ISO/IEC JTC 1 SC 27 표준

핵심 정리

ISO/IEC 27000 시리즈는 ISMS 표준 패밀리라고도 부르며, 국제표준화기구(ISO)와 국제전기기술위원회(IEC)가 공동으로 발표한 정보 보안 표준군이다. 이 시리즈는 품질 보증을 위한 관리 체계와 설계가 비슷한 정보보안 관리 체계(ISMS)를 기준으로 삼아, 정보 위험을 정보 보안 통제를 통해 관리하는 방식을 제시한다. 개인 정보 보호, 기밀 유지, IT·사이버 보안 문제를 모두 포괄하도록 범위가 넓고, 모든 형태와 규모의 조직에 적용할 수 있다는 점이 특징이다.

이 계열의 중심 표준이 ISO/IEC 27001이다. ISO/IEC 27001은 BS 7799를 기반으로 구성된 정보보안 프레임워크다. BS 7799는 영국 표준협회(BSI)가 제정한 정보보안 관리 체계 표준이므로, 27001은 영국 표준의 계보를 잇는 국제 표준으로 이해하면 된다. 27001은 조직의 정보보호를 하나의 체계로 다룬다는 점에서 개별 기술 표준과 구분된다.

ISMS의 핵심 원리는 지속적 개선이다. ISMS 개념은 위협, 취약성 또는 사고 영향의 변화에 대응하기 위해 지속적인 피드백과 개선 활동을 통합한다. 그래서 ISMS는 한 번 구축하고 끝나는 문서 묶음이 아니라, 위험 변화에 따라 계속 돌아가는 관리 체계로 본다. 이 점이 정적인 문서와 운영되는 체계를 가르는 기준이 된다.

ISO/IEC 27701은 처음 ISO/IEC 27552라는 번호로 개발되었다. 출판 전에 관리 체계 유형에 맞는 번호 규칙에 따라 27701로 번호가 바뀌었고, 2019년 8월 6일에 출판되었다. 이 번호 규칙은 요구 사항을 담은 관리 체계 표준(유형 A)의 마지막 두 자리가 ‘01’로 끝나도록 정한 것이다.

이 표준들은 모든 조직에 적용되도록 넓게 설계되었으므로, 적용 전에 조직이 정보 위험을 먼저 평가해야 한다. 평가 결과에 따라 관련 지침과 제안을 골라 정보 위험을 처리하는 것이 표준 사용의 전제다. 따라서 표준의 통제 목록을 그대로 옮기는 것은 위험 평가를 건너뛰는 것과 같다.

자세히

부록 A의 조직·자산·정책 통제

ISO/IEC 27001 부록 A에서 정보보호 조직은 조직적 통제 주제에 해당한다. 같은 부록에서 자산 관리는 통제 항목에 해당한다. 자산 관리 영역의 내용은 자산을 파악하고 분류해 보호하는 것이다. 정보보호 정책도 부록 A의 통제 항목에 포함된다. 조직, 자산, 정책은 모두 부록 A 안의 항목으로 묶여 있으므로, 어느 주제가 부록 A에 있는지부터 확인하고 영역인지 항목인지를 구분하는 순서로 판단하면 틀리지 않는다.

반면 IT 재해복구는 부록 A의 통제 영역으로 독립 제시되지 않는다. 그래서 재해복구를 부록 A의 영역 이름으로 고르면 안 된다. 접근 통제는 부록 A의 대표적 통제 영역이다. 조직과 자산에 비해 접근 통제는 영역 단위로 묶여 있다는 점이 다르므로, 같은 부록이라도 이름의 단위를 구분해 기억해야 한다.

물리 보안 통제

보안 구역은 인가된 인력만 접근하도록 적절한 출입 통제로 보호한다. 물리적 보호는 자연 재해, 악의적 공격 또는 사고에 대비해 설계하고 적용한다. 데이터 전송과 정보 서비스를 지원하는 전력 및 통신 배선은 도청, 간섭, 파손으로부터 보호한다. 이 세 가지는 사람이 드나드는 장소, 재난에 대비한 설비, 케이블 같은 기반 시설로 나누어 정리하면 한 번에 기억할 수 있다. 장소와 설비를 지키는 물리 보안은 암호나 접근 권한처럼 기술 수단으로 보호하는 항목과 구분해야 한다.