[뉴스웍스=박광하 기자] 정부가 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증 체계를 기업 규모와 위험도에 따라 3단계로 분류한다. 증적 서류 확인 중심의 심사 방식을 취약점 스캐너와 소스코드 진단 도구를 활용한 현장 실증형으로 전면 개편한다.
과학기술정보통신부와 개인정보보호위원회는 10일 정부서울청사에서 열린 경제관계장관회의에서 이 같은 내용을 핵심으로 하는 'ISMS-P 인증제 실효성 강화방안'을 발표했다.
이들 부처가 내놓은 방안은 최근 3년 동안 인증 기업 179개사에서 침해사고가 발생해 제도의 실효성 문제가 제기되면서 마련됐다. 특정 시점만 확인하는 스냅샷 방식의 한계를 극복하고 실제 운영 상태를 상시 추적해 개선하는 체계로 전환하는 게 목표다.
기업의 보안 역량과 직결된 위험도에 맞춰 인증 제도를 3단계로 세분화했다.
정부는 그간 자율적으로 운영해온 ISMS-P 인증을 대규모 개인정보처리 시스템을 운영하는 공공·민간 중요 사업자를 대상으로 의무화한다. 주요 공공시스템 운영기관, 이동통신사업자, 본인확인기관, 대규모 개인정보처리자 등이 우선 대상이다.
인증 체계는 기업 규모와 위험도에 따라 강화인증(Advanced), 표준인증(Standard), 간편인증(Lite) 등 3단계로 차등화한다. 매출액 1조원 이상의 기간통신사업자(ISP)와 데이터센터(IDC), 매출액 3조원 이상의 정보통신서비스 제공자는 강화인증군으로 분류된다.
강화인증 대상은 기존 101개 표준 인증 기준에 20개 강화 기준을 추가로 적용받는다. 강화 기준에는 최고경영자(CEO) 직속 임원을 보안 책임자로 임명해 실질적인 권한을 부여하고 자동화 도구를 활용해 모든 디지털 자산을 식별하는 항목이 포함된다. 무결성 검증 도구 운영과 적응형 인증 수행 여부도 필수 점검 대상이다.
중소기업이나 영세 사업자를 위해 인증 항목을 50개 수준으로 간소화한 간편인증을 도입해 인증 취득 부담을 완화한다.
심사 방식을 기존 서면 증적 확인에서 현장 상황을 정확히 파악할 수 있는 기술 실증 중심으로 전환한다.
취약점 점검 전문 인력을 투입해 취약점 스캐너와 소스코드 진단 도구를 활용한 모의 침투를 직접 수행한다. 점검 대상 자산 규모는 기존 10대 수준에서 최대 500대까지 대폭 늘려 보안 사각지대를 제거한다.
심사 팀 인력은 강화인증군 기준으로 기존 5명에서 10명으로 확대하고 심사 기간도 최장 12일까지 연장해 정밀 검증을 수행할 수 있도록 한다. 주기별 점검 양식을 표준화해 사후심사 시 보안 수준이 상시 유지되는지 집중적으로 들여다볼 방침이다.
본심사 전에는 예비심사 단계를 신설해 정보보호최고책임자(CISO)와 개인정보보호최고책임자(CPO)의 권한 부여, 암호화 적용, 취약점 패치 관리 등 핵심 항목을 우선 점검한다. 기준 미달 기업은 인증 신청이 반려된다.
인증 취득 후 보안 수준을 유지하기 위한 사후 관리도 대폭 강화한다. 침해 사고가 발생한 기업은 정부 조사와 처분이 완료될 때까지 인증 심사 절차를 잠정 중단한다.
조사 과정에서 보안 패치 미적용이나 로그 미보관 등 중대 결함이 발견됐는데도 100일 이내에 보완 조치를 완료하지 않을 경우 인증위원회를 거쳐 인증을 취소한다. 사고 기업에 대해서는 차기 심사 시 인력과 기간을 2배로 늘려 재발 방지 대책 이행 여부를 더 꼼꼼하게 들여다본다.
인증 생태계의 전문성을 높이기 위해 심사 종료 후 기관 신뢰도 조사를 실시하고 그 결과를 차년도 심사 물량 배분에 반영한다. 심사원 인건비는 소프트웨어(SW) 기술자 평균 임금 수준으로 현실화해 우수 인력의 참여를 유도한다.
인공지능(AI)과 클라우드 등 신기술 분야에 특화된 심사원이 배치될 수 있도록 심사원 전문 분야 정보를 체계적으로 관리하고 관련 실무 교육을 강화한다. 상시 점검과 인증 취소 등 사후 관리 체계는 올해 하반기부터 도입하고, 의무화와 차등 인증제는 내년부터 본격 시행할 계획이다.
댓글
0