ISO 27001 인증 취득 절차 단계

[최인권]

 다음은 ISO 27001 인증 취득 절차의 주요 단계입니다:

1. 준비 단계

1) 요구사항 파악: ISO 27001 표준의 요구사항을 이해하고, 정보 보안의 주요 영역을 파악합니다.
2) 범위 설정: 인증을 받을 정보 보안 관리 시스템의 범위를 설정합니다. (예: 특정 부서, 시스템, 사업 부문 등)
3) 경영진 승인 및 지원: ISMS 구축과 인증을 위한 경영진의 지원을 확보합니다.
4) 자원 배치: 프로젝트를 수행할 담당자와 필요한 예산을 마련합니다.

2. 리스크 평가 및 관리 체계 구축

1) 정보 자산 식별: 보안이 필요한 정보 자산을 식별하고 분류합니다.
2) 리스크 평가 수행: 각 자산에 대한 위협과 취약점을 평가하여 리스크 수준을 파악합니다.
3) 리스크 처리 계획 수립: 평가된 리스크를 처리하기 위한 계획을 세우고, 이를 통제하는 방법 (예: 위험 감소, 수용, 회피 등)을 결정합니다.
4) 보안 정책 및 절차 수립: 정보 보안 정책을 수립하고, 접근 제어, 물리적 보안, 네트워크 보안 등 구체적인 절차를 문서화합니다.

3. 정보 보안 관리 시스템(ISMS) 운영

1) ISMS 실행: 수립한 정책과 절차에 따라 정보 보안 관리 시스템을 운영합니다.
2) 직원 교육: 보안 정책과 절차를 모든 직원이 이해하고 따르도록 교육합니다.
3) 문서화 및 기록 관리: 운영 중 발생하는 각종 활동, 리스크 관리, 성과 등을 문서화하여 기록으로 남깁니다.
4) 보안 통제 모니터링: ISMS가 효과적으로 운영되는지 정기적으로 점검하고, 개선이 필요한 부분을 확인합니다.

4. 내부 감사 및 경영 검토

1) 내부 감사 수행: 정기적으로 내부 감사를 수행하여 ISMS의 적합성과 효과를 평가합니다.
2) 경영 검토: 경영진이 ISMS의 성과와 리스크를 검토하고, 필요한 개선 조치를 지시합니다.
3) 개선 조치 시행: 내부 감사 및 경영 검토 결과를 바탕으로 개선 사항을 실행하고 문서화합니다.

5. 인증 기관에 인증 신청 및 준비

1) 인증 기관 선택: 신뢰할 수 있는 ISO 27001 인증 기관을 선택하여 인증을 신청합니다.
2) 문서 검토 준비: 인증 심사를 위한 모든 문서와 기록을 정리합니다.

6. 인증 심사

1) 1단계 심사: 인증 기관에서 문서 검토를 통해 ISMS가 ISO 27001 요구사항을 충족하는지 평가합니다. 보완이 필요한 사항이 있다면 지적 사항을 개선합니다.
2) 2단계 심사: 실질적인 심사로, 현장 방문을 통해 ISMS가 실제로 운영되고 있는지 확인하고, 정보 보안 관리 절차가 표준에 맞게 작동하는지 평가합니다.
3) 시정 조치: 심사에서 지적된 부적합 사항에 대해 시정 조치를 취하고, 이를 인증 기관에 보고합니다.

7. 인증 획득 및 유지 관리

1) ISO 27001 인증서 발급: 심사를 통과하면 ISO 27001 인증서를 발급받습니다.
2) 정기 사후 심사: 매년 또는 주기적으로 인증 기관에서 사후 심사를 수행하여 ISMS의 지속적인 운영을 확인합니다.
3) 갱신 심사: 인증이 만료되기 전 갱신 심사를 통해 인증을 연장합니다