'개인정보 관리체계 인증제 실효성 강화' 방안
통신사·플랫폼 등 대형 사업자 의무 대상 확대
‘스냅샷 심사’ 폐지…실시간·현장 검증 체계 전환
재발 방지 미이행 시 인증 취소까지 추진
2026년 4월 10일 서울 종로구 정부서울청사에서 열린 비상경제본부회의 겸 경제관계장관회의에서 송경희 개인정보보호위원장이 발언하고 있다. /연합
정부가 연이은 정보유출 사고로 실효성 논란이 제기된 정보보호 및 개인정보보호 관리체계(ISMS·ISMS-P)를 개편하며 내년부터 대규모 개인정보처리자에 대한 인증을 의무화한다. 중대 사고 발생 시에는 인증 취소까지 추진한다.
이번 조치는 기업의 보안 수준을 실시간으로 추적하는 체계로 전환해 대규모 유출에 따른 비용과 시장 혼란을 최소화하겠다는 의지로 풀이된다.
과학기술정보통신부와 개인정보보호위원회는 10일 정부서울청사에서 열린 경제관계장관회의에서 '정보 보호 및 개인정보보호 관리체계 인증제 실효성 강화 방안'을 발표했다.
그동안 국내 시장에서는 LG유플러스의 대규모 고객 정보 유출과 쿠팡의 고객 주소지 노출, 네이버의 개인정보 노출 사고 등 정부 인증을 취득한 기업들에서조차 보안 사고가 끊이지 않아 제도 자체에 대한 불신이 팽배했다.
지난해 발생한 SKT 개인정보 유출 사고는 약 2300만 명의 이용자 정보가 유출되며 국가 기간 통신망의 보안 취약성을 드러냈다. 쿠팡도 약 3370만 개 계정의 고객 정보가 유출되며 이커머스 업계의 고질적인 관리 부실이 도마 위에 올랐다. 네이버도 서비스 개편 과정에서 타인의 개인정보가 검색 결과에 노출되는 사례가 나타났다.
이에 따라 현행 인증 체계로는 국민 데이터 보호에 한계가 있다는 비판이 이어졌다.
정부는 이러한 문제를 해결하기 위해 △인증 대상·기준 △심사 방식 △사후관리 △심사 품질확보 등 제도 전반의 개선 과제를 이번 강화 방안에 담았다.
정부는 공공 시스템 운영기관과 통신사, 본인확인기관, 대규모 개인정보처리자 등에 대해 인증을 의무화하고 적용 범위를 단계적으로 확대할 계획이다. 인증 체계는 △강화인증 △표준인증 △간편인증의 3단계 구조로 재편되며, 영향력이 큰 영역에는 더 엄격한 기준과 심사가 적용된다.
인증 범위도 확대해 서비스뿐 아니라 관련 장비와 외부 인터넷과 연결된 자산까지 포함하도록 하고, 공격 경로가 될 수 있는 요소는 반드시 점검 대상에 넣는다. 기존의 ‘스냅샷’ 방식에서 벗어나, 현장 중심의 기술 심사와 모의 침투·소스코드 점검을 포함한 실증형 심사로 전환된다.
사고 발생 이후 재발 방지 조치를 이행하지 않으면 인증을 취소하는 등 사후관리도 대폭 강화된다. 인공지능(AI)이나 클라우드 등 전문 분야별 특화 심사를 도입해 고도화되는 사이버 공격에 선제적으로 대응할 수 있는 안전장치를 마련한다.
심사 인력과 기간을 늘리고, 중요도가 높은 영역에는 전담 점검 인력을 투입해 취약점 점검과 기술 검증을 강화한다. 심사기관에 대한 신뢰도 평가를 도입하고, 결과를 차기 심사 배분과 지정 평가에 반영해 심사 품질을 지속적으로 관리하는 구조를 마련한다.
이번 개편안은 올해 하반기 관련 법령과 고시 개정 작업을 거쳐 내년부터 본격적으로 시행될 예정이다.
정부는 이를 통해 기업들의 정보보호 투자가 단순히 법적 규제를 피하기 위한 형식적 행위에서 벗어나 실질적인 보안 역량 강화로 이어질 것으로 기대하고 있다.
송경희 개인 정보위 위원장은 "사이버 공격이 고도화되는 상황에서 정보 보호 및 개인 정보 보호 관리체계 인증제를 통해 국민 피해를 예방할 수 있도록 제도 전반에 대한 근본적 개편이 필요한 시점"이라며 "오늘 발표된 실효성 강화 방안을 시작으로 인증제도를 개인 정보 보호의 사전 예방 핵심 수단으로 개선해 국민이 안심할 수 있는 디지털 환경을 구현하겠다"고 말했다.
댓글
0