ISO 인증 심사원 교육

ESG 대시보드의 KPI가 모두 초록색입니다. 그러면 ESG 목표에 다가가고 있는 걸까요? 결론부터 말하면, KPI가 무엇을 재고 있는지 확인하기 전에는 알 수 없습니다. 목표는 방향이고, KPI는 그 방향으로 가고 있는지를 재는 도구입니다. 그런데 KPI가 목표가 아니라 활동만 재고 있으면, KPI를 100% 달성해도 목표에는 한 걸음도 다가가지 못할 수 있습니다. KPI가 모두 초록색이어도, 목표에 다가갔는지는 따로 확인해야 […]

ESG 보고서에 “협력사 ESG 평가 100% 완료”라고 적혀 있습니다. 이 문장은 실제 운영의 증거일까요? 결론부터 말하면, 문장만으로는 증거가 아닙니다. 보고서는 조직이 “이렇게 운영했다”고 말하는 주장입니다. 그 주장을 원래의 기록까지 따라갈 수 있을 때 비로소 증거가 됩니다. 보고서의 모든 문장이 기록으로 이어지는 것은 아닙니다. 왜 이 질문이 중요할까 ESG 보고서는 거래처 평가, 투자 검토, 입찰 서류에서

온실가스 배출량이 18% 줄었습니다. 환경성과가 개선된 걸까요? 결론부터 말하면, 원인을 확인하기 전에는 알 수 없습니다. 배출량은 생산이 줄어도, 사업을 매각하거나 외주로 돌려도, 계산 방식만 바뀌어도 줄어듭니다. 숫자는 결론이 아니라 질문의 시작입니다. 배출량이 줄었다는 숫자는 결론이 아니라, 원인을 확인해야 할 질문입니다. 왜 이 질문이 중요할까 지속가능경영보고서, 거래처 설문, 공급망 평가에서 가장 먼저 확인하는 숫자가 온실가스 배출량입니다.

ESG 보고서는 이미 작성하고 있는데, ISO/UNDP 53001은 왜 또 필요할까요? 결론부터 말하면 둘은 같은 일을 두 번 하는 것이 아닙니다. ESG 보고(GRI, CSRD 등)는 “무엇을 했는지 외부에 알리는” 공시(公示) 활동이고, ISO/UNDP 53001은 “그것을 어떤 관리체계로 실행했는지”를 제3자가 확인하고 인증하는 경영시스템입니다. 질문 자체가 다릅니다. ESG 보고서(공시)와 ISO/UNDP 53001 인증(경영시스템)은 서로 다른 축의 활동입니다. 왜 이 질문이

ISO/IEC 27001·27701 통합심사 사례 09 · 백업 성공과 복구 검증 백업 작업의 성공 표시와 복구 후 실제 사용 가능성을 구분해 확인합니다. AI로 제작한 가상 교육 장면입니다. “매일 백업합니다. 최근 작업은 모두 성공이고, 복구 시험도 했습니다.” 백업 결과 화면에는 성공 표시가 이어집니다. 그렇다면 장애가 나도 고객정보와 첨부자료를 복구해 업무를 재개할 수 있다고 판단해도 될까요? 이번 ISO

ISO/IEC 27001·27701 통합심사 사례 08 · 개인정보 열람 요청과 본인 확인 고객정보를 제공하기 전에 요청자의 권한과 제공 범위, 전달 경로를 확인합니다. AI로 제작한 가상 교육 장면입니다. “예전에 이용한 주문·상담 내역을 보내 주세요. 등록한 이메일은 지금 사용할 수 없으니 이 주소로 부탁드립니다.” 이름과 주문번호는 실제 고객정보와 일치합니다. 담당자는 자료를 준비했습니다. 이 정도면 요청한 주소로 보내도 될까요?

ISO/IEC 27001·27701 통합심사 사례 07 · 접속기록과 이상 조회 점검 접속기록의 특정 구간을 업무 일정과 대조하며 실제 점검의 근거를 확인합니다. AI로 제작한 가상 교육 장면입니다. “접속기록은 자동으로 남습니다. 매월 점검하고 있고, 이번 달도 이상 없음입니다.” 담당자가 점검표와 로그 화면을 보여줍니다. 기록도 있고 점검 결과도 있습니다. 그런데 표본을 살펴보니 한 계정의 고객정보 조회가 짧은 시간에 집중돼

ISO/IEC 27001·27701 통합심사 사례 06 · 테스트 데이터와 마스킹 화면에 이름이 가려져 있어도 저장 데이터의 변환 결과와 보호 상태는 따로 확인합니다. AI로 제작한 가상 교육 장면입니다. “이름과 전화번호는 마스킹했습니다. 내부 개발자만 쓰는 테스트 환경이라 괜찮습니다.” 화면에는 별표가 보입니다. 고객 이름을 그대로 읽을 수는 없습니다. 그렇다면 테스트에 사용하는 데이터가 적절하게 보호되고 있다고 판단해도 될까요? 이번 ISO

ISO/IEC 27001·27701 통합심사 사례 04 · 개인정보 삭제와 백업 점검 삭제 완료 기록과 실제 처리 범위를 저장 위치별로 대조합니다. AI로 제작한 가상 교육 장면입니다. “삭제는 완료했습니다. 이제 고객 이름으로 검색해도 나오지 않습니다.” 담당자가 보여준 화면에는 검색 결과가 없습니다. 처리 요청도 ‘완료’로 표시돼 있습니다. 그렇다면 고객정보의 삭제가 끝났다고 판단해도 될까요? 이번 ISO 27001·27701 통합심사 사례에서는 회원