ISO 27001 인증 준비 과정에서 컨설팅을 통해 받은 산출물을 하나씩 살펴보고 있다.
이번에 살펴볼 문서는 정보자산 관리대장이다.
정보자산이라고 하면 서버나 PC, 네트워크 장비부터 떠올리기 쉽다. 하지만 회사가 보호해야 할 자산은 훨씬 다양하다. 데이터베이스와 웹 서비스, 업무용 응용시스템, 소프트웨어, 문서 등 업무에 필요한 정보와 자산이 모두 관리 대상이 될 수 있다.
정보자산 관리대장은 이 자산들을 식별하고, 어디에서 어떤 목적으로 사용되는지, 누가 관리하는지, 보안상 얼마나 중요한지를 정리하는 문서였다.
장비 목록을 만드는 것처럼 보이지만, 실제로는 무엇을 보호해야 하는지 파악하고 어떤 자산부터 주의 깊게 관리할지 판단하는 출발점에 가까웠다.
1. 정보자산 관리대장은 왜 필요할까?
회사가 보유한 자산을 정확히 파악하지 못하면 적절한 보안조치를 마련하기도 어렵다.
예를 들어 업무용 서버가 여러 대 운영되고 있지만 담당 조직이나 사용 목적이 명확하지 않다면 문제가 발생했을 때 누구에게 확인해야 할지부터 막막해질 수 있다. 오래된 소프트웨어가 어떤 시스템에서 사용되는지 모른다면 제조사 지원 종료 여부나 보안 업데이트 상태를 확인하기도 어렵다.
ISO/IEC 27001:2022의 위험평가 요구사항인 6.1.2항은 정보의 기밀성·무결성·가용성 손실과 관련된 위험을 식별하고 위험 소유자를 지정하도록 다룬다. 자산을 먼저 파악해두면 어떤 정보와 지원 시스템을 평가해야 하는지 확인하기 수월하다.
Annex A의 자산 목록 관리와 정보 분류 관련 통제도 이러한 업무와 관련된다. 다만 ISO 27001이 모든 회사에 똑같은 자산대장 양식이나 점수 체계를 지정하는 것은 아니다.
관련 기준은 ISO/IEC 27001 공식 표준 안내 페이지에서 확인할 수 있다.
2. 어떤 자산을 관리할까?
정보자산은 서버나 네트워크 장비에 한정되지 않는다. 일반적인 자산 관리 체계에서는 다음과 같은 유형을 고려할 수 있다.
| 자산 유형 | 관리 대상 예시 |
|---|---|
| 서버·데이터베이스 | 웹 서버, 응용 서버, 업무 데이터 저장소 |
| 웹·응용시스템 | 홈페이지, 업무용 프로그램 및 서비스 |
| 네트워크·보안 시스템 | 방화벽, 라우터, 스위치, 보안 솔루션 |
| 단말기 | PC, 노트북 등 업무용 장비 |
| 문서·정보 | 업무자료, 계약서, 중요 정보가 담긴 문서 |
| 소프트웨어 | 운영체제, 상용 프로그램, 업무용 소프트웨어 |
| 기타 설비 | 정보 처리와 업무 운영을 지원하는 장비 및 설비 |
이 목록은 이해를 돕기 위한 일반적인 예시다. 실제 관리 범위와 분류 방식은 회사가 보유한 자산과 운영환경에 맞게 정하면 된다.
중요한 것은 장비만 등록하는 데 그치지 않고, 회사의 정보를 저장하거나 처리하는 자산과 업무 운영에 필요한 지원 자산까지 파악하는 것이다.
3. 자산대장에는 어떤 정보를 기록할까?
자산을 식별했다면 각 자산을 구분하고 관리하는 데 필요한 정보를 기록한다.
아래는 실제 회사의 자산대장을 그대로 옮긴 것이 아니라, 일반적인 관리 항목을 바탕으로 재구성한 가상 예시다.
| 관리 항목 | 가상 작성 예시 |
|---|---|
| 자산코드 | AST-WEB-001 |
| 자산 유형 | 웹 서버 |
| 인증범위 포함 여부 | 포함 |
| 보안 진단 대상 여부 | 대상 |
| 자산 책임 조직 | 서비스 관리 부서 |
| 운영 주체 | 자체 운영 |
| Hostname | WEB-SRV-EXAMPLE |
| 서비스 용도 | 고객 문의 웹 서비스 |
| 보유 형태 | 자체 보유 |
| 자산 위치 | 가상 IDC-A |
| 운영 조직 | IT 운영 담당 |
| CIA 평가 | 기밀성 2, 무결성 2, 가용성 2 |
| 지원 종료 여부 | 지원 중인 것으로 가정 |
| 유지보수 여부 | 유지보수 체계 있음으로 가정 |
표의 자산명과 값은 모두 가상이다.
