보안/인증

ISMS (정보보호 관리체계)

Name: ISMS (정보보호 관리체계)
Brand: VEXPLOR

기업의 중요 정보 및 데이터 자산을 보호하기 위한 정책 수립, 통제 항목 실행, 보안 감사를 통합적으로 관리합니다.

ISO/IEC 27001 (정보보호경영시스템)

무료로 시작하기 문서 가이드 확인

이런 과제를 안고 계신가요?

1. 보안 담당자가 따로 없고, IT 담당자가 겸직하고 있습니다

서버와 네트워크를 관리하던 담당자가 정보보호 업무까지 함께 맡고 있는 경우가 대부분입니다. 계정 발급, 권한 변경, 백업 점검, 원청사 보안 점검표 작성이 모두 한 사람에게 몰립니다. 보안 정책 문서는 인증 심사 때 만들어 둔 파일 그대로 남아 있고, 실제 시스템 설정과는 조금씩 달라져 있습니다. 담당자가 바뀌면 어떤 설정이 왜 그렇게 되어 있는지 아는 사람이 없어집니다.

2. 공장망은 분리되어 있으니 안전하다고 알고 계실 겁니다

설계 도면상으로는 사무망과 설비망이 나뉘어 있지만, 현실에서는 여러 경로로 연결됩니다. 설비 업체 엔지니어가 유지보수용 노트북을 PLC에 직접 연결하고, 프로그램 백업은 USB로 오갑니다. 원격 지원을 위해 임시로 열어둔 접속 경로가 그대로 남아 있기도 합니다. 물리적 분리(에어갭)를 전제로 설계된 설비는 대부분 인증 기능이 약하고 펌웨어 갱신도 어려워서, 경계가 한 번 뚫리면 방어할 수단이 사실상 없습니다.

3. 도면과 레시피가 어디로 나갔는지 확인할 방법이 없습니다

금형 도면, 배합 레시피, 공정 조건, 단가표는 회사의 핵심 자산이지만 파일 서버 공유 폴더에 놓여 있는 경우가 많습니다. 누가 언제 어떤 파일을 조회하고 내려받았는지 남지 않으므로, 퇴사자가 자료를 가지고 나갔다는 의심이 들어도 입증할 근거가 없습니다. 협력사와 견적·도면을 주고받는 과정에서 어느 범위까지 공유했는지도 기록으로 남지 않습니다.

4. 원청사 보안 점검표가 매년 두꺼워집니다

대기업 고객사의 공급망 보안 점검 항목이 계속 늘어나고, 최근에는 ISMS-P 인증이나 그에 준하는 통제 증빙을 요구하는 곳도 생기고 있습니다. 점검표를 받으면 계정 목록, 권한 부여 이력, 로그 보존 정책, 취약점 조치 내역을 각 서버와 담당자에게 요청해 모으는 데만 몇 주가 걸립니다. 다음 해에 같은 요청이 오면 처음부터 다시 취합하게 됩니다.

5. 랜섬웨어 한 번이면 라인이 멈춥니다

2017년에는 하나의 악성코드로 글로벌 제조·물류 기업의 생산과 출하가 수 주간 마비된 사례가 있었고, 2022년에는 일본 완성차 업체가 부품 협력사의 랜섬웨어 감염 때문에 국내 전 공장 가동을 하루 멈췄습니다. 제조업의 보안 사고는 정보 유출로 끝나지 않고 곧바로 매출 손실과 납기 지연으로 이어집니다. 그런데 사고가 났을 때 누가 무엇을 판단하고 어디까지 차단할지 정해둔 절차가 없는 기업이 많습니다.

이렇게 해결합니다

통제를 문서가 아니라 업무 시스템 안에 넣습니다

정보보호 관리체계의 실패는 대부분 문서와 현실이 어긋나는 데서 시작됩니다. VEXPLOR ISMS는 보안 정책을 별도 문서로 관리하는 대신, 정책을 접근제어 규칙으로 내려 실제 업무 화면의 동작을 결정하도록 구성합니다. 정책을 바꾸면 그 순간부터 시스템이 다르게 동작하므로, 문서와 설정이 따로 놀 여지가 줄어듭니다.

보안 정책을 접근제어, 인증, 데이터 보호, 네트워크, 입력 검증 5가지 유형으로 정의하고, 각 정책 아래에 구체적인 허용·거부 규칙을 둡니다.
규칙은 역할 기반(RBAC)과 속성 기반(ABAC)을 함께 지원합니다. "품질팀은 검사 데이터를 조회한다"는 역할 규칙과 "사내 IP에서 업무 시간에만 원가 데이터를 조회한다"는 속성 조건을 같이 적용할 수 있습니다.
직무 분리(SoD) 규칙을 등록하면 발주자와 검수자를 같은 사람이 겸할 수 없도록 시스템이 차단합니다.
정책과 규칙의 개정 이력이 감사 로그에 자동으로 남아, 언제 누가 통제를 완화했는지 확인할 수 있습니다.

