ISO 27001 준비 절차는 문서 작성보다 범위 설정과 위험평가가 먼저입니다. 무엇을 보호할지 정하지 않고 통제항목부터 채우면 적용성 보고서와 실제 운영이 따로 놀게 됩니다.
2026년 10월 현재 인증 기준은 ISO/IEC 27001:2022와 2024년 기후변화 관련 개정입니다. 2026년판은 발행되지 않았으니 2022년판 기준으로 준비하면 됩니다.
이 글에서는 범위 설정부터 위험평가, 통제 적용, 내부심사, 인증심사까지 준비 순서를 단계별로 정리합니다.
준비는 어떤 순서로 하나요?
| 단계 | 할 일 | 주요 산출물 |
|---|---|---|
| 범위 | 대상 조직·시스템·위치 결정 | 적용 범위 문서 |
| 방침 | 경영진 승인, 역할 지정 | 정보보호 방침 |
| 위험평가 | 자산·위협·취약점 분석 | 위험평가 결과 |
| 위험처리 | 처리 방법과 통제 선택 | 위험처리계획 |
| 통제 적용 | 선택한 통제 운영 | 적용성 보고서, 운영 기록 |
| 점검 | 내부심사, 경영검토 | 심사 보고서, 검토 기록 |
| 인증심사 | 1단계·2단계 심사 | 부적합 시정 기록 |
앞 단계 결과가 다음 단계의 입력이 되므로 순서를 건너뛰지 마세요.
범위는 어떻게 정하나요?
범위에는 어떤 서비스와 시스템, 어느 사무실과 클라우드 환경이 들어가는지를 적습니다. 고객이나 계약서가 특정 서비스의 인증을 요구한다면 그 서비스가 범위에 꼭 들어가야 합니다.
- 외부 위탁 운영이나 클라우드 서비스와의 경계
- 원격 근무자와 개인 단말 사용 여부
- 범위 밖 조직과 주고받는 정보
범위가 넓을수록 통제와 심사 공수가 늘어납니다. 처음에는 핵심 서비스부터 잡고 넓혀 가는 회사도 많습니다.
위험평가는 무엇을 하나요?
위험평가는 정보 자산마다 기밀성·무결성·가용성이 훼손될 가능성과 영향을 따져 보는 작업입니다. 평가 기준과 수용 가능한 위험 수준을 먼저 정해 두어야 결과를 다시 내도 같은 답이 나옵니다.
평가 결과에 따라 위험을 줄일지, 피할지, 넘길지, 받아들일지를 정하고 위험 책임자의 승인을 받습니다.
93개 통제항목은 모두 적용해야 하나요?
아닙니다. 부속서 A의 93개 통제는 조직·인적·물리적·기술적 네 가지 주제로 묶여 있으며 위험처리에 필요한 통제를 골라 적용합니다.
| 주제 | 통제 수 |
|---|---|
| 조직 통제 | 37개 |
| 인적 통제 | 8개 |
| 물리적 통제 | 14개 |
| 기술적 통제 | 34개 |
적용성 보고서에는 통제마다 적용 여부와 이유, 실행 상태를 적습니다. 제외한 통제도 왜 필요 없는지 설명할 수 있어야 합니다.
인증심사 전에 무엇을 점검하나요?
- 통제 운영 기록이 몇 달 이상 쌓였는지
- 전 범위를 다룬 내부심사를 마쳤는지
- 경영검토에서 위험과 목표 달성 결과를 보고했는지
- 내부심사 부적합의 시정조치를 끝냈는지
1단계 심사에서는 문서와 준비 상태를, 2단계 심사에서는 통제가 실제로 운영되는지를 확인합니다.
ISMS-P와 함께 준비할 수 있나요?
ISMS-P는 국내 법령에 근거한 인증이고 ISO 27001은 국제 규격 인증입니다. 위험관리와 보호대책처럼 겹치는 부분이 있어 기록을 함께 활용하는 회사도 있지만 심사 기준과 운영 주체는 다릅니다.
어느 쪽이 필요한지는 고객 요구와 법적 의무 대상 여부로 판단합니다. 캠퍼스아웃 국내교육센터에서는 ISO 27001 내부심사원·심사원 과정을 상담으로 안내합니다.
자주 묻는 질문
Q 준비 기간은 얼마나 걸리나요?
A 범위와 기존 보안 수준에 따라 다릅니다. 통제 운영 기록을 쌓는 기간까지 포함해 계획하세요.
Q 클라우드만 쓰는 회사도 인증을 받을 수 있나요?
A 가능합니다. 클라우드 사업자와의 책임 경계를 범위와 통제에 명확히 반영해야 합니다.
Q 2013년판 인증서는 아직 쓸 수 있나요?
A 2022년판으로의 전환 기한이 2025년 10월 31일에 끝났으므로 2013년판 인증서는 효력이 없습니다.
Q 적용성 보고서는 누가 승인하나요?
A 정해진 양식은 없지만 보통 정보보호 책임자나 경영진이 검토하고 승인합니다.
Q 캠퍼스아웃이 보안 컨설팅을 하나요?
A 아닙니다. 캠퍼스아웃은 ISO 교육 상담과 등록 연계를 하며 인증은 인증기관이 결정합니다.
