최근 기업의 정보 보호 중요성이 커지면서 정보보호 관리체계(ISMS)에 대한 관심도 계속 높아지고 있습니다. 이에 따라 보안 담당자들 사이에서는 ISMS 인증심사원 자격 취득에 대한 관심이 증가하고 있습니다.
하지만 개인 자격을 넘어 기업이 직접 ISMS 평가기관으로 지정받기 위해서는 다른 준비가 필요합니다. KISA(한국인터넷진흥원)의 심사를 통과하기 위해서는 업무 프로세스뿐 아니라 안전한 보안 인프라 환경이 갖춰져 있어야 하기 때문입니다.
- 평가기관 사업을 시작하려면 어떤 인프라가 필요할까?
- 전문 IT 인력이 부족한 경우 구축이 가능할까?
- KISA 심사를 준비하려면 어떤 환경을 만들어야 할까?
이번 글에서는 아이티이지가 진행한 한국경영인증원(KMR)의 인프라 구축 사례를 통해
ISMS 평가기관 인프라 구축 과정을 정리했습니다.
ISMS 평가기관 심사가 까다로운 이유
ISMS는 기업이 주요 정보 자산을 보호하기 위해 운영하는 보안 관리 체계입니다.
따라서 이 체계를 심사하는 기관 역시 높은 보안 수준을 유지해야 합니다.
KISA는 평가기관을 지정할 때 심사를 수행하는 기관의 보안 환경을 매우 중요하게 확인합니다.
이로 인해, 평가기관 인프라 구축 과정에서 많은 담당자들이 어려움을 겪습니다.
특히 IT 인프라 경험이 없는 경우 망분리 환경 설계, 보안 솔루션 구성 등 부담이 될 수 있습니다.
또한, KISA 심사는 시스템 구축에 실제 운영 환경까지 확인하기 때문에 준비가 더욱 까다롭게 느껴질 수 있습니다.
한국경영인증원(KMR)의 ISMS 인프라 구축 사례
이번 사례의 주인공은 한국경영인증원(KMR)입니다.
한국경영인증원은 다음과 같은 인증 서비스를 제공하는 기관입니다.
- ISO 인증
- ESG 경영 인증
- 탄소중립 검증
인증 건수 7,800건과 교육 수료 21,000명 이상의 실적을 보유하고 있었지만,
ISMS 평가기관 사업을 시작하기 위해서는 별도의 보안 인프라 구축이 필요했습니다.
기존 시스템으로는 KISA가 요구하는 망분리 환경과 데이터 보호 기준을 충족하기 어려웠기 때문입니다.
6주 동안 진행된 인프라 구축 과정
아이티이지는 한국경영인증원의 ISMS 평가기관 인프라 구축을 약 6주 동안 단계적으로 진행했습니다.
1~3주 차: 인프라 환경 구축
먼저 심사원들이 안전하게 업무를 수행할 수 있는 환경을 구축했습니다.
✅ AWS 기반 VDI 환경
외부에서도 안전하게 사내 시스템에 접속할 수 있도록 가상 데스크톱 환경을 구축했습니다.
이를 통해 심사 업무를 수행하는 과정에서 데이터가 외부로 유출되지 않도록 환경을 구성했습니다.
✅ 서버실 인프라 구성
클라우드 환경과 함께 네트워크 장비, 무선 AP, NAS 스토리지, 백업 시스템 등 물리 서버 인프라도 구축했습니다.
✅ 망분리 및 보안 솔루션 적용
업무망과 인터넷망을 분리하는 망분리 환경을 구축하고
데이터 유출 방지 (DLP), 백신 (AV) 솔루션을 적용해 보안 환경을 강화했습니다.
4주 차: 보안 정책 적용
시스템 구축 이후에는 KISA 요구 사항을 반영한 보안 정책을 적용했습니다. 구축된 서버 인프라와 보안 솔루션에 평가기관 운영을 위한 정책을 설정하여 심사 기준을 충족하도록 환경을 구성했습니다.
5주 차: 담당자 교육 및 모의 실사
새롭게 구축된 인프라 환경을 담당자가 안정적으로 운영할 수 있도록 운영 교육을 진행했습니다.
또한 실제 심사 상황에 대비하여 모의 실사를 통해 심사 대응 준비도 함께 진행했습니다.
6주 차: KISA 심사 대응
KISA 인증 심사 과정에서는 아이티이지의 기술 인력이 심사 대응을 지원했습니다.
그 결과 한국경영인증원은 6주 만에 KISA 인증 심사를 통과하고 ISMS 평가기관 사업을 시작하게 되었습니다.
ISMS 평가기관 인프라 구축을 준비하는 기업에게
ISMS 평가기관 인프라 구축 과정은 보안 환경 설계부터 심사 대응까지 다양한 준비가 필요한 과정입니다. 특히 다음과 같은 부분이 함께 준비되어야 합니다.
- 보안 인프라 구축
- 운영 정책 설정
- 담당자 교육
- 심사 대응 준비
이번 한국경영인증원의 사례처럼 체계적인 준비 과정을 통해 평가기관 인프라를 구축할 수 있습니다.
복잡한 인프라 구축, 혼자 고민하지 마세요
보안 인프라 구축 과정은 전문적인 기술과 경험이 필요한 영역입니다.
한국경영인증원의 사례처럼 인프라 설계부터 구축, 정책 적용, 심사 대응까지 체계적인 준비를 통해 평가기관 인프라를 완성할 수 있습니다. ISMS 평가기관 진출을 준비하고 있다면 지금 아이티이지에 문의해보세요!
자주 묻는 질문 (FAQ)
ISMS 평가기관으로 지정받으려면 무엇을 준비해야 하나요?
ISMS 인증심사원 확보뿐 아니라 KISA 심사 기준을 충족하는 보안 인프라 환경과 운영 준비가 필요합니다.
인프라 구축 과정에서 핵심으로 준비한 요소는 무엇인가요?
사례에서는 AWS 기반 VDI 환경, 서버실 인프라 구성, 망분리 환경, DLP 및 AV 적용, 보안 정책 세팅, 담당자 교육과 모의 실사, 심사 대응을 단계적으로 진행했습니다.
프로젝트는 어떤 흐름으로 진행되었나요?
1~3주 차에는 인프라 구축, 4주 차에는 보안 정책 적용, 5주 차에는 교육 및 모의 실사, 6주 차에는 KISA 본 심사 대응을 진행했습니다.
⬇️ 아이티이지 홈페이지 바로가기 ⬇️
