기업의 정보보호를 이야기할 때 방화벽, 암호화, 접근권한과 같은 기술적 보안조치를 먼저 떠올리는 경우가 많습니다.
하지만 개인정보와 중요정보가 보관된 서버실에 비인가자가 출입할 수 있거나, 퇴직자의 출입카드가 회수되지 않았거나, 개인정보가 포함된 문서와 저장매체가 잠금장치 없이 보관되고 있다면 기술적 보안조치만으로는 정보를 안전하게 보호하기 어렵습니다.
그래서 개인정보보호 관련 법령과 ISMS-P 인증기준에서는 시설·장비·문서·저장매체 등에 대한 물리적 보호조치도 중요한 보안요건으로 다루고 있습니다.
물리보안은 단순히 출입문을 잠그거나 CCTV를 설치하는 것이 아닙니다. 보호가 필요한 장소를 구분하고, 출입권한을 통제하며, 방문자와 외부 작업자를 관리하고, 장비와 저장매체의 반출입 내역을 기록하는 일련의 관리체계를 의미합니다.
1. 물리보안은 법적 의무입니다
「개인정보 보호법」 제29조는 개인정보처리자에게 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 안전성 확보에 필요한 조치를 하도록 규정하고 있습니다. 이러한 안전조치에는 관리적·기술적 조치뿐만 아니라 물리적 조치도 포함됩니다.
구체적인 물리보안 기준은 「개인정보의 안전성 확보조치 기준」 제10조에서 확인할 수 있습니다.
2026년 7월 1일 시행된 현행 기준에 따르면 개인정보처리자는 다음과 같은 조치를 해야 합니다.
전산실, 자료보관실 등 개인정보를 보관하는 별도 장소가 있다면 출입통제 절차를 수립하고 운영해야 합니다.
개인정보가 포함된 서류와 보조저장매체는 잠금장치가 있는 안전한 장소에 보관해야 합니다.
개인정보가 포함된 보조저장매체의 반입과 반출을 통제하기 위한 보안대책을 마련해야 합니다.
즉, 서버실이나 문서보관실에 잠금장치를 설치하는 것만으로 충분한 것은 아닙니다.
누가 출입할 수 있는지, 출입권한은 어떤 절차로 부여·변경·회수하는지, 방문자와 외부 작업자는 어떻게 관리하는지, 출입기록을 실제로 점검하고 있는지까지 확인해야 합니다.
2. ISMS-P에서는 물리보안을 어떻게 확인할까요?
ISMS-P는 기업의 정보보호 및 개인정보보호 활동이 인증기준에 적합하게 운영되는지를 확인하는 제도입니다. 인증범위에는 정보서비스 운영에 필요한 조직과 정보자산뿐만 아니라 물리적 위치도 포함됩니다.
ISMS-P 인증기준의 2.4 물리보안 영역은 다음 7개 항목으로 구성됩니다.
2.4.1 보호구역 지정
개인정보, 중요정보, 문서, 저장매체, 주요 설비 및 정보시스템을 보호하기 위해 보호가 필요한 장소를 식별하고 구역별 보호대책을 마련해야 합니다.
일반적으로 업무공간, 접견공간, 문서보관실, 전산실, 통신실 등을 중요도에 따라 접견구역·제한구역·통제구역 등으로 구분할 수 있습니다.
중요한 것은 명칭 자체보다 어떤 장소를 왜 보호구역으로 지정했으며, 각 구역에 어떤 통제를 적용하고 있는지를 명확하게 정하는 것입니다.
개인정보가 보관된 문서고가 있음에도 보호구역 현황에서 누락되어 있거나, 규정에는 서버실을 통제구역으로 지정했지만 실제 현장에는 관련 표시와 출입통제가 없다면 미흡사항이 될 수 있습니다.
2.4.2 출입통제
보호구역에는 업무상 필요한 인원만 출입할 수 있도록 출입권한을 제한해야 합니다.
출입권한을 부여할 때는 담당자의 승인절차를 거쳐야 하며, 부서 이동·직무 변경·퇴직 등이 발생한 경우에는 기존 권한을 즉시 변경하거나 회수해야 합니다.
방문자와 외부 작업자에 대해서도 다음과 같은 관리가 필요합니다.
