ISO 27001 인증 준비 11일차.

매일 새로운 것을 배우고 있다.

처음에는 회사의 조직과 업무를 알아봤고,

그다음에는 계정과 방화벽, 개인정보, 개발과 운영, 취약점 점검까지 하나씩 들여다봤다.

그리고 이제는 지금까지 확인한 정보들을 조금 더 체계적으로 정리하는 단계로 들어가고 있다.

11일차에는 정보자산관리대장을 다시 살펴봤다.

그리고 그 안에서 중요하게 확인한 것이 바로 CIA였다.

CIA가 뭐지?

정보보호에서 말하는 CIA는 우리가 흔히 알고 있는 CIA 기관이 아니다.

여기서 CIA는

Confidentiality — 기밀성

Integrity — 무결성

Availability — 가용성

을 의미한다.

우리말로 하면,

정보를 아무나 볼 수 없어야 하고,
정보가 함부로 변경되지 않아야 하며,
필요할 때 사용할 수 있어야 한다.

라는 정보보호의 기본적인 세 가지 원칙이다.

예를 들어 회사의 고객 개인정보가 외부에 공개된다면 기밀성에 문제가 생긴 것이다.

중요한 데이터가 누군가에 의해 임의로 변경된다면 무결성의 문제다.

서비스가 장애로 인해 필요한 시간에 사용할 수 없다면 가용성에 문제가 생긴다.

결국 우리가 지금까지 컨설팅을 받으면서 이야기했던 수많은 보안 요소들이 결국 이 세 가지와 연결되어 있었다.

정보자산마다 중요도를 매겨본다

이번에 우리가 확인한 것은 회사가 가지고 있는 각각의 정보자산에 대해 CIA 관점에서 중요도를 평가하는 것이었다.

서버,

네트워크 장비,

NAS,

서비스,

각종 시스템 등.

각 자산마다

“이게 유출되면 얼마나 중요한가?”

“이게 변경되면 얼마나 문제가 되는가?”

“이게 중단되면 업무에 얼마나 영향을 미치는가?”

를 생각해보는 것이다.

그리고 그 결과를 기준으로 중요도를 산정한다.

우리 쪽에서는 이를 1~3등급으로 나누어 관리하는 방식으로 접근했다.

단순히 장비의 가격이나 성능이 중요한 것이 아니었다.

그 장비가 회사 업무에 얼마나 중요한지,

어떤 정보를 처리하는지,

장애가 발생했을 때 회사에 어떤 영향을 주는지를 기준으로 바라보는 것이다.

생각보다 재미있는 것은 개인정보였다

그런데 여기에서 또 하나 눈에 띄는 부분이 있었다.

개인정보를 처리하는 자산에 대해서는 중요도 산정에서 추가 점수를 부여하는 방식이었다.

우리 회사에서 적용하기로 한 방식에서는 개인정보 관련 장비나 서비스에 추가 점수를 부여했다.

예를 들어 기본 평가에서 2등급이었던 자산이라도 개인정보 처리와 관련된 추가 점수가 반영되면서 최종적으로 1등급으로 올라갈 수 있었다.

처음에는 단순한 점수 계산처럼 보였다.

그런데 다시 생각해보니 의미가 있었다.

개인정보를 처리하는 서버나 시스템은 단순한 일반 시스템과 동일하게 볼 수 없다는 것이다.

개인정보가 들어 있다는 것 자체가 해당 정보자산의 중요도를 높이는 요인이 되는 것이다.

물론 구체적인 점수와 등급 산정 방식은 회사가 사용하는 위험평가 및 자산평가 기준에 따라 달라질 수 있다.

하지만 이번 작업을 통해 적어도 하나는 확실하게 느꼈다.

개인정보를 처리하는 시스템은 보안관점에서 특별히 중요하게 관리해야 한다.

그동안 컨설팅 과정에서 계속 개인정보 이야기가 나왔던 이유를 다시 한번 이해할 수 있었다.

정보자산관리대장을 다시 보니 회사가 다르게 보였다

재미있는 것은 정보자산관리대장을 하나씩 다시 들여다보니 회사의 IT 환경이 숫자로 보이기 시작했다는 것이다.

평소에는

“서버가 많다.”

“서비스가 많다.”

