GDPR과 ISO 27001 매핑: ISO 27001만으로 GDPR 컴플라이언스를 충족할 수 있을까요?

GDPR과 ISO 27001은 공통점이 많은 두 가지 중요한 컴플라이언스 표준입니다. 두 표준 모두 데이터 보안 을 강화하고 데이터 유출(침해)의 위험을 완화하는 것을 목표로 하며, 모두 민감한 데이터의 기밀성, 무결성, 가용성을 보장하도록 조직에 요구합니다. ISO 27001 은 가장 상세한 모범사례 표준 중 하나이며, 실제로 GDPR 제24조에서는 ISO 27001 같은 행동강령 및 승인된 인증에 대한 준수가 컴플라이언스를 입증하는 요소로 활용될 수 있음을 명시하고 있습니다. 그래서 “이미 ISO 27001 인증을 받았으면 GDPR을 완전히 준수한 것인가요?” 같은 질문을 자주 듣게 되는 것도 당연합니다.”

하지만 GPDR은 데이터 보안과 개인정보 보호에 대해 훨씬 더 광범위한 범위와 더 근본적인 이해를 요구합니다. 이 블로그 게시물에서는 ISO 27001과 GDPR에 관해 자주 묻는 몇 가지 질문에 답변하여, 이러한 표준의 유사점과 차이점을 더 잘 이해하고 ISO 27001 프레임워크를 어떻게 활용해 GDPR compliance 감사에 통과할 수 있을지 결정하는 데 도움을 드리고자 합니다:

• GDPR이란 무엇인가요?
• ISO 27001이란 무엇인가요?
• ISO 27001과 GDPR의 유사점은 무엇인가요?
• ISO 27001 준수가 GDPR 준수를 보장하나요?

GDPR이란 무엇인가요?

General Data Protection Regulation (GDPR) 는 데이터 보호를 강화하는 것을 목표로 하는 준수(컴플라이언스) 기준입니다. 이는 EU 안팎을 불문하고 EU 거주자의 개인 데이터를 저장하거나 처리하는 모든 조직에 적용됩니다. 이 기준은 2018년 5월 25일 시행되며, 기업들이 데이터 보호를 처리하는 방식은 이미 변화하고 있습니다. GDPR은 개인의 존중과 관련하여 개인정보에 대한 권리를 확대하고(예: 설계 단계 및 기본값에 의한 데이터 보호), 위반 시에는 막대한 처벌이 수반됩니다.

GDPR의 가장 중요한 요구 사항은 다음을 포함합니다:

1. 보호가 필요한 데이터 범위의 확대

GDPR은 이름, ID 및 Social Security numbers 같은 개인정보뿐만 아니라 의료 데이터, 생체 데이터, 정치적 견해 등 폭넓은 데이터를 보호합니다(제5–11조).

2. 데이터 사용을 위한 명시적 동의가 필요함

GDPR 제6조는 조직이 개인의 데이터를 수집하고 사용하는 경우 명시적 동의를 받아야 한다고 요구합니다. 이 요건을 충족하려면 조직은 동의가 제공되었음을 입증할 수 있는 문서화된 증거를 보관하고, 모든 동의 요청이 명확하고 간결하다는 점을 증명해야 합니다.

3. 정보주체의 확대된 권리

3장은 개인이 자신의 데이터에 대해 더 나은 통제권을 갖도록 돕기 위한 방대한 규칙 목록을 제공합니다. EU 거주자는 정보를 얻을 권리 즉 개인 데이터가 처리되고 있는지 여부(제15조)를 쉽게 확인하고, 서비스 제공자 간에 자신의 데이터를 손쉽게 이전할 권리(제20조)와 자신의 데이터 처리에 이의를 제기할 권리(제21조)를 갖게 됩니다. GDPR의 가장 중요한 요건 중 하나는 잊힐 권리” (제17조)로, 개인이 기업에 대해 모든 시스템에서 자신의 데이터를 삭제하도록 강제할 수 있는 권한을 부여합니다. GDPR은 소비자에게 권한을 부여하고 그들의 이익을 조직의 이익보다 우선하게 만드는, 사실상 유일한 컴플라이언스 기준이라고 볼 수 있으며, GDPR에 대비하는 기업들은 이미 그 차이를 체감하고 있습니다:

Kyle Reyes, 인프라스트럭처 시스템 관리자, Midland Information Resources

4. 미준수에 대한 막대한 과태료

과태료 는 준수 실패의 경우 회사의 연간 전 세계 매출액의 2~4% 또는 1,000만~2,000만 유로 중 더 높은 금액이 부과됩니다. 가장 중대한 위반에는 개인 데이터의 우발적 파기, 분실, 변경 또는 전송이 포함되며, 데이터 처리에 대한 명시적 동의 입증에 실패하는 경우도 포함됩니다(제83~84조).

