ISMS-P 기반 AI 보안 관리체계 적용방안 연구 : ISO/IEC 42001 요구사항을 중심으로 = A Study on the Application of an ISMS-P-Based AI Security Management System : Focusing on the Requirements of ISO/IEC 42001

국문 초록 (Abstract)

본 연구는 AI 기술 확산에 따라 기존 정보보호 및 개인정보보호 관리체계인 ISMS-P가 AI 시스템의 특성을 충분히 반영할 수 있는지를 검토하고, ISO/IEC 42001 요구사항을 중심으로 ISMS-P와의 연계 가능성을 분석하였다. 이를 위해 ISO/IEC 42001 요구사항과 ISMS-P 인증기준을 거버넌스, 데이터, 모델, 운영의 4개 영역으로 구분하여 비교 분석하고, 기존 ISMS-P 기준만으로는 충분히 반영하기 어려운 AI 특화 관리 공백을 식별하였다. 분석 결과, ISMS-P는 정책 수립, 위험관리, 보호대책 이행, 로그 관리 등 기존 정보시스템 보안관리를 위한 기본적인 체계를 제공하고 있으나, AI 시스템에 특화된 데이터 품질 관리, 모델 검증, 모델 성능 변화 관리, 이해관계자에 대한 설명 및 대응 등에서는 한계가 있는 것으로 나타났다. 이에 본 연구는 ISMS-P의 기존 관리체계 구조를 기반으로 AI 특화 관리 요소를 연계 적용하는 방안을 제시하고, 국내 AI 보안 관리체계의 확장 가능성을 확인하였다.

다국어 초록 (Multilingual Abstract)

This study examines whether the existing Information Security and Personal Information Management System （ISMS-P） sufficiently reflects the characteristics of AI systems and analyzes its applicability based on the requirements of ISO/IEC 42001. The requirements of ISO/IEC 42001 and the ISMS-P certification criteria were comparatively analyzed across four areas: governance, data, model, and operation, in order to identify AI-specific management gaps that are difficult to address under the existing ISMS-P criteria.
The results show that ISMS-P provides a basic framework for conventional information security management, such as policy establishment, risk management, implementation of security controls, and log management. However, it has limitations in AI-specific areas, including data quality management, model validation, management of model performance changes, and explanation and response to stakeholders. Therefore, this study proposes a method for applying AI-specific management elements within the existing ISMS-P framework and confirms the possibility of expanding Korea’s AI security management framework.

목차 (Table of Contents)

• 제1장 서 론 1
• 제1절 연구의 목적 1
• 제2절 연구의 범위 및 방법 3
• 1. 연구의 범위 3
• 2. 연구의 방법 4
• 제2장 AI 보안 관리를 위한 주요 관리체계 및 국내 동향 5
• 제1절 정보보호 및 개인정보보호 관리체계（ISMS-P） 5
• 1. ISMS-P 인증제도의 개요 5
• 2. 인증심사 운영 구조 6
• 3. 인증기준의 영역별 구성 7
• 제2절 인공지능 경영시스템（ISO/IEC 42001） 8
• 1. ISO/IEC 42001의 개요 8
• 2. 경영시스템의 구조 9
• 3. 부속서 A 통제항목 구성 11
• 제3절 AI 보안 관리체계 12
• 1. AI 보안 관리체계 개념 12
• 2. 관리체계의 영역별 구성 13
• 제4절 국내 AI 활용 및 보안 관리 현황 15
• 1. 기업의 AI 개발활용 현황 15
• 2. ISO/IEC 42001 인증 도입 현황 17
• 3. AI 보안 가이드라인 현황 18
• 제3장 ISMS-P 기반 AI 보안 관리체계 도입의 필요성 20
• 제1절 ISO/IEC 42001과 ISMS-P 통제항목 비교분석 20
• 1. 거버넌스 영역의 한계 23
• 2. 데이터 보안 영역의 한계 26
• 3. 모델 보안 영역의 한계 27
• 4. 운영 보안 영역의 한계 29
• 제2절 AI 보안 관리 공백 식별 31
• 1. 대응 수준별 공백 분석 31
• 2. 주요 관리 공백 도출 33
• 제3절 ISMS-P 기반 AI 보안 관리의 한계 35
• 1. AI 생명주기와 관리 영역의 대응 한계 35
• 2. ISMS-P 적용의 구조적 한계 37
• 제4장 ISMS-P 기반 AI 보안 관리체계 적용방안 39
• 제1절 AI 보안 관리체계 적용 방향 39
• 1. AI 거버넌스 및 책임체계 39
• 2. 학습데이터 품질 및 출처 관리 41
• 3. AI 모델 검증 및 문서화 43
• 4. AI 운영 모니터링 및 사고대응 45
• 제2절 AI 생명주기 기반 주요 보안 점검 항목 47
• 1. 도입 및 기획 단계 체크리스트 47
• 2. 데이터 수집 및 준비 단계 체크리스트 49
• 3. 모델 개발 및 검증 단계 체크리스트 51
• 4. 운영 및 지속관리 단계 체크리스트 53
• 제3절 ISMS-P 보안 관리체계와의 연계 적용방안 55
• 1. 위험관리 및 보호대책 이행 절차와의 연계 55
• 2. AI 보안 운영조직 및 역할과 책임 체계 57
• 3. AI 특화 증적 관리 및 인증 대응 체계 58
• 제5장 결 론 59
• 참 고 문 헌 61
• ABSTRACT 64