정도로만 생각했다.

그런데 자산 하나하나에 중요도를 부여하기 시작하니 이야기가 달라졌다.

이 자산은 중요도가 높고,

이 시스템은 개인정보를 처리하고,

이 서버는 장애가 발생하면 서비스 전체에 영향을 주고,

이 장비는 상대적으로 영향도가 낮다.

이렇게 분류하고 나니

“우리 회사에서 정말 보호해야 하는 것이 무엇인가?”

라는 질문에 조금 더 구체적으로 답할 수 있게 됐다.

그리고 이것이 다음 단계인 위험평가와도 자연스럽게 연결될 것 같았다.

이제 실제 심사를 준비하기 시작했다

11일차에는 정보자산을 정리하는 것뿐만 아니라 실제 ISO 심사가 어떻게 진행될 것인지에 대한 이야기도 들었다.

앞서 이야기했던 것처럼 1차 심사는 문서와 증적을 중심으로 진행되고,

이후 본심사에서 실제 운영과 현장 상황을 확인하게 된다.

우리 컨설팅 과정에서는 1차 문서심사가 2일 동안 2명의 심사원에 의해 진행될 예정이라고 설명을 들었다.

그리고 심사 과정에서 심사원이 사용할 수 있도록 회사에서 준비한 자료를 제공하게 된다.

특히 회사 내부 자료를 심사원에게 전달하는 과정에서 보안에 대한 고려도 필요했다.

예를 들어 심사원이 사용하는 노트북을 별도로 준비하고, 인터넷 접속을 제한하는 방식으로 자료를 확인하도록 하는 등의 절차를 들었다.

회사 입장에서는 상당히 많은 자료를 준비해야 한다.

정책도 있고,

각종 대장도 있고,

점검 결과도 있고,

교육자료도 있고,

회의록도 있고,

계정 및 접근권한 관련 기록도 있고,

취약점 점검과 개선조치 자료도 있다.

그동안 컨설팅을 받으면서 모아온 자료들이 이제 실제 심사라는 단계로 넘어가는 것이다.

문서심사 이후에는 인터뷰가 기다리고 있었다

문서심사가 끝나면 바로 끝나는 것도 아니었다.

그 자료를 기반으로 본심사에서 확인할 내용과 인터뷰 대상자를 조율하게 된다고 했다.

어떤 업무를 담당하는 사람을 만나야 하는지,

어떤 시스템을 담당하는 사람을 만나야 하는지,

어떤 부분을 추가로 확인해야 하는지.

이런 것들이 문서심사 과정에서 어느 정도 정리되는 것이다.

이 이야기를 들으면서 한 가지 생각이 들었다.

문서와 실제 업무가 연결되어 있어야겠구나.

문서에는 멋지게 적혀 있는데 실제 담당자에게 물어봤을 때 전혀 다른 이야기가 나온다면 곤란할 것이다.

반대로 실제로는 잘 운영하고 있는데 문서와 기록이 제대로 정리되어 있지 않다면 그것 역시 문제가 될 수 있다.

결국

문서 → 담당자 → 실제 업무 → 증적

이 하나의 흐름으로 연결되어 있어야 했다.

그렇다면 문서심사에서는 무엇을 보여줘야 할까?

이 부분에서 개인적으로 생각이 많아졌다.

지금까지 발견된 문제들이 적지 않다.

방화벽도 그렇고,

계정관리도 그렇고,

개발과 운영도 그렇고,

취약점 점검에서도 여러 가지 문제가 발견됐다.

그렇다면 심사원에게 모든 자료를 무조건 다 보여주는 것이 좋을까?

반대로 문제가 될 것 같은 자료를 최대한 숨기는 것이 좋을까?

나는 두 극단 모두 좋은 방법은 아니라고 생각한다.

중요한 것은 심사 범위와 요구된 자료를 정확하게 준비하고, 발견된 문제에 대해서는 현재 어떤 조치를 하고 있는지를 명확하게 보여주는 것이라고 생각한다.

예를 들어 취약점이 발견됐다고 해서

“우리 회사에는 문제가 없습니다.”

라고 하는 것은 오히려 위험할 수 있다.

