안녕하세요. [ISO 인증 성공 파트너]입니다.
ISO 27001 인증 심사를 앞둔 실무자들이 가장 머리 아파하는 문서 중 하나가 바로 적용성 보고서(SoA, Statement of Applicability)입니다. 쉽게 말해 "ISO 27001의 통제 항목(개정판 기준 93개) 중 우리 회사는 무엇을 지키고 있고, 무엇을 안 지키고 있는지"를 적는 문서입니다.
여기서 많은 기업이 실수하는 부분이 있습니다. "우리 회사는 다 잘하고 있습니다"를 보여주기 위해 모든 항목을 '적용'으로 체크하는 것입니다.
하지만 필요 없는 항목은 과감히 '제외(Exclusion)'하는 것이 효율적인 보안 운영의 핵심입니다. 오늘은 심사원도 고개를 끄덕이게 만드는 논리적인 '제외' 항목 설정법을 알려드립니다.
🚨 왜 '제외' 항목을 설정해야 할까?
인증 표준(ISO 27001 부속서 A)에 있는 모든 통제 항목이 모든 기업에 필요한 것은 아닙니다.
예를 들어, 소프트웨어만 개발하는 회사에 '제품 선적 구역의 물리적 보안' 항목을 적용한다면 어떨까요? 지킬 수도, 증적을 만들 수도 없는 억지스러운 보안 정책이 됩니다.
자사에 맞지 않는 통제 항목을 억지로 '적용'으로 두면, 심사 때 해당 항목의 이행 증적을 제시하지 못해 오히려 '부적합(NCR)'을 받게 됩니다. 따라서 명확한 근거를 바탕으로 제외 항목을 설정하는 것이 중요합니다.
💡 심사원을 납득시키는 '제외' 항목의 논리적 근거 3가지
제외 사유를 작성할 때는 단순히 "우리 회사는 안 합니다"가 아니라, 객관적이고 합리적인 근거를 제시해야 합니다.
1. 비즈니스 모델(업무 특성)에 의한 제외
우리 회사의 사업 영역이나 업무 프로세스상 해당 보안 통제가 원천적으로 발생할 수 없는 경우입니다.
- 통제 항목: A.8.31 보안 개발 환경 (기존 A.14.2.6)
- 제외 사유 예시: "당사는 자체적인 소프트웨어 개발을 수행하지 않으며, 모든 IT 시스템은 상용 솔루션을 구매하여 사용(운영)만 하므로 본 통제 항목을 제외함."
2. 물리적/환경적 제약에 의한 제외
회사 인프라 구조상 해당 항목을 적용할 대상 자체가 존재하지 않는 경우입니다.
- 통제 항목: A.7.7 깨끗한 책상 및 화면 정책 (Clean Desk)
- 제외 사유 예시: "당사의 인증 범위는 클라우드(AWS) 환경에서 운영되는 인프라 조직으로 한정되어 있으며, 물리적인 서류나 문서를 취급하는 사무 공간이 범위에 포함되지 않으므로 제외함."
3. 외주 위탁(Outsourcing)에 따른 제외 (주의 필요)
특정 업무를 100% 외주화하여 우리 회사가 직접 통제할 수 없는 경우입니다. 단, 이 경우 위탁 업체에 대한 '관리 감독' 항목은 반드시 적용해야 합니다.
- 통제 항목: A.7.13 장비 유지보수
- 제외 사유 예시: "당사는 자체 전산실 및 서버 장비를 보유하고 있지 않으며, 100% 클라우드(IaaS)를 이용 중입니다. 물리적 장비의 유지보수는 클라우드 서비스 제공자(CSP)의 책임 영역이므로 제외함."
📝 SoA 작성의 핵심: '위험평가(Risk Assessment)'와의 일치
가장 중요한 것은 SoA의 결과가 앞서 진행한 '위험평가' 결과와 일치해야 한다는 점입니다.
위험평가에서는 특정 서버의 해킹 위험이 '높음'으로 나왔는데, SoA에서는 해당 서버의 보안 통제 항목을 '제외'로 설정했다면 이는 심각한 논리적 오류이며 심사 실패로 직결됩니다.
🤝 전문가의 한마디: SoA는 우리 회사의 보안 나침반입니다
SoA는 귀찮은 서류 작업이 아니라, 우리 회사의 보안 체계가 어디를 향하고 있는지 보여주는 나침반입니다.
기업의 상황에 맞는 합리적인 적용/제외 항목 설정으로 심사 준비의 효율성을 극대화하시기 바랍니다.
SoA 작성에 어려움을 겪고 계시거나, 설정한 '제외 사유'가 심사에서 통용될지 전문가의 검토가 필요하시다면 언제든 문의해 주세요.
- Email: [npsol2010@gmail.com]
감사합니다.
'인증 가이드' 카테고리의 다른 글
| ISO 27701 도입 전 필수 확인: PII 컨트롤러 vs 프로세서 구분법 (0) | 2026.05.15 |
|---|---|
| 위험평가(Risk Assessment), 컨설팅 없이도 시작할 수 있는 단계별 가이드 (0) | 2026.05.14 |
| 정보보호 인증 범위(Scope) 설정 시 가장 많이 하는 실수 3가지 (0) | 2026.05.12 |
| ISO 27001:2022 개정판, 무엇이 달라졌나? (사업자가 꼭 알아야 할 4가지 테마) (0) | 2026.05.10 |
| [공지] ISO 인증의 막막함, 현장의 답을 드립니다: 안녕하세요, [ISO 인증 성공 파트너] 입니다. (0) | 2026.05.10 |
