고객 지시에 따른 처리
계약된 목적과 지시 범위 안에서만 개인정보를 처리합니다.
PII 퍼블릭 클라우드 개인정보 보호 지침
ISO 27018 인증
클라우드 개인정보 보호 총정리
ISO/IEC 27018은 퍼블릭 클라우드에서 고객의 개인정보(PII)를 처리하는 사업자(처리자)를 위한 개인정보 보호 지침입니다. 고객 지시에 따른 처리, 재위탁 공개, 유출 통지, 반환·삭제 등을 다루며, 보통 ISO 27001 인증에 확장 범위로 함께 심사받습니다. 2025년 개정판이 발행되었습니다.
- 견적 요청 무료
- 영업일 3일 이내 회신
- 인증기관 견적 + 컨설팅 견적
ISO 27018 한눈에 보기ISO/IEC 27018:2025
| 정식 명칭 | ISO/IEC 27018 — 퍼블릭 클라우드 PII 처리자의 개인정보 보호 지침 |
|---|---|
| 최신 판 | ISO/IEC 27018:2025ISO/IEC 27002:2022 통제 체계와 정렬 |
| 적용 대상 | 퍼블릭 클라우드 PII 처리자고객사 대신 개인정보를 처리하는 SaaS 등 |
| 전제 조건 | ISO 27001 인증(동시 취득 가능) |
| 핵심 | 고객 지시 처리 · 재위탁 공개 · 유출 통지 · 반환·삭제 |
| 비용 기준 | 27001 심사일수 + 확장 범위 추가 시간 |
ISO 27018 핵심 정보
- 대상
- PII 처리자
- 최신 판
- ISO/IEC 27018:2025
- 전제
- ISO 27001
- 유지
- 27001과 함께 매년
ISO 27018 인증이란?
ISO 27018은 퍼블릭 클라우드 서비스가 고객사의 지시에 따라 개인정보를 처리하는 ‘처리자(수탁자)’로서 지켜야 할 보호 조치를 정한 지침입니다. 개인정보를 어떤 목적으로 처리할지 정하는 ‘처리 책임자(컨트롤러)’가 아니라, 위탁받아 처리하는 입장에 초점을 둡니다.
2025년 개정판은 ISO/IEC 27002:2022 통제 체계와 정렬되고, 처리자·컨트롤러 역할 구분, 재처리자(서브프로세서) 관리, 유출 통지와 감사 가능성 등을 더 명확히 했습니다.
재처리자 공개
개인정보 처리를 다시 맡기는 업체(서브프로세서)를 고객에게 알립니다.
유출 통지
개인정보 유출 시 고객에게 신속히 알리는 절차를 갖춥니다.
반환·삭제
계약 종료 시 개인정보를 반환하거나 안전하게 삭제합니다.
ISO 27018 인증이 필요한 기업
B2B SaaS 기업
고객사의 직원·회원 개인정보를 클라우드에서 처리하는 기업
HR·CRM·마케팅 솔루션
인사·고객·마케팅 데이터처럼 개인정보 비중이 큰 서비스
헬스케어·교육 플랫폼
민감한 개인정보를 대량으로 다루는 플랫폼
해외 고객 대상 서비스
GDPR 등 해외 개인정보 규제를 받는 고객과 거래하는 기업
AI·데이터 처리 서비스
고객 데이터를 받아 분석·처리하는 서비스
개인정보 수탁 협력사
대기업·공공의 개인정보 처리 업무를 위탁받는 기업
우리 회사의 ISO 27018 준비 상태가 궁금하다면
12개 질문으로 인증 필요도와 준비 상태를 무료로 확인하세요. 약 3분.
ISO 27018과 ISO 27701, 무엇을 받아야 하나요?
둘 다 개인정보 보호를 다루지만 범위가 다릅니다.
