ISO/IEC 27001 정보보안 인증가이드

ISO/IEC 27001은 정보 자산의 기밀성, 무결성, 가용성을 지키기 위한 정보보호경영시스템의 국제 요구사항입니다. 현재 판은 ISO/IEC 27001:2022이며 2024년 기후변화 관련 개정(Amd 1)이 더해졌습니다. 2013년판 인증의 전환 기간은 2025년 10월 31일로 끝났습니다.

• IT·소프트웨어·클라우드 서비스 기업
• 고객 정보와 기술 자료를 많이 다루는 기업
• 해외 고객사나 원청이 보안 인증을 요구하는 협력사
• 공급망 보안 평가를 받는 제조 기업

인증은 보통 다음 순서로 진행됩니다.

1. 범위 정하기. 인증받을 사업장, 제품·서비스, 규격을 정합니다.
2. 체계 만들기. 방침과 목표, 필요한 절차와 기록 양식을 갖추고 직원 교육을 합니다.
3. 운영과 기록. 정한 대로 일하며 기록을 쌓습니다. 인증기관마다 다르지만 보통 몇 개월의 운영 기록을 확인합니다.
4. 내부심사와 경영검토. 인증 심사 전에 스스로 점검하고 경영진이 검토합니다.
5. 인증 심사. 1단계(문서와 준비 상태)와 2단계(현장)로 나뉩니다.
6. 시정과 인증서 발급. 부적합이 나오면 시정조치를 내고, 유효기간 3년의 인증서를 받습니다.

비용은 인증 심사비와, 필요할 때 받는 컨설팅비로 나뉩니다. 심사비는 인증기관이 인정기구의 심사 일수 기준에 따라 직원 수, 사업장 수, 업무 복잡도로 심사 일수를 정해 계산합니다. 같은 조건이라도 기관마다 금액이 다르니 두세 곳을 비교하는 것이 좋습니다.

준비 기간은 중소기업 기준으로 보통 3~6개월, 심사 신청부터 인증서 발급까지는 1~2개월 정도 걸립니다. 우리 회사 조건으로 대략적인 범위를 보려면 자동 견적을 이용해 보세요.

심사원은 서류의 양보다 정한 대로 일하고 있고 그 기록이 있는지를 봅니다. 담당자 인터뷰와 현장 확인이 함께 이뤄지므로, 실제로 일하는 방식과 문서가 맞으면 어렵지 않습니다. 부적합이 나와도 바로 인증이 거절되는 것은 아니며, 기한 안에 시정조치를 내면 됩니다.

처음이라면 심사 전에 내부심사로 미리 점검해 보는 것이 가장 좋습니다. 참고로 공정성을 위해 컨설팅을 받은 곳과 인증 심사를 하는 곳은 서로 달라야 합니다.

네. ISO/IEC 27701(개인정보), ISO 22301(업무연속성)과 함께 운영하면 위험 평가와 사고 대응을 한 체계로 관리할 수 있습니다. ISO 9001 등과도 공통 구조로 통합할 수 있습니다.

ISMS와 ISMS-P는 국내 법에 근거한 인증이며, ISMS는 일정 기준 이상 사업자에게 의무입니다. ISO/IEC 27001은 국제 인증이라 해외 고객과 거래할 때 널리 인정됩니다. 통제 항목이 많이 겹치므로 둘을 함께 준비하면 효율적입니다.

인증서는 3년간 유효합니다. 그 사이 매년 사후심사를 받고, 3년이 되면 갱신심사를 받습니다. 규격이 개정되면 정해진 전환 기간 안에 전환심사를 받아야 합니다. 개정 소식은 규격 개정 현황판에서 확인할 수 있습니다.