그보다는

“이런 문제가 발견됐고, 현재 이렇게 개선하고 있으며, 언제까지 조치할 계획이고, 현재까지 이만큼 진행됐습니다.”

라고 설명할 수 있는 것이 훨씬 현실적이다.

결국 보안이라는 것은 모든 문제를 한순간에 없애는 것이 아니라,

문제를 발견하고 → 위험을 평가하고 → 개선계획을 세우고 → 조치하고 → 다시 확인하는 과정

이기 때문이다.

‘문제가 없는 회사’보다 ‘문제를 관리하는 회사’

이 부분에서 지금까지의 컨설팅 과정이 다시 연결됐다.

방화벽 정책이 많다는 것도 알고 있다.

취약점이 있다는 것도 알고 있다.

관리해야 할 계정이 많다는 것도 알고 있다.

모든 것을 당장 완벽하게 바꾸는 것은 현실적으로 어렵다.

그렇다면 중요한 것은

문제가 존재한다는 사실을 알고 있는가?

그리고

그 문제를 어떻게 관리하고 있는가?

일 것이다.

예를 들어 방화벽 정책 하나를 바로 삭제할 수 없다면,

왜 필요한지 확인하고,

담당자를 지정하고,

위험도를 평가하고,

정리계획을 세우고,

변경 시 승인과 기록을 남기는 식으로 관리할 수 있다.

취약점 역시 마찬가지다.

발견했다고 끝나는 것이 아니라 개선계획과 조치결과를 남겨야 한다.

이런 기록들이 결국 심사에서도 중요한 자료가 될 것이다.

11일차에 느낀 것은 ‘숫자로 보는 보안’이었다

11일차 이전까지는 보안 문제가 상당히 추상적으로 느껴졌다.

“이것도 문제다.”

“저것도 개선해야 한다.”

라는 식이었다.

그런데 CIA 평가를 하면서부터 조금 달라졌다.

각 정보자산의 중요도를 숫자로 표현하고,

그중 어떤 자산이 중요한지 분류하고,

개인정보를 처리하는 자산에 추가적인 중요도를 반영하고,

그 결과를 가지고 위험평가의 기반을 만드는 것.

보안이 조금씩 정량화되는 느낌이었다.

물론 숫자가 모든 것을 설명해주는 것은 아니다.

하지만 수많은 정보자산 중 무엇부터 집중해서 관리해야 할지를 결정하는 데는 분명 도움이 될 것 같았다.

11일차를 마치며

이제 실제 심사가 점점 가까워지고 있다.

처음에는 컨설팅 미팅을 하면서 회사의 문제점을 찾아내는 것만으로도 정신이 없었다.

그런데 이제는 그동안 찾아낸 문제와 자료들을 정리해서 실제 심사에 대비해야 한다.

문서심사에서 어떤 자료를 제출할 것인지,

어떤 담당자가 인터뷰에 참여할 것인지,

현재 발견된 문제는 어떻게 개선하고 있는지,

실제 업무와 문서가 일치하는지.

확인해야 할 것이 계속 생긴다.

그리고 이번에 정보자산의 CIA를 다시 평가하면서 또 하나 느꼈다.

보안은 결국 모든 것을 똑같이 보호하는 것이 아니라, 무엇이 정말 중요한지를 먼저 알아야 한다.

우리 회사의 수많은 서버와 서비스 중 어떤 것이 중요한지,

어떤 시스템이 개인정보를 처리하는지,

어떤 자산이 문제가 생겼을 때 회사에 큰 영향을 주는지.

그것을 알아야 어디부터 보안을 강화할지도 결정할 수 있다.

그리고 이제 곧 심사원이 온다.

지금까지 만들어온 문서와 증적을 보여주고,

담당자들이 직접 질문에 답해야 한다.

문서에 적힌 내용과 실제 업무가 얼마나 잘 맞는지 확인하는 순간이 다가오고 있었다.

솔직히 조금 긴장된다.

하지만 한편으로는 기대도 된다.

지금까지 우리가 발견한 문제들을 하나씩 정리하고 개선해온 과정이 실제 심사에서는 어떻게 보일지 궁금하기 때문이다.

ISO 27001 준비 11일차.

이제 단순히 “인증을 준비한다”는 단계에서

“심사를 받을 준비를 한다”는 단계로 넘어가고 있었다.