정보보안 컨설팅·ISMS 준비 총비용 계산기

ISMS 심사수수료만 합치면 준비 총비용이 되지 않습니다

정보보안 컨설팅과 ISMS 준비 예산을 검토할 때 가장 먼저 보이는 숫자는 컨설팅 견적이나 인증심사 수수료입니다.
그러나 실제 프로젝트에는 인증범위 확정, 갭분석과 위험평가, 정책·지침 정비, 보안솔루션과 인프라 개선, 취약점 점검, 교육, 내부 담당자의 준비시간, 심사 후 보완조치가 함께 들어갑니다.
인증을 받은 뒤에도 관리체계를 계속 운영하고 매년 사후심사를 받아야 하며, 3년 유효기간이 끝나기 전에는 갱신심사를 준비해야 합니다.

이 계산기는 KISA가 제공하는 인증수수료 산정내역서 v1.9의 단일인증 수식을 재현하고, 그 결과에 사용자가 받은 컨설팅·보안구축·점검 견적과 내부시간을 더합니다.
공식 수수료 참고값, 초기 현금지출, 내부시간을 포함한 경제적 비용, 연간 유지비, 사후심사 2회와 갱신심사까지의 3년 생애주기 비용을 서로 분리해 보여 주므로 견적 항목의 누락과 중복을 함께 점검할 수 있습니다.

2026년 8월 6일 기준으로 확인한 일정 경계

현재 정보통신망법 제47조는 ISMS 인증 유효기간을 3년으로 두고 연 1회 이상 사후관리를 실시하도록 정합니다.
현행 정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시 제17조는 신청 전에 관리체계를 구축해 최소 2개월 이상 운영하도록 하고, 제27조는 유효기간 중 연 1회 이상 사후심사를 신청하도록 합니다.
제28조는 유효기간 만료 3개월 전에 갱신심사를 신청하도록 하며, KISA 2024년 7월 안내서는 희망 심사일 최소 8주 전에 신청할 것을 안내합니다.

인증범위 인력과 정보시스템을 먼저 정리하세요

KISA v1.9 수수료 산정내역서는 인증규모를 범위 내 인력 수 × 범위 내 정보시스템 수로 계산합니다.
인력에는 내부 직원뿐 아니라 인증범위에서 일하는 SM·SI 등 외부 인력도 포함하고, 정보시스템에는 서버, L4 이상 스위치, 라우터와 방화벽·IPS·IDS·웹방화벽·DLP·DRM·DB 접근제어 같은 보안시스템을 포함하도록 안내합니다.
ISMS-P를 선택하면 개인정보 수탁사 수와 개인정보를 수집·처리하는 서비스 수도 가산율에 사용됩니다.

KISA v1.9 심사수수료 산식

산정내역서의 직접인건비는 300,000원, 제경비는 직접인건비의 20%인 60,000원, 기술료는 두 금액 합계의 10%인 36,000원입니다.
합계 396,000원을 10,000원 단위로 버려 심사 1일 참고단가 390,000원을 사용합니다.
고시 별표 6은 수수료 구성과 상한을 정하고 실제 v1.9 파일은 위 비율을 사용하므로, 390,000원을 모든 기관의 영구 고정 법정단가가 아니라 현재 공식 산정도구의 참고단가로 이해해야 합니다.

컨설팅 견적은 포함 항목을 같은 표로 정규화하세요

업체마다 정보보안 컨설팅이라는 이름 아래 포함하는 업무가 다릅니다.
어떤 견적은 갭분석과 위험평가만 포함하고, 다른 견적은 정책·지침 작성, 교육, 취약점 진단이나 보완조치 지원까지 포함합니다.
총액만 비교하면 싼 견적에 빠진 범위를 나중에 별도 발주하거나 같은 비용을 두 번 잡을 수 있으므로 항목별 포함·제외표가 필요합니다.