누가 무엇을 언제 보았는지 자동으로 남습니다

감사 증적은 사고가 난 뒤에 만들 수 없습니다. VEXPLOR ISMS의 감사 로그는 추가만 가능하고 수정·삭제가 되지 않는 구조(Append-Only)로 설계되어 있습니다. 로그인, 권한 변경, 데이터 조회, 대량 내려받기, 설정 변경 같은 활동이 대상·행위·심각도·접속 IP·시각과 함께 기록됩니다.

데이터 접근 로그는 어떤 사용자가 어떤 테이블의 어떤 레코드를 조회·생성·수정·삭제했는지 항목 단위로 남깁니다. 도면·레시피·단가처럼 민감한 데이터에는 조회만 해도 기록이 남도록 설정할 수 있습니다.
로그는 월 단위로 나누어 저장하고 보존 기간을 유형별로 관리합니다. 감사 로그 5년, 개인정보 접근 기록 3년, 로그인 이력 1년처럼 법적 요구에 맞춰 설정하고, 기간이 지난 로그는 보관용 저장소로 옮깁니다.
로그 무결성을 위해 해시 연결 방식을 적용할 수 있어, 기록이 사후에 손질되었는지 검증할 수 있습니다.

실무 시나리오: 퇴사 예정자가 최근 30일 동안 도면 파일을 평소보다 많이 조회했다면, 데이터 접근 로그에서 대상 품목과 시각, 접속 IP를 그대로 확인할 수 있습니다. 이 기록은 영업비밀 침해를 다툴 때 근거 자료가 됩니다.

공장 설비까지 하나의 자산 목록으로 관리합니다

정보보호는 자산 식별에서 시작하지만, 제조기업의 자산 목록은 대개 서버와 PC에서 끝납니다. VEXPLOR ISMS는 PLC, SCADA, HMI, DCS, RTU, 센서, 네트워크 장비, 히스토리안 8가지 유형의 OT 자산을 별도 인벤토리로 관리하고, 설비 마스터와 연결합니다.

자산별로 제조사, 모델, 펌웨어 버전, IP 주소, 물리적 위치, 중요도(낮음·보통·높음·치명)를 기록합니다.
각 자산을 퍼듀(Purdue) 모델의 어느 구간에 두는지 지정합니다. 현장(Level 0), 제어(Level 1), 감시(Level 2), 제조 운영(Level 3), 그리고 IT와 OT 사이의 완충 구간(DMZ) 5구간으로 구분합니다.
자산별 취약점 건수와 최근 점검일이 함께 관리되므로, 중요도가 높은데 오래 점검되지 않은 설비가 우선순위로 드러납니다.
최근 점검일이 일정 기간을 넘긴 자산은 자동으로 알림이 발생하고, 펌웨어 버전이 바뀌면 감사 로그에 기록됩니다.

협력사와 외부 접속을 개별 계정과 기한으로 통제합니다

설비 업체와 유지보수 협력사에 공용 계정을 발급해 두면 사고가 났을 때 책임 소재를 가릴 수 없습니다. 외부 인력에게도 개인 계정을 발급하고, 접근 범위와 유효 기한을 지정하는 방식으로 운영합니다.

계정 생명주기를 인사 정보와 연결합니다. 입사 시 역할에 따른 권한이 부여되고, 퇴직 처리가 되면 세션이 즉시 종료되며 권한이 회수됩니다.
원격 접속은 다중 인증(MFA)을 필수로 지정할 수 있습니다. 인증 수단은 인증 앱(TOTP), 문자, 전자우편 3가지를 지원하고 백업 코드 잔여 수를 추적합니다.
접속 시간대, 접속 IP 대역, 대상 설비를 조건으로 지정해 "A사 엔지니어는 지정된 날짜에 지정된 라인의 설비만 접근"하도록 제한할 수 있습니다.
분기별 권한 검토 대상이 자동으로 추려집니다. 오래 사용되지 않은 계정과 과다 부여된 권한이 목록으로 제시되어, 검토 작업이 조회와 승인으로 끝납니다.

사고가 나면 정해진 순서로 대응합니다

사고 대응은 판단이 필요한 순간에 절차를 찾는 일이 없어야 합니다. 보안사고 대응 절차가 사전 정의된 업무 흐름으로 구성되어 있어, 탐지부터 분류, 격리, 분석, 복구, 사후 검토까지 각 단계의 담당자와 기록이 이어집니다.

사고 심각도를 4단계로 분류합니다. 랜섬웨어·데이터 유출·설비 침해는 최상위 등급으로, 무차별 대입 시도나 포트 스캔은 하위 등급으로 구분해 대응 강도를 달리합니다.
등급별 목표 시간(탐지·분류·격리·복구·보고)을 설정해 두면 실제 소요 시간이 자동으로 집계되어, 훈련과 사후 검토의 근거가 됩니다.
격리 조치는 IP 차단, 세션 강제 종료, 계정 잠금이 시스템에서 바로 실행됩니다. 반복적인 인증 실패나 비정상적인 호출량이 감지되면 자동 차단 규칙이 먼저 동작합니다.
사고 기록에 공격 전술·기법 분류(MITRE ATT&CK)와 침해 지표를 함께 남기면, 유사 사고의 재발 여부를 판단하는 데 활용됩니다.