5. 엄격한 데이터 침해 통지 규정

제33조에 따르면 개인정보 처리자는 개인정보 침해사고를 발견한 날로부터 72시간 이내에 감독 당국에 신고해야 합니다. 회사가 이를 이행하지 못한 경우, 지연에 대한 타당한 사유를 제시해야 합니다. 이는 HIPAA 또는 SOX와 같은 미국의 어떤 준수 기준에서 요구하는 시간보다 훨씬 짧습니다.

ISO 27001이란 무엇인가요?

ISO 27001(정식 명칭 ISO/IEC 27001:2013)은 정보 보안 관리 시스템(ISMS)을 구현, 유지 및 개선하기 위한 요구사항을 제공하는 국제 정보보안 표준입니다. ISMS는 기업의 IT 위험 관리 프로세스에 관련된 법적, 기술적, 물리적 통제를 포함하는 정책 및 절차의 체계입니다. ISMS 구현에 영향을 미치는 요인으로는 조직의 목표, 보안 요구사항, 규모와 구조 등이 있습니다.

ISO 27001 모범 사례를 따르는 것은 조직이 보안 위험에 대응하고, 민감한 데이터를 보호하며, 보안 프로그램의 범위와 한계를 파악하는 데 도움이 됩니다. 이 표준은 기업, 정부 기관, 학술 기관, 비영리 단체 등 광범위한 조직에 적용됩니다.

ISO 27001에서 가장 중요한 요구사항은 다음과 같습니다:

1. 자산 관리

조직은 조직 자산에 대해 적절한 보호를 달성하고 유지해야 하며, 이는 자산을 식별하고 정보의 허용 가능한 사용에 대한 규칙을 문서로 작성해야 함을 의미합니다(Controls A.8). 또한 모든 정보는 조직에 대한 가치, 법적 요구사항, 민감도 및 중요성의 관점에서 분류되어야 합니다.

2. 운영 보안

이 방대한 통제 항목 세트는 개발, 테스트 및 운영 환경의 분리, 변경 관리, 운영 절차의 문서화(A.12)와 같은 기본적인 운영 절차와 책임을 설명합니다.

3. 접근 통제

이 통제 체계(A.9)는 조직 내 데이터 사용을 통제하고 운영체제, 네트워크 서비스, 정보 처리 시설 등에 대한 무단 액세스를 방지하기 위한 지침을 제공합니다. 여기에는 사용자 액세스 관리, 특권 액세스 권한의 관리, 사용자 책임, 그리고 시스템 및 애플리케이션에 대한 액세스 제어에 관한 규칙이 포함됩니다.

4. 정보보안 사고(인시던트) 관리

A.16 통제 체계는 IT 보안 이벤트와 취약점의 보고, IT 보안 사고의 관리, 그리고 이러한 프로세스의 개선을 위한 규칙을 설명합니다. 조직은 보안 사고가 적시에 효과적으로 대응할 수 있도록 적절한 방식으로 전달되도록 해야 합니다.

5. 인적 자원 보안

A.7 관리체계(컨트롤 패밀리)는 조직이 직원과 계약업체가 정보보안 책임을 인지하고 이를 이행하도록 보장할 것을 요구합니다. 조직은 직원에게 인지(awareness) 교육을 제공하고, 정보보안 침해를 저지른 직원에 대해 공식적인 징계 조치를 취해야 합니다.

6. 업무 연속성

이 일련의 관리체계(컨트롤) (A.17)는 업무 연속성 관리에서의 정보보안 측면을 설명합니다. 조직은 불리한 상황에서 정보보안 관리의 연속성을 유지하기 위한 요구사항을 파악하고, 필요한 수준의 연속성을 보장하기 위해 보안 통제를 문서화하고 유지해야 하며, 이러한 통제를 정기적으로 확인해야 합니다.

ISO 27001을 GDPR에 매핑하기: 유사점은 무엇인가요?

