정보보호 관리체계(ISMS)를 구축하거나 인증 심사를 준비할 때, 실무자가 가장 먼저 당면하는 난관이 바로 ‘정보자산 식별 및 관리대장 작성’입니다. 한국인터넷진흥원(KISA)의 ISMS 인증기준 2.1.3(정보자산 관리)에 따르면, 조직은 관리체계 범위 내의 모든 정보자산을 누락 없이 식별하고 분류하여 최신성을 유지해야 합니다.
그러나 많은 기업이 단순히 '서버 목록'이나 'PC 관리대장' 수준에서 자산을 식별했다가, 실제 심사에서 자산 누락으로 인한 결함사항에 대해 지적을 받곤 합니다. 기준을 너무 좁게 잡으면 심사 지적 사항이 되고, 반대로 너무 넓게 잡으면 실무적으로 관리가 불가능해지기 때문입니다.
오늘은 실무자분들이 업무에 바로 참고하실 수 있도록, ISMS 인증 심사를 통과하기 위한 정보자산 식별의 4가지 명확한 기준과 실무 유의사항을 공유해 드리겠습니다.
1. 데이터(Data) 기준: 개인정보와 소스코드가 스쳐 가는 모든 영역
보안의 궁극적인 목적은 데이터를 보호하는 것입니다. 따라서 자산을 식별할 때는 회사의 핵심 데이터가 생성되어 저장되고 파기되기까지의 모든 흐름을 따라가야 합니다.
2. 인프라(Hardware/Software) 기준: 가상화·클라우드 환경의 자산 그루핑
물리 서버 중심의 과거 환경과 달리, 최근의 가상화 및 클라우드(AWS, NCP 등) 환경은 자산의 유동성이 매우 높습니다.
식별 기준: 물리 서버, 네트워크 장비(스위치, 라우터), 보안 솔루션(방화벽, WAF)뿐만 아니라 가상 인스턴스, 가상 네트워크(VPC) 등을 모두 포함합니다.
실무 팁 (자산 그루핑): 클라우드 환경에서 생성되는 수많은 컴포넌트(EC2, S3, RDS 등)를 하나하나 개별 자산코드로 부여하면 대장이 과도하게 비대해집니다. 이 경우 '동일한 보안 정책과 중요도를 가진 서비스 그룹' 단위로 자산 ID를 부여하고, 상세 인스턴스 목록은 클라우드 콘솔이나 부속 인벤토리 문서로 연동하여 증적을 증명하는 방식을 권장합니다.
3. 서비스 및 외부 위탁(SaaS) 기준: 확장된 보안 경계의 식별
최근 ISMS 심사에서 가장 자주 결함이 발생하는 영역입니다. 사내 인프라에 직접 설치하지 않았더라도, 회사의 업무와 서비스가 연동되어 데이터를 다루고 있다면 모두 자산입니다.
SaaS 및 협업 툴: 회사 공식 업무용으로 사용하는 노션(Notion), 슬랙(Slack), 지라(Jira), 구글 워크스페이스 등 기밀이나 임직원 정보가 포함되는 플랫폼은 자산으로 식별해야 합니다.
외부 연동 API 및 위탁 서비스: PG사 결제 모듈, 카카오 알림톡 및 문자 발송 플랫폼 등이 포함됩니다.
도메인 및 SSL 인증서: 서비스를 대표하는 도메인과 만료 관리가 필요한 SSL 인증서도 엄연한 관리 대상 정보자산입니다.
4. 단말(Endpoint) 기준: 데이터에 접근하는 도구
데이터와 시스템에 접근할 수 있는 권한을 가진 임직원의 단말기도 명확한 기준에 따라 식별되어야 합니다.
사내 단말기: 임직원 업무용 PC 및 노트북, 테스트용 모바일 기기 등
개발자 PC 유의사항: 일반 임직원 PC와 달리 소스코드를 로컬에 다운로드하거나 운영 시스템에 직접 접근할 수 있는 '개발자 PC'는 자산대장상에서 별도로 분류하거나 자산 중요도를 더 높게 책정하여 통제 기준을 차별화해야 안전합니다.
📋 정보자산 식별 및 준비를 위한 최종 체크리스트 (요약)
인증 심사에 앞서 우리 회사의 정보자산 관리대장이 올바르게 작성되었는지 아래 체크포인트를 통해 최종 점검해 보시기 바랍니다.
