일곱 번째 발걸음인증서가 보증하는 대상과 범위를 읽는다

외부 업체가 인증서를 보여 주면 신뢰할 근거 하나가 생깁니다. 그러나 무엇을 평가했는지 읽지 않고 ‘인증된 회사니까 안전하다’고 결론내릴 수는 없습니다. 조직의 관리체계를 평가하는 것, 제품의 보안기능을 평가하는 것, 특정 클라우드 서비스를 평가하는 것은 서로 다른 질문입니다. 인증을 이해하는 출발점은 이름과 로고보다 평가 대상과 범위입니다.

정보보호 관리체계인 ISMS는 위험을 파악하고 필요한 보호 대책을 수립·운영·점검·개선하는 체계입니다. 국내 ISMS 인증은 해당 범위의 관리체계 수립·운영과 보호 대책이 인증기준에 적합한지 평가하는 제도입니다. 문서만 있는지 보는 일로 좁혀 생각하지 않습니다. 정책과 조직, 자산과 위험 관리, 접근 통제와 운영 보안, 사고 대응과 연속성 등이 실제로 이어지는지 증거가 필요합니다.

ISMS-P는 정보보호와 개인정보보호 관리체계를 함께 다룹니다. 개인정보 수집부터 이용·제공·보관·파기와 정보주체 권리까지 처리 단계의 보호 요구를 포함합니다. ISMS에 개인정보라는 글자만 붙인 같은 증서가 아니라 평가하는 보호 범위가 넓어진 것입니다. 개인정보를 안전하게 암호화했어도 불필요하게 수집하거나 적법한 근거 없이 제공하면 개인정보 보호의 문제는 남습니다.

ISO/IEC 27001은 정보보호 관리체계의 요구사항을 정한 국제표준입니다. 조직의 상황과 이해관계자 요구를 파악하고 위험에 따라 통제를 정하며 운영과 개선을 지속하도록 요구합니다. 현재 확인한 판은 ISO/IEC 27001:2022이며 개정 부속 문서도 함께 확인해야 합니다. 국제표준에 따른 인증을 받았다는 사실이 국내 모든 법률 의무를 자동으로 충족시킨다는 뜻은 아닙니다. 국내 ISMS·ISMS-P와도 적용 범위와 절차가 다릅니다.

관리체계 인증서를 읽을 때는 법인명뿐 아니라 인증 범위, 포함된 서비스와 장소, 유효 상태, 제외된 업무를 확인합니다. 온라인 쇼핑몰 서비스의 인증이 별도 사업부의 모든 서비스까지 확장되는 것은 아닙니다. 최초 심사 뒤에도 변경과 운영의 실효성을 관리해야 합니다. 심사 시점에 맞춘 임시 설정을 유지하지 않으면 인증의 취지와 실제 보호가 벌어집니다.

제품 평가에서는 CC, 공통평가기준을 만납니다. 평가대상인 TOE가 어떤 보안기능을 제공하며 정해진 요구를 만족하는지 평가합니다. 보안목표명세서 ST는 해당 제품의 보안목표와 요구를 설명하고, 보호프로파일 PP는 특정 제품 유형 등에 적용할 요구를 정리하는 데 쓰입니다. 평가보증등급 EAL은 평가의 엄격성과 보증 수준에 관련되며 단순히 암호의 강도나 모든 공격에 대한 방어율을 뜻하지 않습니다. 제품 버전과 구성, 운영 가정이 달라지면 평가 결과의 적용도 검토해야 합니다.

암호모듈 검증은 암호 알고리즘의 이름을 확인하는 일보다 구체적입니다. 국내 KCMVP는 암호모듈의 안전성과 구현 적합성을 검증하는 제도입니다. 승인된 알고리즘을 사용해도 키 생성과 저장, 모듈 경계, 오류 처리와 자기시험 같은 구현이 잘못되면 보안이 무너질 수 있습니다. 검증받은 모듈을 포함했다는 사실이 그 모듈을 사용하는 제품 전체와 운영 설정을 모두 검증했다는 뜻은 아닙니다.

CSAP는 클라우드컴퓨팅서비스가 보안인증기준에 적합한지 평가·인증하는 제도이며 클라우드컴퓨팅법에 근거합니다. 서비스 형태와 적용 인증 범위, 등급과 관련 조건을 확인해야 합니다. 제공자의 인증된 서비스 범위 안에 내가 쓰는 기능이 포함되는지, 이용자가 수행해야 할 통제는 무엇인지가 중요합니다. 인증된 클라우드 위에 안전하지 않은 응용 프로그램을 올리거나 데이터를 공개하면 이용자 측 위험은 그대로 남습니다.

결국 인증은 독립된 평가를 통해 신뢰의 근거를 더하는 수단입니다. 사고가 절대로 없다는 보증이나 위험 평가의 면제증이 아닙니다. 구매와 계약, 운영 점검에서 인증 결과를 활용하되 범위와 조건을 확인하고 우리 업무의 요구와 차이를 분석합니다. 인증서 한 장을 모으는 일보다 그 인증이 검증한 통제를 실제 서비스에서 계속 유지하는 일이 더 길게 이어집니다.

참고　[290] · [285] · [291] · [292] · [293]