방문 목적과 방문 대상자 확인
방문자 출입대장 작성
임시 출입카드 또는 방문증 발급
보호구역 출입 시 담당자 동행
방문 종료 후 출입카드 회수
출입기록의 정기적인 검토
출입카드가 설치되어 있어도 여러 사람이 하나의 카드를 공유하거나, 퇴직자의 출입권한이 남아 있거나, 출입기록을 한 번도 점검하지 않았다면 출입통제가 적절하게 운영된다고 보기 어렵습니다.
2.4.3 정보시스템 보호
서버, 네트워크 장비 및 개인정보처리시스템은 비인가자가 임의로 접근하거나 훼손할 수 없도록 안전한 장소에 설치해야 합니다.
외부 IDC나 데이터센터를 이용하는 경우에도 물리보안 책임이 완전히 사라지는 것은 아닙니다.
기업은 계약서, 보안약정서, 출입통제 절차, 작업 승인절차, 장비 반출입 절차 및 정기점검 결과 등을 통해 수탁시설의 물리보안 수준을 확인해야 합니다.
공용 IDC를 사용하는 경우에는 서버랙의 잠금 여부, 출입 가능 인원, 작업자 동행 여부 및 출입기록 제공 가능 여부 등도 확인할 필요가 있습니다.
2.4.4 보호설비 운영
정보시스템은 비인가자의 침입뿐만 아니라 화재, 정전, 누수, 온도 상승과 같은 환경적 위협으로부터도 보호되어야 합니다.
전산실과 서버실에서는 사업환경과 정보자산의 중요도를 고려하여 다음과 같은 보호설비를 운영할 수 있습니다.
UPS 및 비상전원 설비
화재 감지기와 소화설비
온도·습도 감지 및 냉방설비
누수 감지설비
CCTV와 침입 감지설비
비상연락망 및 장애대응 절차
보호설비를 설치했다면 정기적으로 점검하고, 점검 결과와 장애 발생 시 조치내역을 기록해야 합니다.
설비가 존재하더라도 배터리 교체주기를 확인하지 않거나, 소화설비 점검기록이 없거나, 온도 이상 경보가 정상적으로 전달되지 않는다면 실제 사고 발생 시 제대로 작동하지 않을 수 있습니다.
2.4.5 보호구역 내 작업
서버 유지보수, 네트워크 공사 또는 장비 교체를 위해 외부 작업자가 보호구역에 출입하는 경우에는 사전에 작업내용을 승인하고 작업과정을 통제해야 합니다.
작업 시에는 다음 사항을 관리하는 것이 좋습니다.
작업 목적, 일시 및 대상 장비
작업자 소속과 신원
작업 승인자
담당 직원의 동행 여부
반입 장비와 저장매체
작업 전후 변경사항
작업 완료 및 이상 유무 확인
단순히 방문자 출입대장만 작성하는 것이 아니라, 보호구역에서 누가 어떤 장비를 대상으로 어떤 작업을 수행했는지 확인할 수 있어야 합니다.
긴급작업으로 사전 승인이 어려웠다면 사후 승인과 작업내역 검토 절차도 마련할 필요가 있습니다.
2.4.6 반출입 기기 통제
정보시스템, 노트북, 모바일 기기 및 저장매체를 보호구역에 반입하거나 외부로 반출할 때는 정보유출과 악성코드 감염을 방지하기 위한 통제절차가 필요합니다.
주요 관리항목은 다음과 같습니다.
장비 및 저장매체의 반입·반출 승인
반입·반출 일시와 사유 기록
장비 소유자와 사용자 확인
악성코드 검사
중요정보 저장 여부 확인
필요 시 저장정보 삭제 또는 암호화
반출 후 반납 여부 확인
ISMS-P 심사에서는 절차의 존재뿐 아니라 반입·반출 관리대장, 작업계획서, 승인내역 등 실제 운영증적도 함께 확인합니다.
규정에는 책임자의 승인을 받도록 되어 있지만 관리대장에 승인 서명이 누락되어 있거나, 서버실에서 사용된 USB 저장매체의 이력을 확인할 수 없다면 미흡사항이 될 수 있습니다.
2.4.7 업무환경 보안
물리보안은 서버실에만 적용되는 것이 아닙니다.
