최근 회사에서 ISO 27001 컨설팅을 받게 되면서 정보보호 인증이라는 것을 본격적으로 들여다보기 시작했다.
사실 그전까지도 ISO 27001, ISMS, ISMS-P라는 이름은 여러 번 들어봤지만, 막상 직접 준비해보니 각각이 비슷해 보이면서도 출발점과 바라보는 관점이 꽤 달랐다.
특히 처음에는 이런 생각이 있었다.
“ISO 27001은 국제 인증이고, ISMS는 우리나라 인증이니까 결국 비슷한 것 아닌가?”
그런데 실제로 하나씩 비교해보니 단순히 해외 인증과 국내 인증의 차이로 설명하기에는 조금 부족했다.
이번 글에서는 우선 ISO 27001이 무엇인지부터 시작해서 ISO 27701, 그리고 국내의 ISMS와 ISMS-P가 어떤 관계에 있는지 정리해보려고 한다.
1. ISO 27001이란?
정식 명칭은 ISO/IEC 27001이다.
ISO와 IEC가 공동으로 제정한 국제표준으로, 조직이 정보를 안전하게 보호하기 위해 정보보호 관리체계(ISMS, Information Security Management System)를 어떻게 수립하고 운영하고 지속적으로 개선할 것인지에 대한 요구사항을 정의한다.
여기서 중요한 것은 ISO 27001이 단순히 “보안 솔루션을 잘 설치했는가?”를 보는 인증이 아니라는 점이다.
회사가 어떤 정보를 가지고 있는지 파악하고,
- 어떤 위험이 있는지 식별하고
- 그 위험을 어떻게 평가하고
- 어떤 보호조치를 적용할 것인지 결정하고
- 실제로 운영하고
- 운영 결과를 점검하고
- 문제가 있으면 개선하는
일련의 관리체계 자체를 본다.
즉, ISO 27001의 핵심은 “보안 제품이 얼마나 많은가”보다는 정보보호를 조직적으로 관리할 수 있는 체계를 갖추고 있는가에 가깝다.
ISO 역시 ISO 27001을 정보보호 위험을 식별하고 관리하며, 이를 지속적으로 개선하기 위한 관리체계 표준으로 설명하고 있다.
ISO 27001은 정말 ‘국제 인증’일까?
보통 “ISO 27001 인증을 받았다”고 표현하지만 엄밀하게는 조금 구분할 필요가 있다.
ISO 27001 자체는 국제표준이고, 실제 인증은 적합성평가기관(인증기관)이 심사를 거쳐 발행한다. ISO가 직접 우리 회사를 심사해서 인증서를 발급하는 구조는 아니다.
그래서 정확하게 표현한다면,
“ISO/IEC 27001이라는 국제표준에 대해 제3자 인증을 받는다.”
정도로 이해하는 것이 적절하다.
2. ISO 27001에서 중요한 것은 ‘위험 기반 접근’이다
ISO 27001을 이해할 때 가장 중요한 개념 중 하나가 위험(Risk)이다.
모든 기업이 동일한 보안 수준과 동일한 보호조치를 적용해야 한다는 방식이라기보다는, 조직의 업무와 자산, 위협, 위험을 파악하고 그에 맞는 보호조치를 결정하는 방식이다.
그래서 ISO 27001을 준비하다 보면 “왜 이 통제를 적용했는가?”, “이 위험을 어떻게 평가했는가?”, “이 조치가 우리 회사에 필요한 이유는 무엇인가?” 같은 질문을 계속 만나게 된다.
이 점이 국내 ISMS를 처음 접했을 때와 상당히 다르게 느껴지는 부분 중 하나였다.
ISMS 역시 위험관리를 포함하고 있지만, 인증기준이 제시하는 항목과 국내 법·제도에 따라 요구되는 사항을 구체적으로 충족해야 한다는 성격이 강하다. 현재 KISA가 안내하는 ISMS 인증기준은 관리체계 수립 및 운영 16개, 보호대책 요구사항 64개로 구성되어 있다.
3. ISO 27701은 무엇인가?
그렇다면 ISO 27701은 무엇일까?
간단하게 표현하면,
ISO 27001이 정보보호 관리체계라면, ISO 27701은 개인정보 및 프라이버시 관리를 위한 관리체계라고 볼 수 있다.
ISO/IEC 27701은 Privacy Information Management System(PIMS), 즉 개인정보 및 프라이버시 정보를 체계적으로 관리하기 위한 국제표준이다. 개인정보를 처리하는 조직이 관련 위험과 책임을 관리하고 지속적으로 개선할 수 있도록 요구사항과 가이드를 제시한다.
여기에서 하나 주의할 점이 있다.
예전에 ISO 27701을 설명할 때는 흔히
“ISO 27001의 개인정보보호 확장판”
이라고 설명하는 경우가 많았다.
실제로 ISO/IEC 27701:2019는 ISO 27001과 ISO 27002의 확장 형태로 만들어졌다.
