀사의 적용 범위를 포함하는지 확인하십시오. 인정받지 않은 기관의 인증서는 저렴하지만 고객이 거부하는 경우가 많습니다.
일반적인 일정
많은 중소 및 중견 조직은 착수부터 인증서 취득까지 6~12개월이 걸립니다. 2단계 감사 전에 ISMS가 실제 기록을 남길 만큼 충분히 운영되어야 합니다. 최소한 내부 감사 1회, 경영검토 1회, 그리고 통제 항목이 작동한다는 증거가 필요합니다. 인증 후에는 1년차와 2년차에 사후심사가, 3년차에 재인증 심사가 있을 것으로 예상하십시오.
감사인이 확인하는 증거
- 적용 범위, 보안 정책, 측정값이 포함된 목표;
- 위험 평가 방법, 위험 대장, 위험 처리 계획;
- 사유가 포함된 적용성 선언서;
- 역량 및 교육 기록;
- 내부 감사 보고서 및 경영검토 회의록;
- 부적합 및 시정 조치 기록;
- 선택한 통제 항목의 운영 기록: 접근 권한 검토, 변경 기록, 공급업체 평가, 사고 기록, 백업.
흔히 놓치는 사항
- 템플릿형 위험 평가: 감사인은 위험이 어떻게 식별되었고 각 통제 항목이 왜 선택되었는지 묻습니다. 책임자가 없는 일반적인 목록은 이 검증을 통과하지 못합니다.
- 정당화되지 않은 SoA 제외: 통제 항목을 제외하려면 귀사의 위험 또는 적용 범위와 연결된 사유가 필요합니다.
- 내부 감사의 독립성: ISMS를 구축한 사람이 자신의 업무를 감사해서는 안 됩니다.
- 도움이 되지 않을 만큼 좁은 적용 범위: 사무실 한 곳만 포함하는 인증서로는 귀사의 클라우드 서비스를 구매하는 고객을 충족할 수 없습니다.
이 사이트의 활용 방법
ControlMapping은 모든 부속서 A 통제 항목과 ISMS 조항을 다른 10개 프레임워크의 대응 항목과 함께 나열합니다. 부속서 A와 NIST CSF 2.0, SP 800-53 간의 연결은 공개된 대응표에서 가져온 것이며, 통제 항목의 본문은 ISO의 저작물이므로 제목만 표시합니다. SOC 2, NIST 또는 NIS2를 이미 따르고 있다면 아래 표와 격차 분석에서 무엇이 그대로 이어지는지 확인할 수 있습니다. 4~10항의 경영시스템 요구사항은 대개 가장 큰 신규 작업입니다.
이미 다른 프레임워크를 사용 중이신가요?
이미 준수하고 있을 수 있는 각 프레임워크의 요구사항 중 ISO 27001의 요구사항에 몇 개가 매핑되는지 보여줍니다. 요구사항별 전체 목록은 격차 보고서를 열어 확인하세요.
| 이미 보유한 경우 | ISO 27001 요구사항 매핑 완료 | 느슨하게 관련된 항목만 | 매핑 없음 | |
|---|---|---|---|---|
| 800-53 | 121 / 123 | 1 | 1 | 격차 보고서 → · 비교 |
| NIS2 | 104 / 123 | 13 | 6 | 격차 보고서 → · 비교 |
| SOC 2 | 98 / 123 | 21 | 4 | 격차 보고서 → · 비교 |
| NIST CSF 2.0 | 79 / 123 | 34 | 10 | 격차 보고서 → · 비교 |
| PCI DSS | 76 / 123 | 37 | 10 | 격차 보고서 → · 비교 |
| DORA | 70 / 123 | 36 | 17 | 격차 보고서 → |
| CMMC | 65 / 123 | 41 | 17 | 격차 보고서 → |
| HIPAA | 58 / 123 | 46 | 19 | 격차 보고서 → · 비교 |
| CIS v8.1 | 53 / 123 | 38 | 32 | 격차 보고서 → · 비교 |
| GDPR | 47 / 123 | 47 | 29 | 격차 보고서 → · 비교 |
| CPS 234 | 35 / 123 | 40 | 48 | 격차 보고서 → |
| Essential Eight | 23 / 123 | 39 | 61 | 격차 보고서 → · 비교 |
| Cyber Essentials | 20 / 123 | 19 | 84 | 격차 보고서 → |
대응표 공개된 크로스워크(NIST, ENISA, CIS, PCI SSC)가 연결을 뒷받침합니다 · 편집 콘텐츠 대응 크로스워크가 없는 경우 ControlMapping의 판단이며, 그 사유가 표시됩니다. · CSF 2.0 성과 하나만 공유함: 검토할 가치는 있으나 매핑은 아님 · 보유 데이터에 매핑 없음 당사 데이터에 매핑된 항목이 없음. 대개 신규 작업이지만 적용 범위 안내를 확인하세요. 집계는 격차 분석와 동일한 데이터에서 나오며, 매핑은 관련 요구사항을 의미할 뿐 한쪽이 다른 쪽을 충족한다는 증거가 아닙니다.
질문
ISO 27001 인증서는 얼마나 유효합니까?
연간 사후심사를 통과하는 조건으로 3년간 유효합니다. 만료 전에 재인증 심사를 받아야 합니다.
부속서 A의 통제 항목 93개를 모두 이행해야 합니까?
아닙니다. 위험 처리를 통해 통제 항목을 선택하고, 포함 및 제외한 각 항목의 사유를 적용성 선언서에 정당화하면 됩니다.
ISO 27001과 SOC 2 중 어느 것이 더 낫습니까?
어느 한쪽이 더 낫다고 할 수 없습니다. 고객이 요구하는 것이 다르기 때문입니다. ISO 27001은 국제적으로 인정받는 인증서이고, SOC 2는 미국식 검증 보고서입니다. ISO 27001 vs SOC 2를 참고하십시오.
법률 또는 컴플라이언스 자문이 아닙니다. 의존하기 전에 공식 원문과 감사인, 평가자 또는 규제기관에 확인하세요.