ISMS-P 클라우드 증적자료, 어디까지 준비해야 할까요? : AWS 환경 실무 가이드
- 6월 25일
- 4분 분량
ISMS-P 클라우드 증적자료, 어디까지 준비해야 할까요? : AWS 환경 실무 가이드
Written by Eunjin Ryu
ISMS, ISMS-P 인증을 준비하는 기업이 가장 먼저 마주하는 실무적 과제는 증적(證跡)자료의 확보입니다. 특히 AWS와 같은 클라우드 환경에서 서비스를 운영하는 기업이라면, 어떤 자료를 어디까지 증적으로 준비해야 하는지에 대한 기준이 명확하지 않아 어려움을 겪는 경우가 많습니다.
이 글은 ISMS-P 인증을 직접 취득한 스마일샤크의 경험을 바탕으로, AWS 환경에서 증적자료를 준비하기 위한 기준과 방법을 정리한 가이드입니다. 인증 의무대상 여부나 보관 기간 등 제도의 세부 기준은 시기에 따라 달라질 수 있으므로, 구체적 수치는 한국인터넷진흥원(KISA)의 공식 안내서와 ISMS-P 인증제도 홈페이지(https://isms-p.or.kr/)를 함께 확인하시기를 권장드립니다.
이 글에서 다루는 내용은 ISMS에도 동일하게 적용되지만, 편의상 ISMS-P로 통칭하여 설명하겠습니다.
INDEX
1. ISMS-P 인증심사에서 증적자료가 갖는 의미
ISMS-P 인증심사는 서면심사와 현장심사가 병행하여 진행됩니다. 서면심사 단계에서는 정책·지침·매뉴얼 등 내부 규정의 존재 여부와 함께, 신청기관이 제출한 증적자료를 통해 관리체계가 실제로 적정하게 운영되고 있는지를 확인합니다. 현장심사 단계에서는 기술적·물리적 보호대책의 이행 여부를 담당자 면담과 시스템 확인을 통해 검증합니다.
여기서 핵심은, 증적자료가 단순한 부속 서류가 아니라 인증 통과 여부를 결정하는 객관적 증거라는 점입니다. 정책 문서에 기술된 내용이 실제로 운영되고 있음을 입증하는 자료가 곧 증적이며, 이것이 부실하거나 누락되면 결함으로 처리됩니다.
또한 ISMS-P는 인증을 신청하기 전에 관리체계를 일정 기간 이상 실제로 운영한 증거를 갖추도록 요구합니다. 즉, 증적은 인증심사 직전에 단기간에 만들어낼 수 있는 것이 아니라, 일정 기간에 걸쳐 연속적으로 축적되어야 하는 자료입니다. 이 점이 증적 준비를 인증 준비의 가장 이른 단계부터 시작해야 하는 이유입니다.
2. 클라우드 서비스 유형별 증적 수집 범위
클라우드 환경에서 증적 수집의 출발점은 '책임 범위'를 정확히 이해하는 것입니다. AWS와 같은 클라우드 서비스는 제공자와 이용자가 보안 책임을 나누어 지는 구조이며, ISMS-P 인증범위 역시 이 책임 범위를 기준으로 설정됩니다.
KISA 안내서는 클라우드 서비스를 이용하여 서비스를 제공하는 경우, 클라우드 서비스 유형(IaaS, PaaS, SaaS)에 따른 책임 범위에 따라 신청기관이 직접 관리 가능한 영역을 인증범위에 포함하도록 규정하고 있습니다. 이를 정리하면 다음과 같습니다.
