ISO 27001·27701 한국보건산업진흥원 사례: 대국민 서비스의 보안 점검을 개선으로 연결하기

1. 사례 카드: 발표 대상과 확인 범위

기관

한국보건산업진흥원

발표 대상

대표홈페이지의 ‘보건산업 고객 맞춤형 통합서비스’

발표 내용

ISO/IEC 27001과 ISO/IEC 27701 동시 인증 획득

발표일

2023년 11월 1일

근거 유형

B — 기관 공식 보도자료. 인증서 원본과 상세 심사보고서와는 구분합니다.

추가 확인

인증기관, 인증서에 명시된 판본·상세 범위·유효기간, 현재 유지·전환 상태, 처리 활동별 역할

자료 확인일

2026년 9월 29일

출처: 한국보건산업진흥원 공식 보도자료.

2. 공식 발표에서 확인되는 관리 활동

진흥원은 보안 정책을 매년 개선하고, 위협과 취약점을 상시 모니터링하며 대응체계를 강화해 왔다고 설명합니다. 직원의 인식 제고를 위한 정보보안·개인정보보호 교육도 주기적으로 실시했다고 밝힙니다.

기관은 이러한 노력이 외부 검증을 받았다는 의미와 대국민 서비스의 지속적인 개선 의지를 설명합니다. 이는 기관이 보고한 활동과 의미입니다. 발표문에는 사고 감소율이나 대응 시간 단축처럼 인증 전후를 비교한 성과 수치가 없습니다.

출처: 2023년 11월 1일 보도자료. 이후의 확인 흐름과 효과 측정 제안은 교육용 해설입니다.

이 사례를 학습에 활용할 때에는 정책·점검·교육을 별도 실적 목록으로 끝내지 않고 연결해 봅니다. 점검에서 드러난 문제가 정책과 업무에 어떻게 반영되는지, 교육한 내용이 실제 담당자의 처리 방식에 적용되는지를 묻는 것입니다.

3. 발견에서 재확인까지, 기록을 연결합니다

아래 흐름은 우리 조직의 점검 사항을 추적하기 위한 교육용 구성입니다. 기관의 실제 내부 절차를 나타내지는 않습니다.

① 발견: 무엇을 확인했나요?

점검 일자와 대상, 적용 기준, 관찰한 사실을 기록합니다. 자동 점검 도구의 경고라면 실제 적용 대상인지와 오류 탐지 가능성도 검토합니다. 위험 신호, 개선 제안, 확인된 부적합은 동일한 의미가 아닙니다.

② 담당 지정: 누가 언제까지 조치하나요?

우선순위와 책임자를 정하고 조치 기한을 연결합니다. 외부 유지보수 업체가 작업하더라도 내부에서 결과를 확인할 사람을 정합니다. 서비스 영향 때문에 즉시 처리하기 어렵다면 임시 보호조치와 일정 변경의 근거를 확인합니다.

③ 조치: 무엇을 바꿨나요?

설정 변경, 권한 회수, 절차 개정 등 실제 변경 내용을 확인합니다. “완료”라는 상태값만 남기기보다 어떤 대상에 무엇을 적용했는지 알 수 있는 증거를 연결합니다. 변경으로 다른 서비스나 개인정보 처리에 영향을 주지 않았는지도 함께 살펴봅니다.

④ 재확인: 문제가 해소됐나요?

발견 당시의 대상과 조건을 기준으로 조치 후 상태를 다시 확인합니다. 재점검 결과, 실제 설정, 업무 표본 등을 활용할 수 있습니다. 해결되지 않았거나 새로운 문제가 생겼다면 담당자에게 돌려보내 추가 조치를 연결합니다.

4. 조치 완료와 시정조치 효과는 다릅니다

잘못된 접근권한을 제거하는 것은 현재 확인된 문제를 바로잡는 조치입니다. 같은 문제가 반복된 이유를 살펴보고 권한 변경 절차나 책임 배분을 개선하는 것은 원인과 재발 방지까지 다루는 접근입니다.

