ISO 27001이란? ISMS-P와 차이, 2022년판 인증 절차 총정리

핵심 POINT

POINT 1

ISO 27001은 정보보호 관리체계의 요구사항을 정한 국제표준이며, 현행판은 2022년판입니다.

POINT 2

ISMS와 ISMS-P는 다르며, 매출액 100억원·이용자 100만명 기준은 ISMS의 의무 대상 기준입니다.

POINT 3

ISO 27001 인증이 있으면 ISMS-P 심사의 일부를 생략할 수 있지만 전체가 면제되지는 않습니다.

‍

ISO 27001이란? ISMS-P와 차이, 2022년판 인증 절차 총정리

‍

ISO 27001은 조직이 정보를 안전하게 관리하는 체계를 갖췄는지 국제표준에 따라 확인받는 인증입니다. ISMS-P와 자주 비교되는 만큼, 두 인증이 어떻게 다른지, 함께 준비할 때 심사를 얼마나 덜 수 있는지 차례로 짚어 보겠습니다.

‍

■ ISO 27001이란? 정보보호 관리체계 국제표준

USB 보안키와 출입 카드가 놓인 책상, ISO 27001 정보보호 관리체계 개념

출처: AI(ChatGPT) 생성 이미지

ISO/IEC 27001은 국제표준화기구(ISO)가 제정한 정보보호 관리체계의 요구사항 표준입니다. 기업 규모와 업종에 관계없이 정보보호 관리체계를 수립하고 운영하며 지속적으로 개선하는 기준이 되고, 인증을 받을지는 조직이 스스로 정합니다. 인증을 받으면 법적·계약상 요구사항에 대한 적합성, 위험관리를 통한 사업 안정성, 대외 신뢰도를 높이는 데 도움이 됩니다.

표준 본문 4절부터 10절까지가 관리체계 요구사항을 정하고, 통제 항목은 부속서 A에 담겨 있습니다. 통제의 세부 사례와 목적은 ISO/IEC 27002가 다룹니다.

1) 2022년판에서 달라진 점

현행판은 2022년 10월에 발행된 ISO/IEC 27001:2022입니다. 가장 크게 바뀐 곳은 부속서 A입니다. 2013년판의 14개 영역 114개 통제가 조직, 인원, 물리, 기술의 4개 영역, 총 93개 통제 항목으로 재구성되었고 11개 통제가 새로 추가되었습니다. 통제 번호 같은 세부 사항은 인증을 준비할 때 표준 원문으로 다시 확인하는 것이 좋습니다.

영역	통제 수	새로 추가된 통제 사례
조직 통제	37개	위협 인텔리전스, 클라우드 서비스 이용 시 정보보안
인원 통제	8개	신규 통제 없음
물리적 통제	14개	물리적 보안 모니터링
기술적 통제	34개	구성 관리, 데이터 유출 방지, 보안 코딩

[표] ISO/IEC 27001:2022 부속서 A 구성

2013년판 기반 인증은 전환 기간이 끝났습니다. 국제인정포럼(IAF)의 전환 기준에 따라 인증을 받은 조직은 2025년 10월 31일까지 2022년판으로 전환해야 했습니다. 지금 인증을 준비한다면 처음부터 2022년판 기준으로 시작하면 됩니다.

93개 통제를 모든 조직이 똑같이 적용하는 것은 아닙니다. 위험평가로 필요한 통제를 가려낸 뒤 부속서 A와 비교해 빠진 항목이 없는지 확인하고, 적용 여부와 사유를 적용성 선언서(SoA)로 남기는 것이 일반적입니다.

‍

■ ISMS-P와 ISO 27001, 무엇이 다를까?

‍

ISMS-P(정보보호 및 개인정보보호 관리체계 인증)는 정보통신망법과 개인정보 보호법에 근거한 국내 법정 인증입니다. 정보보호만 심사하는 ISMS와 달리 개인정보의 흐름까지 함께 인증하며, 인증기준은 101개입니다. ISMS는 이 중 개인정보 처리단계별 요구사항 21개를 제외한 80개로 심사합니다. 인증은 법정 인증기관인 한국인터넷진흥원(KISA)이 중심이고, 금융 분야는 지정 인증기관인 금융보안원이 맡습니다.