일반 사무공간의 책상, 회의실, 문서고, 복합기, 공용 PC 및 개인 업무용 PC를 통해서도 개인정보와 중요정보가 노출될 수 있습니다.
따라서 기업은 클린데스크와 클린스크린 정책을 마련하고 정기적으로 이행 여부를 점검해야 합니다.
대표적인 업무환경 보안수칙은 다음과 같습니다.
자리를 비울 때 업무용 PC 화면 잠금
개인정보가 포함된 문서를 책상 위에 방치하지 않기
출력물을 복합기에 장시간 남겨두지 않기
중요문서를 잠금장치가 있는 서랍이나 문서함에 보관
비밀번호를 메모지에 적어 모니터에 부착하지 않기
회의 종료 후 화이트보드와 회의자료 정리
개인정보가 포함된 문서를 일반 쓰레기로 폐기하지 않기
퇴근 전 중요문서와 저장매체 정리
ISMS-P에서는 이러한 보호대책이 규정에만 존재하는 것이 아니라 정기적인 점검과 개선조치를 통해 실제로 운영되고 있는지를 확인합니다.
3. 컨설팅 현장에서 자주 확인되는 물리보안 미흡사례
물리보안 점검에서 발견되는 문제는 대부분 고가의 보안설비가 없어서 발생하기보다, 기본적인 관리절차와 운영증적이 부족해서 발생합니다.
| 출입권한이 장기간 방치된 경우 |
퇴직자, 휴직자 또는 부서 이동자의 출입권한이 그대로 남아 있거나 실제 출입권한자 현황과 관리대장이 일치하지 않는 경우입니다. 인사변동 시 즉시 권한을 변경하고, 정기적으로 출입권한의 적정성을 검토해야 합니다. |
4. 물리보안 점검 시 준비해야 할 주요 증적
5. 물리보안은 설비보다 ‘운영’이 중요합니다
 장세현 | jangsh@cela.kr |
기업의 정보보호를 이야기할 때 방화벽, 암호화, 접근권한과 같은 기술적 보안조치를 먼저 떠올리는 경우가 많습니다.
하지만 개인정보와 중요정보가 보관된 서버실에 비인가자가 출입할 수 있거나, 퇴직자의 출입카드가 회수되지 않았거나, 개인정보가 포함된 문서와 저장매체가 잠금장치 없이 보관되고 있다면 기술적 보안조치만으로는 정보를 안전하게 보호하기 어렵습니다.
그래서 개인정보보호 관련 법령과 ISMS-P 인증기준에서는 시설·장비·문서·저장매체 등에 대한 물리적 보호조치도 중요한 보안요건으로 다루고 있습니다.
물리보안은 단순히 출입문을 잠그거나 CCTV를 설치하는 것이 아닙니다. 보호가 필요한 장소를 구분하고, 출입권한을 통제하며, 방문자와 외부 작업자를 관리하고, 장비와 저장매체의 반출입 내역을 기록하는 일련의 관리체계를 의미합니다.
1. 물리보안은 법적 의무입니다
「개인정보 보호법」 제29조는 개인정보처리자에게 개인정보가 분실·도난·유출·위조·변조 또는 훼손되지 않도록 안전성 확보에 필요한 조치를 하도록 규정하고 있습니다. 이러한 안전조치에는 관리적·기술적 조치뿐만 아니라 물리적 조치도 포함됩니다.
구체적인 물리보안 기준은 「개인정보의 안전성 확보조치 기준」 제10조에서 확인할 수 있습니다.
2026년 7월 1일 시행된 현행 기준에 따르면 개인정보처리자는 다음과 같은 조치를 해야 합니다.
전산실, 자료보관실 등 개인정보를 보관하는 별도 장소가 있다면 출입통제 절차를 수립하고 운영해야 합니다.
개인정보가 포함된 서류와 보조저장매체는 잠금장치가 있는 안전한 장소에 보관해야 합니다.
개인정보가 포함된 보조저장매체의 반입과 반출을 통제하기 위한 보안대책을 마련해야 합니다.
즉, 서버실이나 문서보관실에 잠금장치를 설치하는 것만으로 충분한 것은 아닙니다.
