국제인증심사원 & 담당자를 위한 ISMS 실무가이드!
현업 프로젝트 적용가능한 국제표준 ISMS 실무서!
지난 2022년 10월 26일 국제표준화기구(ISO)는 ISO/IEC 27001:2022 표준에 대하여 3차 개정판을 발행하였습니다. 3차 개정판은 ISMS를 도입한 조직이 중요정보를 보호하기 위한 통제(control)를 더욱 효과적으로 관리할 수 있도록 총 네 가지 테마인 조직(Organisational), 인적(People), 물리적(Physical), 기술적(Technological) 으로 구분하고, 조직 내 정보보안이 무엇을 의미하는지를 경영진의 검토와 내부감사프로그램 계획 수립 등을 통하여 ISMS의 효과적 운영을 조금더 명확히 하였습니다. 또한, 조직의 프로세스와 전체 경영 구조의 일부분으로 통합하고, 주요 정보자산의 위험평가와 필요한 통제를 검토하여 정보보안, 클라우드 보안, 데이터 보안에 대한 모범 사례를 유지하고 새로운 지침과 일치하는지를 확인하도록 하여 조직의 정보보호의 중요성과 책임 소재를 분명히 하는 것이 목적으로 하고 있습니다.
ISO/IEC 27001:2022는 조직이 운영중인 정보자산에 대하여 기밀성, 가용성 및 무결성을 보호하는 것을 목표로 하는 국제적으로 인정된 표준으로 조직이 정보보안경영시스템(ISMS)을 구축, 구현, 유지 관리 및 지속적으로 개선하기 위한 요구 사항을 제공하며, ISMS의 채택은 조직의 전략적 결정에 집중하고 비즈니스 고유의 정보보안 위험 환경을 고려하는 데 도움을 줍니다. 또한, ISMS 수립 및 구현은 조직의 요구와 목표, 보안 요구사항, 사용되는 조직 프로세스, 조직의 규모와 구조에 영향을 받기도 합니다.
ISO/IEC 27001:2022 업데이트에는 기타 용어의 사소한 변경과 4절~10절 중에서 4.2, 6.2, 6.3, 8.1절에서 새로운 내용이 추가되었으며, 9.2.1 일반사항, 9.2.2 내부 감사 프로그램, 9.3.1 일반사항, 9.3.2 경영검토 입력, 9.3.3 경영검토 결과 요구사항이 추가되었지만, 조항의 제목과 순서는 그대로 유지되었습니다.
ISO/IEC 27001:2022 Annex(부속서) A에서 요구하는 통제항목인 ISO/IEC 27002 또한 지난 2022년 3월에 2022년버전으로 개정 발표되었으며 이번 3차 개정에도 일부 영향을 미쳤습니다.
Annex A의 통제항목수는 기존 2013버전의 114개 중에서 중복되는 항목을 일부 병합하여 93개로 감소했으며, 일부 통제는 더 이상 모범 사례를 반영하지 않기 때문에 제거되었습니다.
ISO/IEC 27002:2022은 기존 35개의 통제항목은 그대로 유지되고 23개의 통제항목은 이름이 바뀌었고, 57개의 통제항목은 24개의 통제항목으로 병합되었으며, 하나의 컨트롤은 두 개로 나누어졌습니다.
ISO/IEC 27002:2022버전은 정보보안 제어가 개정되고 A.5 조직 컨트롤 (37개), A.6 사람 컨트롤 (8개), A.7 물리적 컨트롤 (14개), A.8 기술적 컨트롤 (34개) 등 4개의 통제항목 그룹 또는 섹션과 93개의 새로운 제어로 보완 및 재구성되었습니다.
ISO/IEC 27002:2022에서 신규로 추가된 11개 통제항목은 다음과 같습니다.
5.07 Threat intelligence 위협 인텔리전스
5.23 Information security for use of cloud services 클라우드 서비스 이용을 위한 정보보안
5.30 ICT readiness for business continuity 비즈니스 연속성을 위한 ICT 준비
7.4 Physical security monitoring 물리적 보안 모니터링
8.09 Configuration management 구성 관리
8.10 Information deletion 정보 삭제
8.11 Data masking 데이터 마스킹
8.12 Data leakage prevention 데이터 유출 방지
8.16 Monitoring activities 모니터링 활동
8.23 Web filtering 웹 필터링
8.28 Secure coding 보안 코딩
