01 / When you need it
이런 경우에
이런 경우에
필요합니다
- 01고객사와 투자사가 나란히 인증서를 요구하고 있다.
- 02의무 대상인지부터 판단이 서지 않는다.
- 03정책 문서는 있지만 실제 운영과 달라 손을 못 대고 있다.
- 04지난 심사에서 받은 결함을 올해 또 받을 것 같다.
- 05담당자가 나 혼자다.
02 / Scope
수행 범위
- 인증 범위 설정 — 서비스와 조직, 자산의 경계를 먼저 확정합니다. 경계 밖에 있으면서 안쪽과 연결된 시스템도 목록에 올립니다. 여기가 흔들리면 뒤에 만든 산출물을 전부 다시 씁니다.
- GAP 분석 — 인증기준 대비 지금 어디까지 와 있는지를 항목 단위로 매깁니다. 기준은 관리체계 수립·운영, 보호대책 요구사항, 개인정보 처리단계별 요구사항입니다. 이 결과가 곧 이행 로드맵의 초안이 됩니다.
- 정책·지침 현실화 — 문서를 늘리는 작업이 아니라, 지킬 수 없는 조항을 덜어내는 데 절반쯤이 들어갑니다.
- 위험평가 — 자산을 세고 위협과 취약점을 뽑아 위험도를 매깁니다. 수용 가능한 위험 수준(DoA)을 어디에 그었는지, 왜 거기인지까지 설명 가능한 형태로 남깁니다.
- 증적 체계 설계 — 심사 직전에 몰아서 만드는 문서 대신, 하던 일이 저절로 기록으로 남는 구조를 짭니다.
- 심사 대응 — 모의심사를 한 번 돌리고 인터뷰에서 무엇을 묻는지 미리 맞춰 봅니다. 심사원 질의 대응부터 결함 조치와 조치 확인까지 갑니다.
| 인증 유형 | ISMS · ISMS-P |
| 과업 구분 | 최초 인증 · 갱신 · 사후심사 |
| 전제 | 인증 범위 내 시스템 담당자 인터뷰 가능 |
| 협조 | 정책 문서 · 자산 목록 · 운영 기록 열람 |
03 / Deliverables
산출물
아래 목록은 계약서에 명시되는 항목과 같습니다. 여기 없는 문서가 필요하시면 착수 전에 말씀해 주세요. 중간에 끼워 넣으면 일정이 밀립니다.
기본 제공
- GAP 분석 보고서 · 이행 계획서
- 정책 / 지침 / 절차 문서 세트
- 위험평가 결과서 · 잔여위험 수용 문서
- 증적 관리 대장 양식
- 모의심사 결과 및 예상 결함 목록
- 결함 조치 확인서
유의사항
- 심사는 인증기관과 심사기관이 합니다. 컨설팅사가 대신 받아 줄 수 있는 일이 아닙니다.
- 통과를 장담하지 않습니다. 결함이 나올 만한 곳을 미리 들춰내는 데까지가 저희 몫입니다.
- 운영 기록은 시간이 지나야 생깁니다. 준비 기간이 빠듯하면 지금 확보되는 증적부터 순서를 잡습니다.
- 의무 대상인지 아닌지는 결국 법령 해석입니다. 단정하기보다 근거 조문을 붙여 의견을 드립니다.
단계별 절차와 위험도 산정 기준은 진단 방법론에 모두 공개해 두었습니다. 받아 보신 다른 제안서와 나란히 놓고 비교하셔도 됩니다.
04 / FAQ
자주 묻는 질문
준비 기간은 얼마나 걸리나요?
조직 규모보다 지금 남아 있는 운영 기록의 양이 기간을 좌우합니다. 정책만 있고 기록이 없다면 기록이 쌓일 시간 자체가 필요하고요. 남은 기간을 근거 있게 계산하려면 GAP 분석을 먼저 돌리는 편이 빠릅니다.
우리가 꼭 받아야 하는 건지 모르겠습니다.
매출액과 이용자 수, 업종처럼 법령이 정한 기준으로 갈립니다. 지금 사업 현황을 알려주시면 근거 조문을 붙여 검토 의견을 정리해 드립니다. 의무 대상이 아니라면 인증 취득 대신 필요한 통제만 골라 적용하는 선택지도 놓고 보겠습니다.
기술 진단은 따로 받아야 하나요?
위험평가에는 기술 취약점 진단 결과가 들어가야 합니다. 진단만 다른 곳에서 받으면 그 결과가 위험평가와 조치계획으로 이어지지 않고 따로 놉니다. 저희는 한 프로젝트 안에서 두 축을 이어 붙입니다.