누가 출입할 수 있는지, 출입권한은 어떤 절차로 부여·변경·회수하는지, 방문자와 외부 작업자는 어떻게 관리하는지, 출입기록을 실제로 점검하고 있는지까지 확인해야 합니다.
2. ISMS-P에서는 물리보안을 어떻게 확인할까요?
ISMS-P는 기업의 정보보호 및 개인정보보호 활동이 인증기준에 적합하게 운영되는지를 확인하는 제도입니다. 인증범위에는 정보서비스 운영에 필요한 조직과 정보자산뿐만 아니라 물리적 위치도 포함됩니다.
ISMS-P 인증기준의 2.4 물리보안 영역은 다음 7개 항목으로 구성됩니다.
일반적으로 업무공간, 접견공간, 문서보관실, 전산실, 통신실 등을 중요도에 따라 접견구역·제한구역·통제구역 등으로 구분할 수 있습니다.
중요한 것은 명칭 자체보다 어떤 장소를 왜 보호구역으로 지정했으며, 각 구역에 어떤 통제를 적용하고 있는지를 명확하게 정하는 것입니다.
개인정보가 보관된 문서고가 있음에도 보호구역 현황에서 누락되어 있거나, 규정에는 서버실을 통제구역으로 지정했지만 실제 현장에는 관련 표시와 출입통제가 없다면 미흡사항이 될 수 있습니다.
출입권한을 부여할 때는 담당자의 승인절차를 거쳐야 하며, 부서 이동·직무 변경·퇴직 등이 발생한 경우에는 기존 권한을 즉시 변경하거나 회수해야 합니다.
방문자와 외부 작업자에 대해서도 다음과 같은 관리가 필요합니다.
방문 목적과 방문 대상자 확인
방문자 출입대장 작성
임시 출입카드 또는 방문증 발급
보호구역 출입 시 담당자 동행
방문 종료 후 출입카드 회수
출입기록의 정기적인 검토
출입카드가 설치되어 있어도 여러 사람이 하나의 카드를 공유하거나, 퇴직자의 출입권한이 남아 있거나, 출입기록을 한 번도 점검하지 않았다면 출입통제가 적절하게 운영된다고 보기 어렵습니다.
외부 IDC나 데이터센터를 이용하는 경우에도 물리보안 책임이 완전히 사라지는 것은 아닙니다.
기업은 계약서, 보안약정서, 출입통제 절차, 작업 승인절차, 장비 반출입 절차 및 정기점검 결과 등을 통해 수탁시설의 물리보안 수준을 확인해야 합니다.
공용 IDC를 사용하는 경우에는 서버랙의 잠금 여부, 출입 가능 인원, 작업자 동행 여부 및 출입기록 제공 가능 여부 등도 확인할 필요가 있습니다.
정보시스템은 비인가자의 침입뿐만 아니라 화재, 정전, 누수, 온도 상승과 같은 환경적 위협으로부터도 보호되어야 합니다.
전산실과 서버실에서는 사업환경과 정보자산의 중요도를 고려하여 다음과 같은 보호설비를 운영할 수 있습니다.
UPS 및 비상전원 설비
화재 감지기와 소화설비
온도·습도 감지 및 냉방설비
누수 감지설비
CCTV와 침입 감지설비
비상연락망 및 장애대응 절차
보호설비를 설치했다면 정기적으로 점검하고, 점검 결과와 장애 발생 시 조치내역을 기록해야 합니다.
설비가 존재하더라도 배터리 교체주기를 확인하지 않거나, 소화설비 점검기록이 없거나, 온도 이상 경보가 정상적으로 전달되지 않는다면 실제 사고 발생 시 제대로 작동하지 않을 수 있습니다.
서버 유지보수, 네트워크 공사 또는 장비 교체를 위해 외부 작업자가 보호구역에 출입하는 경우에는 사전에 작업내용을 승인하고 작업과정을 통제해야 합니다.
작업 시에는 다음 사항을 관리하는 것이 좋습니다.
작업 목적, 일시 및 대상 장비
작업자 소속과 신원
작업 승인자
담당 직원의 동행 여부
반입 장비와 저장매체
작업 전후 변경사항
작업 완료 및 이상 유무 확인
단순히 방문자 출입대장만 작성하는 것이 아니라, 보호구역에서 누가 어떤 장비를 대상으로 어떤 작업을 수행했는지 확인할 수 있어야 합니다.
