ISO 27001 인증 요건 총정리, 필수 문서와 93개 통제항목 적용 기준

ISO 27001 인증 요건은 크게 두 부분으로 나뉩니다. 반드시 모두 충족해야 하는 본문 요구사항(4~10조)과, 위험평가 결과에 따라 적용 여부를 정하는 부속서 A 통제항목입니다.

처음 준비하는 회사는 93개 통제항목을 모두 갖춰야 한다고 생각하기 쉽습니다. 실제로는 위험평가를 먼저 하고, 필요한 통제를 골라 그 이유를 적용성 보고서(SoA)에 남기는 구조입니다.

이 글에서는 ISO 27001 인증 요건을 본문 요구사항, 필수 문서, 부속서 A 적용 기준, 심사 전 준비 순서로 나눠 정리합니다.

ISO 27001 본문 요구사항은 무엇인가요?

본문 4~10조는 제외할 수 없는 필수 요건입니다.

꼭 갖춰야 하는 문서와 기록은 무엇인가요?

• 정보보안경영시스템 적용 범위
• 정보보안 방침과 정보보안 목표
• 위험평가·위험처리 절차와 그 결과
• 적용성 보고서(SoA)
• 역량 증거(교육·경력 기록)
• 모니터링·측정 결과
• 내부심사 프로그램과 결과, 경영검토 결과
• 부적합과 시정조치 기록

이 목록은 규격이 문서화된 정보로 요구하는 대표 항목입니다. 회사 상황에 따라 절차서나 지침을 추가로 만들 수 있습니다.

부속서 A 93개 통제는 모두 적용해야 하나요?

아닙니다. 2022년판 부속서 A는 4개 분야, 93개 통제로 구성되어 있으며, 적용 여부는 위험평가 결과로 판단합니다.

적용성 보고서에는 필요한 통제, 포함 이유, 이행 여부, 제외한 통제의 제외 이유를 적어야 합니다. 제외 사유가 설명되지 않으면 심사에서 지적될 수 있습니다.

적용 범위는 어떻게 정하나요?

적용 범위는 인증서에 표시되는 내용이자 심사 대상입니다. 고객이 요구하는 서비스나 시스템이 범위에 들어가는지 먼저 확인해야 합니다.

• 포함할 서비스와 정보 자산
• 포함할 사업장(사무실, 데이터센터, 원격 근무)
• 외부 클라우드나 위탁 업체와의 경계

범위를 너무 좁히면 고객 요구와 맞지 않고, 너무 넓히면 준비 부담이 커집니다.

ISMS-P와는 어떤 차이가 있나요?

ISO 27001은 국제 규격 기반의 민간 인증이고, ISMS·ISMS-P는 국내 법령에 근거한 인증 제도입니다. 일정 기준에 해당하는 기업은 ISMS 인증이 법적 의무일 수 있으므로, 해외 고객 대응이 목적인지 국내 의무 대응이 목적인지 먼저 구분해야 합니다.

심사 전에는 어떤 순서로 준비하나요?

참고로 2013년판에서 2022년판으로의 전환 기한은 2025년 10월 31일에 끝났습니다. 지금 준비하는 회사는 2022년판 기준으로 진행합니다. 캠퍼스아웃 국내교육센터에서는 ISO 27001 내부심사원·심사원 과정을 상담으로 안내합니다.