ISMS-P 인증을 준비할 때 클라우드에서는 무엇부터 해야 합니까

기술 조치를 먼저 시작해야 하는 이유

ISMS-P는 정보보호와 개인정보보호 관리체계가 인증기준에 맞게 운영되는지를 한국인터넷진흥원(KISA) 또는 지정 인증기관이 심사하는 제도입니다. 「정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시」는 신청인이 인증기준에 따른 관리체계를 구축해 최소 2개월 이상 운영한 뒤 신청하도록 정합니다. 심사는 서면과 현장에서 「정해 둔 대로 운영했는가」를 확인하므로, 정책 문서가 아무리 잘 갖춰져 있어도 그 기간의 운영 기록이 없으면 증명할 방법이 없습니다.

클라우드 기술 조치가 앞서야 하는 이유가 여기 있습니다. 감사 로그와 접속기록은 켜는 순간부터 쌓이고, 지난 기간의 기록은 나중에 만들 수 없습니다. 권한 검토나 취약점 조치도 「언제 무엇을 했는가」가 남아 있어야 심사에서 인정받습니다.

참고로 정보통신망법 제47조는 일정 매출·이용자 규모 이상인 사업자 등에 정보보호 관리체계(ISMS) 인증을 의무로 정하고 있고, 인증 유효기간은 3년입니다. 개인정보 영역까지 포함한 ISMS-P로 받을지, 의무 대상인지는 사업 구조에 따라 달라지므로 먼저 확인해야 합니다.

AWS와 고객의 책임 경계

AWS는 서울 리전과 서울 엣지 로케이션을 대상으로 K-ISMS 인증을 받았고, 이를 「클라우드의 보안」에 대한 증명으로 설명합니다. 고객은 그만큼 「클라우드 안의 보안」에 집중할 수 있다는 의미이지, AWS의 인증이 고객의 인증을 대신한다는 뜻은 아닙니다. 물리 보안처럼 AWS가 운영하는 영역은 AWS의 인증 자료를 근거로 활용할 수 있지만, 고객 계정 안의 설정과 운영은 고객이 직접 증명해야 합니다.

먼저 할 기술 조치 순서

1. 인증 범위와 자산 목록범위에 드는 AWS 계정·리전·서비스와 개인정보처리시스템을 확정합니다.
2. 계정과 권한루트 사용 차단, 통합 로그인, MFA, 개인별 계정, 최소 권한으로 정리합니다.
3. 로그와 접속기록전 리전 감사 로그, 애플리케이션 개인정보 접속기록, 위·변조 방지 보관을 켭니다.
4. 암호화법정 암호화 항목, 전송 구간 TLS, 키 관리 절차를 정합니다.
5. 네트워크 접근 통제관리 포트 개방을 없애고, 개인정보처리시스템 접속 경로를 제한합니다.
6. 백업·복구와 취약점 관리복구 시험 기록과 패치·취약점 조치 기록이 남게 합니다.

자산 목록은 사람이 표로 관리하기 시작하면 금세 실제와 어긋납니다. 클라우드에서는 리소스 구성과 변경 이력을 자동으로 기록하는 기능(AWS Config 등)을 켜고, 모든 리소스에 담당 부서·용도·개인정보 처리 여부를 태그로 붙여 두면 목록이 실제 환경에서 바로 뽑힙니다. 태그가 없는 리소스는 누가 만든 것인지부터 찾아야 하므로, 준비 초기에 태그 규칙을 정해 두는 것만으로도 이후 작업량이 줄어듭니다.

범위 확정이 첫 단계인 이유는, 범위에 든 계정 하나가 빠진 채 준비하면 심사 직전에 그 계정 전체를 다시 정리해야 하기 때문입니다. 개발·테스트 계정이 운영 데이터를 복사해 쓰고 있다면 그 계정도 범위에 들어올 수 있습니다. 오래된 운영체제나 지원이 끝난 데이터베이스 버전처럼 패치를 받을 수 없는 구성요소가 있다면 이 단계에서 정리 계획을 세워 두는 편이 좋습니다.

조치와 증적을 함께 설계합니다

같은 조치라도 증적을 남기는 방식에 따라 준비 부담이 크게 달라집니다. 설정 상태를 매번 화면 캡처로 남기기보다 설정 변경 이력과 규정 준수 점검 결과가 자동으로 쌓이게 해 두면 심사 대응과 인증 후 사후 관리가 함께 가벼워집니다. 개인정보 영역의 기술 조치는 「개인정보의 안전성 확보조치 기준」과 겹치는 부분이 많으므로, 2025년 10월 개정한 접근 권한·접근통제·접속기록 조항(2026년 11월 1일 시행)도 함께 반영해 두는 것이 좋습니다.

인증은 받는 순간 끝나지 않습니다. 고시는 인증을 취득한 기업이 인증서 유효기간 중 연 1회 이상 사후심사를 신청하도록 정하고 있어, 첫 심사를 위해 손으로 맞춰 둔 설정과 기록은 다음 해 사후심사에서 다시 같은 부담이 됩니다. 처음부터 설정 기준을 코드나 조직 정책으로 고정하고, 예외는 사유와 기한을 붙여 관리하면 해마다 같은 작업을 반복하지 않아도 됩니다. 인프라 변경이 잦은 클라우드에서는 특히 심사 시점의 상태보다 평소 상태가 기준에서 벗어나지 않게 유지하는 장치가 더 중요합니다.

빌드업웍스가 지원하는 범위도 인증기준을 충족하는 인프라·보안 설계와 증적 체계까지이고, 인증 취득 절차의 주체는 인증을 받는 기업입니다. 관리체계 문서, 위험 평가, 내부 감사처럼 조직이 직접 해야 하는 영역은 기술 조치와 일정이 맞물리도록 함께 계획하십시오.

참고 자료

• 정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시 — 국가법령정보센터
• 정보통신망법 제47조(정보보호 관리체계의 인증) — 국가법령정보센터
• K-ISMS — AWS 규정 준수
• Shared Responsibility Model — AWS
• 개인정보의 안전성 확보조치 기준 — 국가법령정보센터