저희 회사의 ISMS 만료일이 7월 4일입니다
4월 중순에 심사를 진행하였고 현재 결함 수정 중에 있습니다
작년에 받은 인증은 최초 심사이며, 올해 신규 서비스 오픈으로 또다시 최초 심사를 받았습니다
여기서 궁금한 것은, 올해 최초 심사를 받을 경우 전년도의 만료일을 초과해도 되는지 입니다
원래 계획했던 것은 이번주 금요일(10일)까지 결함수정 완료 후 보고서 발송
다음주 월요일(13일) 심사팀장의 이행점검 후 7월1주차에 KISA에 인증 위원회 개최가 목표였습니다
(참고로 이행기간 연장으로 100일까지가 7월 23일이라서, 이행기간 자체는 넉넉합니다)
문제는 이번주 내에는 보고서 발송이 어려운 상황입니다
결함수정 완료 후 보고서 발송을 차주로 하고, 이행점검을 6월4~5주차로(20일/27일 이후) 옮기는게 가장 이상적이긴 한데,
그러면 KISA에 올라가는 날짜는 7월 3주차로 인증이 만료 된 후가 됩니다
(물론 쫌더 걸릴거 같은거는 장기 결함/위험 수용으로 빼고 나머지도 타이트하게 잡으면 어찌어찌 가능은 하나, 그보다는 기간을 한 주만 확보를 해도 많이 수월하게 진행되는게 많습니다)
제가 생각하기로는 올해는 최초 심사이므로 작년도 심사의 만료일은 어느정도 초과해도 괜찮을것 같은데,
전에 심사팀장과 통화할 때는 7월 첫주를 목표로 잡았고, 보안쪽 아는 형님에게 물어도 만료일 전에 진행하는게 좋지 않을까? 라는 애매한 답변만 들어서 조금 애매하네요 ;;
2개의 답변이 있습니다.
일단, 이런 건 여기에 물어보시는 것보다 심사팀장에게 물어보는 게 제일 확실하고 빠릅니다. 심사팀장은 여러분을 해치지 않아요 ^ㅅ^
요약해보자면,
■2021년도에 최초심사로 A 영역에 대한 심사를 받았음(인증 유효기간 예를 들어 2022년 6월 30일까지)
■2022년도에 B 영역에 대한 최초심사를 받았으며, 인증위원회 통과 날짜에 따라 인증 유효기간이 달라짐
이라는 말씀이신지요? 아니면
■2021년도에 최초심사로 A 영역에 대한 심사를 받았음(인증 유효기간 예를 들어 2022년 6월 30일까지)
■2022년도에 B 영역을 포함해서 A+B 영역으로 다시 최초심사를 받았음
이신 건가요? A영역에 대한 사후심사 이야기는 전혀 없으신 걸 보니까 아마도 두번째처럼 인증범위가 확대되신 것으로 보입니다.
사실 어떤 유형인가와는 상관없이 사후심사나 갱신심사가 아니라 최초심사로 받으셨다면 인증서 역시 고유번호가 따로 부여된 새로운 인증서로 받으실 겁니다. 이거는 작년에 받으신 심사와는 별개로 진행되는 거에요.
기존에 받으신 A영역만에 대한 인증서(아마 고유넘버가 ISMS-2021-XXXX 가 되겠죠)는 이후 인증이 취소되는 사항이 되실 거구요. 이번에 새로 받으신 A+B 영역에 대해서는 새로운 인증서로 발급되면서(고유넘버 ISMS-2022-XXXX) 인증 유효기간도 올해 해당 인증위원회에서 승인된 날짜로부터 새로 카운트되겠죠.
다만 우려하신 대로 그렇다면 A 영역의 인증기간이 약 1~2주 누락되는 건 어떻게 할 것인가에 대한 것인데, 어차피 누락되어도 A 영역이 포함되어 인증서가 다시 발급되는 거니까 큰 문제는 없으실 겁니다.
혹시 인증 의무대상이셔서 기간이 누락되는 걸 걱정하시는 건지요? 그건 아마 소명의 절차가 따로 있을 겁니다. 과태료를 부과하려면 결국 공문이 날아올 거고 해당 공문에 아마 소명의 절차에 대해 안내해놓을 거에요. 이 때에 '작년에 A 영역만 인증을 받았으나 올해 A+B 영역으로 통합하여 인증심사를 받다보니 부득이하게 누락된 기간이 있었다'라고 라고 새로 획득한 인증서를 첨부해서 소명을 열심히 하시면 될 것 같군요.
다시 한번 말씀드립니다만, 여기에 질문을 올리시는 건 정답을 구하시기 힘듭니다. 여기 올라온 답변이나 의견을 100% 믿지 마시고(물론 제 답변도 포함입니다.) 당장 심사팀장에게 전화해서 물어보시는 게 가장 정답을 얻는 방법입니다.
나중에 그 결과 한번 공유해주시면 고맙겠네요 ^ㅅ^
제 상식으로는 최초 심사를 다시 받았다면 이전 최초 심사는 무의미한게 아닐까 싶은데요..?
마지막 시행한 최초 심사를 기준으로 기간을 계산하면 되지 않을까요..?
KISA에 문의해 보시는 게 정확할 것 같습니다.