ISMS·ISMS-P·CSAP 비교: 인증 대상과 범위부터 확인하기

1장 개념과 보호 목표#

ISMS는 정보보호 관리체계, ISMS-P는 정보보호와 개인정보보호를 통합한 관리체계 인증입니다. CSAP는 클라우드 서비스 보안인증입니다. 조직의 관리체계 범위와 특정 서비스의 인증 범위를 서로 대체해서는 안 됩니다.

2장 원리와 구분#

KISA 안내의 일반 ISMS-P 인증기준은 관리체계 수립·운영 16개, 보호대책 64개, 개인정보 처리단계 21개로 구성됩니다. 간편인증 등 별도 체계는 적용 기준을 구분해야 합니다. ISMS 의무 대상이라고 해서 모든 경우 ISMS-P가 의무인 것은 아닙니다. 의무 여부는 사업 유형과 규모, 법령·고시에 따라 판단합니다.

심사 준비 자료는 정책 문서, 실제 운영 기록과 개선 결과로 구성합니다. 인증 범위를 너무 좁게 잡으면 핵심 데이터 흐름의 외부 의존성이 빠질 수 있으므로 위탁과 클라우드 사용도 확인합니다. 인증 획득 후에도 변경된 시스템·위험·통제를 갱신해야 심사 시점의 상태만 유지하는 데 그치지 않습니다.

3장 비교와 판단 기준#

인증	주된 대상	확인할 범위
ISMS	정보보호 관리체계	사업·서비스·시스템
ISMS-P	정보보호·개인정보보호 관리체계	개인정보 처리 흐름 포함
CSAP	클라우드 서비스	인증 서비스·구성·등급·기간

4장 인증 대상과 범위를 먼저 정한다#

관리체계 인증은 조직의 정보보호 활동과 정해진 범위, 클라우드 서비스 보안인증은 특정 서비스의 범위를 확인하는 데 연결됩니다. 회사 이름이 같다고 모든 제품·지역·구성·외부 처리까지 인증된 것은 아닙니다. 실제 도입 대상과 인증서·범위를 대응시켜야 합니다.

법적 의무와 자발적 목적도 구분합니다. 어떤 사업자·규모·서비스에 의무가 적용되는지와 선택한 인증의 기준을 별도로 확인해야 합니다. 의무 판단을 제품 설명이나 계약서의 표현만으로 대신하지 않습니다.

5장 ISMS와 ISMS-P의 개인정보 영역#

ISMS는 정보보호 관리체계, ISMS-P는 개인정보보호를 포함한 통합 관리체계 인증입니다. 개인정보를 처리하는 조직의 데이터 흐름과 정보주체 권리·제공·위탁·파기 등의 운영을 범위에 연결합니다. ISMS가 모두 없어지고 ISMS-P만 남았다는 설명은 맞지 않습니다.

인증 이름보다 실제 대상 사업·서비스·시스템·개인정보 처리 경로를 기록합니다. 범위에서 제외한 자산이 핵심 서비스의 데이터를 처리하는지와 외부 의존성을 조사해야 합니다.

6장 일반 기준의 16·64·21 영역#

관리체계 수립·운영, 보호대책, 개인정보 처리단계의 세 영역으로 읽으면 문서와 시스템의 연결을 이해하기 쉽습니다. 별도 체계·변경 기준의 적용 여부는 해당 인증 유형에 맞춰 확인합니다. 숫자를 외우는 것이 모든 통제의 이행을 뜻하지 않습니다.

flowchart TB
 M["관리체계: 책임·위험·운영·개선"] --> C["보호대책: 사람·자산·접근·기술·대응"]
 C --> P["개인정보: 수집·이용·제공·보유·파기·권리"]
 P --> E["실제 데이터 흐름과 증거"]

7장 범위 정의에서 빠뜨리기 쉬운 것#

개발·테스트·로그·백업·원격 관리·외부 위탁·SaaS·클라우드의 사본을 조사합니다. 화면에 보이는 주 서비스만 지정하면 같은 정보를 처리하는 다른 경로가 빠질 수 있습니다. 자산 소유자·처리 정보·연동·권한을 연결합니다.

경계 밖 사업자나 시스템에도 계약·접근·보유·삭제·사고 대응의 조건이 필요할 수 있습니다. 범위를 좁게 적었다는 사실로 실제 위험이 없어지는 것은 아닙니다.

8장 정책과 실제 운영 증거#

접근 권한 검토 문서가 있다면 실제 계정 목록·승인·회수 결과가 연결되어야 합니다. 백업 정책은 복원 시험·키·의존성을, 사고 절차는 훈련·조치·개선을 확인합니다. 문서의 작성일만으로 통제가 작동했다고 보지 않습니다.

