ISO 27001

보안을 잘하고 있다는 말은 증명하기 어렵습니다. 서버를 몇 대 쓰는지, 비밀번호를 몇 자리로 받는지 같은 것은 보여 줄 수 있지만, 그런 항목을 아무리 나열해도 회사 전체가 관리되고 있다는 증거는 되지 않습니다. 빠진 곳이 있는지 판단할 기준이 없기 때문입니다.

국경을 넘으면 문제가 커집니다. 나라마다 제도가 다르고 고객사마다 보안 점검표, 곧 계약 전에 보내오는 보안 확인 문서의 항목이 다릅니다. 독일 고객이 보낸 문서에서 요구하는 관리 체계와 국내 제도가 요구하는 것이 겹치기는 하는데 이름과 분류가 달라서, 파는 쪽은 같은 일을 두 번 세 번 증명하게 됩니다. 한 번은 국내 서식으로, 한 번은 상대 회사 서식으로, 또 한 번은 상대가 쓰는 감사 도구 서식으로 적어 냅니다.

ISO 27001은 그 기준을 한 번 정해 국제 표준으로 만든 것입니다. 국제표준화기구와 국제전기기술위원회가 함께 낸 문서라 나라와 업종을 가리지 않고 같은 이름으로 통합니다. 이 표준의 특징은 무엇을 해야 하는지를 일일이 지시하지 않는다는 데 있습니다. 회사가 스스로 위험을 찾아내고 그 위험에 맞는 조치를 고르게 한 다음, 고른 이유와 고르지 않은 이유를 문서로 남기게 합니다. 열 명짜리 회사와 만 명짜리 회사에 같은 표준을 쓸 수 있는 이유가 여기 있습니다.

같은 증명을 나라마다 다시 하는 일을 없앱니다. 증명서 한 장이면 북미 고객에게도 유럽 고객에게도 설명이 끝납니다. 국내 제도가 해외에서 잘 읽히지 않고 미국 기준이 유럽에서 덜 통하는 것과 달리, 이 표준은 어디에서나 같은 무게로 읽힙니다. 해외 매출이 있는 회사가 인증을 하나만 고른다면 대개 이쪽입니다.

안쪽에서는 관리 체계를 만드는 틀 노릇을 합니다. 표준은 두 부분으로 되어 있습니다.

1. 본문 조항 — 관리 체계를 어떻게 세우고 돌릴지를 정합니다. 경영진이 무엇을 책임지는지, 위험을 어떤 방식으로 평가하는지, 목표를 어떻게 세우고 점검하는지가 여기 있습니다. 심사에서 빠뜨리면 인증이 나오지 않는 필수 부분입니다.
2. 부속서 통제 목록 — 조직·인적·물리적·기술적 네 갈래로 묶인 아흔 개 남짓의 통제 항목입니다. 퇴사자 접근 권한 회수나 백업 복구 시험처럼 위험 하나를 줄이는 개별 조치가 한 줄씩 적혀 있습니다.

둘을 잇는 것이 적용 가능성 명세서입니다. 목록의 항목마다 우리는 적용한다, 또는 우리에게는 해당하지 않는다를 사유와 함께 적은 표입니다. 사무실 서버실이 없는 회사가 서버실 출입 통제 항목을 제외하는 식인데, 제외 자체는 흠이 아니고 사유를 적지 않는 것이 흠입니다.

심사와 주기는 이렇게 흘러갑니다.

1. 범위를 정합니다. 어느 서비스와 어느 조직까지를 인증 안에 둘지 긋고, 그 선이 증명서에 그대로 적힙니다.
2. 위험을 평가하고 통제를 고릅니다. 이때 증적, 곧 정한 대로 했다는 기록이 쌓이도록 절차를 짜 둡니다.
3. 내부 감사와 경영진 검토를 한 번 돌립니다. 표준이 요구하는 절차이기도 합니다.
4. 인증기관이 1단계로 문서를, 2단계로 현장을 심사합니다.
5. 해마다 사후 심사를 받고 3년째에 갱신 심사를 받습니다.

