ISMS-P 받았는데 ISO 27001 또 받아야 하나? 70% 겹치는 진실

"ISMS만 받으면 되는 거 아닌가?"

대표님께서 가장 많이 받는 질문 중 하나입니다. 매출 1,500억 또는 일평균 이용자 100만을 넘으면서 ISMS-P 인증 의무 대상이 되었거나, 거래처 요청으로 ISMS를 준비하면서 곧바로 마주치는 의문이기도 합니다.

ISMS-P를 받았는데, ISO 27001은 또 따로 준비해야 하나요?

결론부터 말씀드리면, 따로 준비할 필요가 없습니다. 두 인증은 통제 항목의 70%가 동일하기 때문입니다.

70%가 겹친다 — ISMS-P와 ISO 27001의 실제 비교

ISMS-P (Personal information & Information Security Management System)는 KISA가 주관하는 국내 인증입니다. 정보보호 통제 80개 + 개인정보 보호 통제 22개로 구성됩니다.

ISO 27001은 국제표준화기구(ISO)가 발행하는 글로벌 정보보안 경영시스템 표준입니다. 부속서 A(Annex A)에 93개 통제 항목이 있습니다.

두 표준의 통제 항목을 매핑해보면 다음과 같은 결과가 나옵니다.

- 공통 영역(70%): 정보보호 정책, 자산 관리, 접근 통제, 암호화, 물리 보안, 운영 보안, 통신 보안, 시스템 획득·개발·유지보수, 공급자 관계, 정보보호 사고 관리, 사업 연속성, 준거성
- ISMS-P 고유(20%): 개인정보 처리 단계별 보호조치, 정보주체 권리 보장 등 한국 개인정보보호법 특화 항목
- ISO 27001 고유(10%): 국제 거래 맥락에서의 위험 평가 방식, 부속서 A 일부 글로벌 베스트 프랙티스

즉 ISMS-P를 위해 작성한 정보보호정책, 통제명세서, 위험관리 절차서의 70%는 ISO 27001 심사에 그대로 사용할 수 있습니다.

30%의 차이가 만드는 비대칭 가치

여기서 중요한 건 70%가 겹친다는 사실 자체가 아닙니다. 30%의 차이가 만드는 가치의 비대칭입니다.

ISMS-P 단독 보유 시:
국내 의무 충족, 정보통신망법 준거성 확보, KISA 사후관리 대상

ISO 27001 추가 보유 시:
- 해외 SaaS·B2B 계약 시 정보보안 사실상 표준 충족
- 글로벌 공급망 평가에서 가산점
- 정부 R&D·정책자금 신청 시 우대
- 대기업·외국계 협력사 등록 평가 항목 통과
- 투자 유치·M&A 실사에서 정보보안 검증 절차 단축

거래처가 한국 기업이면 ISMS-P로 충분합니다. 그러나 거래처 한 곳이라도 글로벌 기업이면, 그들이 보내는 보안 실사 체크리스트에는 거의 예외 없이 ISO 27001 항목이 포함됩니다.

통합심사 = 한 번 준비, 두 인증 동시 취득

JV가 권장하는 방식은 통합심사입니다. ISMS-P 매뉴얼·통제명세서·증빙을 작성할 때 처음부터 ISO 27001 매핑을 고려해 작성하고, 두 인증기관 심사를 시간차로 진행합니다.

통합심사의 비용·기간 비교

| 구분 | ISMS-P 단독 | ISMS-P + ISO 27001 통합 |
|---|---|---|
| 컨설팅 비용 | 100% | 130~140% |
| 준비 기간 | 6개월 | 6~8개월 |
| 심사료 | ISMS-P 심사료 | ISMS-P + ISO 27001 심사료 |
| 매뉴얼 작성 공수 | 1벌 | 1벌 (공유) |
| 결과물 | 국내 의무 인증 | 국내 의무 + 글로벌 호환 인증 |

ISO 27001을 처음부터 같이 준비하면 매뉴얼은 한 벌만 작성하면 됩니다. 추가되는 건 통제 30%에 해당하는 증빙 보강과 인증기관 심사료뿐입니다.

별도 준비할 경우 매뉴얼을 두 번 작성하고, 사내 정보를 두 번 정리해야 하며, 임직원 인터뷰 대응도 두 번 받아야 합니다. 비용으로 환산하면 단독 두 번보다 통합심사가 30~40% 저렴합니다.

ISMS-P를 이미 받았다면

이미 ISMS-P 인증을 받은 경우에도 늦지 않았습니다. 기존 매뉴얼을 ISO 27001 부속서 A에 매핑하고 부족한 30%를 보강하면 6~8주 내 추가 취득이 가능합니다.

JV는 ISMS-P를 보유한 60여 개 기업을 ISO 27001 통합 인증으로 전환한 경험을 보유하고 있습니다.

결론

ISMS-P와 ISO 27001은 따로 받는 인증이 아닙니다. 통제 70%가 겹치므로 통합심사 한 번이 가장 영리한 선택입니다.

거래처가 한국에 한정되어 있고 향후 5년 내 글로벌 거래 계획이 없다면 ISMS-P 단독으로 충분합니다. 그러나 한 곳이라도 해외 거래처가 있거나, 정부 R&D·투자 유치를 검토하고 있다면 ISO 27001 동시 취득을 권장합니다.

JV가 무료 진단 30분으로 귀사의 정확한 상황을 점검해드리겠습니다.