하지만 현재는 상황이 달라졌다.
2025년 개정판인 ISO/IEC 27701:2025가 발행되면서 현재 표준은 독립적인 PIMS 표준으로 정리되었다. 즉, 지금 시점에서는 27701을 무조건 “27001의 부속표준”이라고 이해하는 것은 정확하지 않다. ISO도 2025판을 독립적인 경영시스템 표준으로 설명하고 있다.
다만 실제 운영 측면에서는 ISO 27001과 ISO 27701을 함께 구성하는 것이 자연스럽다. 정보보호와 개인정보보호가 실제 조직 안에서는 서로 완전히 분리되어 있는 경우가 드물기 때문이다.
4. 그렇다면 한국의 ISMS는 무엇인가?
여기서 국내 인증인 ISMS가 등장한다.
ISMS는
Information Security Management System
의 약자로, 우리말로는 정보보호 관리체계 인증이다.
KISA는 ISMS를 정보보호를 위한 일련의 조치와 활동이 정해진 인증기준에 적합한지를 인증기관이 증명하는 제도로 설명하고 있다.
중요한 차이는 이것이다.
ISO 27001은 국제표준을 기반으로 하는 인증이고,
ISMS는 대한민국의 법과 제도에 기반한 국내 정보보호 인증제도다.
즉,
ISO 27001과 ISMS는 둘 다 ‘정보보호 관리체계’를 다루지만, 동일한 인증은 아니다.
ISMS에는 국내 법령과 제도에 따른 의무적인 요구사항이 포함되어 있기 때문에, 단순히 “한국판 ISO 27001”이라고 생각하면 실제 준비 과정에서 차이를 크게 느낄 수 있다.
5. ISMS와 ISMS-P의 차이
ISMS-P는 이름 그대로 ISMS에 개인정보보호 영역을 더한 것이라고 이해하면 가장 쉽다.
KISA의 현재 인증체계를 보면 다음과 같이 구성되어 있다.
| 구분 | ISMS | ISMS-P |
|---|---|---|
| 기본 목적 | 정보보호 관리체계 | 정보보호 + 개인정보보호 관리체계 |
| 관리체계 수립 및 운영 | 포함 | 포함 |
| 정보보호 보호대책 | 포함 | 포함 |
| 개인정보 처리 단계별 요구사항 | 없음 | 포함 |
| 개인정보 수집·이용·제공·파기 | 직접적인 별도 영역 없음 | 포함 |
| 정보주체 권리보호 | 직접적인 별도 영역 없음 | 포함 |
현재 KISA 기준으로 보면 ISMS는 관리체계 수립 및 운영 16개 + 보호대책 요구사항 64개로 구성된다.
ISMS-P는 여기에 개인정보 처리 단계별 요구사항 21개가 추가된다. 즉 현재 기준상 총 101개 항목 구조로 이해할 수 있다.
개인정보보호위원회 역시 ISMS-P를 기존의 정보보호 관리체계 인증(ISMS)과 개인정보보호 관리체계 인증(PIMS)을 통합한 인증체계로 설명하고 있다. 이 통합인증제도는 2018년 11월 7일부터 시행되었다.
쉽게 표현하면,
ISMS = 정보를 안전하게 보호하기 위한 관리체계
ISMS-P = 정보를 안전하게 보호하면서 개인정보가 처리되는 과정까지 관리하는 체계
라고 정리할 수 있다.
6. ISO 27001과 ISMS-P는 무엇이 다른가?
이 부분이 실제 업무에서는 가장 헷갈릴 수 있다.
둘 다 정보보호와 관리체계를 다루고 있기 때문이다.
하지만 출발점이 다르다.
ISO 27001은 국제표준이므로 조직의 규모나 산업에 관계없이 다양한 기업과 기관에서 사용할 수 있도록 설계되어 있다. 조직의 목적과 위험에 맞춰 정보보호 관리체계를 구축하고 지속적으로 개선하는 것이 핵심이다.
반면 ISMS와 ISMS-P는 대한민국의 법·제도 안에서 운영되는 인증이다. 인증기준 역시 국내 제도에 맞춰 구체적으로 정의되어 있다.
그래서 실제 현장에서 느끼는 차이는 대략 이렇게 정리할 수 있다.
| 관점 | ISO 27001 | ISMS / ISMS-P |
|---|---|---|
| 성격 | 국제표준 기반 인증 | 국내 법·제도 기반 인증 |
| 핵심 | 위험 기반 정보보호 관리체계 | 국내 인증기준 충족 |
| 적용 범위 | 조직의 필요와 위험에 따라 설계 | 인증기준 및 국내 제도에 따라 범위 설정 |
| 개인정보 | ISO 27701 등을 통해 별도 강화 가능 | ISMS-P에서 개인정보 요구사항을 직접 포함 |
| 국제적 활용 | 글로벌 고객·파트너와의 신뢰 확보에 활용 | 국내 제도 및 고객 요구 대응에 활용 |
물론 이것은 “어느 쪽이 더 강하다”라는 의미는 아니다.
