직접 심사는 막았지만...ISMS-P '심사 구조' 허점 논란

직접 심사는 막았지만...ISMS-P '심사 구조' 허점 논란

피심사 기업 속한 협회가 심사기관으로...심사 구조 허점

과기정통부 "이해관계자 대상 기업은 심사 하지 않아"

이인애

기자

2026-04-15 06:08:01

정부가 정보보호 인증제도 전반에 대한 개편에 나선 가운데, ISMS-P 인증 심사를 수행하는 기관 구조 역시 도마에 오르고 있다. 인증을 받은 기업에서도 개인정보 유출 사고가 발생하면서, 단순히 인증 기준이 아닌 '심사 구조' 자체에 문제가 있는 것 아니냐는 지적이 나온다.

14일 업계에 따르면 정부가 정보보호 인증제도 전반에 대한 개편에 착수한 가운데, ISMS-P 인증의 실효성을 둘러싼 논란이 '심사 기준'이 아닌 '심사기관 구조'로 번지고 있다.

ISMS-P는 기업의 정보보호 및 개인정보 관리체계를 점검하는 국가 인증이다. 인증서는 한국인터넷진흥원(KISA)이 발급한다. 실제 기업 현장을 방문해 문서와 시스템을 점검하는 심사는 별도의 민간 심사기관이 수행하는 구조다.

현재 심사기관은 한국정보통신진흥협회, 개인정보보보협회 등 5곳이다. 이중 한국정보통신협회는 이동통신사를 주축으로 설립된 곳이다. 개인정보보호협회도 이동통신사를 비롯해 카카오, 쿠팡, CJ ENM 등 주요 플랫폼·콘텐츠 기업 등 약 50개 기업을 회원사로 둔 협회다. 피심사 기업이 속한 협회가 심사기관으로 참여하고 있다는 점에서 이해관계 충돌 우려가 제기된다는 것이다.

주무부처인 과학기술정보통신부는 "이해관계자 대상 기업은 심사를 하지 않도록 운영하고 있다"고 설명했다. 심사기관을 관리하는 KISA 역시 "통신사 등은 별도 기관이 심사를 맡고 있다"고 밝혔다.

다만 직접 심사를 배제하고 있음에도, 심사기관 자체가 업계 중심으로 구성돼 있다는 점에서 형식적 분리만으로 심사의 독립성이 충분히 확보되는지에 대해서는 의문이 제기된다. 업계에서는 "동일 산업 내 인적 네트워크나 경력 이동 등을 통한 간접 영향 가능성까지 차단하기는 어렵다"는 지적도 나온다.

피심사 기업이 속한 협회가 심사기관으로 지정된 배경에 대해 KISA는 '비영리 기관을 우선적으로 고려한 결과'라고 설명했다. 다만 업계에서는 비영리 여부가 곧바로 심사의 독립성을 담보하는 기준은 아니라는 반론도 제기된다.

정부는 제도 개선 필요성을 인식하고 있다. 과학기술정보통신부와 개인정보보호위원회는 최근 ISMS-P 인증 제도의 실효성을 높이기 위한 개선 작업에 착수하고, 심사기관 감독 강화와 심사 품질 제고 방안을 검토 중이다. 전문가들은 인증 제도의 신뢰를 확보하기 위해서는 심사 기준뿐 아니라 심사 주체의 독립성과 전문성을 동시에 확보해야 한다고 지적한다.

한 업계 관계자는 "인증을 받았다는 사실보다 중요한 것은 심사가 얼마나 엄정하게 이뤄졌느냐"라며 "결국 ISMS-P 논란의 핵심은 인증 기준이 아니라 심사 구조가 얼마나 독립적으로 작동하느냐에 달려 있다"고 말했다.

이인애 머니투데이방송 MTN 기자