ISO 27001 인증 준비 과정에서 두 번째로 살펴볼 산출물은 이해관계자 조직상황 분석서다.
인증범위 정의서가 어떤 업무와 시스템을 인증 대상으로 삼을지 정리하는 문서였다면, 이번 문서는 그 업무를 둘러싼 환경과 사람, 조직의 요구사항을 살펴보는 자료였다.
처음에는 이해관계자 목록과 조직 현황을 정리한 문서라고 생각했다. 하지만 실제 내용을 살펴보니 조금 더 복잡했다.
대표이사와 정보보호 담당 조직은 어떤 역할을 하는지, 관계사와 협력업체는 어떤 업무를 수행하는지, 각 조직이 정보보안에 대해 어떤 요구사항을 가지고 있는지 등을 분석한다. 그리고 이런 환경에서 발생할 수 있는 위협과 위험, 대응 방향까지 정리한다.
쉽게 말하면 우리 회사의 정보보안에 영향을 주는 사람과 조직을 파악하고, 그들이 어떤 역할을 하며 무엇을 주의해야 하는지 정리하는 문서였다.
1. 왜 이해관계자를 분석해야 할까?
ISO/IEC 27001:2022의 4.1항과 4.2항은 조직의 내·외부 환경과 관련 이해관계자의 요구사항을 파악하는 내용을 다룬다. 모든 요구를 무조건 관리체계에 포함한다는 뜻은 아니며, 관련 요구사항 가운데 어떤 내용을 정보보호 관리체계를 통해 다룰 것인지 결정하는 과정도 필요하다.
여기서 이해관계자는 단순히 계약을 맺은 외부 업체만을 의미하지 않는다.
회사 내부의 대표이사, CISO, CPO, 정보보호위원회와 실무 담당 조직도 정보보안 관리체계에 영향을 미치는 주요 이해관계자가 될 수 있다. 외부로는 관계사와 협력업체, 고객사 등 업무나 정보시스템을 통해 관련되는 조직도 살펴볼 수 있다.
예를 들어 정보보호팀에서 보안 강화를 위해 접근권한을 정비하려고 해도 예산이나 업무 협조가 뒷받침되지 않으면 개선이 늦어질 수 있다. 외부 유지보수 업체가 시스템에 접근한다면, 접근권한과 작업 이력을 어떻게 관리하는지도 중요하다.
결국 정보보안은 보안 담당자 혼자 결정하고 실행할 수 있는 일이 아니다. 회사 내부의 의사결정 구조와 부서별 업무, 외부 조직과의 관계를 함께 살펴봐야 실제 환경에 맞는 관리체계를 만들 수 있다.
2. 문서의 개정이력부터 관리한다
앞서 살펴본 인증범위 정의서와 마찬가지로 이해관계자 조직상황 분석서에도 개정이력을 관리할 수 있다.
| 버전 | 개정일 | 개정 내용 |
|---|---|---|
| 1.0 | 2026-05-01 | 최초 작성 및 이해관계자 현황 분석 |
| 1.1 | 2026-06-15 | 조직 및 외부 업무환경 변경사항 반영 |
위 날짜와 내용은 형식을 설명하기 위한 가상 예시다.
회사의 조직이 개편되거나 담당 업무가 바뀌고, 새로운 협력업체나 서비스가 추가되면 기존 분석이 여전히 적절한지 다시 살펴볼 필요가 있다.
예를 들어 새로운 업체가 시스템 유지보수를 맡게 된다면 기존에 없던 외부 접근 경로나 정보 공유가 생길 수 있다. 그만큼 정보보안 측면에서 확인해야 할 사항도 달라질 수 있다.
개정이력은 단순한 문서 관리 형식이 아니다. 분석 내용이 어떤 변화를 거쳐 현재 상태에 이르렀는지 확인하고, 실제 업무환경과 문서 사이에 차이가 생기지 않도록 관리하는 데 도움이 된다.
3. 내부환경과 외부환경을 나누어 살펴본다
우리 회사에서 작성한 자료는 크게 내부환경과 외부환경으로 나누어 이해관계자의 업무와 보안 요구사항을 분석하는 구조였다.
