정부, ISMS-P 인증제도 전면 개편…중대 결함 미조치 시 '인증 취소'

▲배경훈 과학기술정보통신부 장관이 지난해 12월 31일 오후 서울 여의도 국회에서 열린 쿠팡 침해사고 및 개인정보 유출, 불공정 거래, 노동환경 실태 파악과 재발방지 대책 마련을 위한 연석 청문회에서 의원 질의에 답변을 하고 있다. (뉴시스)

정부가 통신사·이커머스 등의 연이은 해킹 사고로 실효성 우려가 커진 정보보호 및 개인정보보호 관리체계(ISMS·ISMS-P) 인증 제도를 구조적으로 개편한다. 대규모 개인정보 처리자에 대해 인증을 의무화하며 중대 사고 발생 시 인증 취소도 추진한다.

10일 과학기술정보통신부와 개인정보보호위원회는 정부서울청사에서 열린 경제관계장관회의에서 이같은 내용이 담긴 ‘ISMS·ISMS-P 인증제 실효성 강화 방안’을 발표했다.

먼저 국민 파급력이 큰 대규모 개인정보처리자에게 개인정보보호 인증 의무를 부여한다. 통신사·데이터센터 등 침해 사고 발생 시 국민 생활에 파급력이 큰 사업자들의 인증 기준을 강화한다. 디지털 환경이 변화하고 사이버 위협이 커지는 상황에서 ISMS-P 취득은 기업·기관의 자율에 맡겨져 있었다. 기업 및 산업군의 사회 파급력과 무관하게 획일적인 인증 기준을 적용했던 문제도 있었다.

앞으로는 선제적인 예방 관리를 위해 공공·민간의 중요 개인정보처리 시스템을 중심으로 ISMS-P 인증을 의무화한다. △주요 공공 시스템 운영 기관 △이동통신 사업자 △본인 확인 기관 △매출액 및 개인정보 처리 규모를 고려한 대규모 개인정보처리자 등을 대상으로 의무화하고 단계적으로 확대한다.

또한, 획일적인 인증 체계에서 벗어나 위험 기반의 차등화된 관리 체계를 구축한다. 강화인증을 신설해 인증 체계를 ‘강화인증’ ‘표준인증’ ‘간편인증’ 등 3단계로 재편한다. 국민 생활에 파급력이 큰 강화인증군은 기존보다 강화된 기준과 심사 방식을 적용한다.

기존 서면 중심의 심사 방식을 전면 개편해 현장 중심의 심사 체계를 구축한다. 본심사 전 예비심사 단계에서 핵심적으로 확인해야 할 인증 기준을 사전에 점검하고 본심사 진행 여부를 결정한다. △CISO‧CPO의 정보보호 정책 관리 권한 여부 △개인정보 처리‧외부 인터넷 접점 자산 식별 △개인정보 처리 시스템 비밀번호‧암호화 적용 △취약점‧패치 관리 등이다. 부실한 관리 체계를 개선한 이후에 본격적인 인증 절차에 돌입할 수 있도록 하는 것이다.

또한 취약점 진단·모의 침투와 같은 기술 심사 방식을 적용한다. 취약점 점검 전문 인력이 점검 도구(취약점 스캐너, 스크립트, 소스 코드 진단 툴 등)를 활용해 취약점 진단과 모의 침투를 수행하게 된다. 심사원이 실질적 보안 관리 상태를 확인할 수 있도록 실시간 시연 확인 등 현장 실증을 적용한다.

심사 투입 인력과 기간을 확대하는 등 심사팀 구성 체계도 개편한다. 표준 인증군은 인증 심사원을 추가 투입해 현장 실증을 강화한다. 강화 인증군은 취약점 점검원을 전담 투입해 중요도가 높은 정보 자산을 기술 심사를 통해 정밀하게 점검하고, 점검 자산 수도 대폭 늘린다.

