본문으로 건너뛰기
EU Rules Finder
한국어 (언어)

대신 채워 주는 ISO 27001 양식: 적용성 보고서, 위험 등록부, 정책

ISO/IEC 27001:2022에 따른 정보보호 경영시스템은 몇 가지 핵심 문서에 기반합니다. 적용 범위, 정책, 위험 평가와 처리 계획, 적용성 보고서, 목표입니다. 질문에 한 번 답하면, 키트가 이를 영어, 독일어, 스페인어, 프랑스어, 폴란드어 또는 이탈리아어 Word 파일로 작성하고, 위험 수준을 계산하며, 부속서 A의 93개 통제를 귀하의 결정과 함께 나열합니다.

2026년 10월 25일에 출처와 대조하여 확인

조직
조직 상황과 적용 범위
다루는 대상, 예: Acme 예약 플랫폼의 개발, 호스팅 및 지원.
한 줄에 하나씩.
한 줄에 하나씩. 제외한 것이 없으면 비워 두십시오.
범위 밖이거나 다른 곳이 수행하지만 의존하는 활동, 예: 클라우드 호스팅 또는 급여 처리. 한 줄에 하나씩.
조직 내부에서 보안에 영향을 주는 것, 예: 작은 IT 팀 또는 레거시 시스템. 한 줄에 하나씩.
외부 요인, 예: NIS2 규칙, 고객 요구, 업계 대상 공격. 한 줄에 하나씩.
2024년 개정 1은 모든 조직이 이를 결정하도록 요구합니다. 예: 침수 위험이 있는 데이터센터라면 예.
한 줄에 하나씩, 예: 고객: 계약의 보안 조항; 개인정보 감독기관: GDPR.
정보보호 정책
이름과 역할.
예: 대표이사.
한 줄에 하나씩, 예: 접근 통제, 백업, 허용 가능한 사용, 원격 근무.
1부터 36까지의 정수. 보통 12입니다.
SOC 2 및 NIS2

키트에는 7개 주제별 정책, SOC 2 기준 워크시트, NIS2 제21조 조치 기록도 들어 있습니다. 워크시트에는 보안이 항상 포함됩니다. 보고서가 다룰 다른 SOC 2 범주를 선택하세요.

위험

위험 수준(가능성 × 영향)이 이 숫자 이하인 위험은 수용할 수 있습니다. 예: 8.
위험 R1
예: 고객 데이터베이스.
예: 관리자 비밀번호 도난, 2단계 인증 없음.

위험 수준: 가능성과 영향을 평가하십시오

아래 목록의 번호, 예: 5.17, 8.5.

적용성 보고서(SoA): 93개 통제

통제마다 포함 또는 제외, 그 이유, 그리고 시행 여부를 정하십시오. 위 위험에 언급된 통제는 그 위험으로 정당화됩니다.

93개 중 0개 결정됨.

5. Organizational controls
  • 5.1 Information security policy and topic policies
  • 5.2 Security roles and who is responsible
  • 5.3 Conflicting duties kept apart
  • 5.4 Management makes staff apply security
  • 5.5 Contacts with authorities
  • 5.6 Contacts with security groups and forums
  • 5.7 Information on threats collected and analysed
  • 5.8 Security in projects
  • 5.9 Inventory of information and assets, with owners
  • 5.10 Rules for acceptable use
  • 5.11 Assets handed back on leaving
  • 5.12 Information classified by need for protection
  • 5.13 Information marked with its class
  • 5.14 Rules for sending and sharing information
  • 5.15 Access control rules
  • 5.16 Identities managed over their whole life
  • 5.17 Passwords and other log-in secrets
  • 5.18 Access rights granted, reviewed and removed
  • 5.19 Security with suppliers
  • 5.20 Security terms in supplier contracts
  • 5.21 Security in the ICT supply chain
  • 5.22 Supplier services monitored and changes managed
  • 5.23 Use of cloud services
  • 5.24 Incident handling prepared
  • 5.25 Security events assessed and classified
  • 5.26 Response to incidents
  • 5.27 Lessons from incidents
  • 5.28 Evidence collected and preserved
  • 5.29 Security kept during disruption
  • 5.30 ICT ready for business continuity
  • 5.31 Legal, regulatory and contract requirements identified
  • 5.32 Intellectual property respected
  • 5.33 Records protected
  • 5.34 Privacy and personal data
  • 5.35 Independent review of security
  • 5.36 Compliance with own security rules checked
  • 5.37 Written operating procedures
6. People controls
  • 6.1 Background checks of candidates
  • 6.2 Security duties in employment contracts
  • 6.3 Security awareness and training
  • 6.4 Disciplinary process for breaches
  • 6.5 Duties after leaving or changing job
  • 6.6 Confidentiality agreements
  • 6.7 Working from home and other remote places
  • 6.8 Staff report security events
7. Physical controls
  • 7.1 Secure boundaries around premises
  • 7.2 Entry controls
  • 7.3 Offices, rooms and facilities secured
  • 7.4 Premises monitored
  • 7.5 Protection from physical and environmental threats
  • 7.6 Rules for working in secure areas
  • 7.7 Clear desk and locked screens
  • 7.8 Equipment placed and protected
  • 7.9 Assets taken off the premises
  • 7.10 Storage media handled over their life
  • 7.11 Power and other utilities
  • 7.12 Cables protected
  • 7.13 Equipment maintained
  • 7.14 Equipment wiped or destroyed before disposal or re-use
8. Technological controls
  • 8.1 Laptops, phones and other user devices
  • 8.2 Administrator and other privileged access
  • 8.3 Access to information restricted
  • 8.4 Access to source code
  • 8.5 Secure log-in
  • 8.6 Capacity planned and monitored
  • 8.7 Malware protection
  • 8.8 Technical vulnerabilities handled
  • 8.9 Secure configurations
  • 8.10 Information deleted when no longer needed
  • 8.11 Data masking
  • 8.12 Data leakage prevented
  • 8.13 Backups
  • 8.14 Redundant systems
  • 8.15 Event logs
  • 8.16 Monitoring for unusual behaviour
  • 8.17 Clocks synchronised
  • 8.18 Powerful utility programs restricted
  • 8.19 Software installed on live systems
  • 8.20 Network security
  • 8.21 Security of network services
  • 8.22 Networks separated
  • 8.23 Web filtering
  • 8.24 Encryption and key management
  • 8.25 Secure development life cycle
  • 8.26 Security requirements for applications
  • 8.27 Secure architecture and engineering principles
  • 8.28 Secure coding
  • 8.29 Security testing before acceptance
  • 8.30 Outsourced development supervised
  • 8.31 Development, test and production kept apart
  • 8.32 Changes managed
  • 8.33 Test data protected
  • 8.34 Systems protected during audit tests