고르는 기준은 지금 계약이 막혀 있는 고객이 어느 나라에 있느냐입니다.

1. ISMS-P — 국내 제도입니다. 일정 규모를 넘으면 법이 요구하기도 하므로, 국내 매출이 중심이면 이쪽이 먼저입니다. 개인정보를 다루는 과정까지 함께 봅니다.
2. SOC 2 — 미국 기업 고객이 요구하는 형식입니다. 합격 여부가 아니라 회계법인이 쓴 보고서로 나오고, 일정 기간 동안 실제로 지켜졌는지를 봅니다.
3. 같은 계열의 확장 표준 — 개인정보나 클라우드처럼 특정 영역을 더 보려면 ISO 27001 위에 덧붙이는 표준을 함께 받습니다. 기본 인증 없이 확장만 받을 수는 없습니다.
4. 점검표에 직접 답하기 — 고객이 열 곳 미만이면 아직 이 편이 쌉니다. 다만 해외 고객은 증명서를 요구하는 비율이 높아 역전 시점이 국내보다 빨리 옵니다.

셋 가운데 둘을 받는 회사도 많습니다. 묻는 내용이 절반 넘게 겹치기 때문에 두 번째는 첫 번째만큼 오래 걸리지 않습니다. 기준표끼리 어느 항목이 어느 항목에 해당하는지 대응표를 만들어 두면 같은 증적을 형식만 바꿔 냅니다.

"인증 범위에 이 서비스가 들어가 있는지부터 확인해 주세요."

증명서가 있다는 사실보다 그 안에 무엇이 들어 있는지가 중요하다는 말입니다.

"그 통제는 적용 제외로 두고 사유를 적었습니다."

목록의 항목이 우리 상황에 해당하지 않아 빼고 그 근거를 남겼다는 뜻입니다.

"유럽 쪽은 이 증명서 하나로 대부분 넘어갑니다."

개별 점검표 대응 없이 계약 검토가 진행된다는 뜻입니다.

페이지덱에서는 첫 해외 고객이 생기면서 이야기가 시작됐습니다. 수아가 받아 온 독일 회사의 검토 문서에 인증서 항목이 있었고, 없다고 답한 뒤로 두 달째 답이 없었습니다. 규원이 비용을 보고 미루다가, 같은 이유로 막힌 건이 세 건이 되자 준비에 들어갔습니다.

준비의 절반은 문서가 아니라 협력사 보안 점검이었습니다. 페이지덱이 쓰는 외부 도구가 스무 개 가까이 되는데, 고객 데이터가 그 도구들로도 흘러가기 때문에 심사는 그쪽까지 봅니다. 태오가 도구별로 어떤 데이터가 나가는지 표로 정리하는 데만 3주가 걸렸습니다.

통제 목록을 전부 적용해야 한다고 읽는 경우가 흔합니다. 목록이 아흔 개 넘게 붙어 있으니 체크리스트처럼 보입니다. 실제로는 회사의 위험에 맞는 것만 고르고 나머지는 사유를 적어 빼는 구조입니다. 전부 적용하겠다고 나서면 서버실 없는 회사가 서버실 규정을 쓰게 되고, 지키지도 않을 규칙이 문서로 남아 오히려 심사에서 지적을 받습니다.

증명서가 있으면 회사 전체가 인증됐다고 읽는 것도 흔합니다. 표지에 회사 이름이 적혀 있으니 그렇게 보입니다. 하지만 인증에는 범위가 있고 그 범위는 증명서에 그대로 적힙니다. 고객이 쓰는 제품이 범위 밖에 있으면 그 증명서는 그 계약에 쓸모가 없습니다. 그래서 받는 쪽도 확인할 때 회사 이름이 아니라 범위 줄을 먼저 읽습니다.