실무 시나리오: 야간에 특정 IP에서 로그인 실패가 반복되면 속도 제한이 먼저 요청을 차단하고, 임계값을 넘으면 해당 IP가 1시간 자동 차단됩니다. 동시에 보안 알림이 발생하고 사고 건이 생성되므로, 다음 날 아침에 담당자는 이미 정리된 타임라인을 확인하는 것으로 대응을 시작합니다.

인증 심사 증빙을 상시로 모읍니다

인증 준비의 부담은 통제를 지키는 일보다 지켰다는 것을 보여주는 자료를 모으는 일에서 발생합니다. 컴플라이언스 점검 기능은 인증 기준의 통제 항목을 등록해 두고, 각 항목에 대응하는 시스템 데이터를 증빙으로 연결합니다.

ISMS-P, ISO/IEC 27001, 개인정보보호 관련 요구사항 등 여러 기준을 병행 관리할 수 있고, 하나의 시스템 데이터가 여러 기준의 증빙으로 동시에 연결됩니다.
계정 관리, 접근권한 검토, 로그 보존, 암호키 관리처럼 시스템에서 확인 가능한 항목은 증빙이 자동으로 채워집니다. 교육 이수 기록이나 물리 보안 점검 사진처럼 시스템 밖의 증빙은 첨부로 보완합니다.
항목별 적합·부적합·미점검 상태가 관리되므로, 심사 전에 무엇이 비어 있는지 미리 확인하고 조치할 수 있습니다.
인증 취득 여부는 심사 기관의 판단 영역입니다. 이 기능은 취득을 보장하지 않으며, 증빙 취합과 자가 점검에 들이는 시간을 줄이는 데 목적이 있습니다.

이 솔루션이 따르는 글로벌 표준 가이드

정보보호 표준은 기술 사양이 아니라, 무엇을 어디까지 통제해야 하는지에 대한 국제적인 합의입니다. 아래 표준의 요구사항이 시스템 구조에 반영되어 있으므로, 어떤 인증을 준비하시든 일상 업무에서 증빙이 쌓입니다.

ISO/IEC 27001:2022 — 정보보호 관리체계의 국제 표준

이 표준이 왜 중요한가요?

ISO/IEC 27001은 정보보호 관리체계에 대한 국제 표준으로, 해외 고객사 심사와 글로벌 공급망 편입에서 가장 널리 인정됩니다. 2022년 개정판에서 부속서 A의 통제가 93개로 정리되었고, 조직적 통제 37개, 인적 통제 8개, 물리적 통제 14개, 기술적 통제 34개 4가지 영역으로 재편되었습니다. 위협 정보 수집, 데이터 유출 방지, 모니터링 활동, 정보 삭제 등 11개 통제가 새로 추가되었습니다. 통제의 구체적인 구현 지침은 함께 개정된 ISO/IEC 27002:2022에서 제시합니다.

VEXPLOR에서 어떻게 적용되나요?

부속서 A 통제	귀사 현장에서의 의미	VEXPLOR 대응 방식
A.5.9 정보 및 관련 자산 목록	보호할 자산을 빠짐없이 식별해야 합니다	IT 자산과 OT 자산 인벤토리 통합 관리, 중요도 분류
A.5.15 접근통제	업무에 필요한 범위로만 접근을 허용해야 합니다	정책 기반 접근제어 규칙, 역할 기반과 속성 기반 혼합 적용
A.5.18 접근권한	부여한 권한을 정기적으로 검토·회수해야 합니다	계정 생명주기 관리, 분기 권한 검토 대상 자동 추출
A.5.19 공급자 관계 보안	협력사에 부여한 접근을 통제해야 합니다	외부자 개별 계정, 유효 기한과 접근 범위 지정
A.5.24~A.5.28 정보보호 사고관리	사고 대응 절차를 사전에 정하고 증거를 수집해야 합니다	사고 대응 업무 흐름, 등급별 목표 시간, 침해 지표 기록
A.8.2 특권 접근권한	관리자 권한을 별도로 통제해야 합니다	특권 계정 분리, 직무 분리 규칙 강제
A.8.8 기술적 취약점 관리	취약점을 주기적으로 점검하고 조치해야 합니다	취약점 점검 등록, 조치 상태 추적, 미조치 항목 알림
A.8.15 로깅 / A.8.16 모니터링	활동 기록을 남기고 이상 징후를 감시해야 합니다	수정 불가 감사 로그, 데이터 접근 로그, 보안 알림
A.8.22 네트워크 분리	망을 용도별로 분리해야 합니다	퍼듀 모델 기반 구간 정의, 구간별 허용 통신 규칙
A.8.24 암호 사용	암호 알고리즘과 키를 관리해야 합니다	암호키 생명주기 관리, 교체 이력 추적, 만료 알림

K-ISMS-P — 국내 인증과 원청사 요구 대응

이 표준이 왜 중요한가요?

