"금융 ISMS-P 인증 받으면 정보보호 평가 유리"

금융보안원, 매년 100건 이상 심사…"공공기관 사업 입찰해도 가산점"

“금융 정보보호 및 개인정보보호 관리 체계(ISMS-P·Personal Information & Information Security Management system) 인증을 받으면 정보보호 상시 평가 75개 항목이 면제됩니다. 환경·사회·지배구조(ESG) 친화 경영 항목에도 ISMS-P가 포함돼 공공기관 사업에 입찰하면 가산점을 받습니다. 무엇보다 개인정보를 지킨다는 사실이 가장 중요하지만요.”

최지훈 금융보안원 선임심사원은 27일 서울 여의도 금융투자협회에서 열린 ‘ISMS-P 인증 설명회’에서 이같이 밝혔다.

최지훈 금융보안원 선임심사원이 27일 서울 여의도 금융투자협회에서 열린 ‘ISMS-P 인증 설명회’에서 발표하고 있다.(사진=유혜진 기자)

금융보안원은 금융권에 알맞은 ISMS-P를 인증한다. 나머지 산업이나 전반적인 인증 품질은 한국인터넷진흥원(KISA)이 관리한다.

최 심사원은 “지난해 128건 심사하면서 결함을 평균 9건 발견했다”며 “기업은 결함 개수에 연연하지 말고, 이 결함이 나온 원인과 재발 방지 대책을 신경써야 한다”고 말했다. 개발자와 운영자, 개인정보 취급자 직무별로 시스템에 접속하는 방식이 다르면서도 시스템 흐름도를 보면 이런 사실을 알 수 없는 경우가 지적받았다. 정보보호 운영 인력이 정보보호 예외 정책을 스스로 승인해도 잘못이다. 개인정보 열람 요구서와 위임장 등에 주민등록번호를 요구해서도 안 된다.

최지훈 금융보안원 선임심사원이 27일 서울 여의도 금융투자협회에서 열린 ‘ISMS-P 인증 설명회’에서 발표하고 있다.(사진=유혜진 기자)

최 심사원은 달라지는 제도를 안내했다. 그는 “과학기술정보통신부가 인증서 유효 기간을 3년에서 5년으로 늘릴지 검토하고 있다”며 “법령이 개정돼 금융회사는 자율적인 보안 활동을 하되 결과에 대한 책임은 무거워졌다”고 전했다. 인증 심사 기간은 대체로 6개월 걸린다.

오중효 금융보안원 상무는 “2015년 ISMS-P 인증을 27건으로 시작해 지난해 5배로 성장했다”며 “인공지능이나 가상자산 환경이 바뀌면서 인증 수요가 더 늘 것”이라고 기대했다. 최 심사원은 “금융권은 ISMS-P 인증이 의무가 아니다”라면서도 “디지털 금융과 자율 보안이 확산돼 인식 수준이 높아졌다”고 평가했다.

최지훈 금융보안원 선임심사원이 27일 서울 여의도 금융투자협회에서 열린 ‘ISMS-P 인증 설명회’에서 발표하고 있다.(사진=유혜진 기자)