개인정보 1000만명 유출 기업, ISMS 인증 취소된다

ISMS·ISMS-P 인증 취소 관계기간 회의
반복 위반·고의·중과실 위반도 인증 취소돼
개보위 “인증 기준 미달 기업 엄격히 관리”

▲송경희 개인정보보호위원회 위원장이 10일 서울 종로구 정부서울청사에서 열린 개인정보보호위원회(개인정보위) 제26회 위원회 전체회의에 참석해 발언하고 있다. (뉴시스)

정부가 의무화를 추진 중인 정보보호 및 개인정보보호 관리체계(ISMS·ISMS-P)의 인증을 받은 기업이 사이버 침해와 유출 사고 등 보안 사고를 겪으면 인증이 취소될 수 있다.

개인정보보호위원회는 과학기술정보통신부와 함께 29일 ‘정보보호 및 개인정보보호 관리체계 인증 취소 관계기관 대책회의’를 열고 이같이 밝혔다.

이번 대책회의는 12월 6일 개최된 ‘정보보호 및 개인정보보호 관리체계 인증제 개선 관계기관 대책회의’의 후속 조치다. 최근 개인정보보호통합인증 기업의 사이버 침해와 유출 사고 빈발로 사후 관리의 엄격성을 높여야 한다는 목소리를 반영한 것이다. 관계기관들은 이번 회의를 통해 그간 논의해 온 인증 취소 기준 구체화 방안을 최종 심의·확정하고 즉각 시행할 계획이라고 밝혔다.

우선 정부는 외부 인터넷 접점 자산 식별, 접근 권한 관리, 보안 패치 관리 등 실제 사고와 밀접한 핵심 항목을 인증기업이 연 1회 진행하는 사후 심사에서 집중 점검할 방침이다. 사후 관리 점검을 미이행하거나 거부할 경우, 자료를 미제출·허위 제출할 경우, 또는 중대 결함이 발견될 경우 인증위원회 심의를 거쳐 인증을 취소한다.

또 인증기업이 개인정보보호법 위반으로 과징금 등 처분을 받은 경우 위반 행위의 중대성에 따라 인증을 취소한다. 특히 피해 규모가 1000만 명 이상이거나 반복 위반, 고의·중과실 위반 행위로 사회적 영향이 큰 경우 원칙적으로 인증을 취소한다는 방침이다. 정보통신망법 역시 중대한 위반 시 인증 취소가 가능하도록 법 개정을 추진하고 있다.

인증 취소 이후 관리 방안도 마련한다. 법상 의무 대상 기업은 취소 후 1년간 재신청 유예기간을 둬 실질적인 보안 개선이 이뤄지도록 유도한다. 이 기간에는 인증 의무 미이행에 따른 과태료를 면제해 기업의 불필요한 부담을 방지한다. 비의무 대상 기업의 경우에도 재취득을 권고해 관리 체계를 유지하도록 한다.

개인정보위 관계자는 “이번 회의는 올해 10월 범부처 정보보호 종합대책부터 이어 온 관계기관의 제도 개선 의지를 결집하는 자리”라며 “앞으로도 지속적 협력을 통해 인증 기준에 미달하거나 중대한 위반이 있는 기업은 인증을 유지할 수 없도록 엄격히 관리해 인증 제도의 신뢰성을 회복해 나가겠다”고 말했다.