클라우드 유형 | 증적 수집 대상 |
IaaS | 운영체제(Guest OS), 미들웨어, 응용프로그램, 데이터베이스 등 직접 관리하는 영역 |
PaaS | 직접 관리하는 응용프로그램과 클라우드 제공자로부터 할당받은 계정·권한·비밀번호 |
SaaS | 응용프로그램과 관련하여 신청기관이 관리 가능한 영역(계정·권한 관리, 비밀번호 등) |
이 구분에서 알 수 있듯이, 클라우드 환경에서 무엇을 증적으로 준비해야 하는지는 '신청기관이 직접 관리하는 영역이 어디까지인가'에 따라 달라집니다. 같은 AWS를 쓰더라도 IaaS로 서버를 직접 운영하는 경우와 SaaS를 이용하는 경우의 증적 범위는 크게 달라집니다. 따라서 증적 준비의 첫 단계는 자사가 클라우드를 어떤 형태로 이용하고 있는지, 그에 따라 직접 관리하는 영역이 어디까지인지를 구분하는 것입니다.
3. 무엇을, 어디서 수집하는가
ISMS-P의 인증기준 항목은 크게 세 영역으로 구성됩니다. 그중 클라우드 환경에서 증적 확보가 특히 중요한 ‘2.보호대책 요구사항’ 항목을 중심으로 살펴보겠습니다. 다만 같은 통제라도 어떤 서비스로 구현하는지는 기업의 환경에 따라 다르므로, 아래 내용은 대표적인 예시로 참고하시기 바랍니다.
접근통제 영역(2.5 인증 및 권한관리, 2.6 접근통제)
누가, 언제, 어떤 시스템에 접근했는지를 입증해야 합니다. 사용자 계정과 권한의 부여·검토 현황, 다중 인증(MFA) 적용 현황, 서버 접속 세션 기록 등이 핵심 증적이 되며, 계정·권한 관리(예: IAM)나 접속 통제(예: Systems Manager) 관련 기능을 활용해 이를 확보할 수 있습니다.
암호화 영역(2.7 암호화 적용)
저장 데이터와 전송 데이터의 암호화 적용 현황을 입증해야 합니다. 저장 데이터는 스토리지·데이터베이스의 암호화 적용 상태와 암호화 키 관리 정책(예: KMS), 전송 데이터는 통신 구간의 보안 인증서 적용 현황(예: ACM) 등이 증적에 해당합니다.
변경관리 영역(2.9 시스템 및 서비스 운영관리)
시스템 구성이 언제, 어떻게 변경되었는지에 대한 이력을 확보해야 합니다. 변경 이력을 사후에 기록하는 것(예: CloudTrail의 API 활동 기록)뿐 아니라, 변경 전에 승인을 거치는 절차와 변경 후 문제가 생겼을 때 이전 상태로 되돌릴 수 있는 롤백 체계까지 갖추는 것이 중요합니다.
코드 기반의 배포·형상관리 도구(예: AWS Code 시리즈)를 활용하면 승인 이력과 변경 이력을 함께 남길 수 있습니다. 다만 소스코드 형상관리 도구의 변경 이력 등 일부 자료는 신청기관 측에서 별도로 준비해야 하는 경우가 있습니다.
백업 및 복구 영역(2.9 시스템 및 서비스 운영관리)
데이터가 정기적으로 백업되고 있으며 복구가 가능함을 입증해야 합니다. 백업 작업의 수행 이력, 백업 대상과 복구 지점, 성공·실패 여부 등이 증적이 되며, 백업 관리 서비스(예: AWS Backup)를 통해 이러한 기록을 남길 수 있습니다.
보안 모니터링과 취약점 관리 영역(2.10 시스템 및 서비스 보안관리, 2.11 사고 예방 및 대응)
위협을 탐지하고 대응하는 체계가 운영되고 있음을 입증해야 합니다. 위협 탐지 내역, 웹 방화벽의 차단 기록, 정기 취약점 점검 결과와 조치 이력 등이 포함되며, 위협 탐지(예: GuardDuty), 웹 방화벽(예: WAF), 취약점 점검(예: Inspector) 등의 서비스가 활용됩니다.
이처럼 AWS 환경의 증적은 대부분 클라우드 서비스가 생성하는 로그와 설정 정보의 형태로 존재합니다. 따라서 증적을 효과적으로 확보하려면, 필요한 로그가 빠짐없이 수집되고 일정한 체계로 보관되도록 사전에 환경을 구성해 두는 것이 중요합니다.
