ISO 27001 인증 준비 과정에서 세 번째로 살펴볼 문서는 적용성 명세서, SoA(Statement of Applicability)다.
앞서 인증범위 정의서를 통해 인증 대상이 되는 업무와 시스템을 살펴봤고, 이해관계자 조직상황 분석서를 통해 회사 안팎의 요구사항과 업무환경을 정리했다.
그렇다면 이제는 우리 회사에 어떤 정보보호 통제가 필요한지 판단할 차례다.
SoA는 이 과정에서 만들어지는 핵심 산출물이다. 어떤 통제를 선택했는지, 선택한 이유는 무엇인지, 현재 실제로 적용하고 있는지를 한눈에 확인할 수 있도록 정리한 문서다.
처음에는 표준에 나온 보안 항목을 체크하는 목록 정도로 생각했다. 하지만 자세히 살펴보니 단순한 체크리스트와는 달랐다.
우리 회사가 어떤 보안통제를 선택했고, 그 통제를 실제로 어떻게 운영하고 있는지 설명하는 문서였다.
1. SoA는 왜 중요한 문서일까?
ISO/IEC 27001:2022의 6.1.3항은 정보보호 위험처리 과정에서 필요한 통제를 결정하고, Annex A의 통제목록과 비교해 필요한 통제가 빠지지 않았는지 확인하도록 한다. 그 결과는 SoA로 문서화해야 한다.
SoA에는 필요한 통제, 해당 통제를 선정한 이유, 통제의 구현 여부, Annex A 통제를 제외한 경우 그 사유 등이 포함되어야 한다. 이는 6.1.3항의 핵심 요구사항이다.
관련 표준은 ISO/IEC 27001:2022 공식 페이지에서 확인할 수 있다.
여기서 중요한 점은 Annex A의 모든 통제를 검토 없이 똑같이 적용해야 하는 것은 아니라는 것이다.
회사는 위험평가 결과와 업무환경 등을 고려해 필요한 통제를 결정한다. Annex A는 필요한 통제가 누락되지 않았는지 확인하기 위한 참조 목록으로 활용된다. 특정 통제를 제외한다면 그 이유를 설명할 수 있어야 하며, 회사의 위험을 관리하기 위해 Annex A에 없는 추가 통제가 필요하다면 그것도 고려해야 한다.
결국 SoA를 작성할 때는 다음 질문에 답할 수 있어야 한다.
- 우리 회사에 이 통제가 필요한 이유는 무엇인가?
- 해당 통제는 실제 업무에 구현되어 있는가?
- 아직 구현하지 않았다면 어떤 부분을 개선해야 하는가?
- Annex A의 특정 통제를 제외한다면 그 사유는 무엇인가?
통제의 개수만 세는 것이 아니라, 회사의 위험과 실제 운영 상황을 바탕으로 판단해야 한다는 뜻이다.
2. 문서의 전체 구성부터 살펴보기
우리 회사에서 받은 SoA 산출물은 크게 네 부분으로 구성되어 있었다.
첫 번째는 개요, 두 번째는 ISO 27001의 관리체계 요구사항, 세 번째는 Annex A 정보보호 통제항목, 네 번째는 Annex A 통제목록 부속서였다. 여기에 문서의 제·개정 이력도 포함되어 있었다.
제·개정 이력과 개요
개정이력은 문서가 언제 작성되었으며 이후 어떤 내용이 변경되었는지 관리하는 부분이다.
예를 들어 다음과 같이 구성할 수 있다.
| 버전 | 개정 내용 예시 |
|---|---|
| 1.0 | 최초 작성 및 통제 적용성 검토 |
| 1.1 | 위험평가 결과와 통제 적용 현황 갱신 |
위 내용은 형식을 보여주기 위한 가상 예시다.
개요에는 문서의 목적과 구성, SoA가 정보보호 관리체계에서 어떤 역할을 하는지 등을 설명한다. 조직의 위험과 통제 현황이 바뀌면 관련 내용을 다시 검토해야 하므로, 변경사항을 추적할 수 있도록 관리하는 것이 유용하다.
ISO 27001 관리체계 요구사항
우리 회사의 산출물에서는 관리체계 요구사항을 R4부터 R10까지 구분해 정리했다.
| 구분 | 주요 내용 |
|---|---|
| R4. 조직상황 | 내부·외부 환경과 이해관계자, 인증범위 |
| R5. 리더십 | 경영진의 역할과 책임, 정보보안 정책 |
| R6. 기획 | 위험과 기회, 위험평가 및 처리, 정보보안 목표 |
| R7. 지원 | 역량, 인식, 의사소통, 문서화된 정보 |
| R8. 운영 | 관리체계 운영과 위험평가·위험처리 실행 |
| R9. 성과평가 | 모니터링, 내부감사, 경영진 검토 |
| R10. 개선 | 부적합 처리와 지속적인 개선 |
이 부분은 ISO 27001의 4~10항에서 다루는 관리체계 요구사항을 요약한 것이다. Annex A 통제의 적용 여부와는 성격이 다르며, 이 조항들을 단순히 불필요하다는 이유로 제외하는 방식으로 접근해서는 안 된다.
Annex A 정보보호 통제항목
다음은 실제 보안통제를 확인하는 부분이다.
