ISMS-P 최초 인증 준비 체크리스트와 증적 관리 예시

ISMS-P 최초 인증은 대상 서비스와 시스템을 정하고, 보호조치별 담당자와 실제 운영 기록을 연결하는 데서 시작합니다. 고객 계정과 주문 정보를 처리하는 가상의 웹서비스를 기준으로 준비 과정을 살펴봅니다.

최초 인증 준비 체크리스트

아래 8개 항목으로 담당 부서와 보유 기록을 먼저 확인해 보세요. 조직에 적용되는 세부 항목은 신청 범위와 공식 ISMS-P 인증기준을 기준으로 확인합니다.

  • 범위와 책임

    회원 웹·API·관리자 화면·클라우드·외부 수탁사 중 어디까지 포함하고 누가 책임지나요?

    담당 역할
    서비스 책임자, 보안·개인정보 담당
    증적 예시
    범위 정의서, 자산 목록, 역할 분담표, 개인정보 흐름도

  • 위험평가와 개선

    위험마다 처리 방안, 담당자, 기한이 정해져 있나요? 조치 결과는 누가 확인하나요?

    담당 역할
    보안 담당, 자산 책임자
    증적 예시
    위험평가표, 개선 계획, 조치 및 확인 기록

  • 계정과 접근권한

    입사·직무 변경·퇴직에 따라 권한을 승인하고, 변경이나 회수가 실제로 반영됐는지 확인하나요?

    담당 역할
    인사, IT 운영, 시스템 책임자
    증적 예시
    승인 요청, 권한 목록, 회수 로그, 검토 기록

  • 개발과 취약점 조치

    진단 대상과 범위를 정했나요? 발견한 취약점의 수정·배포·재검증 기록이 이어지나요?

    담당 역할
    개발, 보안, 서비스 운영
    증적 예시
    진단 범위 승인, 결과 요약, 수정 티켓, 배포 및 재검증 기록

  • 운영 로그와 복구

    로그 점검 결과를 남기나요? 백업으로 실제 복구할 수 있는지 확인했나요?

    담당 역할
    인프라·클라우드 운영
    증적 예시
    로그 검토 기록, 백업 실행 기록, 복구 시험 결과

  • 수집·이용·제공·파기

    가입부터 탈퇴까지 개인정보가 어디로 이동하고 언제 어떤 절차로 파기되나요?

    담당 역할
    개인정보 담당, 서비스 운영
    증적 예시
    처리 흐름도, 수집 화면, 처리방침, 보유기간 기준, 파기 기록

  • 위탁과 권리 대응

    수탁사와 처리 범위를 파악했나요? 열람·삭제 등 요청이 접수부터 처리까지 추적되나요?

    담당 역할
    개인정보 담당, 구매, 고객지원
    증적 예시
    위탁 목록, 계약 검토와 수탁사 점검 기록, 권리 요청 처리 기록

  • 사고 대응과 내부 점검

    사고 보고·대응 절차를 실행할 수 있나요? 내부 점검에서 찾은 문제를 개선까지 관리하나요?

    담당 역할
    보안·개인정보 담당, 경영진
    증적 예시
    대응 훈련 기록, 내부 점검 결과, 시정조치와 확인 기록

증적 관리대장 예시

점검 항목에서 실제 작업 기록과 확인 결과를 찾을 수 있게 대장을 구성합니다. 아래 대상, 날짜, 식별자, 처리 기록은 모두 가상입니다. 확인 시점도 예시로, 조직의 절차에 맞춰 정합니다.

EV-025

관리자 권한 회수

대상·수행일
주문 관리자 계정 A-014 · 2026-10-07
담당·확인자
IT 운영 담당 회수, 서비스 책임자 확인
원본 참조·결과
IAM-014 — 권한 회수 승인, 처리 티켓, 권한 회수 로그, 회수 후 관리자 화면에 접속할 수 없는지 확인한 기록
다음 확인
퇴직·직무 변경 시 처리하고 조직의 권한 검토 일정에 맞춰 목록과 대조

EV-032

웹 API 진단 및 조치

대상·수행일
주문 조회 API 접근권한 · 2026-10-14
담당·확인자
개발팀 수정, 보안 담당 재검증
원본 참조·결과
SEC-032 — 범위 승인, 진단 요약, 수정 및 배포 기록, 다른 사용자의 주문 정보 조회가 차단됐는지 확인한 결과
다음 확인
관련 권한 로직 변경 시 재시험

대장에는 원본 위치와 접근 권한을 기록하고, 개인정보가 담긴 원본은 접근을 제한한 저장소에 둡니다. 재검증이 남은 항목에는 담당자와 기한을 지정하고, 검증 결과를 남긴 뒤 완료로 표시합니다.

심사 준비 전에 확인할 것

  1. 대상 시스템과 외부 처리업체가 자산 목록과 개인정보 흐름도에 모두 반영됐는지 대조합니다.
  2. 관리체계 운영, 보호대책, 개인정보 처리 단계별 요구사항에 해당하는 운영 기록과 담당자를 연결합니다.
  3. 최근 수행일, 승인·검토 결과, 예외 사유와 개선 기한을 확인합니다. 문서에 정한 절차가 실제 운영 기록에서도 이어지는지 살펴봅니다.

공식 기준과 안내서는 ISMS-P 자료실에서 확인할 수 있습니다.

엘앤제이테크 인증컨설팅 안내