정부, 개인정보보호 인증제 전면 개편…'강화인증' 등급 신설 및 의무 대상 확대

과학기술정보통신부와 개인정보보호위원회는 10일 정보보호 및 개인정보보호 관리체계(ISMS·ISMS P) 인증제 실효성 강화방안을 발표했습니다. 최근 통신사와 이커머스 등 인증을 받은 기업에서 해킹 사고가 잇따라 발생하면서 제기된 인증제 실효성 논란을 해소하기 위한 조치입니다. 정부는 기존의 서면 위주 심사 방식에서 벗어나 실제 운영 현황을 추적하고 개선하는 기술 중심 체계로 전면 개편할 방침입니다. 정부는 기존의 획일적인 인증 체계를 위험 기반에 따라 '강화인증', '표준인증', '간편인증'의 3단계로 재편합니다. 특히 기업 자율에 맡겨졌던 개인정보보호 인증(ISMS P)은 공공 및 민간의 주요 시스템을 중심으로 단계적 의무화를 추진합니다. 매출액 1조 원 이상의 주요 ISP·IDC나 매출액 3조 원 이상의 대형 정보통신서비스 제공자 등 국민 생활에 파급력이 큰 고위험군은 강화인증을 받아야 합니다. 심사 방식은 서류 확인 중심에서 현장 실증과 기술 심사 중심으로 전환됩니다. 취약점 점검 전문 인력이 취약점 스캐너와 소스코드 진단툴을 활용해 직접 모의 침투 테스트를 수행하는 기술 심사 방식이 적용됩니다. 강화인증군의 경우 심사 인력과 기간을 늘리고 점검 자산 수도 대폭 확대하여 정밀 심사를 진행합니다. 사후 관리 체계도 엄격해집니다. 중대한 침해 사고가 발생할 경우 정부의 조사와 처분이 끝날 때까지 해당 기업의 인증 심사를 잠정 중단하며, 심사 재개 시에는 심사 인력과 기간을 2배로 투입해 사고 원인과 재발 방지 대책을 철저히 검증합니다. 법령에 규정된 인증 취소 사유를 구체화하고, 중대 결함에 대한 보완 조치를 기한 내에 이행하지 않을 경우 실제 인증 취소로 이어지도록 관리할 방침입니다. 송경희 개인정보위 위원장은 사이버 공격이 고도화되는 상황에서 인증제도 개편이 필요하다고 강조했습니다. 류제명 과기정통부 제2차관은 정보보호 관리체계 인증제도가 국민이 안심하고 디지털 서비스를 이용할 수 있도록 하는 핵심 안전장치라고 밝혔습니다.