ISO/IEC 27001 · 27701 심사 실무
적용성 보고서(SoA)
선정 근거에서 운영 증거까지
보호조치를 골랐다면 그 조치를 선택한 이유도 설명할 수 있어야 합니다. 적용성 보고서는 그 이유를 기록하는 문서입니다. 무엇을 적는지, 어떤 표준이 요구하는지, 27001과 27701을 왜 함께 보는지, 심사원은 어떻게 읽는지를 한 가지 가상 사례로 정리했습니다.
적용성 보고서(SoA)란 무엇인가요?
적용성 보고서(Statement of Applicability, SoA)는 조직이 어떤 통제를 왜 선택했는지 기록하는 문서입니다.
ISO/IEC 27001에서는 필요한 통제와 그 포함 근거, 구현 여부를 적고, 부속서 A의 참조 통제 가운데 제외한 항목이 있다면 그 이유도 기록합니다.
위험평가가 「어떤 위험이 있는가」를 보여 준다면, 적용성 보고서는 「그래서 어떤 통제를 골랐고 왜 골랐는가」를 보여 줍니다. 두 문서가 이어져야 평가 결과와 실제 조치 사이의 연결을 설명할 수 있습니다.
조직은 선택한 이유를 쓰고, 심사원은 확인한 결과를 씁니다
「보고서」라는 이름 때문에 심사보고서와 헷갈리기 쉽습니다. 두 문서는 누가, 무엇을 기록하는지가 다릅니다.
적용성 보고서 · 조직이 작성
조직이 선택한 통제, 선택한 근거, 조직이 파악한 구현 상태를 담습니다.
심사보고서 · 심사원이 작성
심사원이 심사 기준과 객관적 증거에 비춰 확인한 발견사항과 결론을 담습니다.
예를 들어 교육원이 적용성 보고서에 「구현」이라고 적었다면, 심사원은 승인·회수 기록을 대조해 무엇을 어디까지 확인했는지 심사보고서에 남깁니다.
어떤 ISO 표준이 적용성 보고서를 요구하나요?
적용성 보고서를 명시적으로 요구하는지는 표준마다 다릅니다. 아래 표는 표준명 옆에 적은 판본만 비교한 것입니다.
| 표준 (판본) | SoA 명시 요구 | 해당 표준에서 확인할 내용 |
|---|---|---|
| ISO/IEC 27001:2022 | 요구함 | 정보보안 위험에 대응하는 통제와 포함 근거, 구현 여부, 부속서 A 통제의 제외 근거 |
| ISO/IEC 27701:2025 | 요구함 | 개인정보 처리에 필요한 통제와 근거. 조직이 컨트롤러인지 프로세서인지에 따라 살펴볼 통제가 달라짐 |
| ISO/IEC 42001:2023 | 요구함 | AI 시스템 관련 위험에 필요한 통제와 포함·제외의 정당화. 기재 요구는 27001과 같은 문구로 보지 않고 표준 원문으로 확인 |
| ISO 9001:2015 ISO 14001:2015 ISO 45001:2018 | 27001식 SoA 요구 없음 | 리스크와 기회 조치, 환경측면·준수의무, 위험성 평가·법적 요구사항 등 각 표준의 방식으로 판단 근거를 확인 |
세 표준(27001·27701·42001)이 모두 적용성 보고서를 요구한다고 해서, 적어야 할 내용까지 같은 것은 아닙니다. 관리 대상과 기재 요구는 표준마다 따로 확인합니다.
9001·14001·45001의 부속서 A는 27001의 참조 통제 목록과 역할이 다릅니다. 적용성 보고서가 없는 표준에서도 심사원은 판단의 근거를 확인합니다. 근거를 확인하는 자료가 다를 뿐입니다.
왜 ISO/IEC 27001과 27701을 함께 배우나요?
수강신청 정보 하나도 접수, 저장, 외부 업체 공유, AI 요약, 보유기간 종료 후 삭제까지 여러 업무를 거칩니다. 같은 정보를 두고 두 표준은 서로 다른 질문을 던집니다.
