ISMS-P 개편 대비, Teleport로 접근 권한과 접속기록 준비하기

정부가 ISMS-P(정보보호 및 개인정보보호 관리체계 인증) 인증제도 개편을 추진하고 있습니다. 인증을 받은 기업에서도 침해사고가 잇따르기 때문인데요. 이번 개편은 주요 개인정보처리자에게 인증을 의무화하고, 서면 증적 위주였던 심사를 실제 운영 상태를 확인하는 현장 실증 중심으로 바꾸며, 인증을 받은 뒤의 사후관리도 강화하는 방향입니다.

개편안대로라면 실제 운영을 보여 주지 못할 때 부담도 커집니다. 예비심사에서 취약점·패치 관리 같은 핵심 항목을 충족하지 못한 기업은 본심사로 넘어가지 못하고, 사후심사에서 보완하지 않으면 인증 효력이 취소되죠. 보안 패치 미적용이나 로그 미보관 같은 중대 결함을 기한 안에 조치하지 않으면 인증 취소를 심의하는 안도 담겼습니다.

개편안의 세부 기준은 아직 확정되지 않았지만, 시행일이 정해진 변화도 있습니다. 주요 개인정보처리자의 ISMS-P 인증 의무화 규정은 2027년 7월 1일부터 시행되고, 「개인정보의 안전성 확보조치 기준」의 접근 권한·외부 접속 인증·접속기록 조항 등은 2026년 10월 31일부터 바뀝니다. 세부 기준이 언제 확정될지는 우리가 정할 수 없지만, 서버·DB 접속 경로와 접속기록을 정비하고 그 운영을 보여 줄 준비는 지금 시작할 수 있습니다.

이 글에서는 먼저 ISMS-P 인증제도가 무엇이, 언제부터 달라지는지 정리합니다. 이어서 심사를 앞둔 기업이 준비할 일을 안전성 확보조치 기준 변경, 인증 의무 대상·등급·범위, 심사 단계별 할 일로 나눠 살펴봅니다. 그다음 접근 권한, 외부 접속 인증, 접속기록 생성·점검과 보관을 Teleport로 어떻게 준비할 수 있는지 공식 문서를 바탕으로 정리하고요. 마지막으로 접속 외 핵심 항목인 취약점·패치 관리 가운데 애플리케이션 의존성과 컨테이너 이미지의 이행 현황을 GitLab으로 보여 주는 방법을 살펴보겠습니다.

ISMS-P 인증제도는 무엇이, 언제부터 달라지나요?

ISMS-P 인증제도 개편으로 기업이 직접 대비해야 할 변화는 세 가지입니다.

1. 주요 개인정보처리자의 인증 의무화와 인증기준 차등화
2. 서면 증적 확인 위주의 심사를 현장 실증 중심으로 바꾸는 심사 방식 강화
3. 인증 이후의 사후관리 강화

과학기술정보통신부와 개인정보보호위원회가 2026년 4월 발표한 「정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안」(이하 강화방안)은 여기에 심사기관·심사원 전문성 강화를 더해 네 가지 과제를 담았습니다. 이 글은 기업과 직접 관련된 세 가지를 중심으로 다룹니다.

강화방안은 인증 기업의 연이은 사고로 제도의 실효성 우려가 커진 것을 개편 배경으로 들었습니다. 최근 3년간 정보보호 관리체계(ISMS)·ISMS-P 인증 기업 가운데 179곳(약 14%)에서 침해사고가 발생했다고 하죠.

참고로 개편은 법률, 정부 방안, 시행령·고시 개정으로 나뉘어 진행되고 있어 항목마다 확정 여부가 다른데요. 주요 일정과 현재 상태를 표로 정리하면 다음과 같습니다.

ISMS-P 인증제도 개편 주요 일정(2026년 10월 14일 기준)

주요 개인정보처리자는 ISMS-P 인증이 의무가 되고, 인증기준 차등 적용이 추진됩니다

개정 「개인정보 보호법」은 매출액과 개인정보 처리 규모 등을 고려해 시행령으로 정하는 기준에 해당하는 개인정보처리자가 ISMS-P 인증을 받도록 의무화했습니다. 이 조항은 2027년 7월 1일부터 시행됩니다. 다만 어떤 개인정보처리자가 대상인지 정할 시행령은 아직 확정되지 않았습니다. 그동안 ISMS-P는 기업과 기관이 자율로 받는 인증이었습니다.