애초에 만들어진 목적과 제도적 배경이 다르기 때문이다.
7. 그렇다면 ‘ISO 27001은 처음이 쉽고 점점 어려워지고, ISMS는 처음이 어렵고 점점 쉬워진다’는 말은 맞을까?
내가 컨설팅을 시작하면서 가장 궁금했던 부분이 바로 이것이었다.
개인적으로는 처음에 다음과 같이 생각했다.
ISO 27001은 처음 인증을 받을 때는 상대적으로 수월하고,
이후 유지하면서 점점 요구 수준이 높아지는 인증.
ISMS는 최초 인증을 받을 때 상당히 어렵지만,
일단 체계를 만들고 나면 이후에는 상대적으로 쉬워지는 인증.
그런데 자료를 찾아보고 실제 인증 구조를 보니, 이것을 제도의 공식적인 특성이라고 표현하기는 어렵다.
ISO 27001은 최초 인증 이후에도 유지심사와 재인증심사를 통해 관리체계가 계속 유지되고 있는지를 확인하는 구조다. 일반적인 경영시스템 인증은 최초 인증 후 3년 주기로 유지·재인증이 이루어지는 구조이며, ISO 27001 역시 지속적인 관리와 개선을 전제로 한다.
ISMS-P 역시 최초심사를 통해 인증을 취득한 뒤 매년 사후심사를 진행하고, 3년 주기로 갱신심사를 받는 구조다.
즉, 두 인증 모두 기본적으로는
최초 구축 → 최초 인증 → 유지 → 사후심사 → 갱신
이라는 흐름을 가진다.
그래서 “ISO는 점점 어려워지고 ISMS는 점점 쉬워진다”라고 단정하기보다는,
최초 인증과 유지 과정에서 체감하는 난이도가 서로 다르게 느껴질 수 있다.
정도로 이해하는 것이 더 정확할 것 같다.
특히 ISO 27001은 조직 스스로 위험을 판단하고 통제체계를 설계해야 하는 부분이 있기 때문에, 처음에는 오히려 자유도가 높은 것이 어렵게 느껴질 수도 있다.
반대로 ISMS는 정해진 인증기준을 따라가야 한다는 점 때문에 최초 준비 과정에서 해야 할 일이 상당히 명확하지만, 그만큼 준비해야 할 항목이 많다고 느낄 수 있다.
결국 실제 난이도는 회사의 규모, 업무 특성, 기존 보안 수준, 개인정보 처리 규모, 인증 범위에 따라 크게 달라질 것이다.
8. 지금까지의 내용을 한 문장으로 정리하면
지금 단계에서는 네 가지를 이렇게 이해하면 가장 편할 것 같다.
ISO 27001
국제적으로 통용되는 정보보호 관리체계 표준
ISO 27701
개인정보와 프라이버시를 체계적으로 관리하기 위한 국제표준
ISMS
국내 법·제도에 기반한 정보보호 관리체계 인증
ISMS-P
국내 정보보호 관리체계에 개인정보보호 영역까지 포함한 통합 인증
결국 네 가지 모두 완전히 별개의 이야기는 아니다.
공통적으로 이야기하는 핵심은
“회사가 정보를 어떻게 보호하고, 그 체계를 어떻게 지속적으로 운영할 것인가?”
에 가깝다.
다만 어떤 표준과 법제도를 기반으로 하는지, 개인정보를 어느 수준까지 다루는지, 인증을 받는 목적이 무엇인지에 따라 요구사항과 접근방법이 달라진다.
9. 그런데 직접 해보니 더 궁금해지는 것들
여기까지 정리하고 나니 오히려 진짜 궁금한 것은 따로 있었다.
문서로 보면 ISO 27001도, ISMS도, ISMS-P도 꽤 그럴듯하게 보인다.
그런데 실제 회사에서 인증을 준비하려고 하면 이야기가 달라진다.
“우리가 실제로 무엇부터 해야 하지?”
라는 질문이 생긴다.
정책 문서는 얼마나 만들어야 하는지,
위험평가는 어디까지 해야 하는지,
기존에 하고 있던 보안 업무를 어떻게 증적화해야 하는지,
컨설팅 업체는 어떤 일을 해주는지,
그리고 무엇보다
“이게 실제 보안 수준을 높이는 활동인지, 아니면 인증을 받기 위한 문서 작업인지”
라는 생각도 들기 시작한다.
아마 다음 글부터는 이런 부분을 본격적으로 적어볼 것 같다.
이번 글은 일단 ISO 27001, ISO 27701, ISMS, ISMS-P가 각각 무엇인지에 대한 기본적인 개념 정리로 마무리한다.
다음부터는 실제로 ISO 27001 컨설팅을 받으면서 무엇을 준비했고, 어떤 문서와 증적을 요구받았고, 컨설턴트와 일을 하면서 어떤 부분이 생각보다 어려웠는지를 하나씩 기록해보려고 한다.