정부, ISMS-P 인증제 손질 착수…의무대상 확대·기술심사 강화 검토

[서울=뉴시스]윤정민 기자 = 정부가 '정보보호 및 개인정보보호 관리체계(ISMS·ISMS-P)' 인증 심사를 담당하는 전문가들과 강화 방향을 논의했다. 지난해 ISMS-P 인증을 받은 기업들이 잇달아 개인정보 유출 사고를 겪어 제도 실효성 논란이 일었기 때문이다. 정부는 인증 의무 대상 확대와 기술 중심 심사 도입, 인증 이후 사후관리 강화 등 개선 방향에 대한 전문가 의견을 반영해 제도 강화안을 마련할 계획이다.

과학기술정보통신부와 개인정보보호위원회는 12일 오후 서울 종로구 HJ비즈니스센터에서 한국인터넷진흥원(KISA), 금융보안원 등과 함께 ISMS·ISMS-P 인증제 실효성 강화를 위한 현장 간담회를 열었다.

ISMS·ISMS-P 인증은 기업·기관이 구축·운영 중인 정보보호 및 개인정보보호 체계가 적합한지 인증하는 제도다. 과기정통부 소관의 정보보호 관리체계와 개인정보위 소관의 개인정보 보호 요구사항을 결합한 통합 인증제도다.

기업, 기관은 ISMS·ISMS-P 인증으로 보유한 정보자산을 식별하고 개인정보 처리 흐름을 체계화하며 잠재적인 보안 위험을 관리하는 등 관리체계를 고도화할 수 있다.

하지만 최근 ISMS·ISMS-P 인증을 받은 이동통신사, 대형 플랫폼 사업자 등에서 보안·개인정보 유출 사고가 발생해 인증제 실효성을 강화하기 위한 대책 마련이 필요하다는 지적이 잇따랐다.

이에 과기정통부와 개인정보위는 ISMS·ISMS-P 인증제가 실질적으로 작동할 수 있도록 '정보보호 및 개인정보보호 인증제 실효성 강화방안'을 수립·발표할 계획이다.

정부는 이날 간담회에서 인증제 실효성 강화를 위한 정책 방향을 소개했다. 구체적으로 ▲인증 의무대상 확대, 인증기준 강화 ▲예비심사 신설과 기술심사·현장실증형 심사 적용 등 심사방식 개편 ▲유출사고 방지를 위한 인증 사후관리 강화 ▲심사기관 감독 강화 및 심사원 전문성 제고를 통한 심사 품질 향상 등을 전했다.

참석자들은 이러한 실효성 강화 방향에 대해 인공지능(AI) 발전과 해킹 기술 고도화 등 급변하는 기술 환경에 대응하기 위한 시의적절한 접근이라고 평가했다.

또 기술심사 강화 등의 개선책이 현장에서 실질적으로 작동하기 위한 세부 고려사항에 대해 의견을 전했다. 특히 심사 일관성을 확보하기 위해 기술심사 가이드 마련 등 제도적 보완이 필요하며 전반적인 심사 품질 강화를 위해 심사기관에 대한 적극적인 모니터링과 심사원의 심사 참여 요건 개선 등의 정책이 필요하다고 말했다.

정부는 이번 간담회에서 논의된 현장 의견을 강화방안에 반영할 예정이다.

송경희 개인정보위원장은 "ISMS-P 인증제도는 기업이 운영 중인 개인정보 보호 관리체계를 선제적으로 점검함으로써 개인정보 침해를 예방할 수 있는 중요한 사전 예방 정책 중 하나"라며 "현장의 목소리를 적극 반영해 인증제도가 우리 사회 전반의 데이터 보호 수준을 실질적으로 높이는 인프라로 기능할 수 있도록 지속적으로 개선해 나가겠다"고 말했다.

류제명 과기정통부 제2차관은 "최근 사이버 공격이 나날이 고도화되면서 침해사고의 가능성과 그로 인한 파급효과가 더욱 높아지고 있다"면서 "ISMS-P 인증제도 개선을 통해 기업의 경각심과 보안 수준을 한 단계 높여 침해사고로 인한 국민의 피해를 방지하고 그로 인한 피해를 최소화할 수 있는 기반을 만들겠다"고 밝혔다.


◎공감언론 뉴시스 [email protected]