정부, 보안 인증제 전면 개편...'강화인증' 등급 신설

과학기술정보통신부(과기정통부)와 개인정보보호위원회(개인정보위)는 10일 정부서울청사에서 열린 경제관계장관회의에서 '정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안'을 발표했다.

정보보호 및 개인정보보호 관리체계(ISMS·ISMS-P) 인증은 국제표준(ISO27001·27701) 기반으로 보안수준을 높이고, 사고를 예방하기 위해 기업의 정보보호 및 개인정보보호 관리체계를 점검 및 인증하는 제도다.

ISMS·ISMS-P 인증의 긍정적 효과에도 불구, 최근 통신사·이커머스 해킹 등 인증기업의 연이은 사고로 인증제도의 실효성에 대한 우려가 커졌다. 이에 과기정통부와 개인정보위는 관계부처 대책회의, 현장 간담회 등을 통해 인증체계를 구조적으로 개편하기 위한 정책방안을 발굴해 왔다. ▲인증 대상과 기준 ▲심사방식 ▲사후관리 ▲심사품질 확보 등 제도 전반의 개선과제를 이번 강화방안에 담았다.

ISMS·ISMS-P(Personal Information & Information Security Management system)는 주요 정보자산 유출 및 피해 예방을 위해 기업 또는 기관이 구축․운영 중인 개인정보 및 정보보호 체계가 적합한지 인증(정보통신망법 제47조, 개인정보보호법 제32조의2에 근거)하는 것이다

1. 인증 의무대상 확대 및 기준 강화

국민 파급력이 큰 대규모 개인정보처리자에 개인정보보호 인증 의무를 부여하고, 통신사·데이터센터 등 침해사고 발생 시 국민생활에 파급력이 큰 사업자들에 대한 인증기준을 강화한다.

디지털 환경이 변화(DX·AX)하고 사이버위협이 커지는 상황에서 개인정보 관리가 중요함에도 그간 ISMS-P 취득은 기업·기관의 자율에 맡겨져 있었다.

이에 앞으로는 선제적인 예방 관리를 위해 공공·민간의 중요 개인정보처리시스템을 중심으로 ISMS-P 인증을 의무화한다. ▲주요 공공시스템운영기관 ▲이동통신사업자 ▲본인확인기관 ▲매출액 및 개인정보 처리규모를 고려한 대규모 개인정보처리자 등을 대상으로 의무화할 예정이며, 단계적으로 확대할 계획이다.

올 2월 기준 정보보호 관리체계(ISMS) 인증 의무대상은 593개사다. 전국에 인터넷망·무선망 등을 제공하는 정보통신망서비스 제공자(ISP)와 기간통신사업자로부터 이동통신서비스를 제공받아 재판매하는 전기통신사업자(MVNO), 정보통신서비스 제공자에게 서버·시설 등을 임대하는 데이터센터(IDC), 세입·매출 1500억원 이상인 재학생 수 1만명 이상의 대학 및 상급종합병원, 정보통신서비스 연 매출액 100억원 또는 일일평균 이용자수 100만명 이상의 자 등이다. ISMS 인증 의무대상자가 인증을 받지 않은 경우 3000만원의 과태료를 부과한다.

인증기준은 총 101개다. ISMS 인증기준 80개(관리체계 수립 및 운영 16개, 보호대책 요구사항 64개)와 ISMS-P 인증기준 101개(ISMS인증기준 80개+개인정보보호 요구사항 21개)다. 인증기관 2곳(한국인터넷진흥원,금융보안원)과 심사기관 5곳

(정보통신기술협회,정보통신진흥협회,개인정보보호협회,차세대정보보안인증원,한국경영인증원)이 있다.

인증 방법은 서면 및 현장심사를 하고 인증 위원회의 심의 및 의결을 거쳐 인증서를 부여하는데 보통 3~4개월이 걸린다. 인증 유효기간은 3년이고, 최초인증 후 매년 사후심사를 한다. 인증현황은 올 2월말 기준 1257건(ISMS 942개, ISMS-P315개)이다.

또 획일적인 인증체계에서 벗어나 위험 기반의 차등화된 관리체계를 구축, 강화인증을 신설했다. 즉, 인증체계를 ‘강화인증’ ‘표준인증’ ‘간편인증’ 등 3단계로 재편하고, 국민생활에 파급력이 큰 강화인증군은 기존보다 강화된 기준과 심사방식을 적용한다. 강화 인증기준은 주요 보안위협 사례와 주요국 보안 요구 사항을 참조해 개발한다.