• 대상: 2026년 6월 입법예고된 시행령 개정안은 ① 공공시스템운영기관 중 개인정보보호위원회가 정해 고시하는 기관, ② 이동통신사업자, ③ 본인확인기관, ④ 전년도 매출액이 1조 원 이상이고 정보통신서비스 부문 전년도 매출액이 100억 원 이상이며 전년도 말 기준 직전 3개월간 개인정보가 저장·관리되는 국내 정보주체 수가 일일평균 3천만 명 이상인 사업자를 의무 대상으로 제시했습니다. 다만 2026년 9월 11일 시행된 개정 시행령에는 이 내용이 들어가지 않았고, 개인정보보호위원회는 의무화 관련 시행령 개정을 2027년 7월 1일 전까지 별도로 추진한다고 밝혔습니다.
• 기한: 6월 개정안은 의무 대상이 2028년 12월 31일까지 인증을 받도록 했습니다. 이는 시행령이 확정되기 전이라 바뀔 수 있습니다.
• 인증기준: 강화방안은 인증을 강화·표준·간편 3단계로 나누고, 통신사·데이터센터처럼 침해사고가 나면 국민 생활에 파급력이 큰 강화인증군에는 기존보다 강화된 인증기준과 심사 방식을 적용할 계획입니다. 제시된 안은 표준 인증기준(ISMS-P 101개)에 강화 인증기준 20개를 더하는 방식입니다. 9월 시행령 개정안은 개인정보 처리 규모와 사회적 파급력 등에 따라 인증기준을 차등 적용할 근거를 담았습니다.
• 시점과 상태: 의무화 근거는 2026년 3월 10일 공포된 개정 「개인정보 보호법」입니다. 개정법은 2026년 9월 11일부터 시행됐지만, 의무화 규정은 예산 확보 등 준비 기간을 고려해 2027년 7월 1일부터 시행됩니다. 인증 차등 적용과 강화 인증기준은 2027년부터 적용할 계획입니다.

서면 증적 확인 위주의 심사를 현장 실증 중심으로 바꾸는 개편이 추진됩니다

강화방안은 기업이 낸 서면 증적을 주로 확인하던 심사를, 보안 취약점을 직접 점검하고 시스템 접속을 시연하는 등의 현장 실증형 심사로 바꿀 계획입니다. 서면 심사가 없어지는 것은 아닙니다. 본심사는 서면 점검에 현장 실증형 심사 방법을 추가하는 방식이고, 9월 시행령 개정안도 서면심사와 현장심사를 병행할 수 있도록 규정을 명확히 했습니다.

• 예비심사: 본심사 전 예비심사에서 핵심 항목을 먼저 검증하고, 충족하지 못하면 본심사로 넘어가지 않습니다(최초 인증은 신청 반려, 사후심사는 보완하지 않으면 인증 효력 취소). 핵심 항목(안)은 ① 정보보호 최고책임자(CISO)와 개인정보 보호책임자(CPO)의 정보보호 정책 관리 권한 여부, ② 개인정보 처리·외부 인터넷 접점 자산 식별, ③ 개인정보 처리시스템 비밀번호·암호화 적용, ④ 취약점·패치 관리 등입니다. 지금의 예비심사는 심사팀장 1명이 하루 방문하는 수준입니다.
• 현장 실증: 본심사에서 심사원이 실시간 시연 등으로 실제 보안 관리 상태를 확인합니다. 강화방안은 정보자산 식별, 퇴직 및 직무변경 관리, 이상행위 분석 및 모니터링, 사고 대응 및 복구 같은 인증기준별 현장 실증 방법(안)을 예로 들었습니다.
• 기술심사: 취약점 점검 전문인력이 취약점 스캐너, 소스코드 진단 도구 같은 점검 도구로 취약점 진단과 모의침투를 수행합니다. 강화방안은 강화인증군과 사고 기업 등의 예비심사에 이 방식을 적용하는 안을 제시했습니다. 9월 시행령 개정안은 인증 유효기간 중 침해사고나 개인정보 유출이 발생한 경우 등에 일정 자격을 갖춘 기술인력이 현장에서 취약점을 점검할 수 있게 했습니다.
• 시점과 상태: 강화방안은 심사팀 개편과 인증심사 절차 강화를 2027년부터 시행하는 일정을 제시했습니다. 서면·현장심사 병행을 시행령에 명확히 하고 기술인력 취약점 점검의 근거를 담은 9월 시행령 개정안은 10월 26일까지 의견을 받고 있습니다. 세부 방법은 시행령·고시·안내서를 정비하며 정해집니다.

사후관리 강화가 추진되고, 중대 결함은 인증 취소로 이어질 수 있습니다

강화방안은 인증을 받은 뒤의 점검도 강화할 계획입니다. 지금도 인증 유효기간은 3년이고, 최초 인증 후 매년 사후심사를 받습니다. 앞으로는 심사 시점만 확인하는 '스냅샷' 방식에서 벗어나, 인증 취득부터 유지·갱신까지 관리체계가 계속 운영되는지 점검합니다.

