과학기술정보통신부와 개인정보보호위원회는 4월 10일 정부서울청사에서 열린 경제관계장관회의에서 「정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안」을 발표했다. 두 부처는 최근 통신사와 이커머스 해킹 등으로 인증제도의 실효성에 대한 우려가 커진 만큼, 인증 대상과 기준, 심사방식, 사후관리, 심사품질 확보를 포함한 전반적인 개선에 나서겠다고 밝혔다.
ISMS·ISMS-P 인증은 기업과 기관의 정보보호 및 개인정보보호 관리체계를 점검·인증하는 제도다. 국제표준인 ISO27001·27701을 바탕으로 보안 수준을 높이고 사고를 예방하는 데 목적이 있다. 다만 그동안 인증이 자율에 맡겨져 있었고, 기업이나 산업군의 특성과 무관하게 같은 기준이 적용돼 왔다는 점에서 한계가 지적돼 왔다.
이에 따라 정부는 국민 생활에 큰 영향을 미치는 대규모 개인정보처리자에 대해 개인정보보호 인증 의무를 부여하고, 통신사와 데이터센터 등 침해사고 발생 시 파급력이 큰 사업자에 대한 인증기준을 강화하기로 했다. 주요 공공시스템운영기관, 이동통신사업자, 본인확인기관, 대규모 개인정보처리자 등을 중심으로 의무화를 단계적으로 확대할 계획이다.
인증체계도 3단계로 재편된다. 정부는 강화인증, 표준인증, 간편인증으로 나누고, 국민생활에 미치는 영향이 큰 강화인증군에는 더 엄격한 기준과 심사방식을 적용한다. 인증대상 서비스와 관련된 장비와 시설도 범위를 넓혀 빠짐없이 포함하고, 외부 인터넷과 연결돼 공격 경로로 활용될 수 있는 디지털 자산은 반드시 인증범위에 넣기로 했다.
심사방식은 서면 중심에서 현장 중심으로 바뀐다. 본심사 전 예비심사에서 핵심 인증기준을 먼저 확인해 본심사 진행 여부를 결정하고, 취약점진단과 모의침투 같은 기술심사도 도입한다. 심사원은 실시간 시연 확인 등 현장실증 방식으로 실제 보안관리 상태를 살펴보게 된다.
사후관리도 강화된다. 정부는 특정 시점만 확인하는 스냅샷 방식에서 벗어나 인증 취득부터 유지와 갱신까지 전 과정에서 관리체계가 지속되는지 상시 점검할 계획이다. 중대 침해사고가 발생한 기업에 대해서는 인증심사를 잠정 중단하고, 조사와 처분이 끝난 뒤에는 인력과 기간을 더 투입해 사고원인과 재발방지 대책을 정밀하게 살핀다.
심사기관과 심사원의 전문성도 높인다. 매 인증심사 종료 후 심사기관에 대한 신뢰도 조사를 실시하고, 그 결과를 다음 해 심사 배분에 반영한다. 심사품질 관련 항목은 지정과 재지정 평가에 넣고, 심사원의 기술심사 역량을 높이기 위한 실무교육과 가이드도 강화한다. AI와 클라우드 등 분야별 전문성 관리도 함께 추진한다.
과기정통부와 개인정보위는 시행령, 고시, 안내서 개정과 예산 확보 등 후속조치를 진행할 예정이다. 상시 점검 강화와 인증취소 등 사후관리 관련 사항은 올해 하반기부터, ISMS-P 의무화와 인증 차등 적용, 강화 인증기준 적용은 2027년부터 시행할 수 있도록 상반기에 관련 작업을 추진할 계획이다.
댓글
0