ISO/IEC 27001:2022의 Annex A에는 총 93개의 통제가 네 가지 영역으로 구분되어 있다.
| 통제 영역 | 코드 | 통제 수 |
|---|---|---|
| 조직적 통제 | A.5 | 37 |
| 인적 통제 | A.6 | 8 |
| 물리적 통제 | A.7 | 14 |
| 기술적 통제 | A.8 | 34 |
| 합계 | 93 |
조직적 통제는 정책과 책임, 외부 공급자 관리 등 조직 차원의 보안 주제를 다룬다. 인적 통제는 직원과 인력 관련 보안 사항을, 물리적 통제는 시설과 장비에 대한 보호를, 기술적 통제는 접근권한과 시스템, 네트워크 등 기술적인 보호조치를 다룬다.
마지막 부속서는 Annex A의 통제목록을 참고할 수 있도록 구성되어 있었다. 앞부분에서 각 항목의 적용 여부와 현황을 살펴보고, 부속서에서 통제목록을 확인하는 형태다.
표준의 상세 통제 문구와 전체 목록은 저작권이 적용되는 자료이므로, 정확한 내용이 필요하다면 ISO 공식 표준 페이지를 통해 확인하는 것이 좋다. 이 글에서는 통제 영역과 문서 구성, 실제 적용 과정에 초점을 맞춰 설명하고 있다.
3. 통제항목은 어떻게 관리할까?
우리 회사의 SoA에서는 통제 코드, 통제항목, 통제사항, 적용 여부, 적용 현황, 정책문서, 증적자료 등을 확인할 수 있었다.
이 항목들을 살펴보면서 가장 중요하게 느낀 점은 통제에 ‘적용’이라고 표시하는 것만으로는 충분하지 않다는 것이었다.
왜 필요한 통제인지, 실제로 운영하고 있는지, 그 사실을 무엇으로 확인할 수 있는지가 함께 정리되어야 한다.
예를 들어 계정관리와 관련된 통제를 검토한다고 가정해 보자.
| 항목 | 작성 예시 |
|---|---|
| 통제 코드·항목 | 계정 및 접근권한 관리 관련 통제 |
| 적용 여부 | 적용 |
| 적용 현황 | 계정 신청과 승인 절차는 운영 중이나 일부 회수 기록은 추가 확인 필요 |
| 선정 이유 | 비인가 접근을 방지하고 계정의 생성·변경·회수 과정을 관리하기 위해 |
| 정책문서 | 계정관리 정책 및 관련 절차서 |
| 증적자료 | 계정 신청·승인 기록, 권한 변경 및 회수 이력 |
위 표는 이해를 돕기 위한 가상 예시다. 특정 통제의 실제 코드나 우리 회사의 평가 결과를 나타내지는 않는다.
여기서는 ‘적용 여부’와 ‘적용 현황’을 구분해서 이해하는 것이 중요하다. 표준은 통제의 구현 여부를 기록하도록 하고, 우리 회사 양식은 이를 ‘적용 여부’와 ‘적용 현황’으로 나누어 관리했다. 적용 여부는 해당 통제를 채택할지에 대한 판단이고, 적용 현황은 실제 업무에서 어느 정도 구현하고 운영하는지를 보여준다.
따라서 통제가 필요하다고 결정했더라도 관련 절차가 완전히 갖춰지지 않았을 수 있다. 절차는 마련되어 있어도 일부 업무에서 실행이 누락되거나, 실행 사실을 입증할 기록이 부족할 수도 있다.
이런 상황을 구분해서 기록해야 이후 무엇을 개선해야 하는지 알 수 있다.
정책문서와 증적자료도 각각 역할이 다르다. 정책문서는 회사가 어떤 원칙과 절차에 따라 업무를 수행하도록 정했는지 보여주고, 증적자료는 실제로 해당 업무가 수행되었는지 확인할 수 있는 근거가 된다.
예를 들어 계정관리 절차서가 있어도 계정이 실제로 승인에 따라 발급되고 회수되었는지 확인할 기록이 없다면 운영 현황을 충분히 설명하기 어려울 수 있다. 반대로 기록은 남아 있지만 내부 절차와 맞지 않는다면 그 역시 개선 대상이 될 수 있다.
결국 SoA를 작성하는 과정은 통제의 선정 이유와 실제 운영 현황, 이를 뒷받침하는 근거를 함께 확인하는 작업이었다.
SoA는 통제의 선정부터 운영 현황까지 보여주는 문서였다
SoA를 살펴보니 앞서 확인했던 산출물들이 어떤 역할을 했는지도 좀 더 명확해졌다.
인증범위 정의서는 무엇을 보호해야 하는지 설명하고, 이해관계자 조직상황 분석서는 회사 안팎의 환경과 요구사항을 파악하는 데 도움을 준다. 위험평가 결과는 어떤 위험을 우선적으로 관리해야 하는지 판단하는 근거가 된다.
SoA는 그런 내용을 바탕으로 필요한 보안통제를 선정하고, 각 통제의 적용 여부와 실제 운영 현황을 정리한다.
문서 안의 한 줄을 작성하기 위해서도 여러 가지를 확인해야 한다. 통제가 왜 필요한지 판단해야 하고, 관련 정책과 절차가 있는지 찾아야 한다. 실제로 업무에서 운영되고 있는지 확인하고, 부족한 부분이 있다면 개선 과제로 정리해야 한다.
SoA는 단순히 보안통제 목록을 체크하는 문서가 아니라, 우리 회사가 어떤 통제를 선택했고 그 통제를 얼마나 실행하고 있는지 보여주는 기준 문서였다.