ISO 27001 인증 준비 과정에서 컨설팅을 통해 받은 산출물을 하나씩 살펴보고 있다.
이번에 살펴볼 문서는 회사의 정보보안 관리체계에서 기본이 되는 정보보호 정책서, 정보보호 지침서, 정보보호 절차서다.
처음에는 세 가지 문서가 비슷한 내용을 반복해서 담고 있는 것처럼 보였다. 하지만 자세히 살펴보니 각각의 역할이 달랐다.
정책서는 회사가 지켜야 할 큰 원칙을 정하고, 지침서는 분야별 관리 기준을 구체화하며, 절차서는 실제 업무를 수행하는 방법을 정리한다.
쉽게 말하면 회사의 정보보안 규칙을 만들고, 그 규칙을 실제 업무에서 실행할 수 있도록 체계를 세우는 것이었다.
1. 정보보호 정책서 — 회사 보안의 가장 큰 원칙
가장 위에 있는 문서는 정보보호 정책서다.
이 문서는 회사가 정보를 어떤 원칙으로 보호할 것인지, 정보보안에 대한 책임과 기본 방향은 무엇인지 등을 정리한다.
ISO/IEC 27001:2022의 5.2항은 최고경영진이 조직의 목적에 적합한 정보보호 정책을 수립하도록 요구한다. 정책에는 정보보호 목표를 포함하거나 목표를 수립하기 위한 틀을 제공하는 내용, 적용되는 정보보안 관련 요구사항을 충족하겠다는 약속, 정보보호 관리체계를 지속적으로 개선하겠다는 의지가 담겨야 한다.
또한 정책은 문서화하고 조직 내부에 전달해야 하며, 적절한 경우 관련 이해관계자도 확인할 수 있어야 한다. 관련 내용은 ISO 공식 표준 안내 페이지에서 확인할 수 있다.
여기서 중요한 것은 정책서가 단순히 회사의 보안 의지를 선언하는 문서로 끝나서는 안 된다는 점이다. 정보보안의 큰 방향을 정하고, 구체적인 목표와 하위 규칙이 그 원칙에 맞게 만들어지도록 기준을 제시해야 한다.
예를 들어 가상의 정책 문구를 작성한다면 다음과 같이 표현할 수 있다.
회사는 정보자산의 위험을 적절히 관리하고, 적용되는 정보보안 관련 요구사항을 준수하며, 정보보호 관리체계의 지속적인 개선을 추진한다. 정보보호 목표는 회사의 사업 목적과 위험평가 결과를 고려하여 수립한다.
위 문구는 이해를 돕기 위한 예시이며, ISO 표준의 원문을 인용한 것은 아니다.
이처럼 정책서는 회사가 무엇을 중요하게 생각하고 어떤 원칙을 지켜야 하는지 제시하는 기준점이다.
2. 정보보호 지침서 — 분야별 보안 기준을 정하다
정책서가 큰 원칙을 정한다면, 그 아래에 있는 지침서는 분야별로 어떤 관리 기준을 적용할지 구체화하는 역할을 한다.
예를 들어 회사가 정보자산을 체계적으로 관리하겠다는 원칙을 세웠다면, 자산관리 지침에는 어떤 자산을 식별하고 분류할지, 누가 관리 책임을 맡을지 등의 기준을 담을 수 있다.
계정관리, 네트워크 보안, 개인정보 보호, 외부업체 관리, 물리적 보안 등도 회사의 업무환경에 따라 별도의 지침으로 구성할 수 있다.
이와 관련해 알아둘 부분이 있다. ISO 27001:2022의 Annex A A.5.1은 정보보안 정책과 주제별 정책(topic-specific policies)을 다룬다. 우리 회사의 지침서가 표준에서 정한 특정 문서명과 반드시 일치하는 것은 아니지만, 분야별 보안 원칙과 관리 기준을 구체화한다는 점에서는 주제별 정책과 비슷한 역할을 할 수 있다.
회사마다 정책과 지침, 절차를 나누는 방식은 다를 수 있다. 중요한 것은 문서 이름이나 개수가 아니라 분야별 기준이 명확하고 실제 업무에 맞게 구성되어 있는지다.
3. 정보보호 절차서 — 실제로 어떻게 실행할 것인가?
가장 아래 단계에 있는 문서는 정보보호 절차서다.
지침서가 관리 기준을 정한다면, 절차서는 실제 업무를 어떤 순서로 수행할지 정리한다.
예를 들어 계정관리 절차서라면 다음과 같은 흐름을 담을 수 있다.
- 계정 생성이나 권한 변경을 신청한다.
- 권한자가 신청 내용을 검토하고 승인한다.
- 담당자가 계정을 생성하거나 권한을 변경한다.
- 처리 결과를 기록하고 신청자에게 안내한다.
- 퇴사나 업무 변경이 발생하면 불필요한 권한을 회수한다.
- 관련 이력을 보관하고 필요한 경우 점검한다.
