ISO 27001 인증은 원격 통역 플랫폼이 민감한 음성 대화를 단순히 주장하는 것이 아니라 실제로 보호한다는 것을 입증하는 가장 확실한 방법입니다. 기밀 또는 규제 대상 콘텐츠에 대한 통역 서비스를 구매하는 모든 조직은 공급업체 평가 체크리스트에서 ISO 27001 인증을 부차적인 고려 사항이 아닌 최우선 순위에 두어야 합니다.
이 글에서는 해당 인증이 무엇을 포함하는지, 왜 대부분의 소프트웨어 범주보다 통역 분야에서 더 중요한지, Interprefy가 이 인증을 획득하기 위해 어떤 노력을 기울였는지, 그리고 벤더의 인증 관련 주장을 액면 그대로 받아들이기 전에 무엇을 확인해야 하는지에 대해 설명합니다.
ISO 27001(정식 명칭은 ISO/IEC 27001)은 정보 보안 관리 분야의 국제 표준입니다. 이 표준은 정보 보안 관리 시스템(ISMS)에 필요한 요건을 명시하고 있습니다. ISMS는 정보의 기밀성, 무결성 및 가용성을 보호하기 위한 체계적이고 지속적으로 검토되는 정책, 절차 및 통제 체계입니다.
현재 표준인 ISO/IEC 27001:2022는 조직, 인적 자원, 물리적 환경, 기술적 보안의 네 가지 주제에 걸쳐 93개의 통제 항목으로 요구 사항을 구성합니다. 이러한 포괄적인 범위는 중요한데, 인증은 단순히 우수한 암호화 기술만으로는 획득할 수 없기 때문입니다. 조직은 접근 제어, 직원 교육, 공급업체 관리, 사고 대응, 물리적 보안 등 모든 분야에 동일한 수준의 엄격한 관리 체계를 구축하고 있음을 입증해야 하며, 단순히 주장하는 것만으로는 부족합니다. 독립적이고 공인된 인증 기관에 이를 증명해야 합니다.
제3자 검증은 진정한 보안 상태와 마케팅 주장을 구분하는 핵심 요소이며, 이러한 구분은 대부분의 소프트웨어 분야보다 통역 분야에서 훨씬 더 중요합니다. 대부분의 보안 논의는 저장된 데이터, 즉 파일, 기록, 데이터베이스에 집중됩니다. 하지만 통역 플랫폼은 통제하기 더 어려운, 실시간으로 검열되지 않은 사람의 음성을 다룹니다. 통역사는 두 사람이 같은 공간에서 나누는 대화에 유일하게 참여하는 제3자인 경우가 많기 때문에, 대화에서 가장 민감한 내용이 담겨 있을 가능성이 높습니다. 이러한 위험이 AI 기반 통역에 구체적으로 어떻게 적용되는지 자세히 알아보려면 자동 음성 번역이 충족해야 하는 보안 표준.
원격 통역 플랫폼은 전송 중인 실시간 오디오 및 비디오 스트림을 안전하게 보호하고, 고객 기관 외부의 통역사에 대한 접근 권한을 관리하며, 모든 녹화물이 정책에 따라 저장 및 삭제되도록 보장해야 합니다. 인증을 받으려면 이러한 기능이 일회성 설정이 아닌 지속적으로 검토되는 위험 관리 프로세스 내에 포함되어야 합니다.
조직, 인력, 물리적 및 기술적 보호 조치를 포괄하는 93개 항목에 대한 평가를 통해, 해당 플랫폼은 맞춤형 또는 자체 정의한 보안 정책이 아닌 금융, 의료 및 정부 기술 전반에서 사용되는 동일한 벤치마크를 기반으로 운영됩니다.
인증은 공인 심사원이 자체 평가 설문지가 아닌 직접적인 증거를 통해 경영 시스템이 표준 요구 사항을 충족함을 확인한 후에만 부여됩니다. 법적 절차, 인수합병 협상, 정부 회의 및 임상 상담은 모두 데이터베이스 계층뿐만 아니라 모든 단계에서 이러한 인증 체계가 유지되는 것에 달려 있습니다.
통역 서비스를 구매하는 기관에게 인증은 세 가지 실질적인 이점을 제공합니다. 개인 정보 보호 강화, 지적 재산권 보호 강화, 그리고 플랫폼의 보안 시스템이 출시 후에도 지속적으로 최신 상태로 유지된다는 확신을 얻을 수 있습니다.
참가자 및 통역사 데이터(실시간 대화 내용 포함)는 전송 중 및 저장 시 암호화, 역할 기반 접근 제어, 그리고 싱글 사인온(SSO), SAML 2.0, 2단계 인증과 같은 인증 조치를 통해 보호되며, 이러한 조치는 이벤트 데이터에 접근할 수 있는 사용자를 제한합니다.
