AWS에서 처음 준비하는 ISMS-P: 5단계 로드맵

이 글은 AWS에서 서비스를 운영하면서 정보보호 및 개인정보보호 관리체계(ISMS-P, Personal information & Information Security Management System) 인증을 처음 준비하는 보안 담당자를 위해 썼습니다. 다 읽고 나면 무엇을 AWS에서 가져다 쓰고 무엇을 직접 준비해야 하는지 구분할 수 있고, 심사 준비를 시작할 순서를 정할 수 있습니다. 각 단계의 상세 절차는 하위 페이지에 따로 정리했습니다.

먼저 알아둘 원칙: AWS의 인증은 고객에게 이전되지 않습니다

AWS는 서울 리전(ap-northeast-2) 인프라를 대상으로 한국 정보보호 관리체계(K-ISMS) 인증을 받았습니다. 하지만 이 인증이 AWS를 쓰는 고객의 인증을 대신하지는 않습니다.

책임은 AWS 공동 책임 모델(Shared Responsibility Model)에 따라 나뉩니다.

구분	책임 주체	심사에서 쓰는 근거
데이터센터, 물리 보안, 하드웨어, 가상화 계층	AWS	AWS K-ISMS 인증서 (AWS Artifact에서 다운로드)
계정·권한, 네트워크 구성, 암호화 설정, 로그	고객	고객이 직접 구성하고 증적을 준비 (AWS 서비스로 자동화 가능)
관리체계(정책·조직·위험평가), 애플리케이션, 개인정보 처리 절차	고객	고객이 직접 문서화하고 운영

정리하면, 인프라 영역은 AWS 인증서를 근거로 쓰고 나머지는 고객이 준비합니다. 아래 5단계는 이 구분을 따라갑니다.

5단계 로드맵

1단계. 받을 인증 정하기: K-ISMS인가, ISMS-P인가

인증 기준은 3개 영역으로 나뉩니다.

영역	기준 수	K-ISMS	ISMS-P
1. 관리체계 수립 및 운영	16	포함	포함
2. 보호대책 요구사항	64	포함	포함
3. 개인정보 처리단계별 요구사항	21	미포함	포함
합계		80개	101개

ISMS-P는 K-ISMS 80개 기준을 그대로 포함하고 개인정보 처리단계 21개를 더한 구조입니다. 개인정보를 많이 처리하는 조직(의료, 금융, 플랫폼 등)이라면 ISMS-P를 준비하는 것이 일반적입니다. 인증은 둘 중 하나를 골라 신청합니다.

이렇게 하세요: 우리 조직이 정보통신망법상 ISMS 의무 대상자인지, 개인정보를 어느 규모로 처리하는지 먼저 확인합니다. 의무 대상 여부와 인증 범위는 한국인터넷진흥원(KISA) 안내를 기준으로 판단합니다.
자세히 보기: K-ISMS와 ISMS-P, 무엇을 준비해야 할까

2단계. AWS 인증 증적 받기: AWS Artifact

AWS의 K-ISMS 인증서는 AWS Artifact(AWS 규정 준수 보고서를 내려받는 셀프서비스 포털)에서 영문판과 한글판으로 받을 수 있습니다. 이 인증서가 인프라 영역의 근거가 됩니다.

이렇게 하세요: AWS Management Console에서 AWS Artifact > Reports로 이동해 "K-ISMS"로 검색하고 보고서를 내려받습니다.
확인할 것:
- 보고서의 유효기간(Reporting period)이 우리 심사 시점을 포함하는지 확인합니다. 포함하지 않으면 심사 직전에 최신본을 다시 받습니다.
- 우리가 쓰는 AWS 서비스가 인증 범위에 들어 있는지 AWS Services in Scope - K-ISMS 페이지에서 확인합니다.
주의할 것: 내려받은 보고서는 사내, 규제기관, 감사인에게만 공유할 수 있습니다. 고객사나 웹사이트에 공개하면 안 됩니다. 다운로드마다 추적 가능한 워터마크가 들어가고, 다운로드 기록은 AWS CloudTrail에 남습니다.
자세히 보기: AWS Artifact로 AWS K-ISMS 인증서 받기

3단계. 기술 통제 자동 점검하기: AWS Config K-ISMS 적합성 팩

AWS Config 적합성 팩(Conformance Pack)은 여러 설정 점검 규칙을 하나로 묶어 배포하는 기능입니다. AWS가 제공하는 K-ISMS 적합성 팩은 K-ISMS 통제 25개에 AWS Config 관리형 규칙 약 115개를 연결한 샘플 템플릿입니다. 이 팩을 배포하면 계정의 리소스 설정이 계속 점검되고, 위반 항목이 목록으로 나옵니다.

