ISO/IEC 27001:2022 정보보호 경영시스템 요구사항 해설서

[김의홍]

중소기업 기후공시, 공급망 실사대응 기반구축 사업

ISO/IEC 27001:2022

정보보호 경영시스템 요구사항 해설서

요구사항(4~10장) 및 부속서 A 정보보호 통제 상세 설명

지원기업	㈜대한민국
수행기관	한국경영시스템연구원
작성	한국경영시스템연구원 김의홍
기준 표준	ISO/IEC 27001:2022 / Amd 1:2024

2026년 11월

< 목  차 >

문서 개요

1. ISO/IEC 27001:2022 개요

1.1 표준의 목적  1.2 표준의 구성  1.3 적합성 원칙

1.4 2022년 개정 사항  1.5 2024년 개정(기후변화)

2. 주요 용어

3. 조직의 상황 (표준 4장)

4.1 조직과 조직의 상황 이해  4.2 이해관계자  4.3 적용 범위  4.4 정보보호 경영시스템

4. 리더십 (표준 5장)

5.1 리더십과 의지  5.2 정책  5.3 역할, 책임 및 권한

5. 계획 (표준 6장)

6.1 위험과 기회를 다루는 조치(위험평가·위험처리)  6.2 목표  6.3 변경의 계획

6. 지원 (표준 7장)

7.1 자원  7.2 역량  7.3 인식  7.4 의사소통  7.5 문서화된 정보

7. 운영 (표준 8장)

8.1 운영 계획 및 통제  8.2 위험평가  8.3 위험처리

8. 성과 평가 (표준 9장)

9.1 모니터링·측정·분석 및 평가  9.2 내부심사  9.3 경영검토

9. 개선 (표준 10장)

10.1 지속적 개선  10.2 부적합 및 시정조치

10. 필수 문서화된 정보 총괄

[부록 A] 부속서 A 정보보호 통제 93개 해설 및 적용 포인트

[부록 B] 조항별 준비 상태 자가점검표

문서 개요

이 해설서는 ㈜대한민국이 ISO/IEC 27001:2022 인증을 준비하면서, 표준 본문의 요구사항(4~10장)과 부속서 A 정보보호 통제를 조항별로 이해하고 무엇을 만들고 무엇을 기록해야 하는지 확인할 수 있도록 작성한 설명 자료입니다.

지원기업	㈜대한민국 (금융 컴플라이언스 솔루션 개발·공급: AML/RBA·FDS·FRAML, EAMS·RSGS·FATCA/CRS)
관련 사업	중소기업 기후공시, 공급망 실사대응 기반구축 사업 — ISO 27001:2022 정보보호경영시스템 구축 및 인증 취득 지원
기준 표준	ISO/IEC 27001:2022 정보보호, 사이버보안 및 개인정보보호 — 정보보호 경영시스템 — 요구사항 (제3판), ISO/IEC 27001:2022/Amd 1:2024
참조 표준	ISO/IEC 27002:2022 정보보호 통제, ISO/IEC 27000:2018 개요 및 용어, ISO 31000:2018 위험관리

읽는 방법

3장부터 9장까지는 조항마다 다음 다섯 항목으로 구성된 표로 설명합니다.

항목

내용

유의사항
▪ 이 자료는 표준 원문이 아닌 해설입니다. 요구사항의 정확한 문구는 정식 구매한 표준을 함께 확인하시기 바랍니다.
▪ 적용 범위, 위험평가 기준, 목표 수치 등 회사 고유 사항은 예시입니다. 현황진단(갭분석) 후 협의하여 확정합니다.
▪ 본문에는 핵심 요구사항을 담고, 부속서 A 통제 93개 해설과 자가점검표는 부록으로 정리했습니다.

1. ISO/IEC 27001:2022 개요

ISO/IEC 27001:2022는 정보보호 경영시스템(ISMS)을 수립·구현·유지하고 지속적으로 개선하기 위한 요구사항을 정한 국제표준이며, 제3자 인증심사의 기준이 됩니다. 2022년 10월 제3판이 발행되었고, 2024년 개정(Amd 1)으로 기후변화 고려가 추가되었습니다.

1.1 표준의 목적

ISMS는 위험관리 프로세스를 적용하여 정보의 기밀성·무결성·가용성을 보존하고, 위험이 적절히 관리된다는 확신을 이해관계자에게 제공합니다(0.1 일반사항). ISMS는 조직의 프로세스와 전체 경영 구조의 일부로 통합되어야 하며, 정보보호는 프로세스·정보시스템·통제를 설계할 때부터 고려되어야 합니다.

이엘온소프트의 핵심 이해관계자는 은행·보험·증권·카드사 등 금융회사 고객사, 금융·개인정보 감독기관, 임직원입니다. 따라서 ISMS의 성과는 ‘고객사 정보를 안전하게 다룬다는 것을 객관적으로 증명할 수 있는가’로 판단됩니다.