인증 사후 관리도 강화한다. 심사 시 특정 시점만 확인하는 ‘스냅샷’ 방식에서 벗어나 심사 이후에도 보안 관리가 유지될 수 있도록 상시 점검을 진행한다. 인증의 취득부터 유지·갱신에 이르는 전 과정에서 안전한 관리 체계가 지속 유지되고 있는지를 중점적으로 점검한다. 이를 위해 주기별 점검 양식을 표준화하고, 사후 심사 시 이를 집중 점검하여 보안 수준이 유지되도록 한다.

중대 침해 사고 발생 기업에 대한 사후 관리도 엄격히 실시한다. 정부와 인증기관 간 사고 이력을 상시 공유할 수 있는 체계를 구축하고, 중대 사고 발생 시 기업이 사고 복구 및 재발 방지에 집중할 수 있도록 인증 심사를 잠정 중단한다. 정부 조사나 처분 등이 종료된 이후에는 사고 기업에 대한 인증 심사 재개 시 심사 인력과 기간 투입을 확대해 사고 원인과 조치 현황, 재발 방지 대책 등을 철저히 심사한다.

법령에 규정된 인증 취소 사유를 구체화하고 관련 법령에 따라 취소도 추진한다. 특히, 주요 사고 원인 분석 등을 토대로 인증 기준 미달 여부를 판단하기 위한 중대 결함 기준을 마련하고, 중대 결함에 대한 보완을 기한 내 조치하지 않을 경우 인증 취소를 진행한다.

부실 심사를 방지하고 심사 품질을 제고하기 위해 심사기관의 관리 책임을 강화한다. 매 인증 심사 종료 후 심사기관에 대한 신뢰도 조사를 실시하고 그 결과를 차년도 인증 심사 배분 시 반영한다. 심사 품질 관련 항목을 지정·재지정 평가에 반영해 부실 심사를 방지하고, 심사 기관의 지정 기준 준수 여부를 매년 사후 점검을 통해 철저히 확인한다.

취약점 점검 등 심사원의 기술 심사 검증 능력 제고를 위해 실무 교육도 강화한다. 특히 기술 심사 가이드를 제공하여 현장 실증형 심사 수행 능력을 제고하고 심사의 일관성을 확보한다. 또한 AI·클라우드 등 전문 분야별 특화 심사가 가능하도록 심사원별 전문 분야 정보를 관리하여 심사에 활용한다. 심사원 인건비를 현실에 맞게 높여 심사원 처우도 개선한다.

과기정통부와 개인정보위는 이번 실효성 강화 방안의 추진 과제를 빈틈없이 실현하기 위하여 시행령, 고시 및 안내서 등을 개정하고 관련 예산을 확보하는 등 후속 조치도 철저히 수행할 예정이다. 상시 점검 강화·인증 취소 등 인증 사후 관리와 관련된 사항은 올해 하반기, ISMS-P 의무화·인증 차등 적용 및 강화 인증 기준 적용 등은 2027년부터 시행될 수 있도록 상반기에 관련 작업을 추진할 계획이다.

송경희 개인정보위 위원장은 “사이버 공격이 고도화되는 상황에서 ISMS·ISMS-P 인증제를 통해 국민 피해를 사전에 예방할 수 있도록 제도 전반에 대한 근본적 개편이 필요한 시점”이라며 “실효성 강화 방안을 시작으로 인증 제도를 개인정보 보호의 사전 예방 핵심 수단으로 개선하여 국민이 안심할 수 있는 디지털 환경을 구현하겠다”고 말했다.

류제명 과기정통부 제2차관은 “정보보호 관리체계 인증 제도는 국민이 안심하고 디지털 서비스를 이용할 수 있도록 하는 핵심 안전장치”라며 “급변하는 사이버 보안 환경에 대응해 인증 제도의 실효성을 높이고 국민이 신뢰할 수 있는 인증 체계로 발전시켜 나가겠다”고 밝혔다.