이것은 이해를 돕기 위한 예시이며, 실제 절차는 회사의 조직과 시스템 환경에 따라 달라질 수 있다.
절차가 명확하지 않으면 담당자마다 처리 방식이 달라질 수 있다. 반대로 업무 순서와 책임이 정리되어 있으면 담당자가 바뀌더라도 일관된 방식으로 업무를 수행하기가 수월해진다.
결국 절차서는 정책과 지침에 적힌 원칙을 실제 업무로 옮기는 역할을 한다.
4. 세 문서는 어떻게 연결될까?
지금까지 살펴본 세 문서를 하나의 사례로 정리하면 차이가 더 분명해진다.
| 구분 | 계정관리 예시 |
|---|---|
| 정보보호 정책서 | 회사의 정보자산과 접근권한을 적절히 보호한다. |
| 정보보호 지침서 | 계정 발급·변경·회수와 접근권한 관리 기준을 정한다. |
| 정보보호 절차서 | 신청, 승인, 처리, 권한 회수 순서와 담당자를 구체적으로 정한다. |
| 기록 및 증적 | 신청서, 승인 이력, 권한 변경 및 회수 기록 등으로 실제 수행 여부를 확인한다. |
이렇게 보면 문서가 왜 여러 단계로 나뉘어 있는지 이해하기 쉽다.
정책서에 원칙만 적어놓는다고 실제 업무가 저절로 바뀌는 것은 아니다. 지침서에서 관리 기준을 구체화하고, 절차서에서 실행 방법을 정한 뒤, 실제로 수행한 결과를 기록해야 한다.
정책 → 지침 → 절차 → 기록과 증적
이 흐름이 제대로 작동해야 문서가 단순한 선언에 머무르지 않고 실제 정보보안 운영에 활용될 수 있다.
5. 제·개정 이력과 문서 관리도 중요했다
정보보호 정책 문서를 살펴보면서 내용뿐 아니라 문서 관리 방식도 확인할 수 있었다.
우리 회사에서는 문서별 제·개정 이력을 기록하고, 중요한 정책 문서를 대외비로 분류해 관리했다. 또한 경영진 승인 등 정해진 내부 절차를 거쳐 문서를 확정하는 방식으로 운영했다.
제·개정 이력에는 문서를 언제 작성했는지, 어떤 내용이 변경되었는지 등을 기록할 수 있다. 정책이나 절차가 변경되었다면 개정 내용을 확인하고, 관련 직원들이 최신 문서를 기준으로 업무를 수행하도록 관리하는 것도 중요하다.
대외비 분류는 회사의 정보분류 기준에 따른 문서관리 방식이다. 문서에 접근할 수 있는 사람을 관리하고, 보관·전달·출력·폐기 과정에서 필요한 보호조치를 적용하는 데 활용할 수 있다.
다만 대외비 지정이나 CEO 날인 같은 구체적인 승인 형식이 모든 회사에 동일하게 요구되는 것은 아니다. ISO 27001은 정책의 수립과 문서화, 전달 등을 요구하지만, 세부적인 문서 분류와 승인 방식은 조직의 운영체계에 따라 정할 수 있다.
문서가 만들어졌다는 사실만으로 관리가 끝나는 것도 아니다. 실제 업무와 맞지 않는 오래된 절차서가 남아 있거나 직원들이 이전 버전을 참고한다면 오히려 혼란이 생길 수 있다. 따라서 내용의 최신성뿐 아니라 문서의 승인, 배포, 변경 이력도 함께 관리해야 한다.
결국 회사에 맞는 정보보안 규칙을 만드는 일이었다
이번에 정보보호 정책서와 지침서, 절차서를 살펴보면서 알게 된 것은 문서의 양보다 실제 업무와의 적합성이 중요하다는 점이었다.
회사마다 사업이 다르고 조직의 구성도 다르다. 사용하는 시스템과 네트워크 환경, 외부업체와의 업무 방식, 개인정보 처리 현황도 다를 수밖에 없다.
따라서 다른 회사의 문서를 그대로 가져와 이름만 바꾸는 방식으로는 우리 회사에 맞는 정보보안 체계를 만들기 어렵다.
회사의 업무를 확인하고 담당자의 역할을 정리한 뒤, 실제로 실행할 수 있는 기준과 절차를 만들어야 한다. 그리고 그 규칙이 제대로 운영되고 있다는 사실을 필요한 기록과 증적으로 확인할 수 있어야 한다.
결국 정보보호 정책서는 회사의 보안 원칙을 세우는 문서이고, 지침서는 그 원칙을 분야별 기준으로 구체화하며, 절차서는 실제 업무에서 실행하는 방법을 제시한다.
회사의 정보보안은 문서에 규칙을 적어놓는 것에서 끝나지 않는다. 그 규칙이 회사의 현실에 맞고, 직원들이 이해하며, 실제 업무에서 지속적으로 실행될 때 비로소 관리체계로 작동한다.