정보보호 및 개인정보보호 관리체계 인증은 국내에서 통용되는 기준으로, 관리체계 수립 및 운영 16개와 보호대책 요구사항 64개를 합한 80개 항목이 ISMS 인증기준이며, 개인정보 처리 단계별 요구사항 21개를 더한 101개가 ISMS-P 인증기준입니다. 대부분의 제조기업은 법정 의무 대상이 아니지만, 원청사의 공급망 보안 점검과 공공 입찰, 투자 심사에서 이 기준을 준용해 요구하는 경우가 늘고 있습니다.

VEXPLOR에서 어떻게 적용되나요?

인증기준 항목	귀사 현장에서의 의미	VEXPLOR 대응 방식
2.3 외부자 보안	협력사 인력의 접근을 계약과 함께 통제해야 합니다	외부자 계정 별도 관리, 기한 만료 시 자동 비활성화
2.5.1 사용자 계정 관리	계정의 신청·발급·변경·삭제 절차가 있어야 합니다	계정 생명주기 업무 흐름, 인사 정보 연동
2.5.5 특수 계정 및 권한 관리	관리자 계정을 최소화하고 별도 관리해야 합니다	특권 계정 식별, 사용 이력 별도 추적
2.5.6 접근권한 검토	부여된 권한을 주기적으로 점검해야 합니다	검토 주기 설정, 미사용 계정과 과다 권한 자동 목록화
2.6.1 네트워크 접근	네트워크를 분리하고 접근을 통제해야 합니다	IP 허용·차단 목록, 구간별 통신 규칙
2.6.6 원격접근 통제	원격 접속을 승인하고 기록해야 합니다	다중 인증 필수화, 접속 시간대와 대역 제한, 세션 기록
2.7.2 암호키 관리	암호키의 생성·이용·폐기 절차가 있어야 합니다	키 별칭·용도·상태·만료일 관리, 교체 체인 추적
2.9.4 로그 및 접속기록 관리	기록을 위·변조 없이 보존해야 합니다	추가 전용 로그 구조, 유형별 보존 기간 자동 관리
2.11.3 이상행위 분석 및 모니터링	비정상 행위를 탐지하고 대응해야 합니다	로그인 실패 추이, 대량 조회 감지, 보안 알림 발생
2.11.5 사고 대응 및 복구	사고 대응 절차와 기록이 있어야 합니다	사고 등록·격리·복구·사후 검토 단계별 기록

IEC 62443 — 산업제어시스템 보안

이 표준이 왜 중요한가요?

IEC 62443은 산업 자동화·제어 시스템의 보안을 다루는 표준군입니다. 사무용 IT 표준을 공장에 그대로 적용할 수 없는 이유는 설비의 가용성이 기밀성보다 우선하고, 재부팅이나 패치가 곧 생산 중단을 뜻하기 때문입니다. 이 표준은 설비를 구역(Zone)과 통로(Conduit)로 나누고, 각 구역에 필요한 보안 수준(SL 1~4)을 정한 다음 그 수준에 맞는 통제를 적용하는 방식을 제시합니다.

VEXPLOR에서 어떻게 적용되나요?

IEC 62443 요구 영역	귀사 현장에서의 의미	VEXPLOR 대응 방식
자산 식별과 분류 (62443-2-1)	모든 제어 자산을 목록화하고 중요도를 정해야 합니다	OT 자산 인벤토리 8종 유형, 중요도 4단계
구역과 통로 설계 (62443-3-2)	설비를 구간으로 나누고 경계를 정의해야 합니다	퍼듀 계층별 자산 배치, 구간 간 허용 프로토콜 정의
식별·인증 통제 (FR1)	설비에 접근하는 주체를 확인해야 합니다	계정 기반 접근, 원격 유지보수 다중 인증
사용 통제 (FR2)	인가된 작업만 수행하도록 제한해야 합니다	대상 설비와 작업 범위를 지정한 접근제어 규칙
제한된 데이터 흐름 (FR5)	구간 사이 통신을 최소한으로 허용해야 합니다	기본 차단 후 필요한 통신만 허용하는 규칙 관리
적시 대응 (FR6)	이상 징후를 감지하고 기록해야 합니다	비인가 접근 시도 기록, 보안 알림, IP 자동 차단
패치·변경 관리	제어 설비의 패치를 검증 후 적용해야 합니다	패치 관리 대장, 패치 배포 업무 흐름(검증·승인·배포·롤백)

NIST CSF 2.0 — 경영진 보고를 위한 성숙도 기준

이 표준이 왜 중요한가요?

미국 국립표준기술연구소의 사이버보안 프레임워크는 2024년 2.0 개정으로 거버넌스(GOVERN)가 추가되어, 식별·보호·탐지·대응·복구를 포함한 6가지 기능으로 구성됩니다. 인증 제도가 아니라 현재 수준을 진단하고 목표를 정하는 도구이므로, 보안 투자를 경영진에게 설명할 때 유용합니다.