• 상시 점검: 주기별 점검 양식을 표준화하고, 사후심사에서 이를 집중 점검합니다. CISO·CPO 지정, 취약점 점검, 로그·접속기록 같은 핵심 항목은 인증 이후에도 계속 이행하도록 한국인터넷진흥원(KISA)이 점검 양식을 표준화해 배포할 계획입니다. 9월 시행령 개정안은 매년 하는 사후심사에서도 서면심사와 현장심사 병행을 시행령에 명확히 하고, 기술인력의 취약점 점검이 가능하도록 하는 내용을 담았습니다.
• 사고 기업 관리: 중대한 침해사고가 나면 정부 조사·처분이 끝날 때까지 인증 심사·심의를 잠정 중단합니다. 심사를 재개할 때는 심사 인력과 기간을 늘려 사고 원인, 조치 현황, 재발방지 대책을 집중 심사합니다.
• 중대 결함과 인증 취소: 강화방안은 인증기준 미달을 판단할 중대 결함 기준을 마련할 계획이며, 지원이 끝난 소프트웨어(EoS), 보안 패치 미적용, 로그 미보관을 예로 들었습니다. 중대 결함은 경영진 승인으로 위험을 수용할 수 없고, 보완 기한(100일) 안에 조치하지 않으면 인증위원회에서 인증 취소를 심의하는 안입니다. 9월 시행령 개정안은 의무 대상 기업 등이 인증 취소 처분을 받으면 인증 취득 의무 위반에 따른 과태료 부과를 1년간 유예하도록 했습니다. 다만 거짓이나 부정한 방법으로 인증을 받아 취소된 경우는 유예하지 않습니다.
• 시점과 상태: 상시 점검, 중대 사고 시 심사 중단, 인증 취소는 2026년 하반기부터, 사고 기업의 심사 인력·기간 확대는 2027년부터 추진됩니다. 사후심사의 서면·현장심사 병행은 지금도 「정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시」(이하 인증 고시)에 근거가 있고, 9월 시행령 개정안이 확정되면 시행령에도 명확해집니다.

정리하면 인증을 받아야 하는 기업은 늘어나고, 심사는 서류뿐만 아니라 실제 운영 상태를, 심사 시점뿐만 아니라 인증 기간 전체를 확인하는 방향으로 바뀝니다.

ISMS-P 심사를 앞둔 기업은 무엇을 준비해야 하나요?

이렇게 심사가 바뀌면 ISMS-P 심사를 앞둔 기업은 서류를 갖추는 것만으로는 부족하고, 실제 운영 상태도 보여 줄 수 있어야 합니다.

ISMS-P에 적용할 강화방안의 세부 기준은 아직 확정되지 않았습니다. 그러나 개편과 별개로, 개인정보처리자가 지켜야 할 최소한의 안전조치를 정한 「개인정보의 안전성 확보조치 기준」(이하 안전성 확보조치 기준)의 접근 권한·외부 접속 인증·접속기록 조항 등은 2026년 10월 31일부터 바뀔 예정입니다.

이 기준은 ISMS-P 인증 여부와 관계없이 적용됩니다. ISMS-P 인증기준도 1.4.1(법적 요구사항 준수 검토)에서 기업이 안전성 확보조치 기준 같은 법적 요구사항을 주기적으로 파악해 내부 규정에 반영하고, 준수 여부를 검토하도록 요구합니다.

지금부터 이 변경 사항을 살펴보고, 이어서 인증 의무 대상·등급·범위와 심사 단계별로 할 일을 정리하겠습니다.

접근 권한·외부 접속 인증·접속기록을 10월 31일 시행 기준에 맞춰야 합니다

먼저 개인정보처리시스템(데이터베이스시스템 등 개인정보를 처리할 수 있도록 체계적으로 구성한 시스템)의 접근 권한, 외부 접속 인증, 접속기록 관리를 2026년 10월 31일부터 바뀌는 안전성 확보조치 기준에 맞춰야 합니다. 「개인정보 보호법」 제29조 등에 근거한 고시인 이 기준은 강화방안과 달리 지켜야 할 의무와 시행일이 정해져 있기 때문입니다.

접근 권한 최소화, 외부 접속 시 안전한 인증수단 적용, 접속기록 보관과 점검은 지금도 안전성 확보조치 기준이 정한 의무입니다. ISMS-P 인증기준도 2.9.4(로그 및 접속기록 관리)에서 로그를 안전하게 보존하도록, 2.9.5(로그 및 접속기록 점검)에서 로그를 주기적으로 점검하고 문제가 생기면 사후조치하도록 요구합니다.

