ISMS-P 인증 6개월 로드맵 — D-180 주차별 일정표

2026-10-12 수정 근거 자료를 공개할 수 없는 성과 수치와 순위 표현을 삭제하고, 운영 기간을 인증 고시 기준(신청 전 최소 2개월 운영)으로 바로잡았다.

ISMS-P 최초 인증 준비에서는 신청 전에 필요한 실제 운영 기간과 증적을 확보해야 한다.

정책 문서는 다 만들었는데 운영 증적이 부족해서 보완 통보를 받는다.

이 글은 6개월 일정으로 그 문제를 피하는 주차별 로드맵이다.

SENTRIX는 보안 실무 10년 경력의 레드팀이 ISMS-P 갭 분석부터 본심사 대응까지 컨설팅하는 보안 전문 기업이다.

이번 글은 임원·법무·정보보호담당자가 함께 보면서 D-180을 끊을 때 쓰는 실무 일정표다.

한눈에 보는 ISMS-P 6개월

Q. ISMS와 ISMS-P 차이가 뭔가요?

A. ISMS는 정보보호관리체계, ISMS-P는 거기에 개인정보보호 영역이 추가된 통합 인증입니다. 개인정보를 다루는 기업은 사실상 ISMS-P가 표준입니다.

Q. 기간은 얼마나 걸리나요?

A. 인증 신청 전에 관리체계를 구축하고 최소 2개월 이상 운영해야 합니다. 정부 안내상 신청부터 인증서 발급까지는 약 3~4개월이며, 구축·보완 기간과 심사 일정에 따라 전체 기간은 달라집니다.

Q. 갭 분석을 외부에 맡기는 것이 좋은가요?

A. 첫 인증은 외부 자문을 강하게 권장합니다. 인증기준 100여 개(ISMS-P 101개)의 해석이 산업·서비스에 따라 달라지며, 자체 진단은 본심사에서 같은 항목으로 보완 받을 위험이 큽니다.

D-180 주차별 일정표

3단계(운영 증적 확보)는 실제 운영 기간이 필요하므로 일정에 여유를 둬야 한다. 본심사는 "정책이 있느냐"가 아니라 "정책대로 돌아갔느냐"를 본다.

단계별 핵심 함정

1단계: 범위·자산이 모호하면 전부 다시 한다

인증 범위에 자회사·계열사·신규 서비스를 빠뜨리면 본심사에서 추가 통보가 온다.

범위는 비즈니스가 아니라 개인정보 흐름으로 정의해야 한다.

2단계: 정책 베끼지 말 것

샘플 정책서를 그대로 가져다 쓴 회사는 본심사에서 "운영 증적과 정책이 다르다"는 지적을 받기 쉽다.

정책은 자사 운영을 반영해서 수정해야 한다.

3단계: 신청 전 최소 2개월 운영

접근 로그·점검 기록·교육 이수 기록은 시뮬레이션이 안 된다.

관리체계 구축 후 신청 전 최소 2개월 이상 실제 운영해야 한다.

4단계: 모의해킹 빠뜨리지 말 것

ISMS-P는 외부 침해 대응 능력을 본다.

취약점 진단·모의해킹 결과와 조치 증적을 미리 준비해 둬야 한다.

5단계: 사전심사가 진짜 심사

외부 자문을 통한 사전심사에서는 통제항목별 결함과 조치 필요 사항을 점검한다.

본심사 직전에 끝내면 보완 시간이 없다.

비용 가이드

D-180에 오늘 시작할 7가지

1. ☐ 인증 범위를 개인정보 흐름도로 1차 정의
2. ☐ 정보자산 목록 v1 작성 (서버·DB·SaaS·외주 포함)
3. ☐ 갭 분석 외부 자문 1개사 견적 요청
4. ☐ 보안위원회 운영 규정 수립 + 1차 회의
5. ☐ 외부 노출 자산 자동 점검 — CodeScan 무료 스캔
6. ☐ 직원 보안 교육 일정표 12개월 분 사전 등록
7. ☐ 모의 침해훈련(Tabletop) 분기 1회 이상 일정 확정

SENTRIX의 ISMS-P 컨설팅

• 기술 영역 갭 분석 — D-180 ~ D-120 기술 통제 결함 사전 점검
• 사전심사·본심사 대응 — 본심사 전 기술 취약점 진단과 조치 증적 정리

가격·범위는 기업 보안 진단 페이지 참고.

다음에 해야 할 한 가지

ISMS-P는 일정 싸움이다. D-180에 시작하면 안전, D-150은 빠듯, D-120은 위험.

• 👉 정보보호담당자: CodeScan 30초 무료 스캔 — 외부 노출 자산 1차 정리
• 👉 임원·법무: 진단 문의하기 — 30분 1:1 ISMS-P 갭 분석 상담, 영업일 기준 24시간 내 회신, 인증 준비 일정 검토

관련 글
- 개정 개인정보보호법 2026년 9월 11일 시행: 과징금 상한은 전체 매출액 3% 유지, 고의·중과실 반복 등 3가지 경우만 10%
- KISA 정보보호제품 신속확인제: 대상·절차·기간·지원 정리 [2026]

참고 자료

• 국가법령정보센터: 개인정보 보호법 제64조의2(법률 제21445호, 2026.9.11. 시행)
• 개인정보보호위원회 보도자료(2026.9.10.): 개정 개인정보 보호법·시행령·고시 9월 11일부터 시행