ISO 27001과 GDPR이 겹치는 영역은 많습니다. 그중 대부분은 정보보안과 관련이 있습니다. ISO 27001은 GDPR 제5조, 제24조, 제25조, 제28조, 제30조, 제32조에 설명된 것과 유사한 데이터 보호 규칙을 제시합니다. 다음은 두 표준에서 공통으로 확인되는 몇 가지 핵심 사항입니다:

데이터의 기밀성, 가용성 및 무결성

GPDR 제5조는 “승인되지 않았거나 불법적인 처리, 우발적인 분실, 파괴 또는 손상”에 대한 보호와 같은 데이터 처리에 대한 일반 원칙을 명시합니다. 보다 자세한 지침은 제32조에 제시되어 있는데, 제32조는 조직이 데이터 보안을 보장하기 위해 암호화, 처리 시스템 및 서비스의 복원력, 개인 데이터의 가용성을 적시에 복구할 수 있는 능력 등 적절한 기술적 및 조직적 조치를 구현하고, 운영하며, 유지하도록 요구합니다.

마찬가지로 ISO 27001의 여러 통제 항목은 조직이 데이터의 기밀성, 가용성 및 무결성을 보장할 수 있도록 돕는 것을 목표로 합니다. ISO 27001은 제4조부터 시작하여, 조직이 보안 프로그램에 영향을 줄 수 있는 내부 및 외부 이슈를 식별하도록 요구합니다. 제6조에서는 IT 보안 목표를 결정하고, 그러한 목표를 달성하는 데 도움이 되는 보안 프로그램을 수립할 것을 요구합니다. 제8조는 보안 프로그램을 지속적으로 유지하기 위한 기준을 정하고, 규제 준수를 입증하기 위해 조직이 보안 프로그램을 문서화하도록 요구합니다.

위험 평가

ISO 27001과 GDPR 모두 데이터 보안에 대해 위험 기반 접근 방식을 요구합니다. GDPR 제35조는 기업이 데이터 보호 영향 평가를 수행하여 개인의 데이터에 대한 위험을 평가하고 식별하도록 요구합니다. 이 GDPR risk assessment는 극도로 민감한 데이터에 대한 체계적 모니터링과 같은 고위험 처리에 착수하기 전에 의무적으로 수행해야 합니다.

ISO 27001은 또한 조직이 자산에 영향을 줄 수 있는 위협과 취약점을 식별하기 위해 철저한 위험 평가를 수행할 것(6.1.2조), 그리고 해당 위험 평가 결과를 바탕으로 적절한 정보보안 조치를 선택할 것을 권고합니다(6.1.3조).

벤더 관리

ISO 27001의 8조는 조직이 어떤 처리 작업이 외주로 수행되는지 식별하고, 해당 작업을 통제 상태로 유지할 수 있도록 보장할 것을 요구합니다. A.15조는 공급자 관계에 대한 구체적인 지침을 제공하며, 조직이 공급자의 서비스 제공을 모니터링하고 검토할 것을 요구합니다.

이와 유사한 이슈는 GDPR 제28조에서도 다루고 있으며, 이 조항은 개인정보 처리의 책임이 있는 자(데이터 컨트롤러)가 처리자(프로세서)로부터 계약 조건과 보증을 확보하여 “데이터 처리 계약”을 마련하도록 요구합니다.

침해 통지

GDPR 제33조–제34조에 따르면, 기업은 개인 데이터 침해 사실을 발견한 후 72시간 이내에 감독 당국에 통지해야 합니다. 정보 주체에게도 정당한 이유 없이 지체하지 않고 통지해야 하지만, 데이터가 “정보 주체의 권리와 자유에 대한 높은 위험”을 초래하는 경우에 한합니다.

정보보안 사고 관리 통제를 다루는 ISO 27001의 조항 A.16은 데이터 침해 통지에 대한 정확한 기한을 명시하지는 않지만, 조직이 보안 사고를 신속하게 보고하고 “적시에 시정 조치를 취할 수 있도록” 이러한 사건을 적절한 방식으로 전달해야 한다고 말합니다.

설계 단계 및 기본 설정에 의한 데이터 보호

GDPR 제25조는 기업이 모든 프로젝트의 설계 단계에서 기술적·조직적 조치를 이행해야 하며, 이를 통해 시작부터 데이터 프라이버시를 보장할 수 있어야 한다고 말합니다(“설계에 의한 데이터 보호”). 또한 조직은 기본 설정을 통해 데이터 프라이버시를 보호하고, 처리의 각 특정 목적에 필요한 정보만 사용되도록 해야 합니다(“기본 설정에 의한 데이터 보호”).

