ISO 27001 인증 준비 과정에서 컨설팅을 통해 만들어진 산출물을 하나씩 살펴보기로 했다.
첫 번째 문서는 바로 인증범위 정의서다.
처음에는 인증받을 서비스나 부서를 정리한 문서 정도로 생각했다. 하지만 실제 자료를 살펴보니 단순히 대상 목록을 작성하는 수준이 아니었다. 회사의 사업, 조직, 정보시스템, 네트워크, 정보보호 운영체계까지 전체적인 모습을 파악할 수 있도록 정리한 문서였다.
그렇다면 이 문서에서 가장 중요한 것은 무엇일까?
바로 우리 회사의 어떤 업무와 시스템을 인증 대상으로 삼을 것인지, 그리고 그 범위를 어디까지로 정할 것인지 명확하게 정의하는 것이다.
1. ISO 27001 조항 4.3, 인증범위를 정한다는 것
ISO/IEC 27001:2022의 4.3항은 정보보호 관리체계(ISMS)의 범위 설정에 관한 요구사항이다. 조직은 관리체계의 경계와 적용 범위를 결정해야 하며, 이때 조직의 내·외부 환경, 이해관계자의 요구사항, 다른 조직에서 수행하는 활동과의 접점 및 의존관계 등을 고려해야 한다. 정해진 범위는 문서화된 정보로 유지해야 한다.
쉽게 말하면 이런 질문에 답할 수 있어야 한다.
- 어떤 서비스와 업무를 인증 대상으로 삼을 것인가?
- 그 서비스를 운영하는 조직과 물리적 장소는 어디인가?
- 서비스 운영에 필요한 시스템과 정보자산은 무엇인가?
- 외부 업체나 관계사와 어떤 업무를 주고받는가?
- 이번 인증 대상에서 제외되는 업무가 있다면, 그 이유는 무엇인가?
여기서 중요한 것은 단순히 인증 대상을 작게 정하는 것이 아니다.
회사의 사업과 실제 운영환경을 고려해 적절한 범위를 정해야 한다. 특정 서비스를 인증 대상에 포함했다면 그 서비스의 운영에 필요한 시스템과 지원 업무, 외부 조직과의 접점도 함께 살펴봐야 한다.
인증 대상 서비스만 문서에 적어놓고, 실제로 그 서비스를 운영하는 데 필요한 업무를 빠뜨린다면 범위를 제대로 설명했다고 보기 어렵다.
2. 인증범위는 실제 문서에서 어떻게 표현할까?
인증범위 정의서의 핵심은 범위를 구체적인 문장으로 표현하는 것이다.
예를 들어 가상의 온라인 서비스를 운영하는 회사라면 다음과 같이 작성할 수 있다.
인증범위 정의 문구 예시
본 정보보호 관리체계의 인증범위는 A사가 서울 본사에서 수행하는 온라인 서비스의 기획·개발·운영 업무와 해당 서비스 제공에 필요한 정보시스템, 네트워크, 정보자산 및 관련 지원 업무를 포함한다. 서비스 운영에 관여하는 IT 운영, 정보보호, 인사 및 자산관리 업무와 외부 유지보수 업체의 관련 활동은 대상 서비스와의 관계 및 정보보호 영향을 고려하여 관리한다.
위 문구는 이해를 돕기 위한 가상 예시다. 실제 인증범위 정의서에는 회사의 서비스와 조직, 운영 장소, 시스템 환경을 반영해 구체적으로 작성해야 한다.
이때 확인할 부분은 네 가지다.
| 구분 | 확인할 내용 |
|---|---|
| 서비스 범위 | 어떤 서비스를 기획·개발·운영하는가? |
| 조직 범위 | 어떤 부서와 담당자가 해당 서비스를 운영하는가? |
| 물리적·기술적 범위 | 어느 장소에서 운영하며 어떤 시스템과 네트워크를 사용하는가? |
| 업무 범위 | 서비스 운영을 위해 어떤 내부 부서와 외부 조직이 관여하는가? |
회사마다 사업과 운영환경이 다르기 때문에 모든 회사가 똑같은 문구를 사용해야 하는 것은 아니다. 핵심은 범위를 읽는 사람이 인증 대상과 경계를 명확히 이해할 수 있도록 작성하는 것이다.
