배 부총리 "ISMS 인증 강화...새 제도 검토도"

[2025국감] 조인철 의원 질의에 답변...조 의원 "체크리스트, 심사원 등 적절한지 살펴봐야"

13일 세종시 정부세종청사에서 열린 국회 과학기술정보방송통신위원회(과방위)의 과학기술정보통신부 국정감사에서 배경훈 부총리 겸 과기정통부 장관은 ISMS 인증에 대해 "강화할 필요가 있다"고 밝혔다. 

배 부총리의 이 같은 답변은 조인철 의원이 ISMS 인증 문제점을 지적한 데 대한 답변에서 나왔다. 조 의원은 ISMS 인증기업 중 침해사고가 발생한 연간 건수 도표를 보여주며 ISMS 인증 개선을 요구했다. 과기정통부는 ISMS 인증에 대해 개선을 포함해 새로 만들지도 검토할 계획이다.

ISMS 인증은 정보보호 관리체계(Information Security Management system)를 말한다. 기업이나 기관이 정보자산(고객 정보, 내부 데이터 등)을 안전하게 보호하기 위해 관리·운영하는 체계를 갖췄는지를 당국이 공식적으로 인증하는 제도다. 인증 항목은 3개 분야(관리체계 수립 및 운영, 보호대책 요구사항 등)의 총 80개다. ISMS 인증 의무적으로 받아야 하는 곳은 ▲연 매출 100억 원 이상 또는 이용자 수 100만 명 이상의 정보통신서비스 제공자 ▲데이터센터(IDC), 클라우드 서비스 제공자 ▲가상자산사업자(가상자산 거래소 등) ▲전자금융업자 등이다.

조인철 의원이 질의를 하고 있다.(영상 캡처)

배경훈 부총리(왼쪽)와 조인철 의원(오른쪽)이 질의응답을 하고 있다.(영상 캡처)

조 의원 자료에 따르면, ISMS 인증 기업 중 침해사고 발생 건수는 2021년 6건에서 2022년 13건, 그리고 2023년 101건으로 껑충 뛰었다. 2024년엔 96건이였다. 올 6월 현재 73건을 기록, 이 추세라면 최근 5년새 가장 많을 전망이다.

조 의원은 인증 체크리스트가 적정한 지, 또 심사원 자질은 괜찮은 지 등을 제기하며 배 부총리에 종합 대책 마련을 촉구했다. 조 의원은 ISMS 심사가 3~4일간 모든 기업에 동일하게 이뤄지고, 인증 심사원 자격 시험 합격률이 6.5% 밖에 안되지만 한번 떨어지면 계속 재시험이 가능하다면서  자격증을 딴 후 심사원의 관리 문제도 짚었다.

이에 배 총리는 "(조 의원 지적에) 충분히 공감하고, 저도 문제의식을 갖고 있다. (제도를) 업그레이드 할 지, 완전히 새로 만들지를 종합적으로 검토해 보고하겠다"고 답했다.