ISMS-P

기업 고객은 계약 전에 상대 회사의 보안을 확인합니다. 예전에는 그 확인이 보안 점검표로만 이뤄졌습니다. 고객사가 보내온 수십 개에서 수백 개짜리 질문 목록에 회사가 하나하나 답하는 문서입니다.

문제는 그 목록이 고객사마다 달랐다는 것입니다. 어느 곳은 80문항을 보내고 어느 곳은 300문항을 보냈으며, 같은 것을 묻는 문항도 표현이 제각각이라 답을 재활용하기 어려웠습니다. 파는 쪽에서는 계약 한 건마다 개발자 한 명이 2주씩 붙었고, 사는 쪽에서도 돌아온 답이 사실인지 확인할 길이 없었습니다. 회사가 스스로 쓴 답이니 후하게 적기 쉽습니다.

그래서 확인을 한 번만 하고 그 결과를 여러 곳이 나눠 쓰는 방식이 자리를 잡았습니다. 정해진 기준표를 놓고 자격을 가진 심사원이 한 번 확인한 뒤 증명서를 내주면, 고객사는 그 증명서로 개별 확인을 대신합니다. ISMS-P는 그 방식을 국내 제도로 만든 것입니다. 이름의 뒤에 붙은 P는 개인정보를 가리킵니다. 정보보호 체계만 보는 ISMS 인증이 먼저 있었고, 거기에 개인정보를 수집해 쓰고 파기하기까지의 과정을 함께 보는 범위를 더한 것이 ISMS-P입니다.

같은 질문에 되풀이해 답하는 일을 없앱니다. 증명서가 있으면 고객사의 점검표 상당 부분이 인증서 사본 한 장으로 갈음됩니다. 파는 쪽의 2주가 하루로 줄고, 사는 쪽은 회사가 자기 입으로 한 말 대신 제삼자가 확인한 결과를 받습니다.

두 번째로 법이 요구하는 자리를 채웁니다. 국내에서는 일정 규모를 넘는 정보통신 서비스 사업자에게 ISMS 인증을 의무로 두고 있습니다. 매출이나 이용자 수가 기준을 넘으면 받을지 말지를 고르는 문제가 아니라 해당되는지 확인하는 문제가 됩니다. 개인정보까지 포함한 ISMS-P 쪽은 의무가 아니라 회사가 더 넓은 범위로 받겠다고 선택하는 자리입니다.

세 번째는 안쪽을 향합니다. 심사가 요구하는 것은 규칙이 아니라 증적, 곧 규칙대로 했다는 기록입니다. "퇴사자 계정을 잠급니다" 라는 문장으로는 통과하지 못하고, 지난 1년간 퇴사한 열두 명의 계정이 각각 언제 누구 손으로 잠겼는지가 시스템 기록으로 남아 있어야 합니다. 준비가 막히는 회사는 규칙이 없어서가 아니라 규칙대로 한 흔적이 없어서 막힙니다.

준비는 대체로 이 순서로 흘러갑니다.

1. 범위를 정합니다. 어느 서비스와 어느 시스템까지를 심사받을지 선을 긋습니다. 좁게 그으면 빨리 끝나지만 고객이 묻는 바로 그 기능이 증명서 밖에 남을 수 있습니다.
2. 기준표의 항목마다 우리는 이렇게 한다를 적습니다. 통제 항목, 곧 위험 하나를 줄이려고 정해 둔 개별 조치가 백 개 남짓 됩니다.
3. 빠진 곳을 메웁니다. 기록이 남지 않는 작업을 시스템으로 옮기는 일이 대부분입니다.
4. 내부 감사를 한 번 돌립니다. 같은 지적을 외부 심사에서 받으면 고쳐도 보고서에 남습니다.
5. 심사기관의 현장 심사를 받고 지적 사항을 보완해 인증을 받습니다.

받은 뒤에도 끝이 아닙니다. 유효 기간은 3년이고 해마다 사후 심사를 받으며, 3년이 지나면 갱신 심사를 다시 받습니다.