확장 지침
ISO/IEC 27018
- 퍼블릭 클라우드 처리자에 특화
- 27001 확장으로 함께 심사
- 클라우드 서비스 고객에게 처리자 보호 수준을 증명
경영시스템
ISO/IEC 27701
- 컨트롤러·처리자 모두 적용
- 2025년판부터 단독 인증 가능
- 조직 전체의 개인정보 경영시스템 운영
클라우드 서비스 고객 신뢰가 목적이라면 27001 + 27018, 조직 전반의 개인정보 관리 체계를 증명하려면 27701을 검토하세요. 함께 운영하면 공통 증적을 공유할 수 있습니다.
ISO 27018 주요 통제와 준비 근거
| 영역 | 핵심 내용 | 준비할 근거 예시 |
|---|---|---|
| 동의와 선택 | 고객 지시와 계약 목적 범위 내 처리 | 데이터 처리 계약(DPA), 처리 목적 정의 |
| 목적 제한 | 고객 동의 없는 마케팅·광고 목적 사용 금지 | 내부 정책, 데이터 사용 통제 |
| 투명성 | 재처리자·처리 위치 정보 공개 | 서브프로세서 목록, 고지 방식 |
| 정보주체 지원 | 고객이 정보주체 요청에 대응할 수 있도록 지원 | 열람·삭제 요청 처리 절차 |
| 유출 통지 | 유출 사고 시 고객 통지 | 사고 대응·통지 절차, 기록 |
| 반환·삭제 | 계약 종료 시 반환과 파기 | 파기 절차, 파기 기록 |
| 공개 요청 대응 | 수사기관 등 법적 공개 요청 처리 | 공개 요청 대응 정책, 기록 |
ISO 27018 인증 절차
- 1
27001 범위·개인정보 흐름 확인
인증 범위의 서비스에서 처리하는 개인정보 흐름을 파악합니다.
콘타 무료 사전 진단 - 2
견적 받기·심사 방식 결정
신규 동시 취득 또는 기존 27001 확장 방식을 정하고 견적을 받습니다.
콘타 무료 견적 · 영업일 3일 - 3
계약·고지 체계 정비
DPA, 서브프로세서 목록, 처리 위치 고지 등을 정비합니다.
- 4
통제 운영·증적 확보
정보주체 요청 지원, 유출 통지, 파기 절차를 운영하고 기록합니다.
- 5
확장 심사
27001 심사와 함께 27018 통제 운영을 심사받습니다.
- 6
인증 유지
27001 주기에 맞춰 사후·갱신심사로 함께 유지합니다.
ISO 27018 인증 기간과 비용
상황별 일반적인 예상 기간 (참고용, 기업 상황에 따라 다름)
| 현재 상태 | 예상 기간 | 비용 구성 |
|---|---|---|
| 27001 보유, DPA·파기 절차 운영 중 | 1~2개월 | 27001 심사에 확장 심사 시간 추가 |
| 27001 보유, 개인정보 처리 절차 미흡 | 2~3개월 | 확장 심사 + 절차 보완(컨설팅 선택) |
| 27001과 동시 취득 | 27001 기간 + 약 1개월 | 27001 최초 심사 + 확장 심사 |
비용을 정하는 요인
- 27001 적용 범위 인원과 심사일수
- 개인정보 처리 서비스 수와 데이터 흐름 복잡도
- 재처리자(서브프로세서) 수
- 27017·27701 동시 진행 여부
우리 서비스 기준 비용이 궁금하다면
- 27001 보유 여부와 서비스 구성을 입력하면
- 인증기관 견적과 컨설팅 견적을
- 영업일 3일 이내, 무료로 받아볼 수 있습니다.
ISO 27018 컨설팅, 꼭 받아야 하나요?
필수는 아닙니다. 개인정보 보호 담당자가 있고 수탁 계약·파기 절차가 정비돼 있다면 자체 준비할 수 있습니다. 인증 심사를 하는 인증기관은 국제 기준(ISO/IEC 17021-1)상 같은 기업에 컨설팅을 함께 제공할 수 없어, 준비 지원이 필요하면 별도 컨설팅을 받습니다.