구분	ISO/IEC 27001	ISMS-P
성격	국제표준의 요구사항, 인증은 조직의 선택	국내 법정 인증, 의무화는 2027년 7월 1일 시행 예정
근거·인증기관	ISO 표준, 인정받은 인증기관이 발급(국내 예: 한국표준협회)	정보통신망법 제47조, 개인정보 보호법 제32조의2, 법정 인증기관 KISA와 지정 인증기관 금융보안원
기준 구성	본문 4~10절과 부속서 A	관리체계 수립·운영 16개, 보호대책 64개, 개인정보 처리단계별 21개(총 101개)
유효기간	3년 주기 갱신, 사후관리 심사는 6개월~1년 주기	유효기간 3년, 사후심사는 매년 1회 이상

[표] ISMS-P와 ISO 27001 비교

1) 매출액 100억원, 이용자 100만명 기준은 ISMS 의무 대상입니다

인증 의무 대상 기준은 ISMS와 ISMS-P를 구분해야 합니다. 정보통신서비스 부문 매출액 100억원 이상, 일일평균 이용자 100만명 이상(금융회사 제외) 같은 기준은 정보통신망법 제47조와 같은 법 시행령 제49조가 정한 ISMS 인증 의무 대상 기준이며, ISMS-P의 의무 대상 기준이 아닙니다. 이 밖에 주요정보통신서비스 제공자, 집적정보통신시설 사업자 등도 대상이 되며 세부 기준은 시행령 제49조에서 확인할 수 있습니다. ISO 27001은 이 의무와 별개로 조직이 선택하는 인증이고, 국제표준 인증 자체를 의무로 정한 법령은 없는 것으로 보입니다.

2026년 3월 31일 공포된 개정 정보통신망법으로 ISMS 사후관리는 현장심사와 서면심사를 병행해 실시하게 됐습니다. 이 개정은 공포 후 6개월이 경과한 날부터 시행되어 국가법령정보센터의 현행 조문에 이미 반영돼 있습니다.

2) ISMS-P 의무화는 별도 제도이고 범위는 확정 전입니다

ISMS-P 의무화는 개정 개인정보 보호법에 담긴 별도 제도입니다. 공공·민간의 중요 개인정보처리자를 대상으로 하며 2027년 7월 1일부터 시행될 예정입니다. 구체적인 대상 범위는 시행령 개정으로 정해지므로 아직 확정되지 않았습니다. 2026년 6월 입법예고안에는 이동통신사업자, 본인확인기관, 일정 규모 이상 사업자 등이 담겼지만 초안 단계의 내용입니다. 9월에는 ISMS-P 심사 때 서면심사와 현장심사를 병행하는 방안 등을 담은 시행령 개정안이 입법예고되어 의견 수렴을 마쳤으나 이 역시 확정된 기준은 아닙니다. 최종 범위와 적용 여부는 개인정보보호위원회 공지로 확인해야 합니다.

ISMS-P 의무화에 따른 준비 단계는 SK쉴더스 보안 인사이트의 2027년 ISMS-P 의무화, 기업은 지금 무엇을 준비해야 할까?에서 정리했습니다.

‍

■ ISO 27001과 ISMS-P를 함께 준비한다면

‍

두 인증을 함께 준비한다면 심사 일부 생략 제도를 활용할 수 있습니다. 정보통신망법 제47조 제3항과 관련 고시 제20조에 근거한 제도입니다. 다만 생략은 면제와 다릅니다. 아래 요건을 모두 갖춰야 합니다.

확인 항목	요건 (고시 제20조)
인정기관	IAF에 가입된 인정기관이 인정한 인증기관에서 받은 ISO/IEC 27001 인증일 것
인증범위	ISMS-P(또는 ISMS) 인증범위에 ISO 인증 범위가 포함될 것
유효기간	ISMS-P 인증 신청 시점과 심사 시점에 ISO 인증이 유효할 것
신청서 제출	별지 제10호서식 인증심사 일부 생략 신청서를 심사수행기관에 제출할 것

[표] ISO 27001 인증에 따른 심사 일부 생략 요건

생략 범위는 고시 별표 5(2024년 7월 24일 시행 고시 기준)에 정해져 있습니다. 정책·조직·자산 관리, 인적 보안, 외부자 보안, 물리 보안, 재해복구의 5개 분야 인증기준 22개가 해당하고, 일부를 생략하고 심사하면 그 사실이 인증서에 표기됩니다. 관리체계 수립·운영과 개인정보 처리단계별 요구사항은 생략되지 않으므로 별도로 준비해야 합니다. 2026년 제도 개편이 고시에 어떻게 반영될지는 확정되지 않았으니, 신청 전에 인증기관에서 최신 기준을 확인하는 것이 안전합니다.

‍

■ ISO 27001 인증 절차와 준비 체크리스트

출입 게이트가 있는 기업 로비, ISO 27001과 ISMS-P를 함께 준비하는 조직

출처: AI(ChatGPT) 생성 이미지

ISO 27001 인증은 일반적으로 인증기관에 신청하고 계약한 뒤 심사와 인증 심의를 거쳐 인증서를 받는 순서로 진행됩니다. 인증 이후에는 6개월~1년 주기의 사후관리 심사와 3년 주기의 갱신이 이어집니다. 세부 단계와 명칭은 인증기관마다 다를 수 있습니다.

