K-ISMS와 ISMS-P, 무엇을 준비해야 할까

이 페이지는 AWS에서 처음 준비하는 ISMS-P: 5단계 로드맵의 1단계를 자세히 설명합니다. 다 읽고 나면 우리 조직이 어떤 인증을 받아야 하는지, 준비할 기준이 몇 개이고 그중 AWS가 도와줄 수 있는 부분이 어디인지 판단할 수 있습니다.

한눈에 보기

국내 정보보호 인증은 정보보호 관리체계(K-ISMS)와 정보보호 및 개인정보보호 관리체계(ISMS-P) 두 가지입니다.
ISMS-P는 K-ISMS 80개 기준을 그대로 포함하고 개인정보 처리단계 21개를 더해 101개 기준으로 구성됩니다(2023년 11월 개정 기준).
두 인증은 한국인터넷진흥원(KISA)이 운영합니다. 인증 유효기간은 3년이고, 매년 사후심사를 받아야 유지됩니다.
둘 중 하나를 골라 신청합니다. 개인정보를 많이 처리하는 조직이라면 ISMS-P가 일반적인 선택입니다.

1. 인증 기준의 구조

인증 기준은 3개 영역으로 나뉩니다. K-ISMS는 1~~2영역, ISMS-P는 1~~3영역을 심사합니다.

영역	기준 수	분야	K-ISMS	ISMS-P
1. 관리체계 수립 및 운영	16	관리체계 기반 마련, 위험 관리, 관리체계 운영, 관리체계 점검 및 개선	포함	포함
2. 보호대책 요구사항	64	정책·조직·자산 관리, 인적 보안, 외부자 보안, 물리 보안, 인증 및 권한 관리, 접근통제, 암호화 적용, 정보시스템 도입 및 개발 보안, 시스템 및 서비스 운영관리, 시스템 및 서비스 보안관리, 사고 예방 및 대응, 재해복구	포함	포함
3. 개인정보 처리단계별 요구사항	21	수집 시, 보유·이용 시, 제공 시, 파기 시 보호조치, 정보주체 권리보호	미포함	포함
합계			80개	101개

2018년에 기존 K-ISMS와 개인정보보호 관리체계(PIMS)가 ISMS-P 체계로 통합되었습니다. 통합 당시 3영역은 22개, 합계 102개였고, 2023년 11월 개정으로 3영역이 21개, 합계 101개가 되었습니다. 기준 원문과 세부 점검 항목은 KISA가 공개하는 인증기준 안내서에서 확인합니다.

2. 어떤 인증을 받아야 할까

구분	K-ISMS	ISMS-P
심사 대상	정보보호 관리체계	정보보호와 개인정보보호 관리체계
의무 여부	정보통신망법 제47조에 따라 의무 대상자가 있음 (일정 규모 이상의 정보통신서비스 제공자, 집적정보통신시설(IDC) 사업자, 일부 병원·대학 등)	자율 신청
적합한 조직	정보보호 관리가 중심이고 개인정보 처리가 적은 조직	개인정보를 많이 처리하는 조직 (의료, 금융, 커머스, 플랫폼 등)

이렇게 판단하세요

의무 대상인지 확인합니다. 매출액, 이용자 수 같은 의무 대상 기준은 법령과 KISA 안내에 따라 정해집니다. 기준값은 바뀔 수 있으므로 신청 시점의 KISA 안내를 기준으로 판단합니다.
개인정보 처리 규모를 확인합니다. 회원 정보, 결제 정보, 건강 정보처럼 개인정보를 서비스 핵심으로 처리한다면 ISMS-P를 검토합니다.
의무 대상인데 ISMS-P를 받으려는 경우에는 ISMS-P 취득으로 ISMS 의무가 이행되는지 KISA에 확인합니다.

ISMS-P를 준비하면 K-ISMS용으로 따로 준비할 것이 있을까

기준 관점에서는 없습니다. ISMS-P 101개 기준에 K-ISMS 80개가 그대로 들어 있으므로, K-ISMS를 위한 별도 준비 항목은 생기지 않습니다. 개인정보 처리단계 21개만 추가로 준비하면 됩니다.

3. 영역별로 AWS가 도와줄 수 있는 부분

AWS를 쓴다고 심사 기준이 줄어들지는 않습니다. 다만 영역마다 AWS에서 가져다 쓸 수 있는 근거와 도구가 다릅니다.

영역	AWS에서 가져다 쓸 수 있는 것	고객이 준비할 것	자세히 보기
1. 관리체계	인증 범위에 포함할 AWS 계정·리전·서비스 목록 정리 (AWS Organizations, AWS Config 리소스 목록)	정책, 조직, 위험평가, 내부 점검 등 관리체계 전반	-
2. 보호대책 중 물리 보안·인프라	AWS K-ISMS 인증서 (서울 리전 인프라 대상)	인증서를 증적으로 제출하고 범위 서비스 확인	AWS Artifact로 AWS K-ISMS 인증서 받기
2. 보호대책 중 기술 통제	AWS Config K-ISMS 적합성 팩으로 설정 자동 점검	비준수 항목 조치, 조직 정책에 맞게 기준값 조정	AWS Config K-ISMS 적합성 팩으로 기술 통제 점검하기
2. 보호대책 중 보안 솔루션 항목	AWS Network Firewall, AWS WAF, Amazon GuardDuty, AWS Verified Access 등	AWS 서비스로 구성할지 전문 솔루션을 도입할지 결정	보안 솔루션 항목별 AWS 대응 방안
3. 개인정보 처리단계	개인정보 저장 위치 탐지 (Amazon Macie, S3 대상), 암호화와 접근 기록 같은 기술 기반	수집·이용·제공·파기 절차, 동의 관리, 정보주체 권리 보호 절차	-

물리 보안 영역에서 AWS 데이터센터에 해당하는 부분을 AWS 인증서로 갈음할 수 있는지는 심사기관이 판단합니다. 사무실, 개발 PC처럼 고객이 직접 관리하는 물리 환경은 고객이 준비해야 합니다.

4. 처음 준비할 때 자주 묻는 질문

Q. AWS가 K-ISMS 인증을 받았으니 우리도 인증받은 것으로 볼 수 있나요? 아닙니다. AWS의 인증은 AWS가 운영하는 서울 리전 인프라에 대한 것입니다. 고객의 관리체계, 서비스, 개인정보 처리는 고객이 직접 심사를 받습니다.

Q. AWS는 ISMS-P 인증서도 있나요? AWS가 받은 것은 K-ISMS입니다. AWS Artifact에도 K-ISMS 인증서만 있습니다. 3영역(개인정보 처리단계)은 고객의 개인정보 처리 절차를 심사하는 영역이므로 고객이 준비합니다.

Q. 인증 범위는 어떻게 정하나요? 심사받을 서비스와 그 서비스를 구성하는 시스템, 조직, 인력을 범위로 정합니다. AWS를 쓴다면 범위에 포함되는 AWS 계정, 리전, 서비스를 함께 문서화합니다. 이 목록이 AWS 인증서의 범위 서비스, AWS Config 점검 대상과 맞아야 증적이 서로 연결됩니다.