부적합에 대한 시정조치를 검토할 때에는 현재 상태가 바로잡혔는지와 원인이 다뤄졌는지, 조치가 효과적인지를 구분해서 확인합니다. 아래는 그 차이를 설명하는 가상 예시입니다.

• 현재 문제의 수정: 종료된 업무에 남아 있던 접근권한을 회수했나요?
• 원인과 적용 범위 검토: 종료 정보가 권한 관리 담당자에게 전달되지 않은 이유는 무엇이며, 유사한 업무에도 같은 문제가 있나요?
• 효과 확인: 개선한 절차를 적용한 이후의 업무 종료 표본에서 권한 회수가 제때 이루어지나요?

모든 점검 사항에 동일한 깊이의 분석을 요구하기보다 발견의 성격과 위험, 적용 요구사항에 맞춰 대응합니다. 효과 확인의 시점과 표본도 사전에 정해야 단순히 시간이 지났다는 이유로 완료 처리하는 일을 줄일 수 있습니다.

5. 정보보호와 개인정보보호를 함께 묻는 질문

다음 표는 교육용 질문과 증거 예시입니다. 적용 표준의 판본·심사 범위, 법규·계약과 내부 기준에 맞게 조정합니다.

작은 화면에서는 표를 좌우로 움직여 확인하세요.

기관 명칭만으로 개인정보 처리 역할을 정하지 않습니다. 실제 처리 활동에서 목적과 수단을 누가 결정하는지 확인하고, 외부 업체의 수행 범위와 대조합니다. 구체적인 요청 처리 기한이나 이전 요건은 적용 법규와 상황별 기준을 별도로 확인합니다.

6. 교육용 상황: ‘교육 완료’로 끝난 반복 지적

반복됐다는 이유만으로 원인을 교육 부족이라고 단정하지 않습니다. 교육 대상과 내용이 적절했는지, 변경 정보가 실제로 전달되는지, 역할과 도구가 업무를 지원하는지를 확인합니다.

확인된 사실은 두 차례의 누락과 교육 기록입니다. 아직 모르는 것은 두 누락의 원인이 같은지, 교육 외의 원인이 있는지, 이전 조치의 효과를 어떤 기준으로 평가했는지입니다. 추가 증거와 적용 요구사항을 대조한 뒤 판단합니다.

심사자의 질문은 “왜 또 틀렸나요?”보다 “권한 변경을 알게 되는 시점부터 처리 완료까지 한 건을 보여주시겠어요?”처럼 실제 흐름을 확인하는 방식이 도움이 됩니다.

7. 우리 조직에 적용하는 15분 실습

심사자는 판단 조건과 증거를 연결하고, 피심사자는 점검부터 후속 확인까지 한 건의 기록을 준비합니다. 교육 수강생은 확인된 사실·설명·미확인 정보를 세 칸으로 나누어 봅니다. 실제 취약점 세부정보나 개인정보를 교육자료에 그대로 옮기지 말고 가린 기록이나 가상 자료를 사용합니다.

우리 조직의 개선 효과는 재발 건수, 기한 초과 항목, 재확인에서 미해결로 돌아온 비율 등을 같은 기준으로 비교해 볼 수 있습니다. 이는 측정 제안이며 해당 기관의 성과 수치가 아닙니다. 항목의 심각도와 점검 범위가 달라졌는지도 함께 보아야 합니다.

점검 기록의 ‘완료’ 표시와 실제 개선 결과를 연결해야 관리체계가 업무에서 작동하는지 확인할 수 있습니다.

함께 읽으면 좋은 사례

• 시정조치 완료와 효과성을 구분하는 가상 사례
• 접속기록 수집과 검토를 구분하는 가상 사례
• ISO 27001·27701 통합심사 가상 사례 10선