자주 묻는 질문
보안 컨설팅 상담 전에 많이 문의하시는 내용을 정리했습니다.
Q.ISMS-P(ISMS) 인증은 어떤 기업이 받아야 하나요?
정보통신망법에 따라 서울특별시와 모든 광역시에서 정보통신망서비스를 제공하는 사업자(ISP), 집적정보통신시설(IDC) 사업자, 정보통신서비스 부문 전년도 매출액 100억 원 이상 또는 직전 3개월 일일평균 이용자 100만 명 이상인 사업자(전자금융거래법상 금융회사는 제외), 연 매출·세입 1,500억 원 이상인 상급종합병원과 재학생 1만 명 이상인 학교는 정보보호 관리체계(ISMS) 인증이 의무입니다. 의무 대상이 아니어도 거래처·입찰 요건이나 자율적인 관리수준 향상을 위해 ISMS-P를 신청할 수 있습니다. 해당 여부는 사업 형태와 연도별 실적, 법령 개정에 따라 달라질 수 있어 상담 시 확인해 드립니다.
Q.ISMS-P와 ISO 27001은 어떻게 다른가요?
ISMS-P는 국내 법령에 근거한 인증제도로 개인정보 처리 단계별 요구사항을 포함하고, ISO/IEC 27001은 국제 표준 기반의 정보보호 경영시스템 인증입니다. 국내 법령 대응이나 공공·금융 거래에는 ISMS-P가, 해외 고객사 요구에는 ISO 27001이 필요한 경우가 많습니다. 통제 항목이 상당 부분 겹쳐 함께 준비할 수도 있으며, 어떤 인증이 필요한지는 요구하는 주체와 목적에 따라 정합니다.
Q.컨설팅 기간과 비용은 어떻게 산정되나요?
인증 범위, 정보자산과 서비스의 규모, 현재 준비 수준에 따라 크게 달라 일률적으로 안내해 드리기 어렵습니다. 문의 내용으로 현황을 확인한 뒤, 협의한 범위와 일정을 반영한 견적서를 제공해 드립니다.
Q.컨설팅을 받으면 인증을 반드시 취득할 수 있나요?
인증심사는 인증기관(심사기관)이 독립적으로 수행하므로, 컨설팅으로 심사 결과를 보장할 수는 없습니다. 엑스쓰리코퍼레이션은 인증기준에 맞춘 현황 진단, 정책 수립, 보호대책 이행, 심사 대응을 지원해 심사 준비 수준을 높이는 역할을 합니다.
Q.클라우드를 쓰고 있는데 어떤 컨설팅이 해당되나요?
클라우드 서비스를 제공하는 사업자는 CSAP(클라우드컴퓨팅서비스 보안인증) 등 인증 대응이, 클라우드를 이용하는 기업은 계정·권한·설정 등 고객 책임 영역의 점검이 주된 대상입니다. 공동책임모델을 기준으로 어느 쪽에 해당하는지부터 구분해 진단 범위를 정합니다. 국제 인증(ISO/IEC 27017·27018)은 ISO 27001 체계를 기반으로 하므로 함께 준비하는 방식도 지원합니다.
Q.AI 보안 컨설팅은 어떤 경우에 필요한가요?
임직원이 생성형 AI를 업무에 쓰는데 보안 기준이 없거나, 사내 데이터를 연계한 AI 챗봇·RAG 시스템을 운영하거나, AI 기반 서비스의 보안 수준을 고객사에 설명해야 하는 경우입니다. 데이터 유출·개인정보 침해 위험을 진단하고 AI 이용 정책, 승인 절차, 접근권한·로깅 등 보호대책을 수립합니다.
Q.상담은 어떤 순서로 진행되나요?
온라인 문의 접수 → 현황 검토 → 상담 → 견적서 제공 → 계약 및 착수 순서로 진행됩니다. 문의 시 회사 현황과 요청 사항을 구체적으로 남겨 주시면 검토가 빠릅니다.
Q.문의 시 입력한 개인정보는 어떻게 처리되나요?
회사명, 담당자명, 연락처, 이메일, 문의 내용은 문의 접수와 답변 회신 목적으로만 이용하며, 접수일로부터 3년간 보관한 뒤 파기합니다. 자세한 내용은 개인정보처리방침에서 확인하실 수 있습니다.