ISMS-P 인증 체계와 정보보호·개인정보보호 운영

ISMS와 PIMS를 통합한 국내 인증

ISMS-P는 정보보호 관리체계(ISMS, Information Security Management System)와 개인정보보호 관리체계(PIMS, Personal Information Management System)를 하나로 묶은 국내 인증제도다. 2018년 정보통신망법과 개인정보보호법의 통합 흐름에 맞춰 두 인증을 일원화했으며, 기업의 인증 부담을 줄이고 운영 효율을 높이는 목적에서 도입됐다.

근거법령: 정보통신망법 제47조, 개인정보보호법 제32조의2
인증기관: 한국인터넷진흥원(KISA)
시행일: 2018년 11월 7일부터 통합 시행

통합 이전의 두 체계는 보호 범위와 관리 관점이 달랐다. ISMS는 조직이 보유한 정보 자산 전반의 보호에 초점을 두고, PIMS는 개인정보가 수집·이용·제공·저장·파기되는 과정의 보호를 중심에 둔다.

구분	ISMS	PIMS
목적	조직의 정보 자산 보호	개인정보 보호
대상	모든 정보 자산	개인정보
관점	기밀성, 무결성, 가용성	개인정보 생명주기
관리체계	위험 관리 중심	개인정보 처리 과정 중심

인증 대상과 신청 범위

ISMS-P는 법상 의무대상자와 자율신청자로 나뉜다. 의무대상자는 다음 범주에 해당한다.

정보통신서비스 제공자 중 다음 조건에 해당하는 자
- 직전 3개월간 일평균 이용자 수 100만명 이상
- 정보통신서비스 부문 매출액 100억원 이상
- 전년도 매출액 100억원 이상이면서 개인정보 수집 100만명 이상
통신사업자(전기통신사업법 제6조)
- 기간통신사업자
- 특수한 유형의 부가통신사업자
집적정보통신시설 사업자(정보통신망법 제46조)
- IDC(Internet Data Center) 등
연간 매출액 또는 이용자 수가 대통령령으로 정하는 기준에 해당하는 자

의무대상이 아니더라도 인증은 신청할 수 있다. 개인정보를 처리하는 모든 공공기관 및 민간기업이 자율신청 대상이 된다.

관리체계와 보호대책이 만나는 구조

ISMS-P는 2개 영역, 5개 인증 단계, 102개 인증 항목으로 구성된다.

⤢✕

관리체계 수립 및 운영 영역은 20개 항목으로, 정책·조직·위험관리 같은 운영 기반을 다룬다. 보호대책 요구사항은 82개 항목이며, 정보보호 영역 80개 항목과 개인정보보호 영역 22개 항목으로 구성된다. 두 영역에는 공통 활용 항목이 있다.

관리체계 수립 및 운영에서는 경영진의 참여와 지원, 조직과 자원 배정, 정책 수립 및 관리를 확인한다. 이어 정보자산을 식별·평가하고 위험을 관리하며, 필요한 보호대책을 선정한다. 운영 단계에서는 보안 교육과 인식, 보안 활동 관리, 사고 대응 체계를 다루고, 내부 감사와 관리체계 검토, 지속적 개선으로 점검을 이어간다.

보호대책 요구사항은 관리적·기술적·물리적 보호조치를 포함한다. 개인정보보호 통제는 개인정보 수집, 이용·제공, 저장·파기 과정의 보호조치와 정보주체 권리보장을 대상으로 한다.

신청부터 사후심사까지의 흐름

인증 절차는 신청, 심사원 구성, 인증심사, 인증위원회 심의, 인증서 발급, 사후심사 순으로 진행된다.

⤢✕

인증 신청은 ISMS-P 포털에서 온라인으로 접수한다. KISA가 인증심사원을 선정한 뒤 문서심사와 현장심사로 인증심사를 진행한다. 인증위원회는 인증 적합성을 검토하고, 적합성 판단 이후 인증서가 발급된다.

인증 유효기간은 3년이다. 인증 취득 뒤에는 매년 정기 점검을 받으며, 사후심사는 연 1회 진행된다.

전자상거래 기업의 준비 과정

연간 매출 500억원, 회원 300만명을 보유한 온라인 쇼핑몰 A사는 ISMS-P 인증을 준비하면서 전담 조직을 구성했다. CISO, CPO, 실무 TF팀이 핵심 서비스와 개인정보 처리 시스템을 인증 범위로 설정하고, 현재 수준을 진단해 개선점을 도출했다. 준비 단계는 3개월간 진행됐다.

구축 단계는 6개월간 이어졌다. 이 기간에 정책과 지침을 체계화하고, 200여개 자산을 식별·평가하는 위험평가를 수행했다. 취약점 진단과 조치, 개인정보 처리 프로세스 개선도 함께 진행했다.

운영 단계에서는 분기별 내부감사, 보안 교육 강화, 인증 취득 뒤의 사후관리 체계 구축을 수행했다. A사는 인증 획득 후 개인정보 유출 사고 위험 감소, 고객 신뢰도 향상, 정보보호 문화 정착의 효과를 얻었다.

국제 표준 및 규제와의 관계

ISMS-P는 국내 인증이지만 ISO 27001, ISO 27701, GDPR과 연계해 볼 수 있다.

구분	ISMS-P	ISO 27001	ISO 27701	GDPR
목적	정보보호 및 개인정보보호	정보보호	개인정보보호	개인정보보호
특징	국내 통합 인증	국제 표준	ISO 27001 확장	EU 법규
범위	국내 기업 대상	글로벌 적용	글로벌 적용	EU 관련 기업
관계	-	상호 호환 가능	일부 요구사항 포함	일부 요구사항 포함

인증 취득 이후에 남는 운영 과제

인증 취득에는 법적·정부 지원·비즈니스 측면의 혜택이 따른다. 개인정보 손해배상책임 보험 가입 의무 면제, 과태료 최대 50% 경감, 정보보호 관련 법적 책임 감경 가능성이 법적 혜택에 포함된다.

정보보호 투자 세액공제는 최대 10%이며, 정부 지원사업 참여 시 가점과 정보보호 전문 인력 지원도 받을 수 있다. 기업 신뢰도와 이미지 향상, 체계적인 정보보호 관리, 정보보안 사고 예방 및 대응 능력 강화 역시 인증을 통해 기대할 수 있는 효과다.

준비 단계에서는 전담 조직 구성, 인증 범위 설정, 현황 분석과 Gap 도출, 마스터플랜 수립이 필요하다. 이후 정책 및 지침 개발, 위험평가와 처리, 내부 감사 체계 구축, 직원 인식 교육을 구축 단계에서 진행한다. 운영 중에는 정기 점검과 개선, 관리체계 유지 활동, 변화관리와 대응을 지속한다.

경영진의 참여와 지원, 조직에 맞는 인증 범위, 실효성 있는 관리체계, 지속적인 개선 활동이 이 과정의 핵심 조건이다.

변화하는 보호 환경과 ISMS-P

정보보호 환경이 바뀌면서 ISMS-P도 발전할 것으로 예상된다. 클라우드 서비스 보안 요구사항 강화, AI 및 빅데이터 환경의 개인정보보호 요구사항 추가, ISO 27701·GDPR과의 정합성, 금융·의료·교육 등 업종별 특화 기준의 세분화가 변화 방향으로 제시된다.

ISMS-P는 인증서를 취득하는 절차에만 머무르지 않는다. 정보보호와 개인정보보호를 조직의 운영 체계로 연결하고, 환경 변화에 맞춰 계속 점검·개선하는 관리체계로 다뤄야 한다.