정책의 선언	연결할 증거
최소 권한	계정·역할·검토·회수
암호화	데이터 경로·설정·키·실패 시험
파기	보유·삭제·사본·복원 후 처리
사고 대응	연락·훈련·조치·개선

9장 CSAP의 서비스·등급·구성#

클라우드 계약 대상의 서비스명·구성·등급·유효기간과 인증 범위를 비교합니다. 공급자의 다른 상품 인증을 현재 사용하는 제품의 보안 근거로 잘못 적용하지 않습니다. 고객이 선택한 연결·계정·데이터 설정도 별도 책임입니다.

도입 과정에서 공공 업무의 요건과 이용 조건을 확인합니다. 인증을 서비스의 모든 장애나 고객의 잘못된 권한까지 보증하는 것으로 설명하지 않습니다.

10장 위험평가와 보완 조치#

핵심 자산·처리 정보·위협·취약점·영향을 평가하고 필요한 통제·소유자·기한·잔여 위험을 정합니다. 심사에서 지적한 항목만 수정하고 새로운 시스템 변경의 위험을 무시하지 않습니다. 수용한 위험에는 적절한 승인과 재검토 조건이 필요합니다.

조치 완료는 문서에 완료라고 적는 일이 아니라 설정·동작·기록의 재검증입니다. 증거가 어느 시스템 버전·기간·범위를 나타내는지도 명확히 합니다.

11장 심사 이후의 유지#

flowchart LR
 S["범위와 위험 파악"] --> C["통제와 운영 증거"]
 C --> A["심사·보완·재검증"]
 A --> O["변경·정기 점검·개선"]
 O --> S

인증 이후 외부 연동·클라우드·업무·조직이 바뀌면 범위와 위험·통제를 갱신합니다. 심사 시점만 맞추는 운영보다 반복되는 관리 과정이 중요합니다. 인증서는 이 과정과 범위를 확인하는 근거 중 하나로 사용합니다.

12장 적용 사례와 운영 방법#

인증 준비는 범위 정의, 위험평가, 통제 이행과 운영 증거 확보를 연결합니다. 클라우드 도입 시 인증서에 적힌 서비스·등급·유효기간·구성을 실제 계약 대상과 비교합니다. 인증을 받았더라도 고객의 권한 설정이나 별도 시스템의 취약점까지 보증하는 것은 아닙니다.

13장 인증서의 이름보다 인증 범위를 읽는다#

ISMS와 ISMS-P는 관리체계의 범위, CSAP는 인증한 클라우드 서비스의 범위를 확인해야 합니다. 법인 이름이 같다고 모든 제품·리전·구성·위탁 업무가 같은 인증에 들어가지는 않습니다. 계약할 서비스와 인증서·상세 범위를 대응시켜야 합니다.

ISMS-P 일반 기준의 16·64·21 구성은 관리체계·보호대책·개인정보 처리단계의 영역을 설명합니다. 별도 인증 유형·변경 기준의 적용 여부는 KISA의 현재 안내를 확인해야 합니다. 인증 의무를 판단하는 법령과 인증 심사의 기준도 구분합니다.

14장 운영 증거를 데이터 흐름에 연결하기#

회원정보 서비스는 수집 화면·DB·위탁 처리·로그·백업·파기까지 그린 뒤 각 단계의 정책과 실제 기록을 연결합니다. 접근 권한 검토 문서에는 대상 계정과 회수 결과, 백업 정책에는 실제 복원 시험, 사고 대응 절차에는 훈련과 개선 결과가 있어야 합니다.

클라우드 도입은 인증 서비스의 등급·유효기간·지원 구성을 실제 이용 조건과 비교합니다. 공급자의 인증이 고객의 잘못된 권한 설정까지 보증하지는 않습니다. 시스템 변경과 새 외부 연동은 인증 범위 및 위험평가의 갱신으로 연결해야 합니다.

15장 적용 전 확인할 사항#

법적 의무와 자발적 인증 목적을 구분한다
인증 범위·서비스·기간과 실제 구성을 비교한다
보완 조치와 정기적인 유지 활동을 기록한다

16장 자주 묻는 질문#

ISMS 인증은 모두 ISMS-P로 바뀌었나요?#

두 인증은 구분되어 운영됩니다. 개인정보 처리 범위와 선택한 인증 유형을 확인하고 해당 기준을 적용해야 합니다.

CSAP 인증과 ISMS-P 인증은 서로 대체되나요?#

대상과 기준이 다릅니다. 도입 서비스의 보안인증과 조직의 정보보호·개인정보보호 관리체계를 각각 확인해야 합니다.

심사 직전에 정책 문서를 만들면 준비가 끝나나요?#

실제 운영과 이행·개선 기록이 필요합니다. 정책과 시스템 설정·처리 기록을 연결해 통제가 작동했는지 설명해야 합니다.