ISMS-P 준비를 맡게 되면 가장 먼저 드는 걱정이 어떤 장비를 사야 하고 돈이 얼마나 드느냐입니다. 저도 처음 현장에서 인증 준비를 도왔을 때 솔루션부터 사 놓고 나중에 항목이 맞지 않아 다시 손본 적이 있습니다. 오늘은 ISMS-P 솔루션을 영역별로 나누고, ISMS-P 준비 비용이 어디에 들어가는지 정리해 보겠습니다.
ISMS-P 솔루션은 무엇부터 갖춰야 하나
먼저 알아 둘 점은 인증 기준에 반드시 사야 하는 특정 제품이 정해져 있지 않다는 것입니다. 인증 기준은 통제 항목 102개를 충족했는지를 보기 때문에, 제품이 아니라 요구 사항을 만족하는 방법이 핵심입니다. 그래서 솔루션보다 현황 점검인 갭 분석을 먼저 하셔야 불필요한 지출을 막을 수 있습니다.
갭 분석이 먼저인 이유
갭 분석은 우리 회사의 현재 체계를 인증 항목과 하나씩 대조하는 작업입니다. 이미 있는 장비로 충족되는 항목과 새로 필요한 항목이 나뉘고, 그에 따라 구매 목록이 크게 줄어듭니다. 담당자 한 명이 한두 달 집중해서 정리해 두면 이후 계획이 훨씬 수월합니다.
영역별 ISMS-P 솔루션 4가지
첫째는 접근통제입니다. 서버와 데이터베이스 접근제어, 계정 권한 관리, 다중인증이 여기에 속합니다. 둘째는 로그 관리와 모니터링으로, 접속 기록을 모으고 이상 징후를 찾아내는 영역입니다. 셋째는 개인정보 보호로, 암호화와 마스킹, 유출 방지 기능이 필요합니다. 넷째는 취약점 점검과 단말 보안으로, 서버 점검 도구와 백신, EDR이 해당합니다.
규모에 따른 선택
직원 수가 적은 회사는 네 가지를 한 번에 사기보다 클라우드형 서비스나 통합 제품으로 시작하는 경우가 많습니다. 반대로 개인정보를 대량으로 다루는 곳은 개인정보 보호 영역에 비중을 두셔야 합니다. 같은 기능이라도 제품 구성에 따라 견적 차이가 크게 날 수 있습니다.
ISMS-P 준비 비용은 어디에 드는가
ISMS-P 준비 비용은 크게 컨설팅비, 솔루션 도입비, 심사 수수료, 내부 인건비로 나뉩니다. 컨설팅은 회사 규모와 범위에 따라 수천만 원대 이상으로 벌어지는 경우가 많고, 솔루션은 어떤 영역을 새로 갖추느냐에 따라 편차가 매우 큽니다. 심사 수수료는 심사 기간과 범위에 따라 정해지므로 인증기관에서 산정 방식을 확인하십시오. 눈에 잘 띄지 않는 것이 내부 인건비인데, 증적 자료를 정리하느라 담당자 몇 명의 업무 시간이 상당히 빠집니다. 금액은 모두 상황별로 다르니 참고용으로만 보십시오.
비용을 줄이는 방법은 인증 범위를 정하는 데 있습니다. 서비스 전체가 아니라 핵심 서비스와 관련 시스템으로 범위를 좁히면 심사 대상과 솔루션 수가 함께 줄어듭니다. 또한 유효기간 3년 동안 매년 사후심사가 있으므로 유지 비용까지 계획에 넣으셔야 합니다.
준비 과정에서 겪은 사례
직원 200명 규모의 한 온라인 서비스 회사는 솔루션 구매에 앞서 갭 분석을 먼저 진행했습니다. 그 결과 이미 쓰던 장비로 충족되는 항목이 꽤 많아 새로 도입한 솔루션은 로그 관리 한 가지로 줄었다고 합니다. 반면 정책 문서와 증적 자료를 만드는 데 예상보다 시간이 오래 걸려 일정이 한 달 늦어졌습니다. 담당자분은 장비보다 문서 준비에 힘을 더 실었어야 했다고 하셨습니다.
인증 기준과 절차는 KISA 정보보호 및 개인정보보호 관리체계 인증 사이트에서 최신 내용을 확인해 보실 수 있습니다.
함께 읽으면 좋은 글로 기업용 VPN 비교와 ZTNA 솔루션 차이 4가지, 비용 구조까지 정리도 올려 두었습니다.
정리하면 ISMS-P 솔루션은 제품 목록보다 갭 분석 결과를 먼저 보셔야 하고, ISMS-P 준비 비용은 범위를 어떻게 잡느냐에 따라 크게 달라집니다. 작은 범위에서 시작해 부족한 영역만 채워 가시길 권합니다. 이번 주에는 인증 항목과 우리 회사 현황을 대조하는 표부터 만들어 보시기 바랍니다.