증명하는 방법이 이것 하나는 아닙니다. 고르는 기준은 기술이 아니라 지금 계약이 막혀 있는 고객이 어디에 있느냐입니다.

1. 점검표에 직접 답하기 — 고객사가 열 곳 미만이면 이 편이 쌉니다. 인증 준비에 드는 비용과 기간을 생각하면 건당 2주가 아직 싼 구간입니다. 고객이 스무 곳을 넘어가면 역전됩니다.
2. ISO 27001 — 국제 표준이라 어느 나라 고객에게든 이름만으로 설명이 됩니다. 해외 매출이 있으면 이쪽을 먼저 봅니다.
3. SOC 2 — 미국 기업 고객이 요구하는 형식입니다. 합격 여부가 아니라 회계법인이 쓴 보고서로 나옵니다.

셋 가운데 하나를 골랐다고 나머지가 사라지지는 않습니다. 파는 시장이 여럿이면 결국 여러 개를 받습니다. 다만 두 번째는 첫 번째만큼 오래 걸리지 않습니다. 접근 권한 점검이나 퇴사자 계정 회수처럼 겹치는 항목의 증적을 그대로 다시 쓰기 때문입니다. 어느 기준표의 어느 항목이 다른 기준표의 무엇에 해당하는지 대응표를 한 번 만들어 두면, 그다음부터는 같은 자료를 형식만 바꿔 냅니다.

"이 건은 ISMS-P 없으면 입찰 자체가 안 됩니다."

인증이 계약 조건이라 영업 노력으로 넘을 수 있는 항목이 아니라는 뜻입니다.

"내년 심사 범위에 이 서비스도 넣어야 할까요?"

새로 만든 제품을 증명서 안쪽에 둘지 밖에 둘지 정하자는 말입니다.

"그거 증적 남나요?"

기능을 만들 때 나중에 심사에서 보여 줄 기록이 자동으로 쌓이는지 확인하는 질문입니다.

페이지덱에서는 수아가 먼저 꺼냅니다. 공공기관과 금융권 고객의 검토 단계에서 번번이 같은 항목이 걸리기 때문입니다. 규원은 비용과 기간을 놓고 미뤄 왔지만, 막힌 계약이 다섯 건을 넘으면서 준비를 시작하기로 정했습니다.

준비에 실제로 들어가자 일이 제품 쪽으로 넘어왔습니다. 태오가 운영 데이터베이스 접근 기록을 남기는 작업을 맡고, 지현은 협력사 보안 점검을 위해 페이지덱이 쓰는 외부 도구 열아홉 개의 증명서를 모았습니다. 고객 데이터가 페이지덱 서버에서 끝나지 않고 밖으로도 흘러가기 때문에, 심사는 그 업체들까지 묶어서 봅니다.

인증을 받으면 안전해진다고 읽는 경우가 가장 많습니다. 증명서라는 형식이 보증처럼 보이니 그렇게 읽히기 쉽습니다. 하지만 이 제도가 확인하는 것은 회사가 정해 둔 규칙과 그 규칙이 실제로 돌아간 기록이지, 공격을 막아 낼 수 있는지가 아닙니다. 인증을 받은 회사에서도 유출은 일어납니다. 이걸 보증으로 알고 있으면 인증 뒤에 보안 투자를 멈추게 되고, 그때부터 증명서와 실제 상태가 조금씩 벌어집니다.

한 번 받으면 끝나는 자격증으로 아는 것도 흔합니다. 준비 기간이 길고 통과 순간이 뚜렷해서 자격 시험처럼 느껴집니다. 실제로는 보안 관리 체계, 곧 조직 차원의 보안 규칙과 절차가 계속 돌아가고 있다는 것을 해마다 다시 확인받는 제도입니다. 통과 뒤에 담당자를 다른 일로 돌리면 이듬해 사후 심사에서 1년치 증적이 비어 있는 상태로 드러납니다.