긴급작업으로 사전 승인이 어려웠다면 사후 승인과 작업내역 검토 절차도 마련할 필요가 있습니다.
정보시스템, 노트북, 모바일 기기 및 저장매체를 보호구역에 반입하거나 외부로 반출할 때는 정보유출과 악성코드 감염을 방지하기 위한 통제절차가 필요합니다.
주요 관리항목은 다음과 같습니다.
장비 및 저장매체의 반입·반출 승인
반입·반출 일시와 사유 기록
장비 소유자와 사용자 확인
악성코드 검사
중요정보 저장 여부 확인
필요 시 저장정보 삭제 또는 암호화
반출 후 반납 여부 확인
ISMS-P 심사에서는 절차의 존재뿐 아니라 반입·반출 관리대장, 작업계획서, 승인내역 등 실제 운영증적도 함께 확인합니다.
규정에는 책임자의 승인을 받도록 되어 있지만 관리대장에 승인 서명이 누락되어 있거나, 서버실에서 사용된 USB 저장매체의 이력을 확인할 수 없다면 미흡사항이 될 수 있습니다.
일반 사무공간의 책상, 회의실, 문서고, 복합기, 공용 PC 및 개인 업무용 PC를 통해서도 개인정보와 중요정보가 노출될 수 있습니다.
따라서 기업은 클린데스크와 클린스크린 정책을 마련하고 정기적으로 이행 여부를 점검해야 합니다.
대표적인 업무환경 보안수칙은 다음과 같습니다.
자리를 비울 때 업무용 PC 화면 잠금
개인정보가 포함된 문서를 책상 위에 방치하지 않기
출력물을 복합기에 장시간 남겨두지 않기
중요문서를 잠금장치가 있는 서랍이나 문서함에 보관
비밀번호를 메모지에 적어 모니터에 부착하지 않기
회의 종료 후 화이트보드와 회의자료 정리
개인정보가 포함된 문서를 일반 쓰레기로 폐기하지 않기
퇴근 전 중요문서와 저장매체 정리
ISMS-P에서는 이러한 보호대책이 규정에만 존재하는 것이 아니라 정기적인 점검과 개선조치를 통해 실제로 운영되고 있는지를 확인합니다.
3. 컨설팅 현장에서 자주 확인되는 물리보안 미흡사례
물리보안 점검에서 발견되는 문제는 대부분 고가의 보안설비가 없어서 발생하기보다, 기본적인 관리절차와 운영증적이 부족해서 발생합니다.
퇴직자, 휴직자 또는 부서 이동자의 출입권한이 그대로 남아 있거나 실제 출입권한자 현황과 관리대장이 일치하지 않는 경우입니다.
인사변동 시 즉시 권한을 변경하고, 정기적으로 출입권한의 적정성을 검토해야 합니다.
방문자가 사무실에 출입했지만 방문 목적, 피방문자, 입실 및 퇴실시간이 기록되지 않거나 방문증이 회수되지 않는 경우입니다.
서버실 등 중요구역에 출입했다면 담당자의 동행 여부와 수행한 작업까지 확인할 수 있어야 합니다.
출입통제 시스템에서 로그가 자동으로 생성되더라도 이를 정기적으로 확인하지 않는 경우입니다.
심야·휴일 출입, 반복적인 출입 실패, 권한이 없는 구역에 대한 출입 시도 등 이상징후를 점검하고 그 결과를 남기는 것이 좋습니다.
서버실에 종이상자, 개인 물품, 가연성 물질 또는 사용하지 않는 장비가 함께 보관되는 경우입니다.
화재 위험과 작업 방해 가능성을 줄이기 위해 불필요한 물품을 제거하고 장비 반입·반출 현황을 관리해야 합니다.
개인정보가 포함된 계약서, 신청서 및 USB 저장매체가 개방된 책장이나 서랍에 보관되는 경우입니다.
개인정보가 포함된 서류와 보조저장매체는 잠금장치가 있는 안전한 장소에 보관해야 합니다.
4. 물리보안 점검 시 준비해야 할 주요 증적
5. 물리보안은 설비보다 ‘운영’이 중요합니다
장세현 | jangsh@cela.kr