ISMS-P 심사에서 문서보다 먼저 확인하는 증적 10가지

ISMS-P 증적은 문서보다 운영 흔적이 먼저입니다.

심사에서는 작성 여부보다 실제로 남아 있는 기록을 확인합니다.

이 글은 현장에서 자주 확인되는 핵심 증적 10가지를 실무 기준으로 정리했습니다.

---

ISMS-P 증적을 정리할 때 가장 먼저 봐야 할 것은 문서의 완성도보다 운영이 실제로 남아 있는가입니다.

인증을 준비하는 현장에서는 정책서와 절차서가 먼저 정리되지만, 심사에서 더 자주 확인되는 것은 실행 흔적입니다.

“정책서는 다 준비했는데 이제 무엇을 점검해야 합니까?”라는 질문은 그래서 매우 중요합니다.

이 질문에는 한 가지 전제가 빠져 있습니다. 문서는 시작점일 뿐이고, 심사는 실제 운영이 지속됐는지 확인하는 절차라는 점입니다.

많은 조직이 인증 준비를 문서 작성 중심으로 생각합니다. 하지만 실제 심사에서는 다음을 반복해서 확인합니다.

• 실제로 수행했는가
• 수행 기록이 남아 있는가
• 담당자가 지정되어 있는가
• 정기적으로 점검되고 있는가

ISMS-P는 문서 인증이 아니라 운영 인증에 가깝습니다. 그리고 운영은 반드시 증적으로 남아 있어야 합니다.

아래 항목들은 실제 심사 과정에서 반복적으로 확인되는 핵심 증적입니다.

---

1. 위험평가 보고서

위험평가는 정보보호 활동의 출발점입니다.

심사에서는 단순 수행 여부가 아니라 최근 수행 여부, 식별된 위험, 대응 계획, 개선 결과까지 함께 확인합니다.

보고서가 존재하더라도 후속 조치가 없으면 운영 증적으로 보기 어렵습니다. 결국 중요한 것은 위험을 발견한 뒤 실제로 무엇을 바꿨는가입니다.

2. 접근권한 검토 기록

접근권한 검토는 대부분의 심사에서 확인되는 핵심 항목입니다.

계정 생성 절차보다 더 중요하게 보는 것은 현재 권한 상태입니다. 퇴직자 계정, 부서 이동자 계정, 장기 미사용 계정, 과도 권한 계정은 특히 자주 확인됩니다.

검토를 수행했더라도 기록이 없으면 인정되기 어렵기 때문에, 검토 시점과 결과, 후속 조치까지 한 묶음으로 남겨 두는 것이 좋습니다.

3. 개인정보 파기 기록

개인정보는 보관보다 파기 단계에서 문제가 발생하는 경우가 많습니다.

심사에서는 파기 기준, 파기 대상, 파기 시점, 파기 결과를 모두 봅니다. 파기를 했다는 사실보다 어떤 기준으로, 어떤 대상에 대해, 어떤 방식으로 마무리했는지가 중요합니다.

파기 기록은 간단해 보여도 누락되기 쉬워서, 월별 또는 분기별로 정리하는 방식이 실무적으로 안정적입니다.

4. 정보자산 목록

정보자산 목록은 관리체계의 출발점입니다.

보호 대상이 정의되지 않으면 보호 활동도 의미를 가지기 어렵습니다. 특히 클라우드와 외부 서비스가 늘어난 조직에서는 자산 누락이 자주 발생합니다.

실무에서는 서버나 PC만 보는 것이 아니라 SaaS, 외부 저장소, 협업 도구, 위탁 관리 시스템까지 함께 포함하는지 점검해야 합니다.

5. 개인정보 처리 위탁 관리 기록

외부 위탁사는 조직의 보안 수준을 함께 결정합니다.

심사에서는 위탁 현황, 계약 내용, 관리 감독 여부를 함께 확인합니다. 계약서만 존재하고 실제 점검 기록이 없다면 관리가 작동했다고 보기 어렵습니다.

위탁관리는 계약 체결 시점보다 운영 중 관리가 중요합니다. 변경이 생겼다면 그 변화가 언제 반영됐는지도 남겨 두는 편이 좋습니다.

6. 보안 교육 수행 기록

교육은 기본적인 통제활동입니다.

하지만 실제 현장에서는 수행했음에도 기록이 없는 경우가 많습니다. 교육자료, 참석자 명단, 교육 일정, 이수 확인이 함께 있어야 증적이 완성됩니다.

교육은 단발성 이벤트가 아니라 정기 점검 항목으로 관리할 때 효과가 있습니다.

7. 백업 수행 기록

백업 수행 자체보다 중요한 것은 복구 가능성입니다.

백업이 있어도 복구가 되지 않으면 운영 통제로 인정받기 어렵습니다. 따라서 백업 결과와 함께 복구 테스트 기록을 같이 두는 것이 좋습니다.

8. 취약점 점검 결과

취약점 점검 결과는 조치 여부까지 확인됩니다.

발견만 하고 조치하지 않은 경우 관리체계가 작동하지 않는 것으로 판단될 수 있습니다. 점검 결과, 조치 계획, 완료 확인은 한 묶음으로 남겨야 합니다.

정기 점검과 수시 점검을 구분해서 관리하면 심사 대응도 훨씬 수월해집니다.

9. 사고 대응 훈련 기록

대응 절차서는 대부분 존재하지만 실제 훈련 기록까지 보유한 조직은 많지 않습니다.

심사에서는 실제 대응 가능성을 확인합니다. 훈련 시나리오, 참여자, 수행 일시, 결과, 개선 사항이 있으면 훨씬 설득력이 높아집니다.

10. 내부 점검 또는 감사 기록

내부 점검 활동은 조직의 성숙도를 보여주는 지표입니다.

자체적으로 문제를 발견하고 개선하는 조직은 긍정적으로 평가됩니다. 점검 대상, 지적 사항, 조치 완료, 재발 방지까지 연결되면 더 좋습니다.

---

심사 전에 우선 정리하면 좋은 순서

모든 증적을 한 번에 정리하려고 하면 오히려 누락이 생깁니다. 그래서 우선순위를 두는 것이 좋습니다.

• 최근 1년 내 수행한 활동부터 확인한다
• 결과보다 기록이 먼저 남아 있는지 본다
• 누락 가능성이 높은 권한, 파기, 위탁 항목을 먼저 점검한다
• 조치가 필요한 항목은 완료일과 책임자를 함께 남긴다

이 순서대로 보면 심사 직전에 급하게 문서를 채우는 일을 줄일 수 있습니다.

실제로 자주 발생하는 문제

ISMS-P 준비 과정에서 가장 흔한 문제는 문서와 운영의 괴리입니다.

정책은 존재하지만 운영 기록이 없는 경우가 많고, 기록은 있지만 담당자와 시점이 불분명한 경우도 적지 않습니다. 심사에서는 선언보다 실행을 확인합니다.

따라서 증적은 단순히 파일을 모아 두는 수준이 아니라, 나중에 봐도 수행 경과가 이어지도록 정리되어야 합니다.

마무리

ISMS-P 인증은 문서를 만드는 과정이 아니라 운영 체계를 정착시키는 과정입니다.

따라서 인증 준비의 시작은 새로운 문서를 만드는 것이 아니라 현재 조직의 운영 활동이 증적으로 남아 있는지 점검하는 것입니다.

앞으로 Soluman에서는 ISMS-P 실무자가 현장에서 바로 활용할 수 있는 정보와 사례를 중심으로 콘텐츠를 지속적으로 제공할 예정입니다.

Written by Soluman Editorial Team

Copyright © Soluman. All Rights Reserved.