ISO 27001 인증 준비 과정에서 컨설팅을 통해 받은 산출물을 하나씩 살펴보고 있다.
이번에 살펴볼 문서는 정보보호 효과성 측정 지표 정의서다.
이름만 보면 다소 어렵게 느껴질 수 있다. 하지만 실제로는 회사가 정보보안을 위해 어떤 활동을 수행하고 있으며, 그 결과가 목표에 도달했는지 확인하기 위한 자료다.
예를 들어 임직원들이 정보보안 교육을 얼마나 이수했는지, 승인된 보안 USB를 기준에 맞게 사용하고 있는지, 퇴사자의 계정이 정해진 기한 안에 회수되는지 등을 측정할 수 있다.
평소에는 정보보안을 위해 여러 가지 일을 하고 있다고 설명할 수 있다. 하지만 그 활동이 실제로 얼마나 수행됐는지, 계획한 결과를 달성했는지 숫자로 보여달라는 요청을 받으면 이야기가 달라진다.
정보보안을 위해 무엇을 했는지, 어떤 결과가 나왔는지, 그 결과를 어떤 자료로 확인할 수 있는지를 정리하는 것이 이 문서의 핵심이었다.
1. ISO 27001에서 효과성 측정은 왜 중요할까?
ISO/IEC 27001:2022의 6.2항과 9.1항은 효과성 측정 지표를 이해할 때 중요한 기준이 된다.
6.2항은 정보보호 목표를 수립하고, 가능한 경우 측정할 수 있도록 하며, 목표를 달성하기 위해 수행할 업무와 필요한 자원, 책임자, 완료 시점, 결과 평가 방법 등을 계획하는 내용을 다룬다.
9.1항은 정보보안의 성과와 정보보호 관리체계(ISMS)의 효과성을 평가하기 위해 무엇을 측정할지, 어떤 방법을 사용할지, 언제 측정할지, 누가 측정하고 누가 결과를 분석·평가할지 정하도록 한다. 그 결과를 확인할 수 있는 기록도 관리해야 한다.
관련 기준은 ISO/IEC 27001:2022 공식 안내 페이지에서 확인할 수 있다.
다만 ISO 27001이 반드시 ‘정보보호 효과성 측정 지표 정의서’라는 특정 문서를 작성하거나, 정확히 다섯 개의 지표를 선정하도록 요구하는 것은 아니다. 중요한 것은 회사의 정보보호 목표와 관리체계 운영 결과를 실제로 확인하고 평가할 수 있는 방법을 마련하는 것이다.
여기서 한 가지 구분할 점이 있다.
직원들이 보안교육을 이수했다는 것은 계획한 활동을 수행했다는 지표다. 하지만 교육을 이수했다고 해서 직원들이 보안 내용을 충분히 이해하고 실제 업무에서 실천한다고 단정할 수는 없다.
즉, 활동을 완료했는지와 그 활동을 통해 기대한 보안 효과가 나타났는지는 서로 다른 문제다.
이 차이를 이해하면 어떤 지표를 선정하고 무엇을 확인해야 하는지도 조금 더 명확해진다.
2. 측정 지표는 많다고 좋은 것이 아니었다
처음에는 정보보안과 관련된 활동이라면 가능한 한 많은 항목을 측정하는 것이 좋지 않을까 생각할 수 있다.
하지만 지표가 지나치게 많아지면 측정과 관리에 드는 업무가 늘어나고, 정작 중요한 결과를 확인하기 어려워질 수 있다.
반대로 측정할 수 있는 지표가 너무 적거나 실제 보안 목표와 관련이 없다면 회사의 정보보안 수준을 충분히 파악하기 어렵다.
그래서 실무적으로는 회사의 위험과 업무환경을 고려해 소수의 핵심 지표부터 선정하는 방식이 유용하다. 다섯 개 정도로 시작하는 것도 하나의 방법이지만, 이것이 표준에서 정한 의무사항은 아니다.
좋은 지표를 고르려면 몇 가지를 확인해야 한다.
첫째, 회사의 정보보안 목표와 관련이 있어야 한다.
둘째, 측정 기준과 계산 방법이 명확해야 한다.
셋째, 결과를 계산할 수 있는 실제 자료가 있어야 한다.
넷째, 측정 결과를 바탕으로 개선할 부분을 찾을 수 있어야 한다.
