[보안 101] 더보기 ▶

매달 하나의 주제를 선정해 질문을 던지며, 보안에 한 걸음 더 가까이 다가갑니다.
복잡하고 어렵게 느껴질 수 있는 보안 지식을 초보자도 쉽게 이해할 수 있도록, 기초 개념부터 최신 이슈까지 차근차근 풀어갑니다.

보안이 알고 싶을 땐, 보안 101으로 시작해 보세요.
물음표를 느낌표로 바꾸는 여정을 이글루코퍼레이션이 함께합니다.

최근 국내 주요 기업에서 개인정보 유출과 침해 사고가 잇따르면서 기업의 정보보호 수준에 대한 사회적 요구가 크게 높아지고 있습니다. 단 한 번의 보안 사고만으로도 고객 신뢰 하락과 기업 이미지 훼손은 물론, 과징금과 소송 등 막대한 재무적 부담으로 이어지는 사례가 늘고 있습니다. 이러한 흐름 속에서 정보보호는 더 이상 IT 부서의 기술적 과제가 아닌 기업의 지속가능성과 직결되는 핵심 경영 리스크로 인식되고 있습니다.

이러한 문제의식을 바탕으로 정부는 ‘정보보호 및 개인정보보호 관리체계(ISMS-P) 인증’의 실효성을 높이기 위한 전면적인 개편을 추진하고 있습니다. ISMS-P는 '정보보호 관리체계(ISMS)'와 '개인정보보호 관리체계(PIMS)'를 통합한 인증 제도로, 기업과 기관이 정보보호 및 개인정보 보호를 위한 관리체계를 적절히 구축하고 운영하고 있는지를 평가하는 국내 대표 보안 인증 제도입니다.

이번 개편은 단순히 인증 항목을 일부 조정하는 수준을 넘어, 인증의 목적을 ‘인증 취득' 중심에서 ‘실질적인 보안 관리 역량 강화’ 중심으로 전환하는 데 초점이 맞춰져 있습니다. 특히 기업이 정보보호 관리체계를 실제로 지속적으로 운영하고 있는지, 개인정보 보호 활동이 조직 전반에 얼마나 정착되어 있는지를 보다 엄격하게 점검하는 방향으로 변화할 것으로 보입니다.

이러한 변화는 단순히 정보보호 담당 부서의 업무 범위를 넘어, 경영진의 역할과 책임에도 직접적인 영향을 미칠 가능성이 큽니다. 실제로 글로벌 규제 환경 역시 보안 사고를 단순한 기술적 문제가 아니라 기업의 경영 리스크와 거버넌스 이슈로 바라보는 방향으로 이동하고 있습니다.

본 칼럼에서는 이번 ISMS-P 개편에서 나타난 세 가지 핵심 변화와, 기업이 준비해야 할 대응 방향을 살펴보고자 합니다.

01. ISMS-P 인증 의무화

이번 ISMS-P 개편에서 가장 큰 변화로 꼽히는 것은 공공·민간 분야에서 영향력이 큰 주요 기업과 기관을 대상으로 한 ISMS-P 인증 의무화입니다.

개인정보보호위원회는 중요 개인정보처리자를 대상으로 2027년 7월부터 ISMS-P 인증을 의무화할 계획이라고 밝혔습니다. 그동안 자율적으로 운영되던 개인정보 보호 인증 제도를 일정 규모 이상의 기업과 기관에 의무 적용함으로써, 정보보호와 개인정보 보호 수준을 보다 실질적으로 끌어올리겠다는 취지입니다.

ISMS-P 인증 의무화 대상 범위는 개인정보 보호법 시행령 개정 과정에서 구체화될 예정이나, 매출 규모와 개인정보 보유 규모 등을 기준으로 공공 시스템 운영기관과 주요 플랫폼 기업 등이 주요 대상이 될 것으로 전망됩니다. 대상 기업이나 기관이 인증을 취득하지 않을 경우엔 최대 3천만 원의 과태료가 부과되는 제재 규정도 함께 마련될 예정입니다. 현재 정부가 파악하고 있는 의무화 대상만 해도 공공기관 57곳과 민간기업 약 50곳 등 총 107곳 수준에 이르는 만큼, 이번 제도 변화는 국내 주요 디지털 서비스 운영 기관 전반에 상당한 파급력을 미칠 것으로 예상됩니다.

결국 이번 조치는 ISMS-P가 더 이상 선택적 인증이 아니라 일정 규모 이상의 기업에게는 사실상 ‘기본 보안 기준선(Baseline)’으로 작동하게 될 가능성을 보여줍니다. 즉 기업에게 정보보호 관리체계를 구축하고 운영하는 일은 반드시 충족해야 할 규제 요건이자 경영 리스크 관리의 출발점이 되고 있음을 시사합니다.

02. 형식적 인증에서 실제 운영 중심 평가로 전환

이번 개편에서는 인증 제도의 운영 방식 역시 큰 변화를 맞이할 전망입니다. 그동안 ISMS-P 인증은 기업 규모나 위험 수준과 관계없이 동일한 기준을 적용하는 방식으로 운영되어 왔습니다. 그러나 앞으로는 이러한 획일적인 심사 방식에서 벗어나 기업의 위험 수준을 반영한 차등 인증 체계로 전환될 예정입니다.

정부는 인증 체계를 '간편·표준·강화'의 3단계로 구분하는 방안을 추진하고 있습니다. 통신사나 대형 플랫폼과 같이 개인정보 처리 규모가 크고 사회적 파급력이 높은 고위험 기업에는 보다 강화된 인증 기준을 적용할 계획입니다.

