ISO 27001 인증 준비 과정에서 컨설팅을 통해 받은 산출물을 하나씩 살펴보고 있다. 이번 글 역시 표준 조항의 순서가 아니라 실제로 받은 문서의 구성과 역할을 중심으로 정리했다.
이번에 살펴볼 문서는 정보보호 연간 업무 추진 계획서다.
앞서 정보보호 정책서와 지침서, 절차서를 통해 회사의 보안 원칙과 업무 기준을 살펴봤고, 정보보호위원회 구성 및 운영 방안에서는 주요 보안 현안을 누가 검토하고 결정할지 알아봤다.
그렇다면 실제로 한 해 동안 해야 할 정보보안 업무는 어떻게 관리해야 할까?
정보보호 연간 업무 추진 계획서는 한 해 동안 수행할 보안 활동을 정리하고, 각 업무의 목적과 실행 방법, 필요한 자료, 승인 및 보고 절차, 연간 일정을 체계화하는 문서였다.
처음에는 업무 목록 정도로 생각했다. 하지만 항목을 하나씩 살펴보니 정책 관리부터 위험평가, 내부감사, 임직원 교육, 정보자산 관리, 사고 대응 훈련까지 상당히 다양한 활동이 포함되어 있었다.
1. ISO 27001은 연간 업무 추진 계획서를 반드시 요구할까?
먼저 구분해야 할 부분이 있다. ISO 27001이 모든 회사에 반드시 ‘정보보호 연간 업무 추진 계획서’라는 특정 명칭의 문서를 작성하도록 요구하는 것은 아니다.
다만 표준의 여러 요구사항을 실제 업무로 이행하려면 연간 계획서와 같은 관리 도구가 유용하다.
ISO/IEC 27001:2022의 6.2항은 정보보호 목표를 달성하기 위한 계획에 무엇을 할 것인지, 어떤 자원이 필요한지, 누가 책임지는지, 언제까지 완료할 것인지, 결과를 어떻게 평가할 것인지 등을 포함하도록 다룬다.
또한 6.1.3항은 위험처리계획과 필요한 통제의 결정을 다루며, 8.1항은 관리체계의 운영을 계획하고 통제하는 내용을 다룬다. 9.1항은 성과의 모니터링과 측정·분석·평가, 9.2항은 내부감사, 9.3항은 경영진 검토와 관련된다.
연간 업무 추진 계획서는 이런 요구사항과 관련된 활동을 실제 일정과 담당 업무로 구체화하는 데 활용할 수 있다.
관련 기준은 ISO/IEC 27001:2022 공식 안내 페이지에서 확인할 수 있다.
2. 제·개정 이력과 세부 업무 계획
이번에 살펴본 문서에는 제·개정 이력이 포함되어 있었다. 연간 계획은 조직 변경이나 위험평가 결과, 인증 일정, 새롭게 발견된 문제 등에 따라 수정될 수 있으므로 변경 내용을 추적할 수 있도록 관리하는 것이다.
본문에는 업무별 목적과 자료, 이행방법, 품의 여부, 보고·결재선, 연간 활동 계획 등이 정리되어 있었다.
각 항목은 단순한 업무명과 일정 이상의 의미가 있다.
업무의 목적은 왜 이 활동을 수행하는지 설명하고, 필요한 자료는 어떤 문서를 준비해야 하는지 알려준다. 이행방법은 실제로 어떻게 업무를 수행할지 정리하며, 품의 여부와 보고·결재선은 필요한 승인과 의사결정 절차를 명확하게 한다.
연간 활동 계획에는 업무를 수행할 시기와 주기를 함께 표시한다. 모든 업무를 같은 주기로 처리하는 것이 아니라, 업무 성격에 따라 연간·분기별 일정이나 특정 사건이 발생했을 때 수행하는 활동을 구분하는 방식이다.
3. 연간 정보보안 업무를 영역별로 살펴보면
산출물에 포함된 업무를 성격에 따라 묶으면 다음과 같이 정리할 수 있다. 아래는 문서의 구성을 이해하기 위한 일반화된 예시이며, 모든 회사에 동일한 업무 목록과 주기가 적용된다는 뜻은 아니다.
