ISO 27001 준비 전 정보자산과 위험을 정리하는 방법

노트북 재고만으로 정보자산을 설명할 수 없다

정보보호 준비를 시작하면 PC, 서버와 네트워크 장비부터 목록화하기 쉽습니다. 그러나 고객 데이터, 소스코드, 계약, 업무 지식, 클라우드 서비스, 핵심 인력과 외부 공급자가 연결되지 않으면 어떤 정보가 왜 중요한지 판단하기 어렵습니다. 자산 목록은 재물조사의 복사본이 아니라 정보가 생성·처리·저장·전송·폐기되는 흐름과 책임을 이해하는 기반이어야 합니다.

서비스에서 시작해 자산으로 내려간다

인증 범위에 포함할 주요 서비스와 업무 프로세스를 먼저 적습니다. 각 서비스가 필요로 하는 정보, 애플리케이션, 인프라, 장소, 인력과 공급자를 연결합니다. 자산마다 업무 책임을 가진 소유자, 운영 담당자, 위치, 중요도와 보호 요구를 정합니다. 클라우드나 위탁 환경은 조직 밖에 있다는 이유로 제외하지 말고 계약 책임과 인터페이스를 표시합니다.

정보의 기밀성, 무결성, 가용성이 훼손될 때 고객, 운영, 계약과 법적 의무에 미치는 영향을 업무 언어로 평가합니다. 모든 자산을 같은 등급으로 올리기보다 분류 기준과 취급 규칙이 실제 사용자가 이해할 수 있어야 합니다.

위협 목록보다 위험 시나리오를 쓴다

“해킹”, “화재” 같은 단어만 나열하지 말고 어떤 위협이 어떤 취약성 또는 조건을 이용해 자산에 영향을 주고 결과가 무엇인지 문장으로 작성합니다. 예를 들어 퇴사자 계정이 제때 회수되지 않아 고객정보에 무단 접근할 수 있는 상황처럼 원인과 결과를 연결합니다. 사고, 감사, 취약점, 변경, 공급자 평가와 업무 담당자 인터뷰를 근거로 시나리오를 보완합니다.

평가 기준을 경영진과 합의한다

발생 가능성과 영향의 척도, 위험 수준 계산, 수용 기준과 재평가 주기를 정합니다. 수치가 정밀해 보여도 근거가 약하면 비교가 왜곡될 수 있으므로 등급 설명과 사례를 제공합니다. 위험 소유자가 평가 결과와 수용 여부를 승인하고, 매우 높은 위험이나 예외는 정해진 권한으로 상향 보고합니다. 개인정보나 계약상 별도 의무가 있는 경우 단순 점수만으로 수용하지 않도록 기준에 반영합니다.

처리계획과 통제 선정의 논리

위험을 회피, 감소, 이전 또는 수용할지 정하고 책임자, 기한, 자원과 기대 잔여 위험을 기록합니다. 통제는 위험과 적용 의무를 근거로 선택하며 ISO/IEC 27001의 관련 참조 통제와 비교해 누락을 확인합니다. 모든 통제를 이유 없이 적용하거나 제외하는 방식이 아니라 적용성 보고서에서 선정·제외 근거와 구현 상태가 위험처리계획에 일치해야 합니다.

통제가 운영된다는 증거를 설계한다

접근권한 부여·변경·회수, 백업과 복구시험, 로그 검토, 취약점과 패치, 사고 대응, 공급자 보안처럼 선택한 통제마다 수행 주기, 담당자, 기록과 효과 판단 기준을 정합니다. 도구를 구매했다는 사실보다 설정이 승인된 기준과 일치하고 예외가 관리되며 결과가 검토되는지가 중요합니다. 기술팀만이 아니라 인사, 구매, 법무와 서비스 책임자의 역할을 연결합니다.

변경과 사고가 위험평가로 돌아오는 길

신규 시스템, 클라우드 이전, 조직개편, 공급자 변경과 원격근무 확대 전에 위험을 다시 봅니다. 보안사고, 복구훈련 실패, 취약점과 내부심사 발견사항이 생기면 관련 자산과 시나리오, 통제 효과를 갱신합니다. 목록의 연 1회 검토만으로 끝내지 말고 변경관리와 사고관리 절차에 위험평가 갱신 조건을 넣습니다.

처음 30일의 실무 결과물

범위 내 서비스 맵, 핵심 정보 흐름, 자산과 소유자, 분류 기준, 위험 평가 방법과 상위 위험 목록을 작성합니다. 아직 확인하지 못한 자산과 공급자는 공백으로 숨기지 말고 담당자와 확인기한을 둡니다. 이 결과를 바탕으로 통제 현황과 개선 우선순위를 정하면 서식 작성이나 보안 솔루션 구매가 목적보다 앞서는 일을 줄일 수 있습니다.