정보보호 범위와 위험평가
서비스, 조직, 장소와 정보자산의 범위를 정하고 위험평가 기준·결과 및 위험처리계획을 정리합니다.
정보보호경영시스템
ISO/IEC 27001 인증·컨설팅 안내
정보보호경영시스템의 개념부터 준비서류, 심사와 비용 상담까지 확인하세요.
자료 정리: 해온서티시스템 · 기준 확인일:
ISO/IEC 27001이란?
ISO/IEC 27001은 정보보호경영시스템에 관한 국제표준으로, 기업이 정보자산의 기밀성·무결성·가용성을 보호하기 위한 관리체계를 수립하도록 요구합니다. 정보보호경영시스템이 충족해야 할 요구사항을 정의하는 세계적으로 잘 알려진 정보보안 표준입니다.
적용 대상과 인증 목적
IT기업, 소프트웨어 개발사, 클라우드·플랫폼 기업, 병원, 금융 관련 기업, 개인정보 처리 기업, 연구소, 공공기관 등 정보자산 보호가 중요한 모든 조직
고객사 요구 대응, 조직의 업무 표준화와 운영 개선 등 인증 목적을 먼저 정하고, 제품·서비스와 사업장 범위를 확인합니다.
핵심 준비사항
적용성보고서와 통제 운영
필요한 통제와 선정 근거를 적용성보고서에 정리하고 접근권한, 공급자, 백업 및 사고 대응 등의 운영 증거를 확인합니다.
검토와 지속적 개선
위험처리 결과와 통제의 효과, 내부심사, 경영검토 및 개선조치 결과를 점검합니다.
준비서류와 현장 확인 자료
아래는 준비를 시작할 때 참고할 자료 예시입니다. 문서의 명칭과 구성은 조직에 맞게 정할 수 있으며, 모든 조직에 동일한 서식이 요구되는 것은 아닙니다.
- 정보보호 적용범위와 자산 관련 자료
- 위험평가 기준·결과 및 위험처리계획
- 적용성보고서(SoA)
- 접근권한·백업·공급자 관리 기록
- 정보보호 사고 대응 및 교육 기록
- 내부심사 결과, 경영검토 결과 및 후속조치 기록
심사 절차와 비용·기간
인증 범위와 현황을 확인하고 시스템 구축·운영, 내부심사와 경영검토, 인증기관의 심사 및 후속조치 순서로 준비합니다. 기간과 비용은 인원·사업장 수·복잡성·준비 수준에 따라 달라집니다.
표준 판본과 적용 확인
기준 확인일 현재 ISO 공식 페이지에 게시된 발행 판본은 ISO/IEC 27001:2022입니다. 실제 심사에 적용할 판본과 전환 일정은 계약할 인증기관에 확인하세요. 개정판 발행과 기존 인증서의 유효성은 구분해 확인해야 합니다.
ISO 공식 ISO/IEC 27001 안내자주 묻는 질문
ISO 27001과 ISO/IEC 27001은 다른 인증인가요?
이 사이트에서 사용하는 ISO 27001은 ISO/IEC 27001을 줄여 부른 표현입니다. 공식 표준명은 ISO/IEC 27001이며 정보보호경영시스템을 다룹니다.
적용성보고서(SoA)는 무엇인가요?
조직에 필요한 정보보호 통제를 정리하고 선정 근거와 구현 여부 등을 설명하는 문서입니다. 위험평가와 위험처리 결과 및 실제 통제 운영 내용이 일치하도록 관리합니다.