짧은 답변: ISO/IEC 27001은 정보 보안 관리 시스템(ISMS)을 명시합니다. 즉, 조직이 정보 위험을 식별하고, 통제를 선택하고, 실행하고, 개선하는 방법을 설명하며, 감사자가 그 결과를 인증합니다. 이와 관련된 ISO/IEC 27002는 통제 자체를 설명합니다. ISO 27799(건강 정보학: ISO/IEC 27002를 사용한 건강 정보 보안 관리)는 이러한 통제를 가져와 개인 건강 정보에 적용하는 방법을 설명합니다. 즉, 최소 요구 사항, 건강 관련 위험, 병원 또는 건강 소프트웨어 공급업체가 선택 사항이 아닌 필수 사항으로 취급해야 하는 통제 사항을 명시합니다. 27001에 대해 인증받으며, 데이터가 건강 데이터일 때 인증서가 무엇을 포함해야 하는지 결정하기 위해 27799를 사용합니다. 병원과 국가 프로그램은 점점 더 인증서와 함께 건강 관련 특정 사항이 고려되었음을 증명하거나 이를 통합한 국가 계획을 요구하고 있습니다.
ISO/IEC 27001:2022 요약
ISO/IEC 27001:2022은 정보 보안 관리 시스템에 대한 국제 인증 표준입니다. 4조부터 10조까지는 조직의 상황, 리더십, 위험 기반 계획, 지원, 운영, 성과 평가 및 개선에 대한 요구 사항을 명시하고 있으며, 부록 A에는 4가지 주제로 구성된 93가지 통제 항목이 나열되어 있으며, 적용 가능성 선언문에서 선택 및 정당화됩니다. 인증은 2단계 감사, 연간 사후 관리 감사, 3년마다 재인증 절차를 거칩니다.
이 표준은 10개의 절로 구성되어 있으며, 4~10절이 요구 사항입니다. 즉, 조직의 상황 및 범위, 리더십, 계획(위험 평가 및 처리, 목표), 지원(자원, 역량, 문서화), 운영, 성과 평가(모니터링, 내부 감사, 경영 검토) 및 개선입니다. 부록 A는 4가지 테마(조직, 사람, 물리적, 기술적)로 구성된 93개의 통제를 나열합니다. 이는 2013년판의 114개 통제에서 2022년에 재구성되었으며, 위협 인텔리전스, 클라우드 서비스, 비즈니스 연속성을 위한 ICT 준비 상태, 데이터 마스킹, 데이터 유출 방지, 모니터링, 웹 필터링 및 보안 코딩에 대한 새로운 통제가 추가되었습니다. 모든 통제를 구현할 필요는 없으며, 적용성 선언서에서 적용하는 통제와 적용하지 않는 통제가 왜 관련 없는지에 대한 근거를 제시해야 합니다. 인증은 1단계 및 2단계 감사 후 연간 감시 및 3년마다 재인증으로 이루어집니다.
ISO 27799가 추가하는 내용
ISO 27799는 ISO/IEC 27002 통제 항목에 건강 관련 특정 지침을 추가합니다. 개인 건강 정보에 대해 고유 사용자 식별, 역할 및 진료 관계 기반 접근 제어, 건강 기록에 대한 모든 접근에 대한 감사 로깅, 모바일 장치 및 전송 중 암호화, 안전한 폐기, 사고 관리 및 비즈니스 연속성 등 여러 통제 항목을 의무화하며, 건강 조직에 특화된 위협을 설명합니다.
27799(현재 2016년판)는 27002의 통제를 검토하며 각 통제에 대해 건강 조직이 무엇을 해야 하는지 명시합니다. "고려해야 함"에서 "반드시 해야 함"으로 몇 가지 사항을 격상시킵니다. 즉, 건강 정보에 특화된 문서화된 정보 보안 정책, 고유 사용자 식별(임상 시스템에서 계정 공유 금지), 역할 및 진료 관계 기반 접근 제어, 개인 건강 정보에 대한 모든 접근에 대한 감사 로깅(보관 및 검토 가능), 모바일 장치 및 전송 중인 건강 정보 암호화, 안전한 폐기, 개인 정보 침해를 포함하는 사고 관리, 그리고 기록을 사용할 수 없게 되면 환자에게 해를 끼칠 수 있으므로 비즈니스 연속성 확보입니다. 또한 건강 관련 특정 위협을 설명합니다. 즉, 알려진 사람의 기록을 내부적으로 열람하는 행위, 환자 간의 잘못된 파일링, 연구 추출물의 취약점, 오래된 데이터를 노출시키는 긴 보존 기간입니다.