예를 들어 ‘직원들의 보안의식을 높인다’고만 작성하면 목표 달성 여부를 판단하기 어렵다. 교육 이수율이나 교육 후 평가 결과를 측정하면 계획한 활동의 수행 여부와 직원들의 이해 수준을 구분해 살펴볼 수 있다.
3. 지표 정의서에는 어떤 내용이 들어갈까?
우리 회사에서 작성한 지표 정의서에는 제·개정 이력과 효과성 측정 지표 종합 내용이 포함되어 있었다.
각 지표는 이름만 적는 방식이 아니라 성과지표, 측정지표, 측정 주기, 계획 시기, 측정 방법, 연도별 목표와 실적 등을 함께 정리하는 구조였다.
| 항목 | 작성할 내용 |
|---|---|
| 성과지표 | 어떤 결과를 달성하고 싶은가? |
| 측정지표 | 그 결과를 어떤 수치나 산식으로 측정할 것인가? |
| 측정 주기·계획 시기 | 언제, 얼마나 자주 측정할 것인가? |
| 측정 방법 | 어떤 자료를 활용하고 누가 측정하는가? |
| 목표·실적 | 목표값과 실제 측정값은 얼마인가? |
| 분석·평가 | 목표와 차이가 있다면 원인은 무엇이며 어떤 개선이 필요한가? |
여기서 성과지표와 측정지표를 구분하는 것이 중요하다.
예를 들어 정기 정보보안 교육의 수행 현황을 관리한다면 성과지표는 교육 이수 현황이 될 수 있고, 측정지표는 교육 완료 인원을 전체 교육 대상 인원으로 나눈 비율이 될 수 있다.
이렇게 구체적인 기준을 정해야 목표와 실제 결과를 비교할 수 있다.
4. 실제로 어떤 지표를 만들 수 있을까?
이해를 돕기 위해 정보보안 업무에서 활용할 수 있는 다섯 가지 지표를 예시로 정리했다. 아래 산식과 자료는 설명을 위한 예시이며, 실제 회사의 목표나 운영 결과를 나타내지는 않는다.
| 지표 예시 | 산정 방법 | 주기 및 증적자료 예시 |
|---|---|---|
| 정보보안 교육 이수율 | 교육 이수자 수 ÷ 교육 대상자 수 × 100 | 연간 집계, 교육 기록 및 이수 명단 |
| 보안 USB 정책 준수율 | 기준에 맞게 사용한 확인 건수 ÷ 점검한 USB 사용 건수 × 100 | 월별·분기별 점검, 승인 내역과 사용 기록 |
| 퇴사자 계정 회수 적기 처리율 | 기한 내 회수 완료 건수 ÷ 회수 대상 건수 × 100 | 월별 확인, 퇴사 기록과 계정 회수 이력 |
| 고위험 취약점 기한 내 조치율 | 기한 내 조치 완료 건수 ÷ 해당 기간 조치 기한이 도래한 고위험 취약점 건수 × 100 | 월별 점검, 취약점 보고서와 개선 기록 |
| 사고 대응 모의훈련 수행률 | 평가 기준을 충족한 핵심 대응 단계 수 ÷ 평가 대상 핵심 단계 수 × 100 | 훈련 후 평가, 훈련 계획서와 결과보고서 |
각 지표의 결과는 그 자체로 모든 보안 효과를 증명하지는 않는다.
예를 들어 USB 정책 준수율이 높더라도 비인가 정보 전송이 완전히 차단됐다는 의미는 아니다. 교육 이수율 역시 직원들이 보안 내용을 충분히 이해했다는 사실을 직접 입증하지는 않는다.
따라서 활동의 수행 여부를 측정하는 지표와 보안통제가 의도한 결과를 내고 있는지 보여주는 지표를 함께 고려하는 것이 좋다.
교육 이수율에 더해 교육 후 평가 결과를 확인하거나, 계정 회수율과 함께 기한을 넘긴 계정이 왜 발생했는지 분석하는 방식이 그 예다. 이렇게 해야 단순히 업무를 완료했는지 확인하는 데서 나아가 실제 개선으로 이어질 수 있다.
5. 올해 실적과 내년 목표를 함께 관리한다
지표 정의서는 목표를 한 번 정해두는 문서로 끝나지 않는다. 실제 측정값을 기록하고 목표와 비교해 결과를 평가해야 활용 가치가 생긴다.