VEXPLOR에서 어떻게 적용되나요?

CSF 기능	귀사 현장에서의 의미	VEXPLOR 대응 방식
GOVERN (거버넌스)	보안 정책과 책임 체계를 정해야 합니다	보안 정책 등록·개정·승인 이력 관리
IDENTIFY (식별)	자산과 위험을 파악해야 합니다	IT·OT 통합 자산 인벤토리, 취약점 현황
PROTECT (보호)	접근을 제한하고 데이터를 보호해야 합니다	접근제어 규칙, 다중 인증, 암호키 관리
DETECT (탐지)	이상 징후를 감지해야 합니다	감사 로그 분석, 보안 알림, 속도 제한
RESPOND (대응)	사고를 처리하고 보고해야 합니다	사고 대응 업무 흐름, 등급별 목표 시간
RECOVER (복구)	정상 운영을 회복하고 개선해야 합니다	복구 조치 기록, 사후 검토와 재발 방지 등록

기존 시스템과의 차별점

문서 관리 도구가 아니라 업무 시스템 안의 통제입니다

일반적인 정보보호 관리 도구는 정책 문서와 증빙 파일을 정리하는 데 초점이 있습니다. 통제가 실제로 지켜지는지는 별개의 문제로 남고, 심사가 끝나면 문서와 현실의 간격이 다시 벌어집니다. VEXPLOR ISMS는 ERP·MES·QMS가 올라가 있는 같은 플랫폼 안에서 동작하므로, 접근제어 규칙이 곧 업무 화면의 동작이고 감사 로그가 곧 심사 증빙입니다. 별도의 증빙 생산 작업이 필요하지 않습니다.

겸직 담당자가 직접 정의할 수 있습니다

권한 체계와 결재선을 바꾸려고 개발사에 요청하고 몇 주를 기다리는 구조에서는 통제가 현실을 따라가지 못합니다. 역할과 권한, 결재선은 코드 작성 없이 화면에서 정의하고 바로 적용할 수 있습니다. 조직 개편이나 신규 라인 가동처럼 권한 구조가 바뀌는 상황에서, 담당자가 그날 안에 반영할 수 있습니다.

IT와 OT를 하나의 목록에서 봅니다

사무망 자산은 IT 담당이, 설비망 자산은 설비 담당이 각각 관리하면 경계 구간이 사각지대로 남습니다. 서버·단말과 PLC·SCADA를 같은 자산 인벤토리에서 관리하고, 설비 마스터와 연결해 어느 설비가 어느 자산에 해당하는지 확인합니다. 취약점 점검 결과와 펌웨어 변경 이력도 같은 기록 체계에 남습니다.

증빙이 사후 취합이 아니라 일상 업무에서 쌓입니다

인증 심사와 원청사 점검을 앞두고 자료를 모으는 방식은 담당자의 시간을 가장 많이 소모합니다. 계정 발급, 권한 변경, 로그인, 데이터 조회, 사고 처리가 이루어지는 시점에 기록이 남으므로, 점검 시점에는 기간과 항목을 지정해 조회하는 것으로 대신할 수 있습니다. 같은 기록이 ISO/IEC 27001과 ISMS-P 양쪽 증빙으로 함께 연결됩니다.

글로벌 솔루션과 비교하면 어떤 수준인가요?

정보보호 도구는 성격이 서로 다릅니다. 문서와 증빙을 정리하는 관리 도구, 로그를 모아 위협을 탐지하는 관제 도구, 그리고 업무 시스템 자체에 통제를 내장하는 방식은 목적이 다르므로 우열보다 역할 구분으로 보시는 편이 정확합니다. 아래 표는 접근 방식의 차이를 정리한 것입니다.

비교 기준	문서·표 계산기 기반 준비	국내 GRC 관리 솔루션	글로벌 GRC 플랫폼	보안관제(SIEM) 전용 도구	VEXPLOR ISMS
통제의 위치	문서에 기술	문서와 점검 항목	문서와 위험 등록부	로그 수집 계층	업무 시스템 내부
증빙 확보	심사 전 수작업 취합	담당자 등록 방식	담당자 등록 방식	로그 자동 수집	업무 수행 시 자동 기록
접근권한 반영	반영 안 됨	별도 시스템 설정 필요	연동 구성 필요	반영 안 됨	규칙 변경이 즉시 적용
OT 자산 관리	별도 목록	대부분 미포함	확장 모듈	일부 지원	설비 마스터와 연결
관제·탐지 기능	없음	대부분 미포함	별도 도구 연동	전문 영역	SIEM·EDR·DLP·위협정보 내장
도입 난이도	낮음	보통	높음	높음	업무 시스템 도입과 함께 진행
전담 인력 전제	겸직 가능	겸직 가능	전담 조직 전제	관제 인력 전제	겸직 담당자 기준으로 설계

관리 기능과 관제 기능을 각각 다른 제품으로 도입하면 자산 목록과 사고 기록이 두 벌로 갈라집니다. 아래 표는 기능 영역별로 어디까지 한 시스템 안에서 이어지는지 정리한 것입니다.