두 표준 및 관련 사항
ISO/IEC 27001과 ISO 27799는 함께 작동합니다. 27001은 인증 가능한 관리 시스템이고 27799는 포함할 통제 항목에 대한 보건 분야 지침입니다. 인접한 표준 및 체계는 요구 사항을 충족합니다. 개인 정보 보호를 위한 ISO 27701, 클라우드를 위한 ISO 27017 및 27018, 미국 고객을 위한 SOC 2 및 HITRUST, 프랑스의 HDS, 독일의 C5, 영국의 NHS DSPT 및 스페인의 ENS는 국가 조달을 위해 사용됩니다.
| 표준 또는 계획 | 유형 | 용도 |
|---|---|---|
| ISO/IEC 27001:2022 | 인증 가능한 ISMS 요구 사항 | 병원 및 입찰에서 요구하는 인증서 |
| ISO/IEC 27002:2022 | 통제 지침 | 부록 A 통제 구현 |
| ISO 27799:2016 | 건강 부문 지침 | 건강 데이터에 대한 통제 범위 설정 및 근거 제시; 실사 증거 |
| ISO/IEC 27701:2019 | 27001/27002에 대한 개인 정보 보호 확장 | 컨트롤러 및 프로세서로서 GDPR 준수 개인 정보 보호 관리 입증 |
| ISO/IEC 27017 및 27018 | 클라우드 보안 및 클라우드 개인 정보 보호 지침 | 개인 데이터를 처리하는 클라우드 제공업체 및 SaaS |
| SOC 2 (AICPA) | 신뢰 기준에 대한 미국 감사 보고서(유형 I 또는 II) | 미국 고객 및 투자자; 인증서 아님 |
| HITRUST CSF | 미국 의료 프레임워크 및 인증 | 이를 요구하는 미국 건강 시스템 및 보험사 |
| HDS (프랑스) | 프랑스에서 건강 데이터 호스팅을 위한 필수 인증 | 프랑스 건강 데이터를 호스팅하는 모든 제공업체; 27001 기반 |
| C5 (독일) | BSI 클라우드 감사 | 독일 공공 부문 및 병원 조달 |
| NHS DSPT (영국) | 연간 자체 평가 도구 | NHS에 공급하는 모든 공급업체 |
| ENS (스페인) | 국가 보안 프레임워크 | 스페인 공공 부문 시스템 |
| IEC 81001-5-1 | 건강 소프트웨어의 안전한 제품 수명 주기 | IEC 62304와 함께 의료 기기 소프트웨어 사이버 보안 |
대부분의 경우 27001의 통제 집합과 중복됩니다. 조직은 한 번 매핑하고 증거를 재사용합니다. 여러 국가별 계획(HDS, C5, ENS)은 27001을 기반으로 하며 부문별 또는 국가별 요구 사항을 추가합니다. 이것이 유럽에서 판매하는 건강 기술 회사에게 27001이 합리적인 첫 번째 인증인 이유입니다.
무엇을, 언제 인증해야 하는가
유럽에서 판매하는 헬스케어 기술 회사의 경우, 일반적으로 ISO/IEC 27001을 먼저 인증하고 플랫폼 및 이를 운영하는 팀으로 범위를 지정합니다. 이후 ISO 27799의 건강 관련 통제 항목(기록별 접근 로그, 관계 기반 접근, 암호화, 공유 계정 없음, 복원 테스트)을 구현한 다음, 시장에서 요구할 때 ISO 27701, HDS, C5 또는 SOC 2를 추가합니다.
- 범위를 좁고 정직하게 설정하세요: 전체 회사의 노트북이 아닌, 플랫폼과 이를 운영하는 팀에 집중하세요. 병원은 범위 진술서를 읽습니다.
- 인증 전에 건강 관련 특정 사항을 처리하세요: 환자 기록별 접근 로그, 역할 및 관계 기반 접근, 모든 곳에서의 암호화, 공유 계정 금지, 테스트된 복원 기능입니다. 병원의 보안 설문지는 이러한 사항을 묻습니다. 27799가 체크리스트입니다.
- 먼저 27001을 인증하세요. 여러 고객을 위한 컨트롤러 및 프로세서로 데이터를 처리하는 경우 27701을 추가하고, 시장에서 요구하는 경우 HDS 또는 C5를 추가하세요. 미국 고객이 요구하는 경우 SOC 2를 추가하세요.