내부환경에서는 대표이사, CISO, CPO, 정보보호위원회, 정보보호 실무협의회, 정보보호팀 등의 역할을 살펴본다. 외부환경에서는 관계사와 협력업체 등의 업무 현황과 정보보안 요구사항을 검토한다.
각 이해관계자를 어떤 항목으로 분석하는지 이해할 수 있도록 가상의 예시를 정리하면 다음과 같다.
| 구분 | 이해관계자 | 주요 업무 및 보안 요구사항 | 검토할 수 있는 위협요인 |
|---|---|---|---|
| 내부 | 대표이사 | 주요 의사결정과 자원 지원 | 보안 개선에 필요한 의사결정이 늦어지는 상황 |
| 내부 | CISO | 정보보호 관리체계 총괄 및 보안 업무 조정 | 책임과 권한, 자원 배분이 명확하지 않은 상황 |
| 내부 | CPO | 개인정보 보호 관련 업무와 관리 책임 | 개인정보 처리 현황이나 보호조치 파악에 공백이 생기는 상황 |
| 내부 | 정보보호위원회 | 주요 보안 현안 검토와 의사결정 | 부서 간 협의가 원활하지 않아 개선이 지연되는 상황 |
| 내부 | 정보보호 실무협의회·정보보호팀 | 실무 조정, 정책 운영, 점검 및 개선 | 업무 담당자나 후속 조치가 명확하게 정해지지 않는 상황 |
| 외부 | 관계사 | 업무 협력, 정보 공유 또는 시스템 운영 지원 | 조직 간 책임과 관리 범위가 불분명한 상황 |
| 외부 | 협력업체 | 시스템 유지보수 및 서비스 운영 지원 | 외부 접근권한이나 작업 이력이 적절하게 관리되지 않는 상황 |
위 표는 분석 방법을 설명하기 위한 일반적인 예시다. 실제 회사의 문제나 평가 결과를 나타내는 것은 아니다. 또한 CISO와 CPO의 역할은 회사의 조직구성과 적용되는 법적·내부적 책임 체계에 따라 구체적으로 확인해야 한다.
표에서 눈여겨볼 부분은 이해관계자의 이름이나 조직명 자체가 아니다.
그 조직이 어떤 업무를 수행하고, 정보보안 측면에서 무엇을 요구하며, 어떤 위험과 관련될 수 있는지를 함께 살펴본다는 점이다.
예를 들어 외부 유지보수 업체를 분석한다면 업체 이름만 적는 것으로 끝나지 않는다. 어떤 시스템을 관리하는지, 어떤 권한으로 접근하는지, 작업이 끝난 뒤 권한을 어떻게 회수하는지 등 실제 운영 방식도 검토할 수 있다.
이렇게 분석하면 이해관계자 목록이 단순한 현황 자료를 넘어 보안 관리에 필요한 정보를 제공하게 된다.
4. 업무상 위협요인부터 이행 전략까지 정리한다
이해관계자별 현황을 파악한 다음에는 공통된 항목을 기준으로 분석 내용을 정리한다.
우리 회사의 문서에서는 업무상 위협요인, 위험도, 올해 평가, 위협식별, 이행 전략 등의 항목을 다루었다.
각 항목은 다음과 같이 이해할 수 있다.
| 항목 | 확인할 내용 |
|---|---|
| 업무상 위협요인 | 해당 조직의 업무에서 어떤 문제가 발생할 수 있는가? |
| 위험도 | 발생가능성과 업무 영향도를 고려했을 때 어느 수준의 위험인가? |
| 올해 평가 | 현재 상태를 어떤 근거로 평가했으며 개선할 부분은 있는가? |
| 위협식별 | 구체적으로 어떤 위협이 존재하는가? |
| 이행 전략 | 누가 책임지고 어떤 개선 조치를 진행할 것인가? |
여기서 중요한 것은 위협요인을 적어두는 데 그치지 않는다는 것이다.
예를 들어 외부 업체가 시스템 유지보수를 담당한다고 가정해 보자. 업무상 위협요인으로는 작업 종료 후 접근권한이 회수되지 않을 가능성을 생각할 수 있다.