10월 31일부터는 접근 권한 관리, 외부 접속 인증, 접속기록 보관 의무의 적용 대상이 개인정보취급자(임직원, 파견근로자 등 개인정보처리자의 지휘·감독을 받아 개인정보를 처리하는 자)가 아닌 자까지 확대되고, 접속기록 점검 방식이 바뀝니다. 개인정보보호위원회는 오픈마켓 판매자처럼 플랫폼을 이용해 개인정보를 처리하는 자가 그동안 이런 의무의 적용 대상에서 빠져 있던 점을 변경 이유로 들었습니다.

안전성 확보조치 기준에서 10월 31일부터 바뀌는 내용과 할 일을 표로 정리하면 다음과 같습니다.

안전성 확보조치 기준 주요 변경 사항(2026년 10월 31일 시행)

※ 접속기록: 개인정보처리시스템에 접속한 자가 수행한 업무 내역을 식별자, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등으로 전자적으로 기록한 것(안전성 확보조치 기준 제2조제3호)

※ 내부 관리계획: 개인정보의 분실·도난·유출 등을 막기 위해 개인정보처리자가 내부 의사결정 절차를 거쳐 수립·시행하는 계획(같은 기준 제4조제1항)

보관 기간과 보관 조치는 바뀌지 않습니다. 새로 보관 대상이 되는 접속기록에도 그대로 적용해야 합니다.

• 보관 기간: 1년 이상 보관·관리해야 합니다. 5만 명 이상의 정보주체에 관한 개인정보를 처리하는 시스템, 고유식별정보(주민등록번호 등)나 민감정보(건강 정보 등)를 처리하는 시스템, 기간통신사업자의 시스템은 2년 이상입니다(안전성 확보조치 기준 제8조제1항).
• 보관 조치: 접속기록이 위·변조, 도난, 분실되지 않도록 안전하게 보관하는 조치를 해야 합니다(같은 기준 제8조제3항).

2026년 10월 31일부터 바뀌는 안전성 확보조치 기준의 적용 대상

ISMS-P 인증 의무 대상 여부, 인증 등급, 인증 범위를 미리 따져 봐야 합니다

우리 조직이 ISMS-P 인증 의무 대상이 되는지, 어느 등급의 인증을 받게 될지, 인증 범위에 무엇을 넣어야 할지 미리 따져 봐야 합니다. 의무화 규정(「개인정보 보호법」 제32조의2제1항 단서)이 2027년 7월 1일 시행되고, 강화방안은 인증 차등 적용과 인증 범위 확대를 2027년부터 추진할 계획이기 때문입니다.

의무 대상이 되면 ISMS-P는 선택이 아니라 반드시 받아야 하는 인증이 됩니다. 강화방안대로라면 인증 등급에 따라 적용할 인증기준과 심사 방식도 달라집니다. 인증 범위는 어떤 자산이 심사 대상이 되는지를 정합니다. 아직 확정되지 않은 내용이 많지만, 공개된 개정안과 강화방안으로도 우리 조직이 어디에 해당할지 가늠할 수 있습니다.

항목별 내용과 상태, 할 일을 정리하면 다음과 같습니다.

ISMS-P 인증 의무 대상·등급·범위 현황(2026년 10월 14일 기준)

심사 단계별로 핵심 항목 증적과 실제 운영을 보여 줄 시연을 준비해야 합니다

심사 단계마다 핵심 항목별 증적을 갖추고, 실제 운영 상태를 심사원 앞에서 바로 보여 줄 수 있게 준비해야 합니다. 강화방안은 보안사고와 직결되는 핵심 항목을 예비심사에서 먼저 검증하고, 본심사에서는 서면 점검에 현장 실증을 더하는 안을 제시했기 때문입니다.

강화방안대로라면 예비심사에서 핵심 항목을 충족하지 못한 기업은 본심사로 넘어갈 수 없습니다. 최초 인증이면 신청이 반려되고, 사후심사에서는 보완하지 않으면 인증 효력이 취소됩니다. 정부는 2027년부터 이 심사 절차를 시행하는 것을 목표로 시행령과 인증 고시를 개정할 계획입니다.

서면심사와 현장심사 병행은 지금도 인증 고시가 정하고 있습니다. 9월 시행령 개정안은 이 병행을 시행령에도 명확히 하며, 10월 26일까지 입법예고 중입니다. 개인정보보호위원회는 의견 수렴과 법제처 심사를 거쳐 신속하게 개정을 마칠 계획이라고 밝혔습니다.

심사 단계별로 바뀌는 내용과 상태, 할 일을 정리하면 다음과 같습니다.