| 업무 영역 | 대표 업무 | 주요 확인사항 |
|---|---|---|
| 정보보호 관리체계 | 보안정책 수립, 인증범위 관리, 인증 유지, 이해관계자 조직상황 검토 | 정책과 범위가 현재 업무환경에 적합한가? |
| 위험 및 성과 관리 | 위험분석·평가, 내부감사, 준거성 검토, 효과성 지표 관리 | 위험과 개선사항이 식별되고 후속 조치가 이루어지는가? |
| 개인정보 보호 | 개인정보 처리방침 점검, 안전성 확보조치 점검, 내부관리계획 개정·점검 | 적용되는 개인정보 보호 기준과 실제 처리 업무에 맞게 관리되는가? |
| 임직원 및 정보자산 관리 | 보안교육, 주요 직무자 관리, 입·퇴사 관리, 클린데스크, 정보자산 관리 | 담당자·계정·장비와 관련 기록이 적절하게 관리되는가? |
| 사고 대응 및 협업 | 정보보호위원회·실무협의회 운영, 비상연락망 관리, 사고 대응 모의훈련 | 의사결정과 사고 대응 절차가 작동하며 개선사항이 관리되는가? |
이렇게 영역별로 묶어보니 정보보안 업무가 특정 부서의 기술적인 작업에만 한정되지 않는다는 점이 드러난다. 경영진의 의사결정, 부서별 업무 관리, 개인정보 보호, 직원 교육, 시스템 점검과 사고 대응이 함께 포함되어 있었다.
개인정보 처리방침, 안전성 확보조치, 내부관리계획 등은 국내 개인정보 보호 관련 법령과 적용 대상에 따른 별도의 준수 업무다. ISO 27001의 요구사항과 동일한 것으로 혼동하지 않고, 회사에 실제로 적용되는 기준을 확인해 관리해야 한다.
4. 임직원과 정보자산 관리 — 계획을 일상 업무로 만드는 과정
연간 계획에 포함된 임직원과 정보자산 관련 업무는 일회성으로 끝내기 어려운 활동이다.
직원이 입사하거나 퇴사할 때는 계정과 접근권한, 지급된 장비 등을 확인해야 한다. 담당 업무가 바뀌었다면 기존 권한을 다시 검토할 필요도 있다. 정보자산 목록 역시 장비나 시스템의 도입·변경·회수 등에 맞춰 관리해야 한다.
보안교육이나 클린데스크 점검 등은 회사에서 정한 운영 주기에 따라 계획할 수 있다. 예를 들어 교육은 연 1회, 비상연락망 확인은 분기별로 계획하는 방식도 가능하다. 이는 일정 작성법을 보여주는 가상 예시이지, ISO가 정한 공통 주기나 모든 회사에 적용되는 의무 주기는 아니다.
이런 업무를 계획서에 미리 정리해두면 담당자가 변경되더라도 수행해야 할 일과 기록해야 할 자료를 파악하기 쉬워진다. 계획된 활동이 실제로 이루어졌는지도 연말에 한꺼번에 기억에 의존해 확인하는 대신, 업무별 결과를 차례로 정리할 수 있다.
5. 사고 대응 훈련은 결과와 개선사항까지 기록한다
정보보안 업무 가운데는 평소 문제가 발생하지 않더라도 준비해 두어야 하는 활동이 있다. 침해사고 대응 비상연락망 관리와 사고 대응 모의훈련이 대표적이다.
비상연락망은 담당자나 조직이 변경되면 최신 상태인지 확인해야 한다. 사고 대응 훈련은 시나리오를 정하고 대응 절차를 실제로 점검하는 방식으로 진행할 수 있다.
훈련을 마쳤다면 단순히 실시 날짜만 기록하는 것으로 끝내지 않는다. 참여자와 시나리오, 대응 과정에서 확인된 문제, 개선이 필요한 사항, 담당자와 후속 조치 일정 등을 기록하면 훈련 결과를 실제 관리체계 개선에 활용할 수 있다.
예를 들어 비상연락 대상자에게 연락이 닿지 않았거나 사고 보고 과정이 지연됐다면, 연락망을 갱신하거나 보고 절차를 수정하는 개선 활동으로 이어질 수 있다.
이처럼 연간 계획에 사고 대응 활동을 포함하면 훈련을 실시하는 것뿐 아니라 그 결과를 검토하고 개선하는 과정까지 관리할 수 있다.
계획한 업무와 실제 이행 결과가 함께 관리되어야 한다
정보보호 연간 업무 추진 계획서를 살펴보면서 가장 중요하게 느낀 점은 계획 자체보다 계획과 실제 이행 결과를 함께 관리하는 일이었다.
연초에 일정을 정해 놓았더라도 실제 업무가 수행되지 않았다면 계획만으로 관리체계가 운영되고 있다고 설명하기 어렵다. 반대로 업무를 수행했더라도 결과와 필요한 기록이 정리되지 않았다면 이행 여부를 확인하기 어려울 수 있다.
따라서 계획서에는 업무의 목적과 담당자, 필요한 자료, 승인 절차, 일정과 주기를 정리하고, 실제 수행한 뒤에는 결과와 개선사항을 확인할 수 있도록 관리해야 한다.
정보보호 연간 업무 추진 계획서는 회사의 보안 원칙을 실제 일정으로 구체화하고, 누가 언제 어떤 업무를 수행했으며 그 결과가 어떠했는지 관리하기 위한 기준이었다.