SOC2 보안 정책 템플릿과 NIS2 지침 제21조 조치 기록
SOC 2와 NIS2가 요구하는 서면 정책은 상당 부분 같습니다. 접근 통제, 사고 대응, 백업, 공급자, 변경 관리, 암호화 등입니다. ISO 27001 키트는 답변을 바탕으로 이 정책들을 한 번에 작성하며(문서 언어는 영어, 독일어, 스페인어, 프랑스어, 폴란드어, 이탈리아어 중 선택), 각 정책을 SOC 2 기준, ISO/IEC 27001 부속서 A의 통제, NIS2 제21조 제2항의 각 호에 대응시킵니다.
2026년 10월 25일에 출처와 대조하여 확인
AICPA: 2017 Trust Services Criteria(2022년 개정 중점 사항 포함), 영어
2026년 10월 25일에 출처와 대조하여 확인
SOC 2 개요
SOC 2는 인증서가 아니라 보고서입니다. 독립적인 미국 공인회계사(CPA) 법인이 AICPA의 신뢰 서비스 기준(Trust Services Criteria)에 따라 서비스 조직의 통제를 검토하고 보고서를 발행합니다. 유형 1 보고서는 특정 시점의 통제 설계를, 유형 2 보고서는 일정 기간 동안의 통제 운영까지 다룹니다. 보안(공통 기준 CC1~CC9)은 항상 포함되며, 가용성, 기밀성, 처리 무결성, 개인정보 보호는 서비스에 필요할 때 추가됩니다.
NIS2 제21조 개요
지침 (EU) 2022/2555 제21조에 따라 필수 기관과 중요 기관은 사이버보안 위험을 관리하기 위해 적절하고 비례적인 기술적, 운영적, 조직적 조치를 취합니다. 제2항은 조치에 최소한 포함되어야 할 사항을 다음과 같이 열거합니다.
- (a) 위험 분석 및 정보시스템 보안 정책
- (b) 사고 처리
- (c) 백업 관리, 재해 복구, 위기 관리 등 업무 연속성
- (d) 공급망 보안
- (e) 취약점 처리 및 공개를 포함한 시스템 획득, 개발, 유지보수의 보안
- (f) 조치의 효과를 평가하는 정책과 절차
- (g) 기본적인 사이버 위생 관행과 사이버보안 교육
- (h) 암호 기술과 적절한 경우의 암호화
- (i) 인적 자원 보안, 접근 통제, 자산 관리
- (j) 적절한 경우 다중 인증 또는 지속 인증과 보안 통신
제23조는 중대한 사고를 CSIRT 또는 관할 당국에 보고하도록 정합니다. 인지 후 24시간 이내 조기 경보, 72시간 이내 사고 통지, 통지 후 1개월 이내 최종 보고입니다. 조직이 이러한 기관에 해당하는지는 지침을 국내법으로 전환한 각 회원국의 법률이 결정합니다.
키트가 작성하는 파일
| 파일 | 내용 |
|---|---|
| 07~13 | 7개 정책: 허용 가능한 사용, 접근 통제, 변경 관리, 사고 대응, 공급자 보안, 백업 및 업무 연속성, 암호. 각 정책에는 목적, 적용 범위, 규칙, 책임자, 예외, 검토 주기와 해당 SOC 2 기준·부속서 A 통제·NIS2 각 호를 정리한 표가 들어 있습니다. |
| 14 | SOC 2 기준 워크시트: 기준을 번호순으로 자체 주제어와 함께 나열하며, 보안과 선택한 범주를 다룹니다. 자사 통제와 감사인이 확인할 수 있는 증적을 적는 열이 있으며 CSV로도 제공합니다. |
| 15 | NIS2 제21조 조치 기록: 10개 호를 문서 언어로 EU 관보에서 인용하고, 대응하는 키트 파일과 적용성 보고서에 따른 부속서 A 통제의 상태를 보여 줍니다. 이어서 제23조 제4항의 기한을 담습니다. 각 호 아래에는 시행규칙 (EU) 2024/2690의 해당 항목을 ISO/IEC 27001:2022에 대응시킨 ENISA 대응표(버전 1.2, CC BY 4.0)도 있습니다. |
| 00~06 | 먼저 읽을 안내 파일과 ISO 27001 핵심 문서: 적용 범위, 정보보호 정책, 위험 평가와 등록부, 위험 처리 계획, 부속서 A의 93개 통제에 대한 적용성 보고서, 목표. |
이 모든 파일은 ISO 27001 스타터 키트를 한 번 구매하면 한 조직분으로 받을 수 있습니다.
정책별 대응 관계
| 정책 | SOC 2 기준 | ISO/IEC 27001 부속서 A | NIS2 제21조 제2항 |
|---|---|---|---|
| 허용 가능한 사용 정책 | CC1.1, CC2.2 | 5.10, 6.3, 6.7, 8.1 | (g), (i) |
| 접근 통제 정책 | CC6.1, CC6.2, CC6.3 | 5.15, 5.16, 5.17, 5.18, 8.2, 8.3, 8.5 | (i), (j) |
| 변경 관리 정책 | CC8.1 | 8.8, 8.25, 8.31, 8.32 | (e) |
| 사고 대응 정책 | CC7.3, CC7.4, CC7.5 | 5.24, 5.25, 5.26, 5.27, 5.28, 6.8 | (b) |
| 공급자 보안 정책 | CC9.2 | 5.19, 5.20, 5.21, 5.22, 5.23 | (d) |
| 백업 및 업무 연속성 정책 | CC9.1, A1.2, A1.3 | 5.29, 5.30, 8.13, 8.14 | (c) |
| 암호 정책 | CC6.1, CC6.7 | 8.24 | (h) |
이 대응 관계는 각 정책이 도움이 되는 부분에 대한 당사의 해석입니다. 감사인의 대응표가 아니며, 기준이나 조치가 충족되었음을 보여 주지도 않습니다.
키트가 하지 않는 일
AICPA 기준이나 ISO/IEC 27001의 본문은 들어 있지 않습니다. 기준과 통제는 번호와 자체 문구로만 표시합니다. 통제 검토, SOC 2 보고서 발행, NIS2 적용 여부 판단, 사고 대리 보고는 하지 않습니다. 파일의 빈칸은 모두 TO COMPLETE(선택한 문서 언어로 표시)로 표시됩니다. 문서는 영어, 독일어, 스페인어, 프랑스어, 폴란드어, 이탈리아어로만 제공됩니다.
입력한 내용은 브라우저 밖으로 나가지 않으며, 파일은 사용자의 기기에서 만들어집니다. 템플릿이며 법률 자문이 아닙니다.