ISO 27001에서는 유사한 요구사항이 제4조와 제6조에 명시되어 있습니다. 제4조는 조직이 수집하고 처리하는 데이터의 범위와 맥락을 이해하도록 요구하는 반면, 제6조는 보안 관리 프로그램의 효과성을 보장하기 위해 정기적으로 보안 위험 평가를 수행할 것을 권고합니다.

기록 관리

GDPR 제30조는 조직이 처리 활동에 대한 기록을 유지하도록 요구하며, 여기에는 데이터 범주, 처리 목적, 그리고 관련된 기술적·조직적 보안 조치에 대한 일반적인 설명이 포함됩니다.

마찬가지로 ISO 27001은 조직이 보안 프로세스뿐 아니라 보안 위험 평가 및 위험 처리의 결과도 문서화해야 한다고 명시합니다(제8조). 통제 항목 A.8에 따르면 정보 자산은 목록화하고 분류해야 하며, 자산 소유자를 지정하고 승인 가능한 데이터 사용 절차를 정의해야 합니다.

ISO 27001을 준수하면 GDPR 준수가 보장되나요?

보시는 것처럼 ISO 27001 인증은 GDPR 준수를 달성하는 과정을 간소화할 수 있습니다. 하지만 이러한 표준 간에는 몇 가지 차이점이 있습니다. GDPR은 데이터 프라이버시를 보장하기 위해 조직이 어떻게 해야 하는지에 대한 전략적 비전을 제공하는 글로벌 표준입니다. ISO 27001은 정보보안에 대한 좁은 초점을 가진 모범 사례의 집합이며, 정보를 보호하고 사이버 위협을 줄이는 방법에 대한 실질적인 조언을 제공합니다. GDPR과 달리, GDPR 제3장에 설명된 다음과 같은 데이터 프라이버시 관련 이슈를 직접적으로 다루지는 않습니다 (정보주체의 권리):

• 동의 — 개인정보 처리자는 정보주체가 자신의 개인정보 처리에 동의했음을 입증해야 합니다(제7조 및 제8조). 동의 요청은 쉽게 접근할 수 있는 형태로 제공되어야 하며, 데이터 처리의 목적이 함께 첨부되어야 합니다. 정보주체는 또한 언제든지 동의를 철회할 권리가 있습니다.
• 데이터 이동성 — 개인은 서로 다른 서비스에 걸쳐 자신의 목적을 위해 개인 데이터를 취득하고 재사용할 권리가 있으며, 사용성이 손상되지 않도록 그 데이터를 다른 처리자에게 전송할 수도 있습니다(제20조).
• 잊힐 권리 — 개인은 자신의 개인 데이터를 삭제하거나, 더 이상의 그 정보의 확산을 지체 없이 중단하게 할 권리가 있습니다(제17조).
• 처리 제한권 — 개인은 데이터가 불법적으로 처리된 경우 또는 개인이 해당 데이터의 정확성에 대해 이의를 제기한 경우, 조직이 자신의 개인 데이터를 사용하는 방식을 제한할 권리가 있습니다(제18조).
• 반대할 권리 — 정보주체는 직접 마케팅, 법적 업무의 수행 또는 연구 목적 및 통계(제21조)에 대한 데이터 처리에 반대할 권리가 있습니다.
• 개인 데이터의 국제 이전 — 조직은 국제 데이터 이전이 유럽연합 집행위원회가 승인한 규칙에 따라 수행되도록 보장해야 합니다(제46조).

요약하면

보시다시피 GDPR은 데이터 프라이버시와 개인정보 보호에 초점을 맞추고 있습니다. 즉, 조직이 데이터 수집에 대해 명시적 동의를 얻기 위해 더 많은 노력을 기울이고, 모든 데이터가 적법하게 처리되도록 보장할 것을 요구합니다. 하지만 적절한 수준의 데이터 보안을 유지하거나 내부 및 외부 위협을 완화하는 방법에 대한 기술적 세부 사항은 부족합니다. 이와 관련해 ISO 27001이 유용합니다. ISO 27001은 보안 사고로 이어질 수 있는 보안 위험을 최소화하기 위해 명확하고 포괄적인 정책을 개발하는 방법에 대한 실질적인 지침을 제공합니다.

ISO 27001을 준수한다고 해서 GDPR 준수가 보장되는 것은 아니지만, 이는 가치 있는 한 걸음입니다. 조직은 민감한 데이터를 보호할 만큼 보안 조치가 충분히 강력하다는 점을 확인하기 위해 ISO 27001 인증을 추진하는 방안을 고려해야 합니다.