그렇다면 현재 접근권한 회수 절차가 마련되어 있는지, 실제 작업 이후 권한이 회수되는지 확인해야 한다. 점검 결과 개선이 필요하다면 조치 담당자와 계획을 정하고, 이후 이행 여부까지 확인할 수 있어야 한다.
위험을 발견하는 것만큼 중요한 것은 누가 그 위험을 관리하고 개선할 것인지 정하는 일이다.
향후 위험평가를 진행할 때도 위험별 책임 주체, 즉 위험 소유자를 명확히 식별하는 과정이 중요하다. 담당자가 정해져 있지 않으면 개선 계획이 문서에만 남을 가능성이 있기 때문이다.
5. 위험도 산정기준은 분석의 공통 기준이 된다
문서를 살펴보면서 참고자료로 함께 확인한 것이 위험도 산정기준이었다.
이해관계자별로 위협을 분석하더라도 평가하는 사람마다 기준이 다르면 결과를 비교하기 어렵다. 따라서 우리 회사에서는 발생가능성과 비즈니스 영향도를 어떤 기준으로 판단할지 정리해 두었다.
발생가능성은 높음·보통·낮음으로 구분하고, 비즈니스 영향도 역시 높음·보통·낮음으로 나누어 평가하는 방식이었다.
발생가능성은 취약점이나 문제가 발생할 가능성을 살펴보는 기준이다. 우리 회사에서 참고한 예시에서는 수시로 발생할 수 있는 경우를 높음, 연 1~2회 정도 발생할 가능성이 있는 경우를 보통, 1년 이상 간격으로 발생할 것으로 보는 경우를 낮음으로 구분했다.
비즈니스 영향도는 문제가 발생했을 때 업무와 서비스, 정보자산 등에 미치는 영향을 살펴본다. 서비스 중단이나 중요한 정보의 유출처럼 손실이 큰 상황과 일부 업무에 제한적인 영향을 주는 상황은 동일하게 평가하기 어렵다.
다만 높음·보통·낮음의 구분과 구체적인 평가 기준은 회사가 정한 위험평가 방법론에 따라 달라질 수 있다. 모든 기업이 동일한 산정표를 사용해야 하는 것은 아니다.
또한 영향도가 높은 위험을 어떻게 최종 등급으로 결정할지, 위험을 수용할 수 있는 조건은 무엇인지 같은 세부 기준도 명확해야 한다. 위험의 발생가능성만 낮다고 해서 영향이 매우 큰 문제를 무조건 낮은 위험으로 처리해서는 안 되기 때문이다.
이번 글에서는 위험도 산정기준의 역할만 간략하게 살펴봤다. 발생가능성과 영향도를 조합해 위험등급을 산정하는 방식, 준거성 검토, 위험 수용 기준 등은 별도의 위험평가 산출물을 다룰 때 좀 더 자세히 살펴보려고 한다.
이해관계자 조직상황 분석서는 무엇을 보여주는 문서일까?
이 문서를 살펴보면서 가장 중요하게 느낀 점은 이해관계자의 목록을 만드는 일과 정보보안에 미치는 영향을 분석하는 일은 다르다는 것이었다.
대표이사가 있다는 사실을 적는 것만으로는 부족하다. 정보보호 관련 의사결정과 자원 지원이 어떤 방식으로 이루어지는지 살펴봐야 한다.
외부 협력업체가 있다는 사실만 적는 것도 충분하지 않다. 어떤 업무를 맡고 있고, 어떤 정보나 시스템에 접근하며, 어떤 보안 요구사항을 지켜야 하는지 파악해야 한다.
그리고 그 분석 결과를 바탕으로 위협을 식별하고, 현재 상태를 평가하고, 필요한 개선 조치와 담당자를 정해야 한다.
앞서 살펴본 인증범위 정의서가 인증 대상 업무와 시스템의 경계를 설명하는 문서였다면, 이해관계자 조직상황 분석서는 그 업무를 둘러싼 조직과 요구사항을 파악하는 문서라고 할 수 있다.
회사의 정보보안은 내부 담당자의 노력만으로 완성되지 않는다. 경영진의 의사결정, 부서 간 협조, 외부 업체와의 업무 관계까지 함께 살펴봐야 한다.