실제 관리대장에서는 자산코드와 호스트명 등을 이용해 자산을 식별하고, 인증 대상 여부와 진단 대상 여부를 구분한다. 자산의 위치와 운영 조직을 기록하면 관리 책임과 운영 현황을 파악하기가 쉬워진다.
여기서 자산 책임 조직과 운영 조직이 반드시 같은 것은 아니다. 어떤 부서가 업무상 자산을 책임지고 관리하더라도 실제 기술적인 운영은 IT 부서나 외부 업체가 담당할 수 있다.
따라서 자산 책임자, 운영 담당자, 관리 조직 등의 역할을 구분해두면 문제가 발생했을 때 누구에게 보고하고 누가 조치를 수행해야 하는지 더 명확해진다.
4. CIA 평가 — 기밀성·무결성·가용성으로 중요도를 판단하다
정보자산 관리대장에서 중요한 부분 중 하나는 CIA 평가다.
CIA는 정보보안의 세 가지 기본 속성을 뜻한다.
- 기밀성(Confidentiality): 허가받지 않은 사람에게 정보가 공개되지 않도록 보호하는 것
- 무결성(Integrity): 정보가 허가되지 않은 방식으로 변경되거나 훼손되지 않도록 보호하는 것
- 가용성(Availability): 필요한 사람이 필요한 시점에 정보와 시스템을 이용할 수 있도록 하는 것
자산의 중요도를 평가할 때는 이 세 가지 속성에 문제가 발생하면 회사의 업무와 정보에 어떤 영향이 생길지 살펴볼 수 있다.
예를 들어 개인정보를 보관하는 데이터베이스는 정보가 외부로 유출되면 기밀성에 문제가 발생한다. 데이터가 잘못 변경되면 무결성이 훼손되고, 핵심 업무 서버가 중단되면 가용성에 문제가 생길 수 있다.
CIA 점수와 자산 등급은 어떻게 정할까?
CIA를 실제로 평가하는 방법은 회사가 정한 기준에 따라 달라질 수 있다. 이해를 돕기 위해 세 가지 속성을 각각 1~3점으로 평가하고 점수를 합산하는 가상의 방법을 살펴보자.
| 점수 | 평가 수준 | 의미 예시 |
|---|---|---|
| 1점 | 낮음 | 문제가 발생해도 업무 영향이 제한적임 |
| 2점 | 보통 | 일부 업무에 상당한 영향이 발생할 수 있음 |
| 3점 | 높음 | 핵심 업무나 중요 정보에 큰 영향이 발생할 수 있음 |
각 점수를 합산하면 총점은 3~9점이 된다. 예를 들어 설명을 위해 다음과 같은 등급 기준을 사용할 수 있다.
| CIA 합산 점수 | 가상 자산 등급 |
|---|---|
| 7~9점 | 1등급 |
| 5~6점 | 2등급 |
| 3~4점 | 3등급 |
이 기준은 원리를 설명하기 위한 가상 예시이며, ISO 27001이 정한 공식 점수나 등급 기준은 아니다. 실제 회사는 자산의 특성과 위험평가 방법론에 맞게 평가 기준을 정하고 일관되게 적용해야 한다. 합산 방식 대신 가장 높은 CIA 점수를 기준으로 등급을 정하는 방식도 있을 수 있다.
중요한 것은 점수만 계산하는 것이 아니다. 기밀성·무결성·가용성 각각의 평가 결과가 왜 그렇게 나왔는지 설명할 수 있어야 한다.
개인정보를 처리하는 자산은 어떻게 평가할까?
개인정보를 처리하는 자산은 유출이나 오남용이 발생했을 때 개인과 회사에 영향을 줄 수 있다. 따라서 개인정보 처리 여부를 추가적인 중요도 평가 요소로 반영하는 방법을 사용할 수 있다.
예를 들어 가상의 회사가 개인정보 처리 자산에 추가 점수를 부여한다고 가정해보자.
앞서 든 자산이 기밀성 2점, 무결성 2점, 가용성 2점으로 평가되었다면 기본 합산 점수는 6점이다. 가상의 평가 기준에서 개인정보 처리 자산에 1점을 추가하면 최종 점수는 7점이 되어 예시 등급 기준상 1등급으로 올라갈 수 있다.
이 숫자와 산정 방법은 설명을 위한 가상 예시이며, 실제 회사의 평가 점수나 모든 조직에 적용되는 기준이 아니다.
개인정보 처리 여부를 평가에 반영하더라도 그 방식은 위험평가 기준과 일관되어야 한다. 개인정보가 있다는 사실만으로 모든 자산의 위험이 동일하다고 단정하기보다, 처리 정보의 종류와 양, 접근권한, 업무 영향, 기존 보호조치 등을 함께 고려해야 한다.
정보 분류와 자산 등급은 서로 다르다
회사에서는 정보의 성격에 따라 문서를 ‘기밀’, ‘대외비’, ‘일반’ 등으로 분류할 수 있다. 이는 정보에 어떤 보호 수준과 취급 규칙을 적용할지 구분하기 위한 예시다. 실제 분류명은 회사의 정보분류 체계에 따라 달라진다.