기능 영역	국내 GRC 관리 솔루션	글로벌 GRC 플랫폼	보안관제(SIEM) 전용 도구	VEXPLOR ISMS	귀사에 의미하는 것
인증기준 항목 관리	우수	최상위	미지원	우수	여러 기준을 병행 관리하고 증빙을 공유
증빙 자동 수집	기본	기본	우수	우수	업무 데이터가 그대로 증빙이 됨
접근통제 실행	미지원	기본	미지원	우수	정책 변경이 화면 동작으로 바로 이어짐
감사추적	기본	우수	최상위	우수	수정 불가 구조와 항목 단위 접근 기록
로그 상관분석(SIEM)	미지원	기본	최상위	우수	로그 원천 등록·상관규칙·알림 연결을 자체 제공
단말 보호·대응(EDR)	미지원	미지원	기본	우수	단말 기준선·탐지·대응 조치가 사고 기록으로 연결
데이터 유출 차단(DLP)	미지원	미지원	기본	우수	유출 정책과 위반 건이 징계·보고 절차까지 연결
외부 위협정보 연동	미지원	기본	최상위	우수	위협 피드·지표·헌팅 쿼리 관리
사고 대응 절차	기본	우수	우수	우수	단계별 담당자와 기록이 업무 흐름으로 연결
OT 자산·구간 관리	미지원	기본	기본	우수	퍼듀 구간과 설비 마스터를 함께 관리
특권계정 관리(PAM)	미지원	기본	미지원	우수	관리자 접속 세션을 별도로 기록
보안교육 이력	기본	우수	미지원	우수	교육 과정과 이수 기록이 심사 증빙으로 연결

VEXPLOR ISMS가 상대적으로 강한 영역: 관리 기능(인증기준·증빙·권한검토)과 관제 기능(SIEM·EDR·DLP·위협정보)이 하나의 자산 목록과 하나의 사고 대장 위에서 동작합니다. 관제 도구가 탐지한 건이 그대로 사고 기록이 되고, 그 사고 기록이 다시 인증 심사의 증빙이 됩니다. 두 제품을 따로 도입하면 이 연결을 연동 작업으로 만들어야 합니다. 여기에 업무 시스템 내부의 접근통제 실행, 항목 단위 데이터 접근 기록, IT와 OT 자산의 통합 관리, 코드 작성 없는 권한·결재선 정의가 더해집니다.

함께 검토하셔야 할 부분: 백신·안티멀웨어 엔진 자체, 네트워크 방화벽·침입방지 장비, 대규모 로그의 장기 저장 인프라는 이 솔루션의 범위가 아닙니다. 기존에 사용 중인 보안 장비와 백신은 그대로 두시고, 그 탐지 결과를 로그 원천으로 등록해 사고 대응과 증빙으로 잇는 방식으로 구성합니다. 관제 인력을 24시간 운영하는 수준의 대응이 필요하시다면 전문 관제 서비스와 병행하는 편이 적합합니다.

도입 후 기대 효과

인증과 점검 준비 부담 경감

계정, 권한, 로그, 암호키처럼 시스템에서 확인 가능한 증빙이 상시로 축적되므로, 심사와 원청사 점검 준비를 자료 취합이 아니라 확인 작업으로 진행할 수 있습니다.
하나의 기록이 여러 기준의 증빙으로 연결되어, 인증 기준이 늘어나도 준비 작업이 그만큼 늘어나지는 않습니다.

사고 대응의 일관성 확보

탐지·분류·격리·복구·사후 검토가 정해진 순서로 진행되어, 담당자의 경험에 따라 대응 수준이 달라지는 상황을 줄일 수 있습니다.
대응에 걸린 시간이 자동으로 집계되므로, 훈련 결과를 근거로 절차를 개선할 수 있습니다.

내부자 유출에 대한 억제와 사후 추적

도면·레시피·단가 등 민감 데이터에 대한 조회 기록이 남는다는 사실 자체가 예방 효과를 만듭니다.
사고가 의심될 때 누가 언제 무엇을 조회했는지 확인할 수 있어, 사실관계 확인과 법적 대응의 근거가 됩니다.

OT 자산 가시성 확보

공장에 어떤 제어 장비가 몇 대 있고 펌웨어 버전이 무엇인지 목록으로 관리되므로, 취약점 공지가 나왔을 때 영향 범위를 즉시 파악할 수 있습니다.
보안 수준의 목표와 현재 상태 차이가 드러나 설비 투자 계획의 우선순위를 정하는 데 활용됩니다.

겸직 담당자의 운영 지속성

정책과 규칙이 시스템에 기록되어 있어, 담당자가 바뀌어도 통제 내용과 변경 이유가 이어집니다.
정기 검토 대상과 만료 예정 항목이 자동으로 제시되므로, 기억과 개인 일정에 의존하던 업무가 줄어듭니다.