목표

목표 1
예: 모든 관리자 계정에 다중 인증 로그인.
달성 여부를 아는 방법, 예: 관리자 계정의 100%.
문서의 언어

입력한 내용은 어디에도 전송되지 않습니다. 사업자 정보는 다음 사용을 위해 이 브라우저에 저장됩니다.

파일에 들어 있는 것

  • 내부 및 외부 이슈, 개정 1:2024의 기후 변화 질문, 이해관계자와 그 요구사항, 사업장, 제외한 것, 인터페이스가 들어간 ISMS 적용 범위(4.1~4.3항),
  • 최고경영진의 약속, 역할, 주제별 정책이 들어간 정보보호 정책(5.2),
  • 위험 평가: 방법, 1~5 척도, 수용 수준, 모든 위험의 가능성 × 영향을 계산한 등록부(6.1.2),
  • 처리 방안, 부속서 A 통제, 조치, 담당자와 기한, 위험 소유자별 승인 열이 있는 위험 처리 계획(6.1.3),
  • 적용성 보고서: 부속서 A의 93개 통제 전체, 포함 또는 제외, 정당화 사유(통제가 처리하는 위험은 자동으로 채워짐), 시행 여부(6.1.3 d), 스프레드시트용 CSV 파일 포함,
  • 측정 기준, 자원, 담당자, 날짜가 있는 정보보호 목표(6.2)와, 이 파일 외에 표준이 요구하는 것을 나열한 안내 문서.

키트가 하는 확인

위험 수준은 1부터 5까지의 정수 평가로만 계산되며, 그 밖의 값은 채울 항목으로 표시됩니다. 부속서 A에 없는 통제 번호는 추측하지 않고 거부로 표시합니다. 위험 중 하나가 의존하는 통제를 제외하면 양식과 적용성 보고서에 표시됩니다. 아무것도 조용히 비워 두지 않으며, 빈 곳에는 모두 TO COMPLETE가 적힙니다.

ISO 27001과 NIS2

NIS2 지침 (EU) 2022/2555는 ISO/IEC 27001 인증을 요구하지 않습니다. 제21조는 필수 및 중요 기관에 위험 관리 조치를 취하도록 요구하며, 해당하는 경우 관련 유럽 및 국제 표준을 고려하도록 하고, 제25조는 회원국이 그 사용을 장려하도록 요구합니다. 위험 평가, 정책, 적용성 보고서는 그 조치를 어떻게 선택했는지 보여 주는 일반적인 방법입니다. 키트의 정책과 SOC 2 및 제21조의 대응 관계: SOC 2 및 NIS2 정책.

키트가 하지 않는 일

표준의 문구는 들어 있지 않습니다. 통제 이름은 저희가 붙인 짧은 말이며, 요구사항을 읽으려면 ISO/IEC 27001 사본이 따로 필요합니다. 각 통제 뒤의 절차를 쓰거나, 내부 감사나 경영 검토를 수행하거나, 무엇을 인증하지 않습니다. 인증서는 인정받은 인증기관의 심사로만 받을 수 있습니다. 문서는 영어, 독일어, 스페인어, 프랑스어, 폴란드어, 이탈리아어로 되어 있습니다.

입력한 내용은 브라우저 밖으로 나가지 않으며, 파일은 귀하의 기기에서 만들어집니다. 법률 자문이 아니라 양식입니다.

출처