ISMS-P 심사 단계별 변경 사항과 할 일(2026년 10월 14일 기준)

※ 증적: 인증기준을 이행하고 있음을 보여 주는 문서와 기록

※ 현장 실증: 심사원이 실시간 시연 등으로 실제 보안관리 상태를 직접 확인하는 심사 방법(강화방안)

정리하면 할 일은 크게 두 범주로 나뉩니다. ISMS-P 인증 의무 대상 여부 확인, 인증 범위 협의, CISO·CPO의 권한 정비는 조직이 법령 기준에 따라 판단하고 챙겨야 할 일입니다. 반면에 접근 권한 관리, 외부 접속 인증, 접속기록 보관·점검은 도구로 서버·DB 접속 경로와 기록 체계를 정비해 준비할 수 있는 일입니다. Teleport 같은 도구가 도움이 될 수 있습니다.

ISMS-P 인증심사 절차의 현행과 개선(안)

Teleport로 무엇을 어떻게 준비할 수 있나요?

Teleport는 인프라 접근 관리 도구입니다. 서버, DB, Kubernetes 클러스터, 웹 애플리케이션 접속을 하나의 접근 경로로 모으고, 접속할 때마다 인증서로 신원과 권한을 확인한 뒤 그 기록을 남깁니다.

접근 권한, 외부 접속 인증, 접속기록 생성·점검, 접속기록 보관과 관련해 Teleport로 할 수 있는 일은 다음 표와 같습니다.

Teleport 기능과 관련 기준·개편안(Teleport 18.x, 2026년 10월 기준)

Teleport 기능은 공식 문서(18.x, 2026년 10월 기준)를 바탕으로 정리했고, 접근 요청, 세션·ID 잠금, SAML·OIDC 기반 SSO는 Teleport Enterprise, 외부 감사 저장소는 Teleport Enterprise Cloud 기준으로 설명했습니다.

Teleport로 서버·DB 접근 권한을 역할별로 최소한만 줄 수 있습니다

Teleport로 사용자마다 업무에 필요한 서버·DB에만 접근 권한을 줄 수 있습니다. 누가 어떤 서버·DB에 접속할 수 있는지는 역할 기반 접근 제어(RBAC)로 정하고, 권한이 없는 서버·DB에는 접속할 수 없습니다. PostgreSQL, MySQL 등에서는 DB 사용자 자동 생성 기능을 사용하면 공유 DB 계정이나 사용자별 계정을 미리 만들어 두지 않아도 됩니다.

관리자 권한처럼 평소에는 필요 없는 권한은 접근 요청(Access Requests)으로 필요할 때만 열 수 있습니다. 정해 둔 인원만큼 승인을 받아야 권한이 생기고, 요청자는 자신의 요청을 승인할 수 없습니다. 이렇게 받은 권한은 허용된 기간에만 쓸 수 있습니다. 세션·ID 잠금을 쓰면 퇴직한 사용자의 접속 중인 세션을 끊고 새 접속을 막을 수 있습니다. 심사에서는 테스트 계정에 퇴직 상황을 가정해 잠금을 걸고, 접속 중인 세션이 끊기고 새 접속이 막히는 과정을 보여 줄 수 있습니다.

관련 기준과 개편안

• 관련 기준: 안전성 확보조치 기준 제5조제1항(접근 권한을 업무 수행에 필요한 최소 범위로 차등 부여), 제2항(개인정보취급자나 그 업무가 바뀌면 접근 권한을 지체 없이 변경·말소), 제4항(개인정보취급자별로 계정을 발급하고 공유하지 않도록 함). ISMS-P 인증기준 2.2.5(퇴직 및 직무변경 관리), 2.5.1(사용자 계정 관리), 2.5.2(사용자 식별), 2.5.5(특수 계정 및 권한 관리), 2.6.2(정보시스템 접근)
• 개편안(강화방안): 인증기준별 현장 실증 방법(안) 가운데 2.2.5의 계정·권한 회수 즉시성 검증

Teleport로 서버·DB 접속에 SSO·MFA와 단기 인증서를 적용할 수 있습니다

Teleport로 서버·DB에 접속하는 사용자를 SSO(통합 인증), MFA(다중 인증), 단기 인증서(짧은 시간만 유효한 인증서)로 확인할 수 있습니다. 사용자가 SSO로 로그인하면 Teleport의 인증 기관(CA)이 인증서를 발급하고, 관리자는 인증서 유효 시간(TTL)을 정할 수 있습니다.

DB도 SSO로 발급받은 단기 인증서로 접속하며, 서버·DB에 접속할 때마다 MFA를 요구하도록 설정할 수도 있습니다. 심사에서는 SSO 로그인부터 MFA를 거쳐 허용된 서버·DB에 접속하는 과정을 그대로 보여 줄 수 있습니다.

