[Compliance] ISMS-P 인증 추진체계 및 심사 프로세스 가이드

 

1. ISMS-P 인증 추진체계: 누가 무엇을 하나요?

인증제도는 정책을 결정하는 기관부터 실제로 심사를 수행하는 기관까지 역할이 명확히 나누어져 있습니다.

구분	주요 역할 및 기관	상세 업무 내용
정책기관 (협의회)	과기정통부, 개인정보위	법·제도 개선, 정책 결정, 인증 및 심사기관 지정
인증기관	한국인터넷진흥원(KISA), 금융보안원(FSI)	제도 운영, 인증 품질 관리, 인증서 발급, 심사원 양성
심사기관	KAIT, TTA, OPA, NISC	심사팀 구성 및 인증 심사 수행, 결함 보완조치 확인
인증위원회	35명 이하 전문가	심사 결과의 적합성 심의·의결, 인증 취소 및 이의신청 처리
신청기관	인증을 취득하고자 하는 자	관리체계 수립·운영 및 객관적 검증을 위해 인증 신청

---

2. 인증심사 및 결함 보고 프로세스

심사 현장에서 결함 후보가 도출되어 최종 보고서가 나오기까지의 과정은 매우 긴박하게 돌아갑니다.

1. 인증심사 (서면/현장): 규정 문서 검수, 담당자 인터뷰, 시스템 및 물리 보안 실사를 병행합니다.
2. 결함 후보 도출: 심사 항목에 부적합한 사례를 심사일지에 기록합니다.
3. 사실관계 확인: 도출된 후보에 대해 신청기관 담당자와 확인 과정을 거치며, 필요시 추가 증적을 요청합니다.
4. 결함보고서 작성: 확인된 결함에 대해 기술적/관리적 내용을 정확히 작성합니다.
5. 결함보고서 서명: 신청기관의 담당자와 CISO/CPO가 내용을 확인하고 최종 서명합니다.

 

💡 실무 Tip: 결함보고서는 심사의 핵심 결과물입니다. 보안 전문 지식이 없는 경영진이나 타 부서원이 읽어도 '무엇이 문제이고, 어떤 법적 근거를 위반했는지' 단번에 이해할 수 있도록 쉽고 명확하게 작성하는 것이 핵심입니다.

 

---

3. 결함보고서 구성 항목 및 품질 관리

결함보고서는 추후 보완조치의 기준이 되므로 아래 항목들이 빠짐없이 포함되어야 합니다.

 

• 인증심사 기본정보: 심사 기간, 범위, 심사원 정보 등.
• 결함 유형: 중결함(중대한 영향), 일반 결함(보완 필요), 권고(개선 제안)로 구분
• 인증 영역: 관리체계(1), 보호대책(2), 개인정보 처리 단계(3) 중 해당 영역 명시.
• 관련 근거: 인증기준 항목, 관련 법령(망법, 개보법), 내부 지침 등.
• 운영현황 및 결함 내역: 현재 어떻게 운영 중인지와 발견된 부적합 사항을 구체적으로 기술.
• 조치 사항: 결함을 해결하기 위해 필요한 개선 방향 가이드.
• 근거 목록: 결함의 증거가 되는 캡처 화면, 로그, 문서 리스트.

---

🛡️ 실무자의 한마디 

인증 심사를 단순히 '통과해야 하는 시험'으로만 보지 마세요.

1. 사고 발생 시 강력한 증적: 침해사고 발생 시, 평소 관리체계를 지속적으로 이행했다는 사실은 법적 감경 조치를 이끌어내는 가장 확실한 증거가 됩니다.
2. IT 운영의 핵심 엔진: 잘 잡힌 정보보호 관리체계는 복잡한 IT 환경 속에서 우리 서비스를 안전하게 지속시키는 핵심 인프라입니다.

심사장에서 받는 결함보고서는 우리 회사의 보안 근육을 키울 수 있는 '처방전'입니다. 기분 나빠하기보다, 이를 통해 시스템을 어떻게 더 견고하게 만들지 고민하는 것이 진정한 보안 실무자의 자세입니다!