주요 업무 영역별 기능 안내

접근통제와 계정 관리

보안 정책 아래에 접근제어 규칙을 두고, 리소스 유형과 역할을 대조해 허용 또는 거부를 판정합니다. 규칙은 우선순위 기반으로 평가되며 역할 기반과 속성 기반 조건을 함께 사용합니다. 계정은 발급부터 변경, 휴면, 폐기까지 생명주기로 관리하고 인사 정보와 연결합니다. 인증은 다중 인증 3가지 방식과 백업 코드를 지원하며, 세션은 동시 접속 수 제한, 비활동 시간 초과, 강제 종료를 제공합니다. 비밀번호 최소 길이와 복잡도, 세션 유지 시간, 로그인 실패 허용 횟수와 잠금 시간은 조직 단위로 설정합니다.

감사추적과 데이터 보호

감사 로그는 행위와 대상, 심각도, 접속 IP, 시각을 함께 남기며 추가만 가능한 구조로 위·변조를 방지합니다. 데이터 접근 로그는 테이블과 레코드 단위로 조회·생성·수정·삭제를 남깁니다. 두 로그 모두 월 단위로 분할 저장되고 유형별 보존 기간에 따라 자동으로 이관됩니다. 암호키는 알고리즘(AES-256, RSA-2048, RSA-4096, ECDSA-P256)과 용도(데이터 암호화, 토큰 서명, 통신 암호화, 키 교환)별로 상태와 만료일을 관리하며, 실제 키 값은 키 관리 시스템에 두고 메타데이터만 추적합니다. 교체 시 이전 키 참조가 남아 이력을 따라갈 수 있습니다.

위협 탐지와 사고 대응

보안 알림은 발생과 확인, 조치 상태로 관리됩니다. 취약점 점검은 정기와 긴급으로 구분해 등록하고, 발견 건수와 심각도별 분포, 조치 상태를 추적합니다. 보안사고는 등록에서 조사, 대응, 종결까지 단계별로 기록하며 격리와 복구 조치 내역, 사후 교훈을 남깁니다. 관제실용 현황 화면 4종(보안사고 현황, 접근 관리, 취약점 현황, 보안감사)이 제공되어 상시 모니터링에 사용합니다.

네트워크와 OT 보안

IP 차단 목록은 개별 주소와 대역 단위 차단을 모두 지원하고, 수동 차단과 자동 차단, 만료 시각을 구분해 관리합니다. 요청 속도 제한은 전역·인증·AI·코드 생성·업로드·실시간 통신 6가지 범위로 나누어 설정하며, 인증 관련 요청은 무차별 대입 방어를 위해 엄격하게 제한합니다. OT 자산 인벤토리는 유형·제조사·모델·펌웨어·IP·계층·중요도를 관리하고, 취약점 수와 최근 점검일을 함께 추적합니다.

로그 통합 분석과 위협 정보 (SIEM)

방화벽, 서버, 업무 시스템 등 여러 원천의 로그를 등록해 한곳으로 모으고, 상관규칙으로 개별 사건을 하나의 위협으로 묶습니다. 예를 들어 "심야 시간대 인증 실패 반복 후 성공, 이어서 대량 조회"처럼 각각으로는 무해해 보이는 사건들이 규칙에 걸리면 상관 알림이 생성되고, 심각도에 따라 사고 건으로 자동 전환됩니다. 외부 위협 정보 피드를 등록해 알려진 악성 IP·도메인·해시를 지표로 관리하고, 헌팅 쿼리를 저장해 두면 새 위협이 공개되었을 때 과거 로그에서 흔적을 찾는 작업을 반복해서 수행할 수 있습니다.

단말 보호와 유출 차단 (EDR·DLP)

단말에 설치된 에이전트의 설치 상태와 마지막 통신 시각을 관리하고, 단말별 정상 기준선을 등록해 벗어난 동작을 탐지합니다. 탐지 건에는 격리, 프로세스 차단 같은 대응 조치가 기록으로 남습니다. 유출 방지는 채널별 정책으로 관리합니다. 전자우편 첨부, 웹 업로드, 외부 저장장치, 인쇄처럼 자료가 나갈 수 있는 경로에 정책을 걸고, 위반이 발생하면 경고·차단·보고 단계로 처리하며 필요 시 인사 조치 절차까지 연결됩니다. 도면과 레시피를 민감 데이터 목록에 등록해 두면 해당 자료에 대한 취급이 별도로 추적됩니다.

특권계정과 통합 인증 (PAM·SSO)

관리자 권한으로 접속한 세션은 일반 접속과 분리해 기록합니다. 누가 언제 어떤 목적으로 특권 계정을 사용했는지 남으므로, 원청사 점검에서 자주 요구되는 관리자 접근 통제 증빙이 확보됩니다. 사람이 아닌 시스템 간 연동에 사용되는 서비스 계정도 별도 목록으로 관리해, 만료 없이 방치된 연동 계정을 찾아낼 수 있습니다. 통합 인증(SSO) 설정을 통해 기존 사내 계정 체계와 연결할 수 있습니다.