3. 인증 대상에서 제외하는 부분도 설명할 수 있어야 한다
범위를 정할 때는 포함할 대상뿐만 아니라 제외하는 영역도 신중하게 살펴봐야 한다.
예를 들어 한 회사가 여러 서비스를 운영하고 있다고 가정해 보자. 그중 일부 서비스만 이번 인증 대상으로 선정할 수 있다. 그렇다면 나머지 서비스는 왜 제외했는지, 대상 서비스와 업무나 시스템을 공유하지는 않는지, 외부 조직을 통해 영향을 주고받지는 않는지 등을 검토할 필요가 있다.
ISO 27001이 모든 회사에 동일한 형식의 ‘제외 목록’을 요구하는 것은 아니다. 다만 인증범위를 명확하게 설명하고 실제 운영환경과의 차이를 줄이기 위해서는 제외 영역과 그 사유를 별도로 정리해두는 것이 유용하다.
예를 들어 다음과 같이 정리할 수 있다.
| 항목 | 가상 예시 |
|---|---|
| 제외 대상 | 별도 법인이 독립적으로 운영하는 B 서비스 |
| 제외 사유 | B 서비스는 별도 조직에서 독립적으로 운영하며, 이번 인증 대상 서비스와 운영 시스템 및 주요 업무를 공유하지 않음 |
| 추가 확인사항 | 향후 계정, 데이터, 인프라 또는 유지보수 업무를 공유하게 되면 상호 접점과 정보보호 영향을 재검토 |
이 예시에서 중요한 것은 제외 사유를 그럴듯하게 작성하는 것이 아니다. 실제 운영환경이 그 설명과 일치해야 한다는 점이다.
특히 다른 부서나 관계사가 직접 운영하더라도 인증 대상 서비스에 필요한 업무를 수행한다면, 단순히 다른 조직이라는 이유만으로 관련성을 무시해서는 안 된다. 외부 업체의 유지보수나 관계사의 시스템 운영처럼 서비스에 영향을 주는 접점은 별도로 파악하고 관리해야 한다.
결국 인증범위는 문서상으로만 나누는 선이 아니라 실제 업무와 정보가 어디까지 이어지는지 설명할 수 있는 경계여야 했다.
4. 개정이력부터 회사의 변화가 드러난다
인증범위를 정한 문서는 한 번 작성했다고 영원히 그대로 유지되는 것이 아니다. 조직이나 서비스, 운영환경이 달라지면 기존 범위가 여전히 적절한지 확인해야 한다.
문서 앞부분에는 보통 개정이력을 관리할 수 있는 표를 둘 수 있다.
개정이력 표 예시
| 버전 | 개정일 | 개정 내용 | 작성·검토 |
|---|---|---|---|
| 1.0 | 2026-05-01 | 최초 작성 및 인증범위 정의 | 정보보호 담당 |
| 1.1 | 2026-06-15 | 조직 변경 및 운영환경 현황 반영 | 정보보호 담당 |
위 날짜와 내용은 예시이며 실제 회사의 기록이 아니다.
개정이력은 단순한 형식이 아니라 문서가 어떤 과정을 거쳐 현재 상태에 이르렀는지 보여주는 기록이다. 인증 대상 서비스가 추가되거나 조직이 개편된다면 범위 정의서도 함께 검토해야 하는 이유다.
5. 조직도는 누가 정보보안을 책임지는지 보여준다
인증범위 정의서를 살펴보면서 확인해야 할 또 다른 항목은 전사 조직구성이다.
조직도에는 회사의 부서만 나열하는 것이 아니라 인증 대상 업무와 정보보호 관리에 관여하는 조직의 역할도 파악할 수 있도록 정리하는 것이 좋다.
예를 들어 가상의 조직을 단순화하면 다음과 같다.
