정부가 정보보호 및 개인정보보호 관리체계(ISMS·ISMS-P) 인증제를 개편한다. [사진: 셔터스톡]
[디지털투데이 이진호 기자] 정부가 정보보호 및 개인정보보호 관리체계(ISMS·ISMS-P) 인증제를 개편한다. 중요 개인정보처리스시스템을 중심으로 ISMS-P를 의무화하고 인증심사 방식도 강화한다.
과학기술정보통신부와 개인정보보호위원회는 10일 경제관계장관회의에서 '정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안'을 발표했다. 이번 개편은 ▲인증 의무대상 확대 및 기준 강화 ▲심사 방식 강화 ▲사후관리 강화 ▲심사 품질 확보 등이 골자다.
◆ ISMS-P 인증 의무화…현장 중심 심사
공공·민간의 중요 개인정보처리시스템을 중심으로 ISMS-P 인증을 의무화한다. 개인정보보호법에 따른 주요 공공시스템 운영기관을 비롯해 ▲이동통신사업자 ▲본인확인기관 ▲매출액 및 개인정보 처리규모를 고려한 대규모 개인정보처리자 등을 대상으로 의무화할 예정이다.
위험 기반의 차등화된 관리체계를 구축한다. 강화인증을 신선해 인증체계를 ▲강화인증 ▲표준인증 ▲간편인증 등 3단계로 재편한다. 국민생활에 파급력이 큰 강화인증군은 기존보다 강화한기준과 심사방식을 적용한다. 인증대상 서비스와 관련된 장비, 시설 등은 빠짐없이 포함되도록 인증범위를 단계적으로 확대한다. 특히 외부 인터넷과 연결된 디지털 자산은 인증범위 내에 반드시 포함되도록 한다.
심사 방식도 강화한다. 본심사 전 예비심사 단계에서 핵심적으로 확인해야 할 인증기준을 사전에 점검하고 본심사 진행 여부를 결정한다. 취약점 진단·모의침투와 같은 기술심사 방식도 적용한다. 본심사 이전 예비심사를 통해 핵심 항목을 점검하고, 기준 미달 시 본심사 진입을 차단한다. 취약점 진단과 모의침투 테스트 등 기술심사를 도입하고, 실시간 시연 등 현장 검증도 강화한다.
서면 확인 위주의 심사방식에서 벗어나 실시간 시연 확인 등 현장실증 심사방법을 적용한다.심사 인력과 기간도 늘린다. 강화인증 대상에는 취약점 점검 인력을 별도 투입해 중요 정보자산을 정밀 점검하고, 점검 범위도 확대한다.
기술심사(취약점 점검) 수행 절차(안). [자료: 과기정통부]
◆사후 관리 강화·심사 전문성 제고
사후관리도 대폭 강화한다. 기존 '스냅샷'식 점검에서 벗어나 인증 이후에도 보안 수준이 유지되는지를 상시 점검한다. 주기별 점검양식을 표준화하고 사후심사 시 이를 집중 점검한다. 중대 침해사고 발생 시에는 인증 심사를 잠정 중단하고, 정부 조사 이후에는 심사 인력과 기간을 확대해 재검증한다. 중대한 결함이 확인될 경우 인증 취소까지 가능하도록 기준을 구체화한다.
심사기관의 관리책임 강화와 심사원의 전문역량 개발에 집중한다. 심사기관에 대한 신뢰도 조사를 실시하고 그 결과를 차년도 심사 배분에 반영한다. 심사기관의 지정 기준 준수 여부는 매년 사후점검한다. 심사원에 대해서는 실무교육을 강화하는 한편, 인공지능(AI)·클라우드 등 분야별 전문성을 관리 체계에 반영한다. 처우 개선도 병행한다.
과기정통부와 개인정보위는 이번 방안을 추진하기 위해 시행령, 고시 및 안내서 등을 개정하고 관련 예산을 확보하는 등 후속조치도 수행한다. 올해 하반기부터 상시 점검 강화·인증취소 등 사후관리와 관련한 사항을 우선 적용하고, 의무화 확대와 차등 인증체계는 2027년부터 시행할 계획이다.
송경희 개인정보위 위원장은 "인증제도를 개인정보 보호의 사전예방 핵심수단으로 개선해 국민이 안심할 수 있는 디지털 환경을 구현하겠다"고 밝혔다.
류제명 과기정통부 제2차관은 "정보보호 관리체계 인증제도는 국민이 안심하고 디지털 서비스를 이용할 수 있도록 하는 핵심 안전장치"라며 "인증제도의 실효성을 높이고, 국민이 신뢰할 수 있는 인증체계로 발전시켜 나가겠다"고 밝혔다.
댓글
0