[ ] KISA 가이드라인 준수 : 한국인터넷진흥원(KISA)의 'ISMS-P 인증기준 안내서'에 명시된 자산 분류 기준(정보자산, 소프트웨어, 하드웨어, 서비스 등)을 준수하여 대장을 구성했는가?
[ ] 그림자 IT(Shadow IT) 점검 : 현업 부서에서 보안팀 몰래 결제하여 고객 정보나 업무 데이터를 다루고 있는 외부 SaaS 서비스가 누락 없이 포함되었는가?
[ ] 테스트/방치 자산 확인 : 개발팀에서 테스트 목적으로 임시 개설한 후 장기간 방치되어 있는 인스턴스나 서버가 자산대장에 반영되어 있는가?
[ ] 자산 중요도(CIA) 평가 : 식별된 모든 자산에 대해 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability) 기준에 따른 상/중/하 등급 평가가 완료되었는가?
[ ] 소유자(Owner) 지정 : 각 자산별로 관리 책임자와 운영 담당자가 명확히 지정되어 있으며, 인사 이동 시 현행화되는 프로세스가 존재하는가?
글을 마치며
정보자산 관리대장은 심사 직전에 급하게 만들어 제출하는 1회성 서류가 아닙니다. 자산이 누락되면 그 자산에 존재하는 취약점도 식별할 수 없고, 결국 전체 보안 체계에 거대한 공백이 발생하게 됩니다. 정기적인 자산 실사와 조직 변경 프로세스를 연동하여 '현행화된 자산대장'을 유지하는 것이 ISMS 인증 성공의 핵심입니다.
우리 회사 환경에 맞는 자산 식별 가이드라인 수립이나 클라우드 자산 그루핑 기준 정립에 어려움을 겪고 계신다면, 문의해 주시기 바랍니다. 조직의 상황에 꼭 맞는 실무적인 인사이트를 제공해 드리겠습니다.
 전도훈 | jdh@cela.kr |
정보보호 관리체계(ISMS)를 구축하거나 인증 심사를 준비할 때, 실무자가 가장 먼저 당면하는 난관이 바로 ‘정보자산 식별 및 관리대장 작성’입니다. 한국인터넷진흥원(KISA)의 ISMS 인증기준 2.1.3(정보자산 관리)에 따르면, 조직은 관리체계 범위 내의 모든 정보자산을 누락 없이 식별하고 분류하여 최신성을 유지해야 합니다.
그러나 많은 기업이 단순히 '서버 목록'이나 'PC 관리대장' 수준에서 자산을 식별했다가, 실제 심사에서 자산 누락으로 인한 결함사항에 대해 지적을 받곤 합니다. 기준을 너무 좁게 잡으면 심사 지적 사항이 되고, 반대로 너무 넓게 잡으면 실무적으로 관리가 불가능해지기 때문입니다.
오늘은 실무자분들이 업무에 바로 참고하실 수 있도록, ISMS 인증 심사를 통과하기 위한 정보자산 식별의 4가지 명확한 기준과 실무 유의사항을 공유해 드리겠습니다.
1. 데이터(Data) 기준: 개인정보와 소스코드가 스쳐 가는 모든 영역
보안의 궁극적인 목적은 데이터를 보호하는 것입니다. 따라서 자산을 식별할 때는 회사의 핵심 데이터가 생성되어 저장되고 파기되기까지의 모든 흐름을 따라가야 합니다.
핵심 식별 대상: 고객 회원 DB, 결제 정보, 임직원 인사 데이터 등
실무 사례 및 유의사항
소스코드 레포지토리: 깃허브(GitHub)나 깃랩(GitLab) 등 소스코드가 저장되는 저장소는 매우 중요한 정보자산으로 반드시 등록해야 합니다.
백업 데이터 및 로그: 운영 환경만 대장에 적어두고, 만약을 위해 분리해 둔 백업 스토리지나 접속 기록(Log)이 쌓이는 서버를 누락하는 경우가 많습니다. 데이터가 복사되거나 보관되는 수동 백업본까지 자산으로 식별해야 합니다.
2. 인프라(Hardware/Software) 기준: 가상화·클라우드 환경의 자산 그루핑
물리 서버 중심의 과거 환경과 달리, 최근의 가상화 및 클라우드(AWS, NCP 등) 환경은 자산의 유동성이 매우 높습니다.
식별 기준: 물리 서버, 네트워크 장비(스위치, 라우터), 보안 솔루션(방화벽, WAF)뿐만 아니라 가상 인스턴스, 가상 네트워크(VPC) 등을 모두 포함합니다.
