정부가 개인정보 유출과 사이버 침해사고를 막기 위해 정보보호 관리체계 인증제도(ISMS·ISMS-P)를 근본적으로 손질합니다. 개인정보보호위원회와 과학기술정보통신부는 정부서울청사에서 열린 경제관계장관회의에서 정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안을 발표합니다.
이번 방안은 최근 통신사·이커머스 해킹 등 인증기업에서도 사고가 발생한 상황에서 마련되었습니다. 정부는 인증 대상·기준, 심사방식, 사후관리, 심사품질을 전면 개편합니다.
사건의 구체적 전개
정부는 국민 생활에 미치는 영향이 큰 대규모 개인정보처리자에 대해 개인정보보호 인증을 의무화합니다. 주요 공공시스템 운영기관, 이동통신사업자, 본인확인기관, 일정 규모 이상의 민간 기업이 대상이며 적용 범위는 단계적으로 확대됩니다.
기존의 획일적인 인증 기준은 위험 기반의 3단계 체계로 바뀝니다. 정부는 강화인증·표준인증·간편인증으로 재편하고, 국민 파급력이 큰 사업자를 강화인증 대상으로 포함합니다.
인증 범위도 외부 인터넷과 연결된 디지털 자산 등 공격 경로가 될 수 있는 요소까지 확대됩니다. 이에 따라 인증 심사 대상에는 보안 관리가 필요한 연결 자산이 필수적으로 포함됩니다.
인증심사 방식은 기존 서면 위주 심사에서 현장 중심의 실증 심사로 전환됩니다. 정부는 취약점 진단과 모의침투 등 기술 기반 검증을 도입합니다.
본심사 이전에는 예비심사를 통해 핵심 보안항목을 사전 점검합니다. 점검 결과에 따라 본심사 진행 여부를 결정해 부실 인증을 차단합니다.
인증군별로는 심사 인력과 기간이 확대됩니다. 중요도가 높은 시스템에는 전문 인력을 투입해 정밀 점검을 실시합니다.
관련 인물·단체의 조치 및 현재 상황
정부는 인증 이후 관리체계도 강화합니다. 특정 시점만 확인하는 스냅샷 방식의 일회성 점검 대신 상시 점검 체계를 구축해 인증 취득 이후에도 보안 수준 유지 여부를 관리합니다.
중대 침해사고가 발생하면 인증 심사를 잠정 중단합니다. 이후 사고 원인과 재발방지 대책을 확인한 뒤 심사를 재개하며, 일정 기간 내 보완하지 않으면 인증취소까지 적용합니다.
심사 품질 확보를 위해 심사기관에 대한 신뢰도 평가가 도입됩니다. 정부는 평가 결과를 인증심사 배분에 반영하고 지정 기준 준수 여부도 정기 점검합니다.
심사원에 대해서는 취약점 점검 등 기술 역량 교육이 강화됩니다. 정부는 AI·클라우드 등 전문 분야별 심사체계를 구축하고 심사원 인건비를 현실화해 처우도 개선합니다.
정부는 관련 시행령과 고시 개정, 예산 확보를 통해 후속조치를 추진합니다. 상시 점검 강화와 인증취소 기준 등 사후관리 제도는 올해 하반기부터 시행하고, 인증 의무화 확대와 차등 인증체계는 2027년부터 시행할 수 있도록 상반기에 관련 작업을 추진합니다.
송경희 개인정보보호위원회 위원장
댓글을 불러오는 중...