합병 협상부터 미공개 제품 세부 정보에 이르기까지 기밀 논의가 이루어지는 경우, 해당 스트림에 접근하는 모든 사람은 명확한 의무를 준수해야 합니다. 즉, 통역사와 지원 직원은 어떠한 이벤트 스트림에 접근하기 전에도 기밀 유지 계약을 체결해야 하며, 이는 단순한 편의 제공이 아니라 문서화된 통제 절차입니다.
관리 시스템은 연례 검토가 아닌 지속적인 모니터링을 통해 유지됩니다. 인증된 조직은 연례 사후 심사를 거치고 약 3년마다 전체 재인증 심사를 받으며, 정기적인 독립적인 침투 테스트와 전담 정보 보안 책임자의 감독을 받습니다.
ISO 27001 인증은 단순히 획득했다고 선언하는 것이 아닙니다. 두 단계의 외부 심사를 거쳐야 하는데, 첫 번째 단계는 문서화된 정책과 위험 평가에 대한 초기 검토이고, 두 번째 단계는 해당 정책이 실제로 어떻게 준수되고 있는지에 대한 심층 평가입니다. 인증은 공인 심사원이 정보보안경영시스템(ISMS)이 표준 요구사항을 충족함을 확인했을 때만 부여되며, 그 후에도 지속적인 관리가 필요합니다. 인증받은 조직은 매년 사후 심사를 받고, 약 3년마다 재인증 심사를 받아야 하므로, 인증은 일회성 성과가 아닌 지속적인 관리 상태를 나타냅니다.
Interprefy는 이러한 과정을 거쳐 2021년 11월부터 ISO 27001 인증을, 심사원들은 평가 전반에 걸쳐 부적합 사항이 하나도 발견되지 않았다고 보고했습니다. 이는 Interprefy가 통역 기술 분야에서 해당 인증을 획득한 최초의 기업 중 하나임을 의미합니다. 인증서 자체보다는 이러한 심사 이력이 더 중요한 의미를 지닙니다. 이는 경영 시스템이 외부 기관에 의해 검증되었고 그 타당성을 인정받았다는 것을 보여주기 때문입니다.
실제로인증은 프레임워크를 제공하며, 운영 세부 사항은 이를 실제 업무에 적용하는 것입니다. Interprefy는 TLS 1.2 및 AES-256-GCM 암호화를 통해 전송 중인 데이터를 보호하고, 역할 기반 접근 제어를 사용하여 이벤트 데이터에 접근할 수 있는 사용자를 제한하며, 기업 고객을 위해 싱글 사인온(SSO), SAML 2.0 및 2단계 인증을 제공합니다. 데이터는 유럽 연합 내에 저장되며, 통역사와 지원 직원은 이벤트 스트림에 접근하기 전에 기밀 유지 계약을 체결해야 합니다. 또한 플랫폼은 정기적인 독립적인 침투 테스트를 거칩니다. 전담 정보 보안 책임자가 ISMS에 대한 지속적인 모니터링을 감독하여 인증이 정체되지 않고 최신 상태로 유지되도록 합니다.
이러한 조치들이 위험을 완전히 제거하는 것은 아닙니다. 하지만 통역 서비스 제공업체를 평가하는 기관들에게 단순한 약속 이상의 구체적인 정보를 제공합니다. 바로 외부 감사를 거치고 매년 검토되는 시스템이며, 통역이 전달하고자 하는 생생하고 민감한 의사소통을 보호하기 위해 특별히 구축되었다는 점입니다.
ISO 27001 준수 주장이 모두 동일한 효력을 갖는 것은 아니며, 웹사이트 하단에 있는 인증 마크보다는 세부 사항을 확인하는 것이 중요합니다. 모든 공급업체에 직접 확인해야 할 세 가지 사항은 다음과 같습니다. 첫째, 인증서의 정확한 범위입니다. 일부 기관은 구매하는 플랫폼 전체가 아닌 사업의 특정 부분에 대해서만 인증을 제공하기 때문입니다. 둘째, 인증 기관의 신원 및 인증 여부입니다. 공인된 독립 감사 기관에서 발급한 인증서만이 효력을 갖습니다. 셋째, 가장 최근의 사후 심사 날짜입니다. 몇 년 전에 발급된 인증서는 지속적인 검토 기록이 없어 신뢰도가 떨어집니다. 고객 보안, 개인정보 보호 및 SLA 약속 평가 인증 여부 외에도 통역 또는 번역 공급업체에 문의해야 할 더 광범위한 질문들을 다루고 있습니다.