ISMS 인증 의무 대상, 의료-교육기관까지 확대

주요 정보통신사업자들에게만 적용됐던 정보보호관리체계(ISMS) 의무 인증이 의료, 교육기관으로까지 확대 적용된다.

미래창조과학부는 지난해 12월1일 공포된 '개정 정보통신망법'이 2일부터 본격적으로 시행된다고 밝혔다.

개정된 정보통신망법과 시행령에 따라 달라진 점은 먼저 ISMS 인증 신규 의무대상으로 세입이 1천500억원 이상인 의료법 상 상급종합병원, 고등교육법상 재학생수 1만명 이상인 학교가 추가됐다. ISMS 의무 인증 대상을 의료·교육 등 민감정보를 다루는 기관으로 까지 확대한 것이다.

다만 전자금융거래법에 따라 금융회사에 대해서는 규제개혁위원회에서 중복규제 등 우려를 이유로 인증 의무대상에서 제외하도록 개선권고하면서 인증 의무 대상에서 제외됐다.

또한 정보보호 경영시스템 인증(ISO/IEC 27001), 개인정보보호 관리체계(PIMS) 인증 및 주요정보통신기반시설 취약점의 점검 분석, 평가 등을 받은 경우 ISMS 인증 취득시 심사항목 일부를 생략할 수 있도록해 기업 부담을 줄였다.

이와 함께 ISMS 인증 미취득 사업자에 대한 과태료 부과 상한을 현행 1천만원 이하에서 3천만원 이하로 높였다.

미래부 송정수 정보보호정책관은 "개정 정보통신망법 시행을 통해 인증 의무대상이 의료·교육 등 비영리기관으로 확대됨에 따라 정보보호 사각지대 해소와 인증 의무 위반자에 대한 행정처분 강화로 제도의 실효성이 확보되고, ISMS 심사항목 생략으로 기업의 부담을 줄일 수 있을 것"이라고 밝혔다.

미래부는 이달 중 개정된 정보통신망법에 따라 신규 의무대상으로 포함된 의료, 교육기관을 대상으로 설명회를 개최할 예정이다.