ISO 27002 해설: 강력한 정보 보안 통제를 위한 청사진

국제표준화기구(ISO)는 주로 기술 주제에 대한 표준을 만들기 위해 존재하는 비정부 기구입니다. ISO 27002는 기업이 적절한 보안을 수행할 수 있도록 정보 보안과 통제를 시행하는 표준 및 절차 세트입니다. 2005년까지 ISO 27002는 다른 두 이름으로 불렸습니다. 이 표준은 주로 27002의 통제 측면보다는 위험 평가 및 보안 검토와 같은 관리 업무를 상세히 다루는 ISO 27001에 의해 크게 보완됩니다.

역사적 변천

ISO 27002 이전에 두 표준이 있었으며, 각각 주제와 통제 면에서 유사했습니다. 첫 번째 화신은 1995년 영국(UK)에서 BS7799로 나타났습니다. 정리되고 현대화된 후 ISO에 의해 다시 출판되었는데, 이때 ISO 17799였습니다. 2005년 추가 편집 후 ISO 27002라고 불리게 되었습니다. 각 버전은 다르며, 연속적으로 더 현대적인 문제와 통제를 강조하지만, 세 화신 모두 정보 보안을 다룹니다.

표준의 구성과 범위

27002 표준은 정보 보안을 다루는 수백 가지 방법을 강조하며 정보 보안의 다양한 측면에 대한 많은 챕터를 가지고 있습니다. 일부 챕터는 인적 자원과 정보와의 상호작용을 다루고, 다른 챕터는 보안 절차를 통해 접근 제어와 비즈니스 연속성을 어떻게 통제할지 기업에 알려줍니다. 정보 보안은 보통 정보 기술(IT)을 의미하지만, ISO 27002는 종이 정보와 자산에도 관심이 있으며, 표준의 대부분은 IT 부서를 대상으로 합니다.

섹터별 표준으로의 진화

최초 릴리스에서 27002 표준은 정보 보안이 필요한 모든 기관을 위한 광범위한 표준이었습니다. 이는 기업, 비영리 단체, 정부 기관, 비즈니스가 모두 동일한 표준을 따른다는 것을 의미합니다. 이 표준의 향후 간행물은 다른 부문을 위한 표준을 분리하여 더 효율적으로 만드는 데 초점을 맞추고 있습니다.

ISO 27001과의 관계

ISO 27002는 정보를 안전하게 유지하는 데 관여하는 통제와 절차에 대해 매우 자세히 다룹니다. ISO 27001과 같은 다른 표준은 통제에 대해 한두 문장만 제공합니다. 대신 27002는 통제에 대해 매우 자세히 다루지만 관리 측면에서는 거의 제공하지 않습니다. ISO 27001로는 모든 관리 측면이 지정됩니다.

많은 사람들이 ISO 27001과 27002를 혼동합니다. 왜냐하면 그들이 같은 주제를 다른 방식으로 다루기 때문입니다. 이는 많은 사람들이 표준이 왜 두 부분으로 분리되었는지 궁금해하게 만듭니다. 그 이유는 두 부분이 함께 존재하면 하나의 출판물에는 너무 길기 때문입니다.