ISMS-P 준비에서 가장 오래 걸리는 건 증적 수집이다

인증 준비를 도우면서 반복해서 보는 장면이 있다. 심사 두 달 전부터 담당자가 지난 1년치 로그와 결재 문서를 뒤지기 시작한다. 항목을 이해하는 데 걸리는 시간보다 증적을 찾아 오는 시간이 훨씬 길다.

증적은 만드는 게 아니라 쌓이는 것

심사를 앞두고 만들어 낸 문서는 티가 난다. 날짜가 몰려 있고, 결재선이 어색하고, 실제 운영 흔적과 어긋난다. 반대로 평소 운영에서 자연히 남는 기록은 설명이 필요 없다.

그래서 준비 초기에 항상 같은 질문부터 한다. 이 통제가 잘 돌아가고 있다면 자동으로 남는 기록이 무엇인가?

• 접근권한 검토 → 반기 검토 회의록과 권한 변경 티켓
• 백업 관리 → 백업 성공/실패 알림과 복구 훈련 보고서
• 취약점 점검 → 스캐너 리포트와 조치 완료 티켓
• 변경 관리 → 배포 승인 기록과 롤백 이력

이 목록이 채워지지 않는 항목은 통제 자체가 형식적으로 돌아가고 있다는 신호다. 증적이 없는 게 아니라 통제가 없는 것에 가깝다.

분기마다 30분

가장 효과가 좋았던 습관은 분기마다 30분씩 증적 폴더를 정리하는 것이었다. 항목별 폴더를 만들어 두고 그 분기에 생긴 기록을 옮겨 놓는다.

심사 당일에 좋았던 것

담당자가 항목별로 증적 경로를 적은 한 장짜리 대응표를 갖고 있으면 흐름이 끊기지 않는다. 심사원이 요청할 때마다 파일을 뒤지는 것과, 표를 보고 바로 여는 것은 심사 분위기 자체를 다르게 만든다.