관련 기준과 개편안

• 관련 기준: 안전성 확보조치 기준 제5조제5항(인증수단을 안전하게 적용·관리), 제6조제2항(외부에서 접속할 때 인증서, 보안토큰, 일회용 비밀번호 등 안전한 인증수단 적용). ISMS-P 인증기준 2.5.3(사용자 인증)
• 개편안(강화방안): 현장 실증형 심사의 예로 든 시스템 접속 시연

Teleport로 누가 언제 어디서 접속해 무엇을 했는지 기록하고 다시 볼 수 있습니다

Teleport로 서버·DB 접속 기록을 남기고, 지난 세션을 재생해 볼 수 있습니다. Teleport는 로그인과 세션 같은 활동을 감사 로그에 남기며, SSH 세션 시작 이벤트에는 사용자, 원격 IP 주소, 시각, 세션 ID가 기록됩니다. SSH, kubectl 같은 대화형 세션은 전체를 녹화해 재생할 수 있고, 접속 중인 세션 목록도 볼 수 있습니다. DB에서 실행한 쿼리도 감사 이벤트로 남고, PostgreSQL 세션은 재생할 수 있습니다. 녹화를 열람한 행위도 별도 감사 이벤트로 남습니다. 감사 이벤트는 SIEM(보안 정보·이벤트 관리) 시스템으로 내보내 내부 관리계획에 정한 주기와 방법에 따라 점검하는 데 쓸 수 있습니다.

다만 기록에 빈틈이 없으려면 운영 서버·DB로 가는 접속이 모두 Teleport를 거쳐야 합니다. Teleport를 거치지 않는 직접 접속 경로는 IP 주소 제한 등으로 막아야 합니다. 심사에서는 지난 세션을 재생하고, 녹화를 본 기록이 다시 감사 로그에 남는 것까지 보여 줄 수 있습니다.

관련 기준과 개편안

• 관련 기준: 안전성 확보조치 기준 제6조제1항제1호(접속 권한을 IP 주소 등으로 제한), 제2호(접속한 IP 주소 등을 분석해 개인정보 유출 시도 탐지·대응), 제8조제1항(접속기록 보관. 10월 31일부터 대상이 정보주체를 제외한 모든 접속자로 확대), 제2항(10월 31일부터 내부 관리계획에 정한 주기·방법·사후조치 절차에 따라 점검). ISMS-P 인증기준 2.9.4(로그 및 접속기록 관리), 2.9.5(로그 및 접속기록 점검), 2.11.3(이상행위 분석 및 모니터링)
• 개편안(강화방안): 인증기준별 현장 실증 방법(안) 가운데 2.11.3(이상행위 분석 및 모니터링)의 이상행위 모니터링 현황 점검과 로그 실사, 사후심사의 로그·접속기록 지속 이행 집중 점검

Teleport로 접속기록을 별도 저장소와 SIEM에 보관할 수 있습니다

Teleport로 접속기록을 서버·DB와 분리된 저장소와 SIEM에 보관할 수 있습니다. 셀프 호스팅 환경에서는 세션 녹화를 S3 호환 저장소에, 감사 로그를 여러 관리형 백엔드에 저장할 수 있습니다. Teleport Enterprise Cloud에서는 외부 감사 저장소(External Audit Storage)로 감사 이벤트와 세션 녹화를 고객의 AWS 계정에 직접 저장할 수 있습니다. 감사 이벤트는 두 환경 모두 SIEM으로 내보낼 수 있습니다.

보관 기간은 저장 백엔드 설정에 따라 달라집니다. 고가용성 구성에 쓰는 일부 백엔드에서는 감사 이벤트가 보관 기간이 지나면 만료되고, 기본 보관 기간은 1년입니다. 접속기록을 2년 이상 보관해야 하는 시스템이라면 이 값을 먼저 확인하고, 필요하면 retention_period 설정으로 늘려야 합니다. 심사에서는 감사 로그와 세션 녹화가 어느 저장소에 얼마 동안 보관되는지 설정으로 보여 줄 수 있습니다.

관련 기준과 개편안

• 관련 기준: 안전성 확보조치 기준 제8조제1항(접속기록 1년 이상, 조건에 따라 2년 이상 보관), 제3항(위·변조, 도난, 분실되지 않도록 안전하게 보관). ISMS-P 인증기준 2.9.4(로그 및 접속기록 관리)
• 개편안(강화방안): 인증 취소로 이어질 수 있는 중대 결함 예시로 든 로그 미보관

Teleport 접속 경로와 기록 흐름(Teleport 18.x 기준, 단순화)

취약점·패치 이행 현황은 GitLab으로 어떻게 보여 줄 수 있나요?

