개인정보보호위원회가 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증 제도를 강화하기 위해 '개인정보 보호법 시행령' 개정안을 입법예고했습니다. 핵심 변경 사항은 지금까지 서류 검토 위주였던 심사 방식에 더해, 침해사고나 개인정보 유출이 발생한 기업에 대해 전문 인력이 직접 현장을 방문해 취약점 진단과 모의침투(해커처럼 실제로 시스템에 침입을 시도해 보는 테스트)를 수행할 수 있게 된다는 점입니다. 또한 기업 규모와 개인정보 처리량에 따라 인증 기준을 다르게 적용할 수 있는 근거도 마련됩니다. ISMS-P 인증 의무 대상 기업은 매년 받는 사후 심사에서도 이 강화된 현장 점검이 적용될 수 있어, 형식적 인증에 그치지 않도록 실질적인 보안 수준 검증이 이루어질 전망입니다.
개인정보보호위원회가 ISMS-P 인증 실효성 강화를 위해 '개인정보 보호법 시행령' 개정안을 마련, 내달 26일까지 입법예고한다고 발표했다.
ISMS-P 인증 의무 대상 기업은 침해사고·개인정보 유출 발생 시 현장 취약점 진단 및 모의침투 심사를 받게 되며, 연간 사후 심사에도 동일 기준이 적용된다.
기존 서면 중심의 심사 방식이 인증의 실효성을 떨어뜨린다는 문제 인식에서 비롯됐으며, 지난 4월 발표된 'ISMS-P 실효성 강화 방안'의 후속 조치다.
인증 기준 차등 적용 근거 마련, 인증 취소 후 1년간 과태료 유예 조항 신설(부정 취득 제외), 관계 부처 의견 수렴 및 고시 개정을 올해 내 병행 추진 예정이다.
ISMS-P 인증 취득·유지 의무가 있는 기업은 서면 준비만으로는 더 이상 충분하지 않으므로, 실제 취약점 진단과 모의침투 테스트에 대비한 기술적 보안 수준 점검이 필요하다.
본문
ISMS-P 인증 실효성을 높이기 위해 인증 심사 과정에서 서면뿐 아니라 현장 심사도 병행할 근거가 마련된다.
개인정보보호위원회가 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증 제도의 실효성을 대폭 끌어올리기 위해 '개인정보 보호법 시행령' 개정안을 마련하고 내달 26일까지 입법예고한다고 16일 밝혔다.
이번 시행령 개정안은 지난 4월 발표된 'ISMS-P 실효성 강화 방안'을 구체화한 것으로 △인증 심사 현장성 강화 △인증 기준 구체적 정비 △제재 합리성 제고를 골자로 한다.
인증 심사의 현장 실증 강화를 위해 서면심사와 현장심사를 병행하도록 규정을 명확히 개선했다. 인증 유효기간 내에 침해사고나 개인정보 유출이 발생할 경우 중급 이상 자격을 갖춘 전문 기술 인력이 현장에 투입해 점검 도구를 활용한 취약점 진단 및 모의침투(penetration testing)를 직접 수행할 수 있도록 했다. 이는 인증 취득 후 매년 실시하는 사후 심사 시에도 동일하게 적용된다.
인증 기준과 제재 요건도 기업 현실에 맞게 다듬었다. 기업의 개인정보 처리 규모와 사회적 파급력 등을 종합적으로 고려해 인증 기준을 차등 적용할 수 있는 구체적 근거가 마련됐다.
의무 대상 기업이 인증 취소 처분을 받더라도 재발 방지 대책을 수립하고 새로운 인증을 재취득할 수 있도록 1년 동안 과태료 부과를 유예하는 조항도 신설됐다. 거짓이나 부정한 방법으로 인증을 받아 취소된 경우는 유예 혜택에서 제외된다.
개인정보위는 입법예고 기간 동안 관계 부처와 이해관계자들의 의견을 수렴하고 법제처 심사 등을 거쳐 신속하게 개정을 완료할 방침이다. 관련된 고시 개정도 올해 함께 추진해 인증제도 정비 작업을 지속할 계획이다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