심사 방식 역시 한층 엄격해집니다. 기존에는 기업이 제출한 자료를 바탕으로 서면 증적을 확인하는 방식의 심사가 중심이었다면, 앞으로는 보안 취약점을 직접 점검하거나 시스템 접속 시연을 요구하는 등 현장 실증형 심사가 확대될 전망입니다. 취약점 스캐너나 소스코드 진단 도구를 활용해 실제 시스템의 취약점을 점검하고, 필요할 경우 모의 침투 시험을 통해 보안 상태를 직접 검증하는 방식도 도입될 예정입니다. 또한 본심사 이전에 비밀번호 암호화, 최신 보안 패치 적용 여부 등 핵심 보안 항목을 사전 점검하는 예비심사 제도를 도입해 준비가 미흡한 기업의 부실 인증을 사전에 차단할 계획입니다.

심사 체계 전반의 신뢰성을 높이기 위한 조치도 함께 추진됩니다. 전문 기술 인력과 심사 기간을 확대하고, 인증기관에 대한 관리·감독 역시 강화될 예정입니다. 심사 품질이 미달하는 인증기관에 대해서는 업무 정지나 지정 취소 등 행정 처분을 내릴 수 있는 법적 근거도 마련됩니다.

결국 이러한 변화는 ISMS-P 인증이 단순히 문서와 절차를 확인하는 형식적 제도를 넘어, 기업의 실제 보안 운영 수준을 검증하는 제도로 전환되고 있음을 보여주는 신호라고 할 수 있습니다.

03. 인증 이후 사후 관리 및 책임 체계 강화

이번 개편에서는 인증 취득 이후의 사후 관리 체계 역시 한층 강화될 것으로 보입니다. 그동안 ISMS-P 인증은 일정 기간 동안 유효한 자격으로 인식되면서, 인증을 취득한 이후 실제 보안 관리 수준이 느슨해질 수 있다는 지적이 꾸준히 제기되어 왔습니다.

이에 따라 정부는 인증 취득 이후에도 기업의 보안 관리 수준을 지속적으로 점검할 수 있도록 사후 감독 체계를 강화할 계획입니다. 특히 중대한 보안 사고가 발생하거나 정부의 개선 권고를 이행하지 않는 경우에는 인증을 취소할 수 있는 구체적인 기준을 마련하는 방안이 추진되고 있습니다.

또한 보안 사고 이력이 있는 기업이 다시 인증을 신청할 경우에는 재발 방지 대책을 중심으로 보다 강화된 점검을 받도록 하는 방안도 검토되고 있습니다. 이를 통해 인증 취득 여부만을 관리하는 기존 방식에서 벗어나 인증 이후에도 실제 보안 관리 체계가 제대로 운영되고 있는지를 지속적으로 확인하겠다는 취지입니다.

결국 이러한 변화는 ISMS-P가 일회성 인증 제도를 넘어, 기업의 보안 운영 수준을 지속적으로 관리하고 책임을 묻는 감독 체계로 발전하고 있음을 보여주는 흐름이라고 할 수 있습니다.

정보보호, 이제는 경영의 문제입니다

ISMS-P 개편과 함께 개인정보 보호를 둘러싼 규제 환경 역시 빠르게 강화되고 있습니다.

최근 개정된 개인정보 보호법은 반복적이거나 중대한 위반 행위에 대해 전체 매출액의 최대 10%까지 과징금을 부과할 수 있는 징벌적 제재 근거를 마련하며 기업의 책임을 한층 강화했습니다. 이에 반해 개인정보 보호를 위한 인력, 예산, 시스템 등에 대한 적극적인 예방적 투자에는 과징금 감경 인센티브를 부여하는 등 기업이 보안 투자를 선제적으로 확대하도록 유도하는 장치도 함께 도입되었습니다.

특히 이번 법 개정에서는 CEO와 개인정보보호책임자(CPO)의 책임을 명확히 하는 조치도 포함되었습니다. CEO에게 개인정보 처리와 보호에 대한 최종 관리·감독 책임이 부여되고, 일정 규모 이상의 기업은 CPO의 지정과 변경을 이사회 의결을 통해 관리하도록 하는 등 개인정보 보호를 조직 차원의 거버넌스 이슈로 다루도록 제도적 기반이 마련되었습니다.

이처럼 최근 개인정보 보호 규제와 인증 제도는 단순한 제도 개선을 넘어, 기업의 보안 관리 방식 자체를 변화시키는 방향으로 진화하고 있습니다. 보안은 더 이상 특정 시스템이나 조직의 일부 기능을 관리하는 차원이 아니라, 조직 전반의 운영 체계와 의사결정 구조 속에서 통합적으로 관리되어야 하는 경영 과제로 확대되고 있습니다.

결국 앞으로의 보안 경쟁력은 개별 보안 제품이나 특정 대응 기술만으로 확보되기 어렵습니다. 조직의 보안 운영 체계를 얼마나 체계적으로 설계하고, 이를 경영 차원에서 지속적으로 관리할 수 있는지가 핵심 경쟁력이 될 것입니다. 이러한 관점에서 이번 ISMS-P 개편은 기업에게 단순한 인증 준비를 넘어, 보안 전략과 운영 체계를 다시 점검하고 재설계해야 할 시점이 도래했음을 보여주는 신호라고 할 수 있습니다.

💡 ISMS-P 개편 대응, 전문가와 함께 준비하십시오 기업의 보안 관리체계 진단과 대응 전략 수립을 이글루코퍼레이션이 함께합니다 [ 문의하기 ] 💬

💌 후속 콘텐츠, 계속 받아보세요 ▶