Teleport로는 서버·DB 접속과 접속기록을 준비할 수 있습니다. 강화방안이 예비심사 핵심 항목(안)으로 든 취약점·패치 관리는 접속 외 항목인데요. 특히 보안 패치 미적용은 중대 결함 예시로도 꼽힌 바 있죠. 이 가운데 애플리케이션 의존성과 컨테이너 이미지의 알려진 취약점은 GitLab에서 점검 현황을 확인할 수 있습니다.

GitLab Ultimate의 컴플라이언스 프레임워크에는 기본 브랜치 파이프라인에서 의존성 스캔과 컨테이너 스캔이 실행되고 있는지 점검하는 통제가 있습니다. 취약점이 정해진 기한 안에 처리되는지 점검하는 통제도 있으며, 이 기한(180일)은 ISMS-P 인증기준이 아니라 GitLab 통제가 정한 기준입니다. 통제별 준수 여부는 그룹의 컴플라이언스 센터(Compliance center)에 있는 컴플라이언스 상태 보고서(Compliance status report)에서 프로젝트별로 확인할 수 있고, 보고서를 내보낼 수도 있습니다. 이 통제를 쓰는 요구사항 기능과 상태 보고서는 GitLab 18.3부터 정식으로 제공됩니다.

최신 패치를 바로 적용하기 어려운 취약점의 예외 기록과 보완대책까지 포함해 취약점을 찾은 뒤 조치를 리포지터리에 반영하는 과정은 OSV-Scanner와 GitLab CI로 취약점 패치 반영을 앞당기는 5단계를 참고하세요.

관련 기준과 개편안

• 관련 기준: 안전성 확보조치 기준 제9조제2항(응용 프로그램이나 운영체제 소프트웨어 제작업체의 보안 업데이트 공지가 있으면 정당한 사유가 없는 한 즉시 업데이트). ISMS-P 인증기준 2.10.8(패치관리), 2.11.2(취약점 점검 및 조치)
• 개편안(강화방안): 예비심사 핵심 항목(안)의 취약점·패치 관리, 인증 취소로 이어질 수 있는 중대 결함 예시로 든 보안 패치 미적용

맺음말

지금까지 ISMS-P 인증제도 개편으로 무엇이 달라지는지와 심사를 앞둔 기업이 준비할 일, 그리고 Teleport와 GitLab으로 이를 준비하는 방법을 살펴봤습니다. 글 전체 내용을 정리하면 다음과 같습니다.

1. ISMS-P 인증제도는 주요 개인정보처리자의 인증 의무화와 인증기준 차등화, 현장 실증 중심의 심사, 인증 이후 사후관리 강화 방향으로 개편이 추진되고 있습니다. 의무화 규정은 2027년 7월 1일 시행되지만, 의무 대상을 정할 시행령과 개편안의 세부 기준은 아직 확정되지 않았습니다. 상시 점검과 인증 취소 등 사후관리 강화는 2026년 하반기부터, 인증 차등 적용과 강화 인증기준, 심사 방식 강화는 2027년부터 추진됩니다.
2. 확정된 의무부터 챙겨야 합니다. 2026년 10월 31일부터 안전성 확보조치 기준의 접근 권한 관리, 외부 접속 인증, 접속기록 보관 의무는 적용 대상이 개인정보취급자가 아닌 자까지 확대되고, 접속기록 점검은 내부 관리계획에 정한 주기·방법·사후조치 절차에 따라 하도록 바뀝니다. 이와 함께 인증 의무 대상 여부와 인증 등급·범위를 따져 보고, 예비심사 핵심 항목의 증적과 본심사에서 보여 줄 시연을 준비해야 합니다.
3. Teleport로는 서버·DB 접근 권한을 역할별로 최소한만 주고, 관리자 권한은 승인을 받아 필요할 때만 열 수 있습니다. 접속은 SSO·MFA와 단기 인증서로 확인하고, 접속기록은 감사 로그와 세션 녹화로 남겨 별도 저장소와 SIEM에 보관할 수 있습니다. 심사에서는 퇴직 상황을 가정한 계정 잠금, SSO·MFA를 거친 접속, 지난 세션 재생과 열람 기록을 보여 줄 수 있습니다. 다만 기록에 빈틈이 없으려면 운영 서버·DB 접속이 모두 Teleport를 거쳐야 하고, 접속기록을 2년 이상 보관해야 하는 시스템은 감사 이벤트 보관 기간 설정을 먼저 확인해야 합니다.
4. 취약점·패치 관리는 접속 외 핵심 항목(안)이고, 보안 패치 미적용은 중대 결함 예시로 꼽혔습니다. 애플리케이션 의존성과 컨테이너 이미지의 알려진 취약점은 GitLab Ultimate의 컴플라이언스 통제로 스캔 실행과 처리 기한(GitLab 기준 180일) 준수를 점검하고, 컴플라이언스 상태 보고서로 이행 현황을 보여 줄 수 있습니다.