취약점 조치와 보안 교육

취약점 점검 결과는 발견 건별로 상세 내역과 심각도, 조치 상태가 관리됩니다. 조치에 패치가 필요하면 패치 관리 대장에 등록되고, 검증·승인·배포·롤백 단계를 거치는 업무 흐름으로 진행됩니다. 생산 설비의 패치는 가동 중단을 수반하므로 이 검증 단계가 특히 중요합니다. 보안 교육은 과정을 등록하고 임직원별 이수 기록을 관리합니다. 인증 심사와 원청사 점검에서 요구되는 교육 실시 증빙이 자동으로 축적됩니다.

컴플라이언스 점검과 증빙 관리

점검 항목을 기준별로 등록하고, 적합·부적합·미점검 상태와 증빙을 함께 관리합니다. 시스템에서 확인 가능한 항목은 증빙이 자동으로 연결되고, 시스템 밖의 증빙은 첨부로 보완합니다. 부적합 항목은 시정 조치와 담당자, 기한이 지정되어 완료 여부가 추적됩니다. 정기 점검 일정을 등록해 두면 도래 시 알림이 발생합니다.

함께 활용하면 좋은 솔루션

솔루션	연동 내용
그룹웨어	임직원 계정·조직도·결재선을 권한 관리의 기준으로 공유, 보안 정책 공지와 교육 이력 관리
HR	입사·부서이동·퇴사 시점에 계정 생성·권한 변경·회수를 자동 반영
PLM	도면·사양서의 열람 이력과 반출 통제, 개발 자산의 접근 등급 관리
MES	생산 설비·제어 단말을 자산 목록에 편입, 현장 계정의 접근 구간 통제
EAM	설비 마스터를 OT 자산 목록의 기준으로 공유, 보안 패치·점검 이력 관리
ERP	거래처·단가·원가 등 민감 데이터의 항목 단위 접근 기록

적합한 기업

원청사 공급망 보안 점검을 받는 부품·소재 기업: 대기업 고객사의 점검표에 매년 대응해야 하고, 계정·권한·로그 증빙을 반복해서 제출하는 기업
스마트공장 전환을 진행 중인 중견 제조기업: 설비를 네트워크에 연결하면서 사무망과 설비망의 경계 관리가 필요해진 기업
도면·레시피·공정 조건이 핵심 자산인 기업: 금형, 화학, 정밀가공처럼 기술 자료 유출이 곧 경쟁력 손실로 이어지는 기업
ISMS-P 또는 ISO/IEC 27001 인증을 준비하는 기업: 전담 조직 없이 겸직 담당자 1~2명으로 인증을 준비하고 유지해야 하는 기업
다수 사업장·법인을 운영하는 기업: 공장별로 보안 수준이 다르고, 본사에서 전체 현황을 확인할 방법이 필요한 기업

기술 기반

항목	내용
데이터 모델	보안 영역 데이터 테이블 39종 (접근통제·인증·감사·데이터보호·네트워크·OT·SIEM·EDR·DLP·위협정보·특권계정·취약점·패치·교육·컴플라이언스)
화면 구성	목록·상세·대시보드 화면 45종, 현황 위젯 22종, 메뉴 13종
업무 흐름	7종 사전 정의 — 보안사고 대응, 접근권한 관리, 컴플라이언스 감사, SIEM 위협탐지(15단계), EDR 탐지 대응(13단계), DLP 위반 처리(11단계), 패치 배포(10단계)
감사 로그	추가 전용 구조, 대상·행위·심각도·접속 IP·시각 기록, 데이터 접근 로그와 1:1 연결, 월 단위 분할 저장
보존 정책	로그 유형별 보존 기간 설정 (기본값 90일, 요건에 따라 1년·3년·5년·영구 지정)
인증	다중 인증 3종(인증 앱 TOTP·문자·전자우편), 세션 동시 접속 제한과 비활동 시간 초과, 통합 인증(SSO) 연동
암호화	AES-256, RSA-2048, RSA-4096, ECDSA-P256 / 키 값은 키 관리 시스템 보관, 메타데이터와 교체 이력만 추적
접근제어	정책 5유형(접근제어·인증·데이터보호·네트워크·입력검증), 역할 기반과 속성 기반 규칙 혼합, 우선순위 평가
OT 보안	자산 유형 8종(PLC·SCADA·HMI·DCS·RTU·센서·네트워크장비·히스토리안), 네트워크 구간 5종(현장·제어·감시·제조운영·DMZ), 설비 마스터 연결
다중 테넌트	조직 식별자 기반 격리, 법인·사업장별 독립 운영
배포 방식	6단계 자동 배포 (데이터 정의 → API → 화면 → 메뉴 → 경로 → 산출물)

직접 체험해 보세요

캔버스에서 ISMS (정보보호 관리체계) 템플릿을 적용하면, 데이터 모델부터 화면까지 자동으로 생성됩니다.

무료로 시작하기 상세 문서 확인