조직구성 예시
- 대표이사
- 정보보호위원회
- 서비스운영팀
- IT운영팀
- 개발팀
- 인사·총무팀
- 구매팀
이 구조는 설명을 위한 예시이며 실제 회사의 조직이나 ISO 27001이 지정한 표준 조직도를 의미하지 않는다.
중요한 것은 각 조직이 인증 대상 업무에서 어떤 역할을 수행하는지다.
서비스운영팀은 서비스 업무를 담당하고, IT운영팀은 시스템과 네트워크를 관리할 수 있다. 인사·총무팀은 직원 입·퇴사 및 장비 지급·회수 업무를 담당하고, 구매팀은 장비와 외부 업체 계약을 관리할 수 있다.
이런 업무분장을 이해해야 정보보호와 관련된 책임이 어디에 있는지, 문제가 발생했을 때 누구와 협의해야 하는지 파악할 수 있다.
앞서 여러 부서와 인터뷰하며 업무분장을 확인했던 이유도 여기에 있었다. 조직도는 단순한 회사 소개 자료가 아니라 정보보호 관리체계의 책임 구조를 이해하는 데 필요한 자료였다.
6. 네트워크 구성도는 정보시스템의 경계를 보여준다
인증범위 정의서에서 눈여겨볼 부분 중 하나는 네트워크 구조와 운영환경이다.
문서에 서버나 네트워크 장비의 이름만 나열되어 있다면 전체적인 연결 구조를 파악하기 어렵다. 주요 시스템이 어떻게 연결되어 있고, 외부에서 어떤 경로로 접근하며, 관리용 접근은 어떻게 통제되는지 함께 살펴볼 필요가 있다.
예를 들어 다음은 설명을 위한 단순화된 네트워크 구성도다.
네트워크 구성도 예시
인터넷
|
[외부 방화벽]
|
[웹 서버 구간]
|
[응용 서버 구간]
|
[내부 DB 구간]
관리자 PC
|
[VPN + MFA]
|
[관리 네트워크]
|
[서버 관리 접근]
외부 유지보수 업체
|
[승인된 제한적 접근]
|
[접근기록 및 작업이력 관리]
실제 회사에서는 클라우드 환경이나 DMZ, 별도 보안장비, 내부망과 관리망 등이 추가될 수 있다. 위 그림은 실제 회사의 네트워크를 나타내는 것이 아니며, IP 주소·장비명·업체 정보 등 민감한 정보도 포함하지 않은 가상 샘플이다.
구성도를 정리할 때 중요한 것은 그림을 복잡하게 만드는 것이 아니다. 인증 대상 서비스와 관련된 시스템이 어디에 위치하고 어떤 경로로 접근하는지, 주요 접근통제가 어디에서 적용되는지 이해할 수 있게 만드는 것이다.
앞서 방화벽을 점검하고 외부 접근통제를 확인했던 작업도 이러한 운영환경을 파악하는 데 도움이 된다.
7. 정보보호 조직과 정책, 위탁운영 현황도 함께 살펴본다
인증범위 정의서에는 회사의 정보보호 운영환경을 이해하기 위한 여러 정보가 들어갈 수 있다. 우리 회사가 컨설팅을 통해 정리한 자료에서는 특히 다음 항목들을 확인해야 했다.
| 항목 | 살펴볼 내용 |
|---|---|
| 정보보호 조직 | 정보보호 책임자와 담당 조직, 역할 및 기능 |
| 자체·위탁 운영 | 직접 운영하는 시스템과 외부 업체에 위탁한 업무 |
| 관계사 현황 | 관계사와 공유하는 업무, 시스템 또는 운영 의존관계 |
| 정책서·지침서 | 정보보호 정책 및 세부 지침의 구성과 관리 현황 |
| 시스템 운영 문서 | 주요 시스템 및 보안장비의 운영 관련 문서 |
| 정보자산 현황 | 주요 정보자산의 식별 및 관리 현황 |
이 항목들이 모든 회사의 인증범위 정의서에 반드시 동일한 형식으로 들어가야 한다는 뜻은 아니다. 표준이 정해진 한 가지 양식을 요구하는 것은 아니며, 회사의 업무와 인증범위를 명확하게 설명할 수 있도록 필요한 내용을 구성하면 된다.
