ISMS-P 인증심사 강화…현장심사·취약점 점검 확대

정보보호 및 개인정보보호 관리체계(ISMS-P) 인증심사가 서류 중심에서 현장 검증을 강화하는 방향으로 개편된다. 침해사고나 개인정보 유출이 발생한 기업에 대해서는 전문 기술인력이 현장에서 취약점 진단과 모의침투를 수행할 수 있도록 제도적 근거도 마련된다.

개인정보보호위원회는 ISMS-P 인증제도의 실효성을 높이기 위한 '개인정보 보호법 시행령' 개정안을 마련하고 9월 16일부터 10월 26일까지 입법예고한다고 밝혔다.

ISMS-P(Information Security Management System-Privacy)는 기업·기관이 운영하는 정보보호 및 개인정보보호 관리체계가 인증기준에 적합한지를 심사하는 제도다. 이번 개정안은 개인정보위가 지난 4월 발표한 '정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안'을 구체화한 것이다.

서면 중심 인증심사 보완…현장 검증 강화

개정안의 핵심은 인증심사의 현장성을 높이는 것이다.

개인정보위는 ISMS-P 인증심사 과정에서 서면심사와 현장심사를 병행할 수 있도록 관련 규정을 명확히 정비한다. 문서상 보안체계 구축 여부뿐 아니라 실제 운영환경에서 보안조치가 제대로 작동하고 있는지를 직접 확인할 수 있도록 하겠다는 취지다.

특히 인증 유효기간 중 침해사고나 개인정보 유출이 발생한 경우 일정 자격을 갖춘 전문 기술인력이 현장에서 점검도구를 활용해 취약점 진단과 모의침투 등 기술적 점검을 실시할 수 있도록 한다.

취약점 점검을 수행하는 기술인력은 '정보보호산업의 진흥에 관한 법률 시행규칙'에 따른 중급 이상의 자격기준을 갖춰야 한다.

ISMS-P 인증 취득 이후 매년 진행되는 사후심사에서도 서면심사와 현장심사를 병행할 수 있으며, 필요할 경우 취약점 점검도 수행할 수 있도록 제도를 정비한다.

이에 따라 ISMS-P 인증은 단순히 인증 취득 시점의 관리체계 구축 여부를 확인하는 데서 벗어나 실제 시스템 운영과 기술적 보안 수준까지 지속적으로 확인하는 방향으로 강화될 전망이다.

개인정보 처리규모·사회적 파급력 따라 인증기준 차등 적용

ISMS-P 인증기준 적용 방식도 정비된다.

개정안에는 인증을 신청한 기업이나 기관의 개인정보 처리규모와 사고 발생 시 사회적 파급력 등을 고려해 인증기준을 차등 적용할 수 있도록 하는 근거가 구체적으로 마련된다.

개인정보 처리규모가 크거나 다수 이용자에게 영향을 미칠 수 있는 사업자의 경우 보다 강화된 수준의 관리·기술적 보호조치가 요구될 수 있는 제도적 기반을 마련하는 것이다.

인증 취소 기업, 재취득 기간 고려해 과태료 1년 유예

ISMS-P 인증 의무대상자에 대한 제재 방식도 일부 조정된다.

현재 인증 의무가 있는 기업이 인증 취소 처분을 받을 경우 인증 의무를 충족하지 못한 상태가 된다. 개정안은 이 같은 기업에 대해 인증 취득 의무 위반에 따른 과태료 부과를 1년 동안 유예할 수 있도록 했다.

인증이 취소된 기업이 취소 원인을 개선하고 재발방지 대책을 마련한 뒤 새로운 인증을 취득할 수 있는 시간을 부여하기 위한 조치다.

다만 거짓이나 부정한 방법으로 인증을 취득해 인증이 취소된 경우에는 과태료 부과 유예 대상에서 제외된다.

개인정보위는 입법예고 기간 동안 관계부처와 업계 등 이해관계자의 의견을 수렴한 뒤 법제처 심사 등을 거쳐 시행령 개정을 추진할 계획이다. 관련 고시도 연내 개정해 ISMS-P 인증제도 전반의 실효성을 높인다는 방침이다.

개정안에 대한 의견은 10월 26일까지 국민참여입법센터와 전자우편, 일반우편 등을 통해 제출할 수 있다.

이번 개편의 핵심은 ISMS-P 인증을 서류 중심의 적합성 확인에서 실제 시스템의 취약점과 보안 운영 수준을 현장에서 검증하는 제도로 강화하는 것이다.