🔍 심사원의 역량이 인증의 결과를 바꾼다 - ISMS 심사 회고

"같은 통제 항목을, 같은 날, 다른 심사원이 봤다면 결과가 달랐을까요?"

 

심사가 끝나고 며칠이 지났지만, 이 질문은 여전히 머릿속을 맴돌고 있습니다.

---

🙋 고백 하나 - 저는 심사원 자격이 없습니다

사실 이 글을 쓰기 전에 한 가지를 먼저 밝혀야 할 것 같습니다.

저에게는 ISMS 인증 심사원 자격이 없습니다.

여러 차례 시험에 도전했지만, 번번이 고배를 마셨습니다. 올해는 시험 자체를 보지 않았고, 앞으로도 도전하지 않을 계획입니다.

결정적인 계기는 작년이었습니다. 시험을 보고 나오는 순간 이런 생각이 강하게 들었습니다.

"이건 공부해서 붙을 만한 시험이 아니다."

물론 이것은 제 주관적인 판단입니다. 하지만 그 판단에는 또 다른 현실도 영향을 미쳤습니다. 심사원 자격을 취득하더라도 실제로 심사를 나가기가 쉽지 않은 환경이 만들어져 있다는 것이죠.

재직 중인 분들은 심사를 나가려면 휴가를 써야 합니다. 일반 심사도 5일, ISMS-P 인증이라면 7일이 기본입니다. 이 정도의 휴가를 흔쾌히 허용해주는 직장이 많지 않다는 것은 모두가 아는 사실입니다. 게다가 심사원 수는 늘어나는 반면 심사 건수는 그에 미치지 못해, 신청을 해도 선정이 안 되는 경우도 적지 않습니다.

자격을 따도 쓰기가 어렵고, 쓸 기회가 줄어드니 굳이 필요할까 싶었습니다.

---

😤 Kick-Off 미팅부터 예사롭지 않았습니다

이번 심사에는 팀장님을 포함해 총 5명의 심사원이 오셨습니다. 첫 대면에서 느낀 감상은 단 한 마디였습니다.

'아, 이번 심사 쉽지 않겠구나.'

예감은 적중했습니다. Kick-Off 미팅부터 범위 설정, 자산 수량, 데이터 흐름도까지 - 그야말로 탈탈 털렸습니다. 겨우 Kick-Off 미팅이었는데도요.

이후 각 업무 영역별로 지정 심사원과 점검이 시작되었고, 예전 같으면 가볍게 넘어갔을 항목들을 훨씬 꼼꼼하게 파고드는 것이 느껴졌습니다.

---

💭 심사를 받으며 들었던 솔직한 생각들

심사가 진행되는 동안, 머릿속에서는 이런 생각들이 오갔습니다.

"어, 이건 결함 사항이 아닌데, 결함으로 판단하는 건가?"

"심사원이 무슨 말씀을 하는지는 알겠어요. 근데 저희가 운영하는 방식은 오히려 더 고도화되고 안전한 방법입니다."

"우리가 사용하는 기술에 대한 이해가 조금 부족한 것 같은데..."

"원칙적으로는 심사원 말이 맞습니다. 그런데 저희 현실에서는 그걸 구축하기 어려워서, 보완 통제 대책을 세우고 운영하고 있는 겁니다."

 

물론 모든 분이 그런 것은 아니었습니다. 저희 회사의 통제 방식과 그 배경을 충분히 이해하고 인정해주시는 심사원도 계셨습니다. 그런 분들과의 점검은 논의가 되고, 서로 배우는 느낌이 있었습니다.

반면 그렇지 않은 경우에는 설명하고, 이해시키고, 납득시키는 과정이 반복되었습니다. 그 과정에 드는 시간과 에너지가 적지 않았습니다.

---

🤔 그러면서 이런 생각이 들었습니다

심사원의 역량이 중요합니다.

ISMS - 즉, 정보보호 관리체계 인증은 단순히 법령에 열거된 항목을 체크하는 작업이 아닙니다. 조직이 수립한 관리체계가 관련 요건을 충족하는지, 그리고 그것이 현장에서 실제로 잘 작동하고 있는지를 평가하는 인증입니다.

그런데 심사를 마치고 회고를 하면서 이런 생각이 머리를 떠나지 않았습니다.

심사원의 역량에 따라, 또는 관점에 따라 결함이 달라질 수 있다. 그리고 그 이상으로, 인증 결과 자체가 달라질 수도 있다.

지금의 심사 방식이 어딘가 뭔가 빠진 게 있는 건 아닐까요.

---

💡 그럼에도 불구하고

물론 ISMS라는 인증 체계가 있기에, 저도 이 자리에서 이 일을 하고 있음은 잘 알고 있습니다.

회사에서도 매년 정보보호 관리체계를 점검하고 개선해 나가는 작업을 이어가고 있습니다. ISMS 인증 제도도 마찬가지입니다. 단순히 인증서를 발급하는 절차가 아니라, 실제 보안 수준을 높이는 데 기여하는 실효성 있는 인증 체계로 발전해 나가길 바랍니다.

올해 심사를 통해 많은 것을 느끼고, 생각하고, 배웠습니다. 다음에도 이 자리에서 또 다른 회고를 기록할 수 있기를 기대하며, 이번 글은 여기서 마치겠습니다.