ISO/IEC 27001을 처음 접하면 부속서 A의 통제항목 목록에 압도되기 쉽습니다. "이걸 다 해야 하나" 싶어집니다. 하지만 순서가 반대입니다.
먼저 '자산'을 본다
정보보안의 출발점은 통제가 아니라 내가 지켜야 할 정보 자산이 무엇인지 파악하는 것입니다. 고객 개인정보인지, 설계 도면인지, 소스코드인지에 따라 위험도 대응도 달라집니다.
자산을 정리하고 위험을 평가하면, 93개 통제항목 중 우리에게 필요한 것이 자연스럽게 추려집니다. 적용하지 않는 항목은 그 이유를 적용성 명세서(SoA)에 남기면 됩니다.
완벽보다 지속
정보보안에 '완성'은 없습니다. 위협은 계속 진화하고, 시스템도 함께 진화해야 합니다. 그래서 27001은 한 번의 프로젝트가 아니라 운영 체계입니다.
겁먹지 마세요. 무엇을 지킬지부터 정하면, 길이 보입니다.
참고 자료ISO 공식 · ISO/IEC 27001