단계별 사용법

1. 인증 종류를 선택합니다. ISMS는 정보보호 관리체계, ISMS-P는 정보보호와 개인정보보호 요구사항을 함께 다루며 수탁사·서비스 가산 입력이 추가됩니다.
2. 예비점검 전 범위 자료로 인력과 정보시스템을 셉니다. 추측 숫자와 확정 숫자를 구분하고 심사수행기관이 범위를 조정하면 즉시 다시 계산합니다.
3. 할인은 확인된 가능성만 선택합니다. 증빙이 없거나 적용범위가 불명확하면 해당 없음으로 두고 할인 전 예산을 기준으로 잡습니다.
4. 컨설팅과 기술개선 견적을 분해합니다. 포함된 진단·교육·문서화 항목은 별도 칸에서 0원으로 두어 중복을 막습니다.
5. 내부시간과 보완예산을 추가합니다. 정책 작성뿐 아니라 현업 면담, 자산 정리, 계정·로그 점검, 교육, 내부심사와 심사 대응을 포함합니다.
6. 연간 유지비를 입력합니다. 보안도구·운영, 외부지원, 취약점 점검·교육과 내부 유지시간을 사후심사 수수료와 별도로 적습니다.
7. 초기 현금과 3년 경제비를 함께 검토합니다. 확보예산 부족액, 월 준비액, 비용항목 분해와 민감도 시나리오를 구매·재무·보안팀이 같이 확인합니다.

기본 예시 계산

기본값은 시장 평균이나 권장 예산이 아니라 산식을 설명하기 위한 가상 사례입니다.
인력 50명, 정보시스템 40대로 인증규모가 2,000이면 v1.9 구간표의 심사일수는 25일이고 ISMS 최초·갱신 수수료는 9,750,000원입니다.
사후심사 1회 참고 수수료는 그 60%인 5,850,000원입니다.

민감도 결과를 해석하는 방법

계산기는 기준값과 함께 컨설팅비 20% 증가, 보안구축비 20% 증가, 내부 준비·유지시간 20% 증가, 범위 인력 20% 증가, 정보시스템 20% 증가를 비교합니다.
비용 항목이 늘면 초기비와 3년 비용이 연속적으로 증가하지만, 범위 인력이나 시스템 수는 인증규모 구간 상한을 넘을 때 심사일수가 계단식으로 바뀝니다.
현재 규모가 800, 4,000, 10,000 같은 상한에 가까우면 인력 한 명이나 시스템 한 대의 추가가 수수료 구간을 바꿀 수 있으므로 범위 확정 전후 값을 모두 저장해 두는 것이 좋습니다.

실무 활용 시나리오

팁과 주의사항

• 모든 시장가격 기본값은 가상 예시이므로 반드시 실제 견적서로 바꾸세요.
• 컨설팅·점검·교육·문서화가 서로 포함된 계약이면 한 항목에만 금액을 남기고 포함근거를 메모하세요.
• 공식 수수료에는 직접경비가 별도로 붙을 수 있고 VAT 처리는 계약·세무상황에 따라 다르므로 확인된 금액만 입력하세요.
• 소기업·정보보호 공시·심사 일부생략 할인은 중복 선택하지 말고 증빙과 실제 적용률을 확인하세요.
• 보안솔루션 구매가 모든 인증기준 충족이나 실질적 위험감소를 의미하지 않으므로 위험평가와 운영 증적을 중심으로 투자 우선순위를 정하세요.
• 최소 2개월 운영은 문서가 존재한 기간이 아니라 정책·통제·점검이 실제 수행된 증거를 준비하는 기간으로 보세요.
• 보완조치 예산은 심사 결함 수를 예측하는 값이 아니며, 사용하지 않은 준비금을 성과로 오해하지 마세요.
• 인증범위를 분할하면 별도 계약과 추가 수수료가 생길 수 있으므로 단순히 규모곱을 나누어 절감액을 추정하지 마세요.
• 인증 취득을 매출·입찰·사고감소 보장으로 환산하지 말고 고객·계약별 요구조건을 따로 확인하세요.
• KISA가 새 수수료 산정내역서를 게시하면 v1.9의 390,000원, 구간, 가산율, 60%와 할인 규칙을 다시 확인하세요.

자주 묻는 질문