ISO/IEC 27001 · 정보보안
누가 접근하고, 정보의 유출·변조·중단을 어떻게 막는가? 기밀성·무결성·가용성의 관점입니다.
ISO/IEC 27701 · 개인정보보호
왜 처리하고, 누구의 권리와 어떤 책임을 확인해야 하는가? 개인정보 처리의 책임과 개인에게 미치는 영향의 관점입니다.
명단을 안전하게 보관하고 있어도, 그 명단을 모든 용도로 사용할 수 있는 것은 아닙니다. 그래서 보관을 확인하는 질문과 처리를 확인하는 질문을 함께 던져야 합니다.
ISO/IEC 27701:2025는 독립적인 개인정보보호경영시스템 표준입니다. 27001 인증을 전제로 하지 않으며, 2019년판처럼 27001·27002를 확장하는 구조를 그대로 대입하지 않습니다. 그래도 책임 배분, 문서 관리, 내부심사, 경영검토, 개선은 두 경영시스템이 공통으로 연결할 수 있습니다.
두 표준을 함께 배우면 같은 업무에서 확인할 질문을 연결하기 쉽습니다. 다만 판단 근거는 각 표준의 요구사항에서 찾습니다. 적용성 보고서도 마찬가지입니다. 같은 증거를 활용하더라도 표준별 통제와 선정 근거는 구분해 추적합니다.
강의 영상으로 보기: 적용성 보고서(SoA) 읽기
아래 영상은 ISO/IEC 27001·27701 자격 확대 과정의 2강 1부입니다. 가상 교육기관의 적용성 보고서를 펼쳐 접근권한 관리 항목을 한 줄씩 따라가며, 선택한 이유와 실제 운영을 각각 어디에서 확인하는지 설명합니다.
ISO/IEC 27001·27701 자격 확대 과정 2강 1부 · 약 32분 · 교육용 가상 사례
심사원은 적용성 보고서를 어떻게 읽나요? (외부 강사 권한 회수 사례)
아래는 교육용 가상 사례입니다.
가상 교육원의 적용성 보고서 한 줄
통제: 접근권한(부속서 A 5.18) · 포함 근거: 외부 강사가 학습관리시스템에서 수강생 과제와 자료에 접근함 · 구현 여부: 구현
지난달 마지막 수업을 마친 강사의 이름이 오늘의 권한 목록에는 보이지 않습니다. 교육원은 권한을 제때 회수했을까요?
과제 평가까지 맡긴 강사라면 마지막 수업일 뒤에도 자료가 필요했을 수 있습니다. 「강의가 끝났다」와 「그 강사에게 맡긴 업무가 끝났다」는 다른 날짜일 수 있습니다.
그래서 심사원은 세 가지를 차례로 확인합니다.
- 그 강사에게 맡긴 업무가 언제 끝났는가 (계약·업무 범위)
- 어느 기간까지 어떤 접근을 승인했는가 (승인 기록)
- 실제로 언제 회수했는가 (회수 기록·변경 이력)
업무 종료일과 실제 회수일을 대조해야 「제때 회수했다」고 판단할 수 있습니다. 오늘의 권한 목록만 보면, 확인한 사실은 「지금 목록에 이름이 없다」는 데까지입니다.
적용성 보고서에 대해 자주 하는 오해 3가지
① 「구현」이라고 적혀 있으면 실제 운영도 확인된 건가요?
「구현」은 조직이 보고한 상태입니다. 실제 운영은 일정 기간의 기록과 대조해 확인합니다. 위 사례처럼 한 시점의 화면만으로는 제때 운영했는지까지 판단할 수 없습니다.
② 클라우드 업체에 맡긴 업무라면 관련 통제를 제외해도 되나요?
