01 / When you need it
이런 경우에
이런 경우에
필요합니다
- 01고객사·투자사·규제기관으로부터 인증 취득을 요구받았다.
- 02의무 대상인지 아닌지부터 판단이 서지 않는다.
- 03정책 문서는 있는데 실제 운영과 달라서 손을 못 대고 있다.
- 04지난 심사에서 결함을 받았고 올해는 반복하고 싶지 않다.
- 05담당자가 혼자라 어디서부터 손대야 할지 모르겠다.
02 / Scope
수행 범위
- 인증 범위 설정 — 서비스·조직·자산 경계를 확정하고 경계 밖 시스템과의 연계 지점을 목록화합니다. 범위가 흔들리면 이후 산출물이 전부 다시 만들어집니다.
- GAP 분석 — 인증기준(관리체계 수립·운영 / 보호대책 요구사항 / 개인정보 처리단계별 요구사항) 대비 현재 상태를 항목 단위로 진단하고 이행 로드맵을 만듭니다.
- 정책·지침 현실화 — 지키지 못할 조항을 걷어내는 것도 작업입니다. 문서와 실제 업무 절차를 일치시킵니다.
- 위험평가 — 자산 식별, 위협·취약점 도출, 위험도 산정, 수용 가능한 위험 수준(DoA) 결정까지 판단 근거가 설명 가능한 형태로 남깁니다.
- 증적 체계 설계 — 심사 직전에 만들어내는 문서가 아니라, 운영하면 자연히 남는 기록 구조를 만듭니다.
- 심사 대응 — 모의심사, 인터뷰 준비, 심사원 질의 대응, 결함 조치와 조치 확인까지 지원합니다.
| 인증 유형 | ISMS · ISMS-P |
| 과업 구분 | 최초 인증 · 갱신 · 사후심사 |
| 전제 | 인증 범위 내 시스템 담당자 인터뷰 가능 |
| 협조 | 정책 문서 · 자산 목록 · 운영 기록 열람 |
03 / Deliverables
산출물
계약서에 그대로 명시되는 목록입니다. 여기 없는 문서가 필요하시면 착수 전에 말씀해 주세요.
기본 제공
- GAP 분석 보고서 · 이행 계획서
- 정책 / 지침 / 절차 문서 세트
- 위험평가 결과서 · 잔여위험 수용 문서
- 증적 관리 대장 양식
- 모의심사 결과 및 예상 결함 목록
- 결함 조치 확인서
유의사항
- 심사는 인증기관·심사기관이 수행합니다. 컨설팅사가 심사를 대행할 수 없습니다.
- 인증 통과를 보장하지 않습니다. 결함 발생 가능 지점을 사전에 드러내는 것이 역할입니다.
- 운영 기록은 시간이 쌓여야 생깁니다. 준비 기간이 짧으면 확보 가능한 증적부터 우선순위를 잡습니다.
- 의무 대상 여부는 최종적으로 법령 해석의 영역입니다. 근거 조문과 함께 검토 의견을 드립니다.
단계별 절차와 위험도 산정 기준은 진단 방법론에 전부 공개되어 있습니다.
04 / FAQ
자주 묻는 질문
준비 기간은 얼마나 걸리나요?
조직 규모보다 현재 운영 기록이 얼마나 남아 있는지가 기간을 좌우합니다. 정책만 있고 기록이 없는 상태라면 기록이 쌓이는 시간 자체가 필요합니다. GAP 분석을 먼저 수행하면 남은 기간을 근거 있게 산정할 수 있습니다.
우리가 의무 대상인지 모르겠습니다.
매출액·이용자 수·업종 등 법령이 정한 기준으로 판단합니다. 현재 사업 현황을 알려주시면 근거 조문과 함께 검토 의견을 정리해 드립니다. 의무 대상이 아니라면 인증 취득 대신 필요한 통제만 선별해 적용하는 방향도 함께 검토합니다.
기술 진단은 따로 받아야 하나요?
위험평가에는 기술 취약점 진단 결과가 반영되어야 합니다. 별도 업체에서 진단만 받으면 그 결과가 위험평가·조치계획으로 연결되지 않는 경우가 많습니다. 저희는 같은 프로젝트 안에서 두 축을 연결합니다.