정보 분류와 자산 등급은 서로 관련이 있지만 같은 개념은 아니다. 문서가 기밀로 분류되더라도 그 문서를 저장하는 서버는 기밀성뿐 아니라 무결성과 가용성, 업무상 중요도까지 고려해 별도로 평가할 수 있다.
ISO/IEC 27001:2022의 정보 분류 관련 통제는 정보의 보안상 필요에 따라 분류하고, 그 분류 체계에 맞게 표시 및 취급하도록 하는 데 초점이 있다. 따라서 문서의 분류 기준과 자산의 중요도 평가 기준을 함께 정리하되, 두 개념을 혼동하지 않는 것이 중요하다.
5. 자산 책임자와 위험 소유자는 어떻게 다를까?
정보자산 관리대장을 작성할 때는 자산 자체의 관리 책임과 그 자산에 영향을 미치는 위험의 책임도 구분해야 한다.
자산 책임자는 특정 자산의 관리와 보호에 대한 책임을 맡는다. 반면 위험 소유자는 식별된 정보보안 위험을 관리하고 관련 판단과 후속 조치를 책임지는 주체다.
두 역할은 같은 사람이나 조직이 맡을 수도 있지만, 반드시 일치해야 하는 것은 아니다.
예를 들어 업무부서가 고객정보의 업무상 사용과 관리 책임을 맡고, IT 부서는 해당 정보를 처리하는 서버의 기술적 운영을 담당할 수 있다. 이때 서버라는 자산의 관리 역할과 고객정보 유출 위험에 대한 책임은 서로 다른 관점에서 지정될 수 있다.
ISO/IEC 27001의 6.1.2항은 위험평가 과정에서 위험 소유자를 식별하도록 다룬다. 자산 목록을 정확하게 관리하고 자산 책임자를 명확히 지정해두면, 이후 위험평가에서 어떤 정보와 시스템을 검토해야 하는지 파악하고 관련 책임자를 지정하는 데 도움이 된다.
6. 자산 목록은 계속 최신 상태로 유지해야 한다
자산대장은 한 번 작성한 뒤 보관하는 문서가 아니다. 시스템과 장비가 도입·변경·폐기되면 관련 정보를 갱신해야 한다.
예를 들어 새로운 서버가 도입되면 자산코드와 운영 목적, 담당 조직, 위치, 중요도 평가 등을 등록해야 한다. 기존 서버를 교체하거나 폐기한다면 상태와 관리 기록도 갱신해야 한다.
정기적으로 자산 목록과 실제 운영 현황을 대조하는 과정도 필요하다. 문서에는 등록되어 있지만 실제로 존재하지 않는 장비가 있는지, 반대로 실제 운영 중인데 관리대장에 빠진 자산은 없는지 확인할 수 있다.
여기에 인사 프로세스와 자산 회수 업무도 함께 고려해야 한다. 직원에게 지급한 노트북이나 기타 장비가 퇴사 또는 업무 변경 시 적절히 회수되는지 확인하고, 사용자가 변경되었다면 관련 자산 정보와 권한도 최신 상태로 정리해야 한다.
ISO/IEC 27001:2022 Annex A에서는 정보와 관련 자산의 목록 관리 외에도 자산의 허용 가능한 사용, 자산 반환, 정보 분류와 표시를 별도 주제로 다룬다. 이러한 사항은 자산대장 자체만으로 모두 해결되는 것은 아니지만, 자산관리 프로세스와 연계해 운영할 수 있다.
결국 정확한 자산대장을 유지하려면 자산 도입·변경·폐기, 담당자 변경, 장비 반환, 정기 점검 등의 업무가 빠짐없이 반영되어야 한다.
정보자산 관리대장은 보호 대상과 관리 책임을 파악하는 기본 자료였다
정보자산 관리대장을 살펴보니 단순한 장비 목록과 체계적인 자산 관리의 차이가 분명해졌다.
자산을 식별하고 관리 책임자를 지정하는 것에서 시작해, 어떤 정보를 처리하는지 파악하고 CIA를 기준으로 중요도를 평가한다. 여기에 인증범위 포함 여부와 진단 대상 여부, 지원 종료 상태, 유지보수 현황까지 기록하면 어떤 자산을 우선적으로 검토해야 하는지 더 구체적으로 파악할 수 있다.
자산 정보가 정확해야 위험평가도 현실에 맞게 진행할 수 있다. 자산 책임자와 위험 소유자까지 적절하게 지정되어 있다면 발견된 위험을 누가 관리하고 개선해야 하는지도 명확해진다.
정보자산 관리대장은 회사가 보유한 자산을 식별하고 중요도와 운영 상태, 책임을 체계적으로 관리해 적절한 보호조치를 결정할 수 있도록 돕는 기본 문서였다.