참고 자료

1. "정부, 유출사고 예방 위해 인증제도 전면 개편", 개인정보보호위원회·과학기술정보통신부, https://www.korea.kr/briefing/pressReleaseView.do?newsId=156753829
2. "개인정보 보호법", 국가법령정보센터, https://www.law.go.kr/법령/개인정보보호법
3. "개인정보 유출사고 예방을 위해 개인정보 보호 책임·관리체계 강화된다", 개인정보보호위원회, https://www.korea.kr/briefing/pressReleaseView.do?newsId=156747930
4. "개인정보 유출 사전예방 강화를 위한 개인정보 보호법 시행령 개정안 입법예고", 개인정보보호위원회, https://www.korea.kr/briefing/pressReleaseView.do?newsId=156764866
5. "개인정보 유출 사전예방·피해구제 강화를 위한 개인정보 보호법·시행령·고시, 9월 11일부터 시행", 개인정보보호위원회, https://www.korea.kr/briefing/pressReleaseView.do?newsId=156781056
6. "개인정보 보호법 시행령", 국가법령정보센터, https://www.law.go.kr/법령/개인정보보호법시행령
7. "개인정보 보호 인증(ISMS-P) 심사 개선을 위한 개인정보 보호법 시행령 개정안 입법예고", 개인정보보호위원회, https://www.korea.kr/briefing/pressReleaseView.do?newsId=156781836
8. "개인정보 보호법 시행령 일부개정령안 입법예고", 국민참여입법센터, https://opinion.lawmaking.go.kr/gcom/ogLmPp/88642
9. "정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시", 국가법령정보센터, https://www.law.go.kr/행정규칙/정보보호및개인정보보호관리체계인증등에관한고시
10. "개인정보의 안전성 확보조치 기준", 국가법령정보센터, https://www.law.go.kr/행정규칙/개인정보의안전성확보조치기준
11. "일률적 인터넷망 차단조치 제도 개선 본격 시행", 개인정보보호위원회, https://www.korea.kr/briefing/pressReleaseView.do?newsId=156734038
12. "개인정보의 안전성 확보조치 기준(개인정보보호위원회고시 제2023-6호)", 국가법령정보센터, https://www.law.go.kr/행정규칙/개인정보의안전성확보조치기준/(2023-6,20230922)
13. "How Teleport Works", Teleport, https://goteleport.com/how-it-works/
14. "Teleport Architecture", Teleport Docs, https://goteleport.com/docs/reference/architecture/
15. "Teleport Upcoming Releases", Teleport Docs, https://goteleport.com/docs/upcoming-releases/
16. "Teleport Feature Matrix", Teleport Docs, https://goteleport.com/docs/feature-matrix/
17. "Teleport Authorization", Teleport Docs, https://goteleport.com/docs/reference/architecture/authorization/
18. "Database Automatic User Provisioning", Teleport Docs, https://goteleport.com/docs/enroll-resources/database-access/auto-user-provisioning/
19. "Just-in-Time Access Requests", Teleport Docs, https://goteleport.com/docs/identity-governance/access-requests/
20. "Session and Identity Locking", Teleport Docs, https://goteleport.com/docs/identity-governance/locking/
21. "Configure Single Sign-On", Teleport Docs, https://goteleport.com/docs/zero-trust-access/sso/
22. "Per-session MFA", Teleport Docs, https://goteleport.com/docs/zero-trust-access/authentication/per-session-mfa/
23. "Databases", Teleport Docs, https://goteleport.com/docs/enroll-resources/database-access/
24. "Audit Events and Records", Teleport Docs, https://goteleport.com/docs/reference/deployment/monitoring/audit/
25. "SSH Sessions Audit Events", Teleport Docs, https://goteleport.com/docs/reference/audit-events/ssh-sessions/
26. "Teleport Session Recording", Teleport Docs, https://goteleport.com/docs/reference/architecture/session-recording/
27. "Using the Web UI", Teleport Docs, https://goteleport.com/docs/connect-your-client/teleport-clients/web-ui/
28. "Database Access Audit Events Reference", Teleport Docs, https://goteleport.com/docs/enroll-resources/database-access/reference/audit/
29. "Exporting Teleport Audit Events", Teleport Docs, https://goteleport.com/docs/zero-trust-access/export-audit-events/
30. "External Audit Storage", Teleport Docs, https://goteleport.com/docs/zero-trust-access/management/external-audit-storage/
31. "Compliance frameworks", GitLab Docs, https://docs.gitlab.com/user/compliance/compliance_frameworks/
32. "Compliance status report", GitLab Docs, https://docs.gitlab.com/user/compliance/compliance_center/compliance_status_report/