- GDPR과의 연관성을 명확히 하세요: 제32조는 위험에 적절한 보안을 요구하며, 27799에 기반한 범위의 27001 인증서는 이를 입증하는 가장 인정받는 방법입니다. DPIA의 조치 섹션과 ISMS 위험 처리 계획은 동일한 목록이어야 합니다. 건강 앱 DPIA를 참조하세요.
- NIS2(해당되는 경우) 및 제안된 HIPAA 보안 규칙 업데이트는 모두 27001 부록 A와 유사하며, 필수 다단계 인증 및 사고 보고를 요구합니다. 하나의 ISMS로 이 세 가지 모두에 대응할 수 있습니다. 병원 및 공급업체를 위한 NIS2를 참조하세요.
Anpheros에서
Anpheros는 ISO 27001의 구조에 따라 보안 프로그램을 운영하며, 27799에서 필수 사항으로 간주하는 건강 관련 통제를 따릅니다. 즉, 개인이 읽을 수 있는 기록별 접근 로그, 동의 및 시간에 따른 접근 범위 지정, 저장 중 및 전송 중 암호화, EU 호스팅, 공유 계정 금지, 테스트된 백업, 그리고 GDPR 72시간 규정을 준수하는 사고 처리 프로세스입니다. 개발자 사이트에는 플랫폼 보안에 대한 문서가 있으며, 2026년 10월 보안 검토에서 감사 결과를 확인할 수 있습니다.
이 페이지는 제품 및 엔지니어링 팀을 위한 규정을 설명합니다. 법률 자문이 아니며, 출처에 링크된 텍스트가 권위 있으며, 귀하의 데이터 보호 책임자, 인증 기관 또는 변호사가 귀하의 사례를 결정합니다. 마지막 검토: 2026년 10월.
관련 페이지
출처
- ISO/IEC 27001:2022
- ISO/IEC 27002:2022
- ISO 27799:2016, 건강 정보학: ISO/IEC 27002를 사용한 건강 정보 보안 관리
- ISO/IEC 27701:2019
- ANS (프랑스): HDS 인증
- BSI (독일): C5 기준 카탈로그
- NHS England: 데이터 보안 및 보호 도구 키트
자주 묻는 질문
ISO 27799에 대해 인증받을 수 있나요?
아니요. 27799는 지침이며, 인증 기관은 ISO/IEC 27001을 인증합니다. 27001 범위 및 적용성 선언서에서 27799를 참조하여 인증서가 건강 관련 특정 통제를 명확하게 포함하도록 할 수 있습니다.
SOC 2는 ISO 27001과 동등한가요?
겹치는 부분이 있지만 종류가 다릅니다. SOC 2는 신뢰 기준에 대한 특정 기간 동안의 통제에 대한 감사 보고서이며 미국에서 일반적입니다. 27001은 인증된 관리 시스템이며 유럽 및 국제적으로 일반적입니다. 많은 건강 기술 회사가 두 가지 모두를 보유하고 있습니다.
프랑스 병원에 서비스를 제공하려면 HDS가 필요한가요?
프랑스 의료 제공업체를 위해 건강 데이터를 호스팅하는 경우, 예: HDS 인증은 프랑스 공중 보건법에 따른 법적 요구 사항이며, 대부분의 프랑스 고객은 이를 받지 않으면 계약하지 않을 것입니다. 27001을 기반으로 하므로 거기서부터 시작하세요.
ISO 27001 인증에는 얼마나 걸리나요?
집중된 범위와 헌신적인 팀의 경우, 시작부터 인증까지 6~12개월이 소요되며, 대부분의 시간은 통제를 실제로 구현하고 증거를 수집하는 데 사용됩니다. 감사 자체는 며칠이 걸립니다.
샌드박스에서 무료로 사용해 보세요
5분 만에 첫 FHIR 호출. 환자의 동의가 내장된 HL7 FHIR R4 API: 샌드박스에서 먼저 사용해보고, 자체 앱 또는 병원 시스템을 연결하세요.
무료 · 합성 환자 30명 · 카드 불필요
Anpheros는 환자가 직접 관리하고 어떤 병원과도 공유할 수 있는 의료 기록을 EU 기반의 HL7 FHIR R4 플랫폼에서 구축합니다. 이 가이드들은 건강 정보를 이해하고 정리하는 데 도움을 드리며, 의사의 진료를 대체하지 않습니다.
Anpheros 소개 →