이렇게 하세요: 심사 범위에 들어가는 계정에 K-ISMS 적합성 팩을 배포하고, 비준수(Noncompliant) 항목부터 조치합니다. 여러 계정을 운영하면 AWS Organizations에서 조직 단위로 배포합니다.
점검되는 대표 항목: 루트 계정 MFA(다중 인증) 적용, 보안 그룹의 SSH 전체 개방 여부, RDS·EBS·S3 암호화, CloudTrail 활성화, VPC 흐름 로그, 백업 설정
한계: 적합성 팩은 2장(보호대책)의 기술 통제 일부만 점검합니다. 1장(관리체계)과 3장(개인정보 처리단계)은 규칙으로 점검할 수 없습니다. AWS도 이 팩만으로 규제 준수가 보장되지는 않는다고 명시하고 있습니다.
자세히 보기: AWS Config K-ISMS 적합성 팩으로 기술 통제 점검하기

4단계. 보안 솔루션 항목 결정하기: AWS 서비스와 전문 솔루션 구분

심사에서 자주 확인하는 보안 솔루션 항목 가운데 상당수는 AWS 서비스로 구성할 수 있습니다. 다만 일부 항목은 AWS 기본 기능만으로는 요건을 채우기 어렵습니다. 처음 준비할 때 가장 많이 묻는 두 항목의 결론은 다음과 같습니다.

항목	AWS로 가능한가	쓸 기능
침입차단·탐지(IPS, Intrusion Prevention System)	가능	AWS Network Firewall (오픈소스 IPS 엔진 Suricata 기반), 관리형 위협 차단 규칙(Active threat defense)
DB 접속 경로·인증 통제	가능	AWS Verified Access, Amazon RDS IAM DB 인증, AWS Secrets Manager
DB 접속·쿼리 감사 로그	일부 가능	Database Activity Streams, 엔진 감사 로그를 Amazon CloudWatch Logs로 수집
쿼리 결재, 위험 명령 차단, 개인정보 마스킹	어려움	DB 접근제어 솔루션과 함께 구성
로그 위변조 방지	가능	Amazon S3 Object Lock

이렇게 하세요: 위 표를 기준으로 AWS 서비스로 구성할 항목과 전문 솔루션을 도입할 항목을 나눕니다. 심사기관이나 사내 보안 정책이 별도 장비나 특정 인증 제품을 요구하는지 먼저 확인합니다.
자세히 보기: 보안 솔루션 항목별 AWS 대응 방안

5단계. 고객이 직접 준비할 항목 정리하기

AWS 인증서와 적합성 팩으로 다룰 수 없는 영역은 고객이 문서와 운영 기록으로 준비합니다.

1장 관리체계: 정보보호 정책과 조직, 인증 범위 설정, 자산 식별, 위험평가와 보호대책 선정, 내부 점검
3장 개인정보 처리단계: 개인정보의 수집·이용, 제공, 보유·파기, 정보주체 권리 보호 절차
애플리케이션 영역: 개발 보안, 애플리케이션 접근권한, 개인정보 화면 표시 제한

인증 범위를 문서화할 때는 어떤 AWS 계정, 리전, 서비스가 범위에 포함되는지 함께 적어 둡니다. 이 범위가 2단계의 AWS 인증서, 3단계의 적합성 팩 배포 대상과 일치해야 증적이 서로 맞습니다.

한 장 체크리스트

순서	할 일	담당	AWS에서 쓸 기능	심사 증적
1	인증 종류와 범위 결정	고객	-	인증 범위 정의서
2	AWS K-ISMS 인증서 다운로드, 범위 서비스 확인	고객	AWS Artifact	AWS 인증서(인프라 영역)
3	K-ISMS 적합성 팩 배포, 비준수 항목 조치	고객	AWS Config, AWS Organizations	Config 평가 결과
4	네트워크 침입차단·탐지 구성	고객	AWS Network Firewall	정책 설정, 탐지·차단 로그
5	DB 접속 경로·인증 구성, 감사 로그 수집	고객	AWS Verified Access, RDS IAM DB 인증, Database Activity Streams	접속 기록, 감사 로그
6	쿼리 단위 통제 필요 여부 판단	고객	(필요 시 DB 접근제어 솔루션)	솔루션 정책, 결재 기록
7	로그 보관과 위변조 방지	고객	AWS CloudTrail, Amazon S3 Object Lock	로그 보관 설정
8	관리체계·개인정보 처리 절차 문서화	고객	-	정책·절차 문서, 운영 기록

참고 사항

이 글은 AWS 서비스 기능을 기준으로 정리했습니다. 실제 심사에서 인정되는지는 심사기관의 판단과 조직의 보안 정책에 따라 달라질 수 있습니다.
인증 기준 원문과 세부 점검 항목은 KISA ISMS-P 인증 사이트에서 확인합니다.