예를 들어 연간 정보보안 교육 이수율의 목표를 95%로 설정했다고 가정해 보자.
| 지표 | 2026년 목표 및 실적 예시 | 2027년 목표 예시 |
|---|---|---|
| 정보보안 교육 이수율 | 목표 95% 이상 / 실제 측정값 기록 | 98% 이상 |
| 보안 USB 정책 준수율 | 목표 100% / 실제 측정값 기록 | 100% |
| 퇴사자 계정 회수 적기 처리율 | 목표 100% / 실제 측정값 기록 | 100% |
| 고위험 취약점 기한 내 조치율 | 목표 90% 이상 / 실제 측정값 기록 | 95% 이상 |
| 사고 대응 모의훈련 수행률 | 목표 90% 이상 / 실제 측정값 기록 | 95% 이상 |
위 목표는 작성 방식을 보여주는 가상 예시이며, 표준에서 정한 공통 목표값은 아니다. 실제 목표는 기존 실적과 위험 수준, 회사의 업무환경을 고려해 결정해야 한다. 측정 전의 실적은 임의로 채우지 않고 실제 결과를 기록해야 한다.
만약 2026년 교육 이수율이 목표 95%에 미치지 못했다면 어떻게 해야 할까?
우선 미이수자가 발생한 원인을 살펴보고, 교육 일정과 안내 방식에 문제가 있었는지 확인할 수 있다. 필요하다면 추가 교육이나 이수 관리 방법을 개선하고 그 결과를 기록하면 된다.
중요한 것은 목표를 달성하지 못했다는 사실 자체를 감추는 것이 아니다. 왜 목표에 도달하지 못했는지 분석하고, 필요한 조치를 실행했는지 확인하는 것이다.
목표 미달이 그 자체로 곧바로 인증 부적합을 의미하는 것은 아니다. 목표의 적절성, 원인 분석, 필요한 시정 및 개선 조치, 그 결과를 포함해 관리체계가 실제로 운영되는지를 종합적으로 살펴봐야 한다.
6. 심사 준비에서 지표와 증적자료가 유용한 이유
ISO 27001 심사에서는 정보보안 활동을 계획했는지뿐 아니라 실제로 수행했는지, 그리고 결과를 어떻게 평가하고 있는지도 확인할 수 있다.
이때 효과성 측정 지표는 정보보안 활동의 성과를 요약해 보여주는 자료로 활용할 수 있다.
예를 들어 교육 이수율을 제시한다면 교육 대상자와 이수 기록이 필요하다. 퇴사자 계정 회수율을 제시한다면 회수 대상자 명단과 계정 회수 이력으로 산식의 근거를 설명할 수 있어야 한다. 취약점 조치율을 제시한다면 점검 결과와 개선 완료 기록이 뒷받침되어야 한다.
일반적으로 확인할 수 있는 사항은 다음과 같다.
- 목표와 측정 기준이 명확하게 정해져 있는가?
- 실제 자료를 바탕으로 결과를 계산했는가?
- 누가 측정하고 누가 분석·평가하는지 정해져 있는가?
- 목표와 실적의 차이를 분석하고 필요한 조치를 검토했는가?
지표의 값만 높다고 해서 정보보안 관리체계가 효과적이라고 단정할 수는 없다. 측정 방법과 자료의 신뢰성, 지표가 위험과 목표에 적합한지, 결과를 바탕으로 개선이 이뤄졌는지도 함께 살펴봐야 한다.
정보보호 효과성 측정 지표 정의서는 결과를 확인하고 개선하기 위한 기준이었다
이번 문서를 살펴보면서 정보보안 활동을 수행하는 것과 그 결과를 평가하는 것은 서로 다른 과정이라는 점이 분명해졌다.
교육을 실시했다는 사실은 교육을 수행했다는 근거다. 하지만 교육이 실제 보안행동의 개선으로 이어졌는지를 확인하려면 별도의 평가가 필요하다. 취약점을 점검했다는 사실 역시 점검 결과와 개선 이력을 함께 봐야 위험이 얼마나 줄었는지 판단하는 데 도움이 된다.
따라서 지표를 정할 때는 목표와 산식을 명확히 하고, 실제 결과를 계산할 수 있는 자료를 확보하며, 결과를 분석해 필요한 개선 조치로 이어지도록 해야 한다.
정보보호 효과성 측정 지표 정의서는 회사가 계획한 정보보안 활동의 수행 정도와 관리체계의 결과를 수치와 증적자료로 확인하고, 그 결과를 다음 개선으로 이어가기 위한 문서였다.