중대 결함 시 인증 취소 기준 마련
[아시아타임즈=이동욱 기자] 정부가 통신·플랫폼 기업을 포함한 주요 정보통신 사업자의 보안 관리체계를 전면 손질한다.
송경희 개인정보보호위원장이 10일 서울 종로구 정부서울청사에서 열린 비상경제본부회의 겸 경제관계장관회의에서 발언하고 있다.(사진=연합뉴스)
과학기술정보통신부와 개인정보보호위원회는 10일 정부서울청사에서 구윤철 부총리 겸 재정경제부 장관 주재로 열린 비상경제본부 회의 겸 경제관계장관회의에서 ‘정보보호 및 개인정보보호 관리체계(ISMS-P) 인증제 실효성 강화방안’을 발표했다.
핵심은 인증 기준 강화와 적용 대상 확대다. 정부는 기존 101개 수준이던 ISMS-P 기준에 약 20개 항목을 추가해 ‘강화 인증’ 체계를 도입한다. 이에 따라 SK텔레콤, KT, LG유플러스를 비롯해 네이버, 카카오, 쿠팡 등 대규모 이용자를 보유한 기업들은 향후 재심사에서 한층 엄격한 검증을 받게 될 전망이다.
인증 체계도 ‘간편·표준·강화’의 3단계 구조로 재편된다. 특히 매출 규모가 크거나 개인정보 처리량이 많은 사업자, 주요 공공시스템 운영기관과 통신사, 본인확인기관 등은 강화 인증 대상에 포함돼 사실상 의무 적용을 받게 된다.
심사 방식 역시 대대적으로 바뀐다. 그동안 서류 점검 위주로 이뤄졌던 심사를 탈피해 취약점 분석과 모의 침투 등 기술 기반의 현장 검증이 중심이 된다. 본심사 이전에 핵심 보안 항목을 점검하는 예비심사를 도입해 기준 미달 기업은 본심사 자체를 제한하는 장치도 마련된다. 강화 인증 대상에는 별도의 전문 인력이 투입돼 소스코드 진단, 취약점 스캐닝 등 정밀 점검이 병행된다.
사후 관리도 한층 촘촘해진다. 인증 이후 일정 시점만 점검하던 ‘스냅샷’ 방식에서 벗어나 상시 점검 체계를 도입하고 사고 이력이 있는 기업에 대해서는 심사 인력과 기간을 대폭 늘려 원인과 개선 여부를 집중적으로 들여다볼 방침이다.
advertisement
advertisement
인증 취소 기준도 구체화됐다. 로그 미보관이나 보안 패치 미적용 같은 중대한 결함을 개선하지 않거나 사후관리 절차를 거부·회피하는 경우 인증이 취소될 수 있다. 관련 법 위반이 심각한 경우 역시 인증 기준 미달로 간주된다.
이와 함께 심사기관과 심사원에 대한 관리도 강화된다. 정부는 심사 품질에 대한 평가를 정례화하고 기술 심사 역량을 높이기 위한 교육과 가이드라인을 확대할 계획이다. 심사원 처우 개선을 위해 인건비를 보안 전문가 수준에 맞춰 현실화하는 방안도 추진된다.
정부는 하반기부터 상시 점검과 인증 취소 기준 강화를 우선 시행하고, 인증 의무화 확대와 차등 인증 체계는 관련 법령 정비를 거쳐 단계적으로 적용할 예정이다. 당국은 이번 개편을 통해 인증제도를 사전 예방 중심의 핵심 보안 장치로 정착시키겠다는 구상이다.
류제명 과기정통부 2차관은 “급변하는 사이버 보안 환경에 대응해 정보보호 관리체계를 보다 엄격하고 내실 있게 운영하겠다”고 밝혔다.
댓글
0