나에게는 이 목록을 다시 살펴보는 과정이 의미 있었다. 그동안 각각 따로 확인했던 정보보호 조직, 정책서, 네트워크, 정보자산, 외부 업체 관리가 이제는 하나의 문서 안에서 회사 전체의 모습으로 정리되어 있었기 때문이다.
8. 비즈니스 환경과 이해관계자의 요구사항도 빠뜨릴 수 없다
인증범위를 정할 때 내부 시스템만 살펴보는 것으로는 충분하지 않다.
ISO 27001의 4.1항은 조직의 목적과 정보보호 관리체계에 영향을 미치는 내·외부 이슈를 다루고, 4.2항은 관련 이해관계자와 그들의 요구사항을 파악하도록 한다. 4.3항에서는 이런 요소를 인증범위 결정 시 고려하도록 연결하고 있다.
예를 들어 고객사가 계약서에 정보보호 조건을 명시했다면 그 계약상 요구사항이 서비스 운영에 영향을 줄 수 있다. 개인정보 관련 법령을 준수해야 할 수도 있고, 클라우드 운영업체나 유지보수 업체에 의존하는 부분도 있을 수 있다.
이런 사항들은 단순한 참고자료가 아니다. 어떤 서비스를 범위에 포함할지, 어떤 시스템과 지원 업무를 고려해야 할지 판단하는 데 도움이 된다.
다음과 같이 간단히 정리해 볼 수도 있다.
| 내·외부 환경 또는 이해관계자 | 인증범위에 미치는 영향 예시 |
|---|---|
| 고객사의 보안 요구사항 | 서비스 운영과 계약상 정보보호 의무 고려 |
| 개인정보 관련 법령 | 개인정보 처리 업무와 관련 시스템 확인 |
| 클라우드 운영업체 | 위탁 운영 현황과 책임 및 접근 경로 확인 |
| 관계사 | 공유 업무와 시스템 의존관계 확인 |
| 사내 업무부서 | 서비스 운영을 지원하는 인력과 프로세스 파악 |
이 표 역시 가상의 예시다. 실제로는 회사의 사업과 계약, 법적 의무, 외부 조직과의 관계를 확인한 뒤 해당하는 내용만 반영해야 한다.
인증범위 정의서는 회사의 전체 모습을 보여주는 문서였다
인증범위 정의서를 살펴보면서 가장 크게 달라진 생각은 이 문서의 중심이 단순한 회사 소개가 아니라는 점이었다.
결국 핵심 질문은 하나다.
우리 회사의 어떤 업무와 시스템을 정보보호 관리체계 안에서 관리할 것인가?
이 질문에 답하려면 서비스와 조직을 알아야 하고, 네트워크와 정보자산을 확인해야 한다. 외부 업체와 관계사가 어떤 역할을 하는지도 파악해야 하며, 제외한 영역이 있다면 그 이유와 대상 서비스에 미치는 영향을 설명할 수 있어야 한다.
인증범위가 명확해야 그 범위에 맞춰 위험을 평가하고, 필요한 통제를 적용하고, 운영 기록을 남기고, 심사를 준비할 수 있다.
문서의 개정이력과 조직도, 네트워크 구성도, 정보자산 현황은 각각 별개의 자료처럼 보일 수 있다. 하지만 인증범위 정의서에서는 이 자료들이 우리 회사의 운영환경을 설명하는 근거가 된다.
그동안 진행했던 컨설팅 업무를 산출물 관점에서 다시 바라보니, 왜 여러 부서를 인터뷰하고 시스템을 확인했는지도 조금 더 구체적으로 이해할 수 있었다.
인증범위 정의서는 단순히 인증받을 대상을 적어놓은 첫 번째 문서가 아니었다.
무엇을 인증받을 것인지 정하고, 그 경계가 실제 회사의 업무와 운영환경을 반영하는지 설명하는 출발점이었다.