1.2 표준의 구성

표준은 모든 ISO 경영시스템 표준이 공통으로 사용하는 구조(부속서 SL, Harmonized Structure)를 따릅니다. ISO 9001·ISO 14001과 장 번호·제목이 같아 통합 운영이 쉽습니다.

장

제목

성격

PDCA

주요 내용

1.3 적합성 원칙

▪ 4~10장은 제외할 수 없습니다. 표준 1장은 4~10장의 요구사항 중 어느 하나라도 제외하면 이 표준에 대한 적합성을 주장할 수 없다고 명시합니다.

▪ 부속서 A 통제는 위험평가 결과로 결정합니다. 필요한 통제를 정한 뒤 93개 통제 전부와 비교하고, 적용·제외 여부와 근거를 적용성 보고서(SoA)에 기록합니다. 통제를 제외할 수는 있지만 그 근거가 있어야 합니다.

▪ 규모와 업종에 맞게 적용합니다. 요구사항은 모든 조직에 적용되지만, 문서의 양과 운영 방식은 회사 규모, 업무의 복잡성, 인력 역량에 맞게 정할 수 있습니다(7.5.1 주석).

▪ 조항 순서는 중요도나 수행 순서가 아닙니다. 실제 구축은 보통 4장(범위) → 6장(위험평가) → 부속서 A → 7·8장(운영) → 9·10장(평가·개선) 순으로 진행합니다.

1.4 2022년 개정 주요 변경사항

2013판 인증서의 전환 기한은 2025년 10월 31일로 종료되었으며(IAF MD 26), 현재 인증심사는 2022판으로만 진행합니다.

조항

변경 내용

실무 영향

1.5 2024년 개정(Amd 1:2024) — 기후변화

2024년 2월 ISO는 경영시스템 표준 전반에 기후변화 고려를 추가했습니다. ISO/IEC 27001에는 다음 두 가지가 반영되었습니다.

▪ 4.1: 조직은 기후변화가 관련 이슈인지 결정해야 합니다.

▪ 4.2 주석: 관련 이해관계자는 기후변화와 관련된 요구사항을 가질 수 있습니다.

본 사업이 기후공시·공급망 실사대응 사업인 만큼, 이슈 분석표에 기후변화 항목과 판단 근거(예: 데이터센터·클라우드 리전의 자연재해 영향, 고객사의 협력사 ESG 평가 요구)를 반드시 기록합니다. ‘관련 없음’으로 판단하는 경우에도 그 근거를 남겨야 합니다.

2. 주요 용어

ISO/IEC 27001은 ISO/IEC 27000의 용어를 사용합니다. 문서 작성과 심사 대응에서 자주 쓰는 용어를 정리했습니다.

용어

의미

이엘온소프트 예시

※ 표준 번역본에서는 ‘내부 감사’, ‘위험해결’로 표기하기도 합니다. 이 자료에서는 국내 인증 실무 용어인 ‘내부심사’, ‘위험처리’를 사용합니다.

정보보호 경영시스템 요구사항 해설서 전체 내용 클릭

귀사의 지속가능한 성장과 진정한 행복을 위한 파트너, 김의홍 대표전문위원

ISO 42001(인공), ISO 9001(품질), ISO 14001(환경), ISO 45001(안전), ISO 22000(식품), ISO 22716(화장품),

ISO 27001(보안), ISO 27701(개인정보), ISO 27017(클라우드 서비스 정보보호), ISO 37301(준법경영),

ISO 37001(부패방지), ISO 37002(내부고발관리), ISO 30415(인적 다양성), ISO 50001(에너지),

ISO 13485(의료기기), ISO 22301(비즈니스 연속성), ISO 26000(사회적 책임), ISO 14064(온실가스 배출량 검증),

ISO 10002(고객만족경영), ISO 30301(문헌-기록), ISO 15489(기록관리), ISO 23081(기록 메타데이터),

ISO 13008(디지털 기록), ISO 53001(UN지속가능,ESG), SA8000(사회적 책임 경영), HACCP(식품안전),

FSSC22000(식품안전), IATF 16949(자동차), AI Tool 등 다양한 국제 인증 문의는 언제든지 환영합니다.

또한, 사업계획서, 제안서, 정책자금, 연구소인증, 벤처인증, 메인비즈인증, 이노비즈인증, 정책자금, 연구개발과제,

KS, KC, NEP, NET 인증, 조달등록, 혁신제품인증, 녹색인증, 병역특례인증, 위험성평가인증, 중대재해처벌대응,

지속가능보고서 획득 지원을 통해 귀사의 성공적인 비즈니스를 지원해 드립니다.

ISO 국제인증 전문기관 김의홍 대표전문위원에게 연락 주십시오.

AI PPT 제작 실무 교육(중소기업 출강/특강)

AI 싱크탱크 김의홍 010-8763-6739 seouls9001@naver.com