실무 팁 (자산 그루핑): 클라우드 환경에서 생성되는 수많은 컴포넌트(EC2, S3, RDS 등)를 하나하나 개별 자산코드로 부여하면 대장이 과도하게 비대해집니다. 이 경우 '동일한 보안 정책과 중요도를 가진 서비스 그룹' 단위로 자산 ID를 부여하고, 상세 인스턴스 목록은 클라우드 콘솔이나 부속 인벤토리 문서로 연동하여 증적을 증명하는 방식을 권장합니다.
3. 서비스 및 외부 위탁(SaaS) 기준: 확장된 보안 경계의 식별
최근 ISMS 심사에서 가장 자주 결함이 발생하는 영역입니다. 사내 인프라에 직접 설치하지 않았더라도, 회사의 업무와 서비스가 연동되어 데이터를 다루고 있다면 모두 자산입니다.
SaaS 및 협업 툴: 회사 공식 업무용으로 사용하는 노션(Notion), 슬랙(Slack), 지라(Jira), 구글 워크스페이스 등 기밀이나 임직원 정보가 포함되는 플랫폼은 자산으로 식별해야 합니다.
외부 연동 API 및 위탁 서비스: PG사 결제 모듈, 카카오 알림톡 및 문자 발송 플랫폼 등이 포함됩니다.
도메인 및 SSL 인증서: 서비스를 대표하는 도메인과 만료 관리가 필요한 SSL 인증서도 엄연한 관리 대상 정보자산입니다.
4. 단말(Endpoint) 기준: 데이터에 접근하는 도구
데이터와 시스템에 접근할 수 있는 권한을 가진 임직원의 단말기도 명확한 기준에 따라 식별되어야 합니다.
사내 단말기: 임직원 업무용 PC 및 노트북, 테스트용 모바일 기기 등
개발자 PC 유의사항: 일반 임직원 PC와 달리 소스코드를 로컬에 다운로드하거나 운영 시스템에 직접 접근할 수 있는 '개발자 PC'는 자산대장상에서 별도로 분류하거나 자산 중요도를 더 높게 책정하여 통제 기준을 차별화해야 안전합니다.
📋 정보자산 식별 및 준비를 위한 최종 체크리스트 (요약)
인증 심사에 앞서 우리 회사의 정보자산 관리대장이 올바르게 작성되었는지 아래 체크포인트를 통해 최종 점검해 보시기 바랍니다.
[ ] KISA 가이드라인 준수 : 한국인터넷진흥원(KISA)의 'ISMS-P 인증기준 안내서'에 명시된 자산 분류 기준(정보자산, 소프트웨어, 하드웨어, 서비스 등)을 준수하여 대장을 구성했는가?
[ ] 그림자 IT(Shadow IT) 점검 : 현업 부서에서 보안팀 몰래 결제하여 고객 정보나 업무 데이터를 다루고 있는 외부 SaaS 서비스가 누락 없이 포함되었는가?
[ ] 테스트/방치 자산 확인 : 개발팀에서 테스트 목적으로 임시 개설한 후 장기간 방치되어 있는 인스턴스나 서버가 자산대장에 반영되어 있는가?
[ ] 자산 중요도(CIA) 평가 : 식별된 모든 자산에 대해 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability) 기준에 따른 상/중/하 등급 평가가 완료되었는가?
[ ] 소유자(Owner) 지정 : 각 자산별로 관리 책임자와 운영 담당자가 명확히 지정되어 있으며, 인사 이동 시 현행화되는 프로세스가 존재하는가?
글을 마치며
정보자산 관리대장은 심사 직전에 급하게 만들어 제출하는 1회성 서류가 아닙니다. 자산이 누락되면 그 자산에 존재하는 취약점도 식별할 수 없고, 결국 전체 보안 체계에 거대한 공백이 발생하게 됩니다. 정기적인 자산 실사와 조직 변경 프로세스를 연동하여 '현행화된 자산대장'을 유지하는 것이 ISMS 인증 성공의 핵심입니다.
우리 회사 환경에 맞는 자산 식별 가이드라인 수립이나 클라우드 자산 그루핑 기준 정립에 어려움을 겪고 계신다면, 문의해 주시기 바랍니다. 조직의 상황에 꼭 맞는 실무적인 인사이트를 제공해 드리겠습니다.
전도훈 | jdh@cela.kr