ISO27001:2022 심사조사서

ISO 27001:2022 심사조사서(Audit Investigation Report)의 목적

조직의 정보보안 경영시스템(ISMS) 내에서 발견된 부적합사항이나 개선점에 대해 상세한 원인 분석과 조사를 수행하는 데 있습니다. 이를 통해 부적합의 근본 원인을 파악하고, 시정조치가 적절히 계획되고 실행되는지를 평가하여 정보보안 관리체계의 지속적인 개선을 도모하는 것입니다.

-> 부적합 여부 판단을 위해 추가적으로 조사해야할 사항을 기술

구체적으로 심사조사서는 다음 목적을 가집니다.

1. 심사 과정에서 발견된 문제점이나 부적합 사례에 대해 정확한 사실과 영향을 문서화.
2. 부적합 발생 원인을 체계적으로 분석해 재발 방지 전략 수립 지원.
3. 시정조치의 적절성과 효과성 여부를 평가해 보안 통제의 신뢰성을 보장.
4. 경영진과 인증심사원에게 조직의 ISMS 현황과 개선 계획을 명확히 전달.
5. ISO 27001 요구사항에 따른 증거 자료 역할을 수행해 인증 유지 및 갱신에 활용.

따라서 심사조사서는 부적합보고서와 함께 ISO 27001 심사의 투명성과 객관성을 보장하고, 조직의 정보보안 수준 향상과 위험 관리 체계 강화를 위한 기본 문서입니다[1][2][4].

인용:
[1] 개정된 ISO27001:2022(정보보안) 표준을 소개합니다! http://www.acerti.co.kr/bbs/board.php?bo_table=notice&wr_id=163&sst=wr_hit&sod=desc&sop=and&page=1
[2] ISO/IEC 27001(정보보호) https://ksa.or.kr/ksa_kr/7011/subview.do
[3] 정보보안경영시스템 인정의 ISO/IEC 27001 전환지침 https://www.kab.or.kr/kor/cmmn/file/fileDown.do?menuNo=400014&atchFileId=3be814f2470411ee9d4110e7c645181a&fileSn=1
[4] ISO 27001 요구사항 완벽 가이드 - Conta, ISO 인증의 모든 것 https://blog.conta.team/iso-27001-requirements-and-annex-a-controls
[5] ISO 27001:2022 심사 준비 사항은 - ISO27001 (정보보안) https://m.cafe.daum.net/isoiso/RjGT/13
[6] ISO/IEC 27001 - 정보보안관리 인증 https://www.nsf.org/kr/ko/%EA%B2%BD%EC%98%81-%EC%8B%9C%EC%8A%A4%ED%85%9C/iso-iec-27001-jeongboboangwanri-siseutem
[7] 마크로젠, 국제표준 정보보호 인증 ISO 27001 4년 연속 갱신 https://www.medifonews.com/news/article.html?no=181223
[8] ISO 27001이란? 정의부터 인증 방법까지 https://exosp.com/blog/whatis_ISO27001

---

심사조사서에 포함해야 할 핵심 항목 목록

크게 2가지 사항이다.
1) 부적합으로 보고하기에 증거가 충분하지 않은 이유

2) 확인하고자 하는 증거와 목적을 포함하여 추가 조사해야하는 심사항목

요구사항 | 목적 | 증거



ISO 27001 심사조사서에 포함해야 할 핵심 항목 목록은 다음과 같습니다.

1. 심사 개요: 심사 대상, 심사 목적, 심사 기간, 심사 장소, 심사 인원 등의 기본 정보
2. 심사 범위: 심사 대상 정보보호 관리체계(ISMS)의 범위 및 적용 영역
3. 심사 기준: ISO 27001 요구사항과 내부 정책 및 절차
4. 심사 방법: 문서 검토, 인터뷰, 현장 점검 등 심사 절차와 방식
5. 부적합 사항: 발견된 부적합 내역, 부적합 분류(경부적합, 중부적합), 관련 기준 및 증거
6. 원인 분석: 부적합 발생 원인 및 영향 평가
7. 시정 조치 계획: 시정 조치 내용, 담당자, 완료 기한
8. 심사 결과 종합: 부적합사항 포함 전반적인 ISMS의 적합성 평가
9. 추천 사항: 개선할 부분, 추가 권고 사항
10. 심사원 의견 및 결론: 심사원 평가와 최종 판단
11. 관련 증거 자료: 인터뷰 내용, 현장 점검 사진, 문서화된 증거 등

이 항목들은 ISO 27001 심사 프로세스에서 투명성, 객관성 및 체계적 개선을 보장하는 데 필수적이며, 심사 후 조직의 정보보호 수준을 평가하고, 시정 및 개선 활동을 지원하는 기반 자료 역할을 합니다[1][2][3][4].

인용:
[1] ISO 27001 인증 완벽 준비를 위한 12단계 체크리스트 https://blog.conta.team/iso-27001-certification-checklist
[2] ISO 27001 요구사항 완벽 가이드 - Conta, ISO 인증의 모든 것 https://blog.conta.team/iso-27001-requirements-and-annex-a-controls
[3] ISO/IEC 27001(정보보호) https://ksa.or.kr/ksa_kr/7011/subview.do
[4] ISO 27001 인증의 모든것, 취득방법, 프로세스 총정리 https://www.it-server-room.com/iso-27001-%EC%9D%B8%EC%A6%9D%EC%9D%98-%EB%AA%A8%EB%93%A0%EA%B2%83-%EC%B7%A8%EB%93%9D%EB%B0%A9%EB%B2%95-%ED%94%84%EB%A1%9C%EC%84%B8%EC%8A%A4-%EC%B4%9D%EC%A0%95%EB%A6%AC/
[5] ISO 27001 정보보안경영시스템 인증스킴 요구사항 https://www.kab.or.kr/eng/cmmn/file/fileDown.do?menuNo=500023&atchFileId=981da738eccf4bce837fda55746de82e&fileSn=1
[6] ISO 27001을 활용한 의료 데이터베이스 보호 및 데이터 관리 ... https://bgreat.tistory.com/238
[7] 개정된 ISO27001:2022(정보보안) 표준을 소개합니다! http://acerti.co.kr/bbs/board.php?bo_table=notice&wr_id=163&sst=wr_datetime&sop=and&page=3
[8] ISO 27001이란? 정의부터 인증 방법까지 https://exosp.com/blog/whatis_ISO27001