ISMS-P 착수 전
자가점검

같은 규모의 조직인데 어떤 곳은 준비에 6개월, 어떤 곳은 1년 반이 걸립니다. 차이는 대개 문서량이 아니라 지금 남아 있는 운영 기록과 범위 확정 여부에서 갈립니다. 컨설팅을 부르기 전에 아래를 먼저 확인해 보세요.

A. 범위

• 인증을 받을 서비스와 조직의 경계가 문장으로 적혀 있다. “회사 전체”는 범위가 아닙니다. 어떤 서비스, 어떤 조직, 어떤 시스템인지가 필요합니다.
• 범위 안 자산 목록(서버·네트워크·애플리케이션·개인정보 처리 시스템)이 최신이다.
• 범위 밖 시스템과의 연계 지점이 파악되어 있다. 심사에서 자주 질문받는 지점입니다. 연계 구간의 통제가 없으면 범위 설정이 무의미해집니다.
• 클라우드·SaaS 사용 현황이 목록화되어 있다.

B. 문서

• 정보보호 정책·지침이 존재한다.
• 그 문서의 내용이 실제 업무 절차와 일치한다. 여기서 “아니오”면 문서를 새로 만드는 것보다 현실에 맞게 걷어내는 작업이 먼저입니다.
• 문서에 제정·개정 이력과 승인 흔적이 남아 있다.
• 담당자가 바뀌어도 찾을 수 있는 위치에 보관되어 있다.

C. 운영 기록 — 기간이 가장 크게 갈리는 항목

정책은 하루면 만들 수 있지만, 운영 기록은 시간이 지나야 생깁니다. 아래 항목이 비어 있으면 그만큼의 시간이 준비 기간에 그대로 더해집니다.

• 최근 접근권한 검토를 수행하고 기록을 남긴 적이 있다.
• 변경 관리(시스템 변경 요청·승인·적용) 기록이 남아 있다.
• 접속기록을 보관하고, 주기적으로 점검한 흔적이 있다.
• 백업 복구 시험을 수행하고 결과를 기록한 적이 있다.
• 보안 교육을 실시하고 참석 기록이 있다.
• 취약점 점검을 수행하고 조치 결과를 기록한 적이 있다.

D. 위험평가

• 위험평가를 수행한 적이 있고, 산정 기준이 문서로 있다.
• 수용 가능한 위험 수준(DoA)을 누가 결정했는지 설명할 수 있다.
• 위험평가 결과가 조치 계획으로 이어졌고 이행 상태를 추적하고 있다.
• 기술 취약점 진단 결과가 위험평가에 반영되어 있다. 진단과 관리체계를 다른 업체가 맡으면 이 연결이 자주 끊깁니다.

E. 개인정보 (ISMS-P를 받는 경우)

• 개인정보 처리 흐름(수집→저장→이용→제공/위탁→파기)이 그려져 있다.
• 수집 항목별 법적 근거를 설명할 수 있다.
• 위탁·재위탁 현황이 목록화되어 있고 계약서에 필수 조항이 있다.
• 국외이전(해외 클라우드·SaaS 포함) 현황이 파악되어 있다.
• 처리방침이 현재 실제 처리와 일치한다.

F. 조직과 일정

• 보안 담당자가 지정되어 있고, 업무 시간이 확보되어 있다. 겸직이어도 괜찮지만 “아무도 없음”이면 컨설팅 효과가 크게 떨어집니다.
• 경영진이 의사결정에 참여할 수 있다(위험 수용 결정 등).
• 시스템 담당 조직이 인터뷰와 조치에 협조 가능하다.
• 목표 심사 시점이 정해져 있다면, 그 날짜가 고정인지 조정 가능한지 안다.

결과를 어떻게 읽을까

C(운영 기록)에서 “아니오”가 3개 이상이면, 문서 작업보다 기록을 남기는 활동을 먼저 시작하는 편이 전체 일정을 줄입니다. A(범위)에서 “아니오”가 있으면 다른 작업을 시작하기 전에 범위부터 확정해야 산출물을 두 번 만들지 않습니다.

이 목록을 채운 상태로 상담을 요청하시면, 첫 회신에서 준비 기간과 우선순위를 훨씬 구체적으로 드릴 수 있습니다.