4. 성공적인 클라우드 증적 수집을 위한 네 가지 접근
AWS 환경에서 증적을 확보할 때는, 단순히 '모으는' 것을 넘어 심사에서 신뢰받는 형태로 갖추는 것이 중요합니다. 다음 네 가지가 핵심입니다.
첫째, 증적의 연속성입니다. 증적은 특정 시점의 스냅샷이 아니라 일정 기간에 걸쳐 끊김 없이 축적된 기록이어야 합니다. 로그가 중간에 비거나 백업 이력에 공백이 있으면, 그 기간 동안 통제가 작동했는지 입증할 수 없습니다. 인증은 일정 기간 이상의 지속적인 운영 기록을 요구하므로, 그 기간 내내 로그와 백업이 공백 없이 쌓이도록 사전에 수집 체계를 구성해 두어야 합니다.
둘째, 자동화입니다. 증적을 사람이 수작업으로 모으는 방식은 누락과 오류를 피하기 어렵습니다. 로그 수집을 자동화하고, 정책에 어긋나는 설정이나 이상 징후를 자동으로 탐지해 담당자에게 알리도록 구성하면, 증적이 안정적으로 축적될 뿐 아니라 문제를 조기에 발견해 조치한 이력까지 함께 남습니다. 이렇게 남은 '탐지 → 조치' 기록은 그 자체로 통제가 실제 작동하고 있음을 보여주는 강력한 증적이 됩니다.
셋째, 문서와 실제의 일치입니다. 심사에서 가장 흔히 지적되는 부분이 정책 문서의 내용과 실제 운영 상태가 다른 경우입니다. 정책에 '이렇게 한다'고 기술되어 있다면 실제 환경도 그렇게 설정되어 있어야 하고, 그 일치 여부를 증적으로 보여줄 수 있어야 합니다. 문서와 실제 설정이 어긋나는 부분이 없는지 정기적으로 점검하는 것이 결함을 예방하는 핵심입니다.
넷째, 변경 불가능성(Immutability)입니다. 증적은 위·변조되지 않았다는 신뢰가 핵심입니다. 중요 로그를 객체 잠금(예: Object Lock)과 같이 일정 기간 동안 관리자 권한으로도 삭제·수정할 수 없는 형태로 보관하면, 증적이 사후에 조작되지 않았음을 기술적으로 보장할 수 있습니다. 이러한 보관 방식은 증적의 신뢰성에 대한 심사자의 의문을 사전에 해소해 줍니다.
5. ISMS-P 심사 대응, 믿을 수 있는 파트너가 필요한 때
클라우드 환경의 증적 준비는 단순히 자료를 모으는 일이 아닙니다. 통제 항목별로 필요한 증적을 파악하고, 공백 없이 축적되며 위·변조되지 않도록 체계를 갖추어야 합니다. 특히 클라우드 환경에서는 어떤 서비스의 어떤 설정과 로그가 증적이 되는지를 정확히 알아야 하므로, AWS에 대한 깊은 이해와 인증 경험을 함께 갖춘 파트너와 준비하는 것이 효율적입니다.
스마일샤크는 클라우드 MSP 영역에서 ISMS-P 인증을 직접 취득한 AWS Premier Tier Partner로서, AWS 인프라와 보안 기술 영역에 특화된 심사 대응을 지원합니다. 구체적인 지원 범위는 기업의 환경과 인증 일정에 따라 달라지므로, 자세한 내용은 스마일샤크 상담을 통해 확인해보세요.
참고
한국인터넷진흥원(KISA), 「정보보호 및 개인정보보호 관리체계(ISMS-P) 인증제도 안내서」
ISMS-P 인증제도 홈페이지: https://isms-p.or.kr/
본 글에 기재된 인증 의무대상 기준, 인증기준 항목, 보관 기간 등 제도 관련 세부 사항은 관계 법령과 고시 개정에 따라 변경될 수 있습니다. 정확한 내용은 KISA 공식 안내서를 확인하시기 바랍니다.