서버를 누가 운영하는지와 강사의 접근권한을 누가 승인하는지는 서로 다른 질문입니다. 계약상 위탁 범위와 실제 설정 권한을 함께 봐야 제외 근거를 판단할 수 있습니다. 「위탁했다」는 사실만으로 제외 근거가 완성되지는 않습니다.
③ 예시 양식에 있는 칸을 우리 조직도 전부 만들어야 하나요?
담당자, 검토일, 증거 연결 같은 칸은 운영 기록을 찾아가기 쉽게 조직이 추가하는 관리 항목입니다. 「일부 구현」 같은 세부 표시도 조직이 진행 상황을 나타내는 방식입니다. 표준이 지정한 필수 열이나 공식 등급으로 보지 않습니다.
적용성 보고서를 읽는 연습은 어디서 할 수 있나요?
국제AI교육원의 ISO/IEC 27001·27701 자격 확대 과정은 기존 ISO 심사원 자격 보유자를 위한 과정입니다. 심사원보 교육과 대면 VB 검증으로 심사원 승격까지 이어지며, 이 글의 내용은 과정의 「적용성 보고서」 강의에서 다룹니다.
- 적용성 보고서의 선정 근거와 제외 근거를 업무·위험과 연결해 읽는 연습
- 「구현」 표시를 승인·변경·회수 기록과 대조하는 심사 질문
- 정보보안 관점과 개인정보 처리 관점(27701)을 함께 보는 사례 판단
- 실제·가상·응용 사례집으로 질문 → 증거 → 판단을 반복
일정과 교육비는 과정 안내 페이지에서 확인할 수 있습니다.
ISO/IEC 27001·27701 자격 확대 과정 보기 →
자주 묻는 질문
Q. 적용성 보고서와 위험평가 결과는 어떻게 다른가요?
위험평가 결과는 어떤 위험이 있는지를 보여 줍니다. 적용성 보고서는 그 위험과 요구사항에 대응해 어떤 통제를 선택했고 왜 선택했는지, 구현 여부는 어떤지를 기록합니다. 두 문서가 서로 이어져야 합니다.
Q. 부속서 A의 통제를 제외해도 되나요?
조직의 범위와 업무, 위험에 비춰 필요하지 않다면 제외할 수 있고, 그 이유를 적용성 보고서에 기록합니다. 다만 ISO/IEC 27001 적합성을 주장할 때 4~10절의 경영시스템 요구사항은 제외할 수 없습니다. 참조 통제의 제외와 요구사항의 제외는 구분해야 합니다.
Q. 적용성 보고서는 누가 작성하나요?
조직이 작성하고 유지합니다. 심사원은 조직의 적용성 보고서를 대신 작성하지 않고, 기록된 근거와 운영 증거를 확인합니다. 승인자는 조직이 정한 책임과 권한에 따릅니다.
Q. ISO/IEC 27701:2025를 운영하려면 27001 인증이 먼저 있어야 하나요?
ISO/IEC 27701:2025는 독립적인 개인정보보호경영시스템 표준이라 27001 인증을 전제로 하지 않습니다. 27701을 단독으로 운영할 수도 있고, 27001과 공통 관리체계를 연결해 통합 운영할 수도 있습니다. 어떤 방식이 맞는지는 조직의 목적과 적용범위를 보고 정합니다.
Q. ISO 9001 심사원도 적용성 보고서를 알아야 하나요?
ISO 9001:2015는 27001식 적용성 보고서를 요구하지 않습니다. 하지만 판단의 근거를 문서와 기록으로 확인하는 방식은 같아서, 기존 ISO 심사원이 27001·27701로 범위를 넓힐 때 익숙한 관점으로 시작할 수 있습니다.
이 글은 ISO/IEC 27001:2022, ISO/IEC 27701:2025, ISO/IEC 42001:2023, ISO 9001:2015, ISO 14001:2015, ISO 45001:2018을 기준으로 한 학습용 요약입니다. 사례는 교육용 가상 사례이며, 해석은 각 표준 원문이 우선합니다.