이어지는 해킹 사고에 칼 빼든 정부..ISMS 실효성 높인다

[한국정경신문=변동휘 기자] 올해 해킹 사고가 이어짐에 따라 정부가 정보보호 관리체계를 손질한다.

7일 정부에 따르면 과학기술정보통신부와 개인정보보호위원회는 지난 6일 정보보호관리체계 인증(ISMS) 및 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증제 개선 관계부처 대책회의를 열었다.

이는 인증기업의 해킹과 대규모 개인정보 유출사고가 반복 발생함에 따른 것이다. 인증제 실효성 강화를 위한 제도의 전면적 개편 방안을 추진할 방침이다.

먼저 자율적으로 운영되던 ISMS-P 인증을 공공·민간 주요 개인정보처리시스템에 의무화한다. 통신사, 대규모 플랫폼 등 국민 파급력이 큰 기업에 대해서는 강화된 인증기준을 마련해 적용한다. 이를 위한 개인정보보호법 및 정보통신망법 개정을 조속히 추진할 예정이다.

심사방식 측면에서는 예비심사 단계에서 핵심항목을 선검증하고 기술심사 및 현장실증 심사를 강화하도록 개선한다. 분야별 인증위원회 운영 및 심사원 대상 AI 등 신기술 교육을 통해 인증의 전문성을 높인다.

사후관리도 대폭 강화한다. 인증기업의 유출사고 발생 시 적시에 특별 사후심사를 실시해 인증기준 충족 여부를 확인할 수 있도록 한다. 사후심사 과정에서 인증 기준의 중대 결함이 발견되는 경우 위원회 심의·의결을 거쳐 인증을 취소한다. 사고기업에 대해서는 사후심사 투입 인력·기간을 2배로 확대하고 사고원인 및 재발방지 조치를 집중 점검한다.

개보위는 유출사고가 발생한 인증기업에 대해 이달부터 현장점검을 실시한다. 특히 쿠팡 등 현재 조사가 진행 중인 기업의 경우 과기정통부 민관합동조사단·개인정보위 조사와 연계해 인증기준 적합성 등을 점검한다.

과기정통부도 정보보호 종합대책 후속으로 통신 및 온라인쇼핑몰 등 900여개 ISMS 인증기업들을 대상으로 긴급 자체 점검을 실시하도록 요청했다. 기업들의 점검 결과에 대해 내년 초부터 현장 검증을 실시할 예정이다.

양 기관은 지난달부터 합동 제도개선 TF를 운영 중이다. 여기서 개선방안을 최종 확정하고 특별 사후점검 결과 등을 반영해 내년 1분기 중 관련 고시를 개정하고 단계적으로 시행할 예정이다.