아울러 인증대상 서비스와 관련된 장비, 시설 등은 빠짐없이 포함되도록 인증범위를 단계적으로 확대한다. 특히, 외부 인터넷과 연결돼 공격 경로로 활용될 가능성이 있는 디지털 자산은 인증범위 내에 반드시 포함한다.

2. 인증심사 방식 강화

기존 서면 중심의 심사방식을 전면 개편해 현장중심의 심사체계를 구축하고, 미흡 기업에 대한 인증을 사전에 차단하기 위해 인증심사 절차를 개선한다.

구체적으로, 본심사 전 예비심사 단계에서 핵심적으로 확인해야 할 인증기준(CISO‧CPO의 정보보호 정책 관리 권한 여부, 개인정보 처리‧외부 인터넷 접점 자산 식별, 개인정보 처리시스템 비밀번호‧암호화)을 사전에 점검하고 본심사 진행 여부를 결정해 부실한 관리체계를 개선한 이후 본격적인 인증절차에 돌입할 수 있게 한다.

또한 취약점진단·모의침투와 같은 기술심사 방식을 적용한다. 취약점 점검 전문인력이 점검도구(취약점 스캐너, 스크립트, 소스코드 진단툴 등)를 활용해 취약점 진단과 모의침투를 수행하게 된다. 기존에 서면 확인 위주의 심사방식에서 벗어나, 심사원이 실질적 보안관리 상태를 확인할 수 있도록 실시간 시연 확인 등 현장실증 심사방법을 적용한다.

아울러, 심사투입 인력과 기간을 확대하는 등 심사팀 구성 체계도 개편한다. 표준인증군은 인증심사원을 추가 투입해 현장실증을 강화하고, 강화인증군은 취약점점검원을 전담 투입해 중요도가 높은 정보자산을 기술심사를 통해 정밀하게 점검하고 점검 자산 수도 대폭 늘린다.

3. 인증 사후관리 강화

심사 시 특정 시점만 확인하는 ‘스냅샷’ 방식에서 벗어나 인증심사 이후에도 보안관리가 유지될 수 있도록 상시 점검을 강화한다. 아울러, 중대 침해사고 발생 기업에 대한 사후관리도 엄격히 실시한다.

먼저, 상시 점검체계를 확립해 인증 취득부터 유지·갱신에 이르는 전 과정에서 안전한 관리체계가 지속 유지되고 있는지를 중점적으로 점검한다. 이를 위해 주기별 점검양식을 표준화하고, 사후심사 시 이를 집중 점검해 보안 수준이 유지되도록 한다.

정부와 인증기관 간 사고 이력을 상시 공유할 수 있는 체계를 구축하고, 중대 사고 발생시 기업이 사고복구 및 재발방지에 집중할 수 있게 인증 심사를 잠정 중단한다. 정부조사와 처분 등이 종료된 이후 사고기업에 대한 인증심사 재개시 심사인력과 기간 투입을 확대해 사고원인과 조치현황, 재발방지 대책 등을 철저히 심사한다.

또한, 법령에 규정된 인증취소 사유를 구체화하고 관련 법령에 따라 취소를 추진한다. 특히, 주요 사고 원인 분석 등을 토대로 인증기준 미달 여부를 판단하기 위한 중대 결함 기준을 마련하고, 중대 결함에 대한 보완을 기한 내 조치하지 않을 경우 인증취소를 진행한다.

4. 심사기관 및 심사원 전문성 강화

부실심사를 방지하고 심사품질을 제고하기 위해 심사기관의 관리책임을 강화하고, 심사원의 전문역량 개발에 집중한다.

이를 위해, 매 인증심사 종료 후 심사기관에 대한 신뢰도 조사를 실시하고 그 결과를 차년도 인증심사 배분 시 반영, 심사기관이 스스로 품질을 관리하는 체계를 마련한다. 심사품질 관련 항목을 지정 및 재지정 평가에 반영해 부실심사를 방지하고, 심사기관의 지정 기준 준수 여부를 매년 사후점검을 통해 철저히 확인한다.

취약점 점검 등 심사원의 기술심사 검증 능력 제고를 위해 실무교육을 강화한다. 특히 기술심사 가이드를 제공해 현장실증형 심사 수행능력을 제고하고 심사의 일관성을 확보한다. 또한 AI·클라우드 등 전문분야별 특화 심사가 가능하도록 심사원별 전문분야 정보를 관리해 심사에 활용한다. 심사원 인건비를 현실에 맞게 높여 심사원 처우도 개선한다.