| 구분 | 이런 기업에 적합 | 장점 | 고려할 점 |
|---|---|---|---|
| 자체 준비 | 27001을 운영 중이고 개인정보 처리 계약·절차가 갖춰진 기업 | 비용 절감, 내부 역량 축적 | 담당자 업무 부담, 시행착오로 기간이 길어질 수 있음 |
| 컨설팅 활용 | 개인정보 흐름이 복잡하거나, 해외 고객 계약(DPA) 대응이 필요하거나, 동시 취득을 원하는 기업 | 준비 기간 단축, 심사 대응 노하우 | 컨설팅비 발생, 업체별 범위·품질 차이 |
컨설팅 업체를 고를 때 확인할 것
- 클라우드 PII 처리 서비스 인증 경험
- DPA·서브프로세서 관리 문서 정비 지원
- 국내 개인정보보호법과 해외 규제 이해도
- 27701 연계 경험
인증기관 고르는 기준은 ISO 인증기관 선택 방법을 참고하세요.
인증기관 견적과 컨설팅 견적, 한 번에
콘타에서 견적을 요청할 때 '인증기관 견적', '컨설팅 견적', '둘 다' 중에서 고를 수 있습니다. 잘 모르겠다면 '잘 모르겠어요'를 선택하세요.
ISO 27018 견적 요청하기ISO 27018 자주 묻는 질문
ISO 27018 인증이란 무엇인가요?
ISO/IEC 27018은 퍼블릭 클라우드에서 고객의 개인정보를 처리하는 사업자(처리자)를 위한 개인정보 보호 지침입니다. 보통 ISO 27001 인증에 확장 범위로 함께 심사받아 인증서에 적용 사실이 표시됩니다.
ISO 27018 최신 버전은 무엇인가요?
ISO/IEC 27018:2025가 최신판입니다. ISO/IEC 27002:2022 통제 체계와 정렬되었고, 처리자·컨트롤러 역할 구분, 재처리자 관리, 유출 통지와 감사 가능성 등이 강화되었습니다.
ISO 27018과 ISO 27701의 차이는 무엇인가요?
27018은 퍼블릭 클라우드 개인정보 처리자에 특화된 확장 지침이고, 27701은 컨트롤러와 처리자 모두에 적용되는 개인정보 경영시스템 표준입니다. 27701은 2025년판부터 단독 인증도 가능합니다.
ISO 27018은 어떤 기업에 필요한가요?
고객사의 직원·회원 개인정보를 클라우드에서 처리하는 B2B SaaS, HR·CRM 솔루션, 헬스케어·교육 플랫폼, 해외 개인정보 규제를 받는 고객과 거래하는 기업에 주로 필요합니다.
ISO 27018 인증 기간은 얼마나 걸리나요?
ISO 27001을 보유하고 개인정보 처리 절차가 갖춰져 있다면 1~2개월, 27001과 동시 취득이라면 27001 준비 기간에 약 1개월을 더해 예상하는 경우가 많습니다.
ISO 27018 인증 비용은 어떻게 정해지나요?
27001 심사일수에 27018 확장 심사 시간이 더해지는 구조입니다. 서비스 수, 데이터 흐름, 재처리자 수, 컨설팅 범위에 따라 달라지며 콘타에서 무료로 견적을 요청해 영업일 3일 이내에 확인할 수 있습니다.
콘타에서 ISO 27018 견적을 받으려면 어떻게 하나요?
콘타 견적 요청 페이지에서 ISO 27018(필요하면 ISO 27001·27017도 함께)을 선택하고 기업 정보를 입력하면, 인증기관 견적과 컨설팅 견적을 영업일 3일 이내에 무료로 받아볼 수 있습니다.
최종 업데이트: 2026년 10월 · ISO/IEC 27018:2025 반영
콘타에서 견적 받을 수 있는 인증·평가 21종
분야별로 인증 정보를 확인하고, 필요한 인증을 함께 골라 한 번에 견적을 요청할 수 있습니다.
정보보호·AI
- ISO 27001 정보보호경영시스템
- ISO 27017 클라우드 보안통제
- ISO 27018 클라우드 개인정보보호
- ISO 27701 개인정보 경영시스템
- ISO 42001 AI 경영시스템
ISO 27018 인증, 어디서부터 시작할까요?
상황에 맞는 방법을 골라 시작하세요. 모두 무료입니다.