단계	주요 내용
1. 범위 설정·위험평가	업무, 조직, 장소, 자산, 기술 특성을 고려해 범위를 정하고 위험을 평가해 위험처리 계획을 세웁니다.
2. 통제 적용·운영	필요한 통제를 부속서 A와 대조해 적용 여부를 문서로 정리하고 운영 기록을 남깁니다.
3. 내부심사·경영검토	인증 심사 전에 내부심사와 경영진 검토를 수행하는 것이 일반적입니다.
4. 신청·계약	인증기관에 인증심사 신청서를 제출하고 심사 제안(견적)을 받아 계약합니다.
5. 심사	관리체계 문서 심사와 현장 심사로 운영 실태를 확인하고, 부적합 사항은 시정조치를 거칩니다.
6. 인증 심의·사후관리	인증 심의를 거쳐 인증서가 발행되고, 이후 사후관리 심사와 갱신이 이어집니다.

[표] ISO 27001 인증 절차

최초 인증 심사 종료일로부터 12개월 이내에 사후관리 심사를 받지 않으면 인증이 정지될 수 있습니다. 실제 일정은 계약하는 인증기관의 기준을 따릅니다.

1) 인증 전 점검 체크리스트

점검 항목	확인 내용
적용 버전 확인	2022년판(ISO/IEC 27001:2022) 기준으로 준비하는가?
인증 범위	업무·조직·장소·자산·기술 특성을 반영해 범위를 정했는가?
위험평가·처리	위험평가 방법과 결과, 위험처리 계획이 문서와 기록으로 있는가?
적용성 선언서(SoA)	부속서 A 통제와 대조해 적용 여부와 사유를 정리했는가?
내부심사·경영검토	인증 심사 전에 내부심사와 경영진 검토를 마치고 기록을 남겼는가?
인증기관 선정	IAF 가입 인정기관의 인정을 받은 인증기관인가?
ISMS-P 연계	ISMS 의무 대상 여부를 확인하고, 심사 일부 생략 요건을 검토했는가?

[표] ISO 27001 인증 준비 체크리스트

‍

■ 인증 준비, 보안 컨설팅이 필요한 지점

육각형 보안 노드와 경고 아이콘을 확대해 보는 돋보기, ISO 27001 인증 준비 점검

출처: AI(ChatGPT) 생성 이미지

인증 준비는 문서를 만드는 일에서 끝나지 않습니다. 범위를 정하고 위험을 평가하고 통제를 적용하는 과정이 실제 운영과 맞아야 심사를 통과한 뒤에도 유지할 수 있습니다. 인증 범위를 어디까지 잡을지, 위험평가 결과를 적용성 선언서와 어떻게 연결할지, ISO 27001과 ISMS-P의 범위를 어떻게 맞출지는 판단이 필요한 지점입니다. 정보보호 전담 인력이 부족한 조직이라면 외부 보안 컨설팅으로 현황을 먼저 진단하는 방법도 있습니다.

SK쉴더스의 정보보호관리체계 컨설팅은 검증된 방법론으로 고객사의 정보보호관리체계 수준을 진단하고, ISMS와 ISO 등 국내·국제 인증 취득의 전 과정을 지원하는 보안 컨설팅 서비스입니다. 환경·현황 분석, 위험평가, 보호대책 수립, 인증심사 지원 순으로 진행하며 사전점검, Gap 분석, 보완 조치, 문서 준비, 심사 대응을 한 번에 지원합니다. 80여 명의 ISMS-P·ISO 27001 인증 심사원 등 보안인증 특화 전문가와 20년 이상 검증된 SK쉴더스 표준 방법론(ISCM)을 바탕으로 컨설팅을 수행합니다.

▶ SK쉴더스 정보보호관리체계 컨설팅 살펴보기

‍

■ 자주 묻는 질문 (FAQ)

‍

Q1. ISO 27001 인증 비용은 얼마인가요?

A. 인증 비용은 신청 조직의 정보를 토대로 한 인증기관의 심사 제안(견적)으로 정해집니다. 인증심사 신청서를 제출하면 견적을 받을 수 있으니 비용은 견적으로 확인해야 합니다.

Q2. ISO 27001 인증이 있으면 ISMS-P 심사를 받지 않아도 되나요?

A. 면제가 아니라 심사 일부를 생략할 수 있는 제도입니다. IAF 가입 인정기관이 인정한 인증기관의 ISO 인증이 유효하고 ISMS-P 인증범위에 ISO 인증 범위가 포함돼야 하며, 별지 제10호서식 신청서를 제출해야 합니다. 생략 범위는 고시 별표 5로 정해지고 관리체계 수립·운영과 개인정보 처리단계별 요구사항은 포함되지 않습니다.

Q3. ISO 27001 인증은 의무인가요? ISMS와 ISMS-P는요?

A. ISO 27001 인증은 조직이 선택합니다. 법령상 의무 인증은 정보통신망법에 따른 ISMS이며, 매출액 100억원이나 일일평균 이용자 100만명 같은 기준은 ISMS 의무 대상에 적용됩니다. ISMS-P 의무화는 2027년 7월 1일부터 중요 개인정보처리자를 대상으로 시행될 예정이며, 구체적인 대상 범위는 후속 시행령으로 정해집니다.