ISO/IEC 27701 개인정보 인증가이드

ISO/IEC 27701은 개인정보를 처리하는 조직이 개인정보를 체계적으로 보호하기 위한 개인정보보호경영시스템(PIMS)의 국제 규격입니다. 현재 판은 ISO/IEC 27701:2025입니다. 2019년판은 27001에 덧붙이는 확장 규격이었지만, 2025년판은 단독으로 운영할 수 있는 경영시스템 규격으로 바뀌었습니다.

• 고객·회원 개인정보를 많이 다루는 기업
• 유럽(GDPR) 등 해외 개인정보 규제에 대응해야 하는 기업
• 개인정보 처리를 위탁받는 수탁사
• 이미 ISO/IEC 27001을 운영 중인 기업

인증은 보통 다음 순서로 진행됩니다.

1. 범위 정하기. 인증받을 사업장, 제품·서비스, 규격을 정합니다.
2. 체계 만들기. 방침과 목표, 필요한 절차와 기록 양식을 갖추고 직원 교육을 합니다.
3. 운영과 기록. 정한 대로 일하며 기록을 쌓습니다. 인증기관마다 다르지만 보통 몇 개월의 운영 기록을 확인합니다.
4. 내부심사와 경영검토. 인증 심사 전에 스스로 점검하고 경영진이 검토합니다.
5. 인증 심사. 1단계(문서와 준비 상태)와 2단계(현장)로 나뉩니다.
6. 시정과 인증서 발급. 부적합이 나오면 시정조치를 내고, 유효기간 3년의 인증서를 받습니다.

비용은 인증 심사비와, 필요할 때 받는 컨설팅비로 나뉩니다. 심사비는 인증기관이 인정기구의 심사 일수 기준에 따라 직원 수, 사업장 수, 업무 복잡도로 심사 일수를 정해 계산합니다. 같은 조건이라도 기관마다 금액이 다르니 두세 곳을 비교하는 것이 좋습니다.

준비 기간은 중소기업 기준으로 보통 3~6개월, 심사 신청부터 인증서 발급까지는 1~2개월 정도 걸립니다. 우리 회사 조건으로 대략적인 범위를 보려면 자동 견적을 이용해 보세요.

심사원은 서류의 양보다 정한 대로 일하고 있고 그 기록이 있는지를 봅니다. 담당자 인터뷰와 현장 확인이 함께 이뤄지므로, 실제로 일하는 방식과 문서가 맞으면 어렵지 않습니다. 부적합이 나와도 바로 인증이 거절되는 것은 아니며, 기한 안에 시정조치를 내면 됩니다.

처음이라면 심사 전에 내부심사로 미리 점검해 보는 것이 가장 좋습니다. 참고로 공정성을 위해 컨설팅을 받은 곳과 인증 심사를 하는 곳은 서로 달라야 합니다.

네. ISO/IEC 27001과 함께 운영하는 것이 가장 효율적입니다. 정보보호와 개인정보보호의 위험 평가, 통제, 내부심사를 한 번에 관리할 수 있습니다.

2019년판에서는 27001과 함께 운영해야 했지만, 2025년판은 단독 운영이 가능해졌습니다. 다만 인증기관의 전환 일정과 심사 방식(단독 또는 27001 통합)은 기관마다 다르니 확인이 필요합니다. 27001을 이미 운영 중이라면 통합하는 편이 효율적입니다.

인증서는 3년간 유효합니다. 그 사이 매년 사후심사를 받고, 3년이 되면 갱신심사를 받습니다. 규격이 개정되면 정해진 전환 기간 안에 전환심사를 받아야 합니다. 개정 소식은 규격 개정 현황판에서 확인할 수 있습니다.