ISMS-P 인증 성공의 출발점, 보안자산 식별·관리가 Stage 0인 이유

핵심 요약

- 버라이존 2026 데이터 침해 조사 보고서(DBIR)에서 취약점 악용이 침해사고 초기 접근 경로의 31%를 차지하며, 이는 관리되지 않는 보안자산에서 주로 발생 - ISMS-P 인증기준은 분류기준을 수립하여 모든 정보자산을 식별하고 목록을 최신 상태로 유지할 것을 요구 - 보안자산 정의 및 관리는 모든 보안활동의 전제조건으로, 'Stage 0' 단계부터 체계적 접근이 필요

주요 내용

버라이존이 2026년 발표한 데이터 침해 조사 보고서(DBIR)는 사이버 보안 업계에 중요한 시사점을 제공하고 있다. 보고서에 따르면 취약점 악용이 침해사고의 초기 접근 경로 기준 31%를 차지하는 것으로 나타났다. ISMS-P 선임심사원 백남정 박사는 이러한 취약점 악용 사고의 근본 원인이 '관리되지 않는 보안자산'에 있다고 지적한다.

국내 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증기준은 조직이 보유한 모든 정보자산에 대해 명확한 분류기준을 수립하고, 이를 기반으로 자산 목록을 식별·관리하며, 지속적으로 최신 상태를 유지할 것을 요구한다. 백 박사는 이를 '보안의 Stage 0'로 정의하며, 모든 보안 활동의 출발점이자 가장 기본적인 단계임을 강조한다.

정보자산 관리의 핵심은 '무엇을 보호해야 하는지'를 명확히 아는 것이다. 하드웨어, 소프트웨어, 데이터, 네트워크 자원 등 조직이 보유한 모든 자산을 식별하지 못하면, 해당 자산에 존재하는 취약점을 발견하거나 패치를 적용할 수 없다. 특히 클라우드 환경, 재택근무 확대 등으로 IT 자산이 분산되고 있는 2026년 현재, 자산 가시성(Asset Visibility) 확보는 더욱 중요해졌다.

실제 심사 현장에서도 정보자산 목록이 부실하거나 최신화되지 않아 불필요한 서버가 방치되고, 이것이 보안 취약점으로 이어지는 사례가 빈번하게 발견된다. 백 박사는 보안자산 정의와 관리가 제대로 이루어지지 않으면, 이후의 모든 보안 통제가 무용지물이 될 수 있다고 경고한다.

전문가 시각

백남정 박사는 30회 ISMS-P 선임심사원으로서의 경험을 바탕으로, 많은 조직이 보안 솔루션 도입이나 고도화된 보안 기술에는 많은 투자를 하면서도 정작 '무엇을 보호할 것인가'라는 기본적인 질문에는 명확한 답을 갖고 있지 못한 현실을 지적한다. 정보자산 식별은 단순한 목록 작성이 아니라, 자산의 중요도 분류, 책임자 지정, 생명주기 관리까지 포함하는 종합적인 활동이어야 한다.

특히 개인정보를 처리하는 정보자산의 경우, ISMS-P 인증에서 더욱 엄격한 관리를 요구한다. 개인정보가 저장·처리·전송되는 모든 시스템과 데이터베이스를 명확히 식별하고, 이에 대한 접근통제, 암호화, 로그 관리 등의 보호조치를 적용해야 한다. 자산 식별이 불완전하면 개인정보 유출 사고 발생 시 영향 범위 파악조차 어려워지며, 이는 법적 책임으로 직결될 수 있다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.3.1 정보자산 식별
- 정보자산의 분류기준이 문서화되어 있는지 확인 (하드웨어, 소프트웨어, 데이터, 인력, 서비스 등)
- 정보자산 목록에 자산명, 유형, 위치, 관리자, 중요도 등 필수 항목이 포함되어 있는지 점검
- 자산 목록 갱신 주기와 절차가 수립되어 있으며, 실제로 이행되고 있는지 증적 확인
- 개인정보보호법 제29조(안전조치의무)와 연계하여 개인정보 처리 자산이 명확히 식별되었는지 검토

2. 인증기준 2.5.1 취약점 점검 및 조치
- 식별된 정보자산을 대상으로 취약점 점검이 정기적으로 수행되는지 확인
- 자산 목록에 누락된 시스템이 없는지 샘플링 점검 (특히 개발/테스트 서버, 임시 시스템)
- 취약점 발견 시 자산별 중요도에 따른 우선순위 기반 패치 적용 여부 확인

3. 인증기준 2.3.2 정보자산 분류 및 관리
- 중요도 분류 기준(기밀성, 무결성, 가용성)이 명확하고 일관되게 적용되는지 심사
- 개인정보 처리 자산에 대한 별도 표시 및 관리 여부 점검
- 자산 폐기·이관 시 목록 반영 프로세스가 작동하는지 확인

CPPG·ISMS-P 연계 포인트

정보자산 생명주기 관리
정보자산은 도입-운영-폐기의 생명주기를 가지며, 각 단계별로 적절한 보안통제가 적용되어야 한다. CPPG 시험에서는 자산 도입 시 보안요구사항 검토, 운영 중 취약점 관리, 폐기 시 데이터 안전한 삭제 등 전 생명주기 관점의 문제가 출제된다. ISMS-P 인증심사에서도 자산대장에 취득일자, 폐기예정일 등이 기록되고 실제 관리되는지를 확인한다.

자산 기반 위험평가(Asset-based Risk Assessment)
정보자산 식별은 위험평가의 전제조건이다. 식별된 자산별로 위협과 취약점을 분석하고, 자산의 중요도를 고려하여 위험도를 산정하는 방식이 자산 기반 위험평가다. ISMS-P 인증기준 2.1.3(위험평가)과 직접 연계되며, CPPG 시험에서도 자산분류-위험평가-통제선택의 논리적 흐름을 이해하는 문제가 자주 출제된다.