개인정보보호위원회가 ISMS-P(정보보호 및 개인정보보호 관리체계 인증) 심사 방식을 강화하는 법령 개정안을 입법예고했습니다. 최근 통신사와 이커머스 업체 등 인증을 받은 기업에서 해킹과 개인정보 유출 사고가 잇따르면서, 서류 검토만으로는 한계가 있다는 문제의식에서 비롯됐습니다. 개정안은 기존 서면심사에 현장심사와 실제 취약점 점검·모의해킹(침투 테스트)을 병행할 수 있도록 해 실효성을 높입니다. 또한 개인정보 처리 규모나 사회적 영향력에 따라 인증 기준을 차등 적용하고, 인증이 취소된 기업에는 재취득 기간을 위한 과태료 1년 유예도 허용합니다. 의견수렴과 법제처 심사를 거쳐 최종 개정이 추진될 예정입니다.
ISMS-P 인증을 보유한 국내 통신사·이커머스 기업에서 해킹 및 개인정보 유출 사고가 반복 발생했으며, 서면 중심 심사의 구조적 한계가 원인으로 지목됐다.
ISMS-P 인증 의무대상 기업 전반에 영향을 미치며, 향후 현장심사와 실기반 취약점 점검이 정례화될 경우 인증 유지 부담이 커질 수 있다.
기존 ISMS-P 심사가 서면(문서) 위주로 운영되어 실제 보안 수준을 충분히 검증하지 못한다는 문제가 누적됐다.
개인정보보호위원회가 서면·현장심사 병행, 취약점 진단·모의침투 도입, 사후심사 강화, 인증기준 차등 적용 근거 마련 등을 담은 개인정보 보호법 시행령 개정안을 10월 26일까지 입법예고한다.
ISMS-P 인증 의무대상 기업은 현장심사 및 모의침투 대응 체계를 미리 점검하고, 개정안 입법예고 기간 중 의견 제출을 검토할 필요가 있다.
본문
개인정보보호위원회는 다음달 26일까지 정보보호 및 개인정보보호 관리체계 인증(ISMS-P) 심사를 강화하는 내용의 개인정보 보호법 시행령 개정안을 입법예고한다고 16일 밝혔다.
ISMS-P는 기업이나 기관이 구축·운영하는 정보보호 및 개인정보보호 관리체계가 인증기준에 적합한지 점검해 인증하는 제도다. 최근 통신사와 이커머스 등 ISMS-P 인증기업에서 해킹과 개인정보 유출 사고가 잇따르면서 정부는 서면 중심 심사의 한계를 보완하기 위해 인증제도 강화에 나섰다.
개정안은 ISMS-P 인증심사에서 서면심사와 현장심사를 병행할 수 있도록 했다. 인증 유효기간 중 침해사고나 개인정보 유출이 발생하면 일정 자격을 갖춘 기술인력이 현장에서 취약점 진단과 모의침투(모의해킹)를 수행할 수 있도록 한다.
매년 실시하는 사후심사에도 서면·현장심사와 취약점 점검을 적용할 수 있다. 개인정보 처리 규모와 사회적 파급력 등을 고려해 인증기준을 차등 적용할 수 있는 근거도 마련한다.
인증 의무대상 기업이 인증 취소 처분을 받은 경우에는 인증 취득 의무 위반에 따른 과태료 부과를 1년간 유예한다. 재발방지 대책을 마련하고 인증을 다시 취득할 기간을 주기 위한 조치다. 다만 거짓이나 부정한 방법으로 인증을 받아 취소된 경우에는 유예하지 않는다.
개인정보위는 입법예고 기간 의견수렴과 법제처 심사 등을 거쳐 개정을 추진할 계획이다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
