ISMS-P 인증제도와 정보보호·개인정보보호 관리체계

ISMS와 개인정보보호 체계를 함께 보는 인증

ISMS-P(Information Security Management System-Personal Information)는 기업이나 기관이 정보보호와 개인정보보호를 위한 관리체계를 갖추고 운영하는지를 평가해 인증하는 제도다. 2019년부터 기존 ISMS(정보보호관리체계)와 PIMS(개인정보보호관리체계)를 통합해 운영하고 있다.

평가 대상은 조직의 정보자산뿐 아니라 개인정보 보호를 위한 관리체계 전반이다. 한국인터넷진흥원(KISA) 또는 인증기관이 인증기준 적합성을 심사하고 인증을 증명한다.

제도를 뒷받침하는 법적 근거

ISMS-P는 다음 법령을 기반으로 시행된다.

• 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제47조: 정보보호 관리체계 인증
• 정보통신망법 제47조의3: 정보보호 관리체계 인증 관련 벌칙
• 정보통신망법 시행령 제54조의2: 인증 대상자 및 절차 등에 관한 규정
• 개인정보 보호법 제32조의2: 개인정보 보호 관리체계 인증

정책기관부터 심사기관까지의 역할

정책기관, 인증기관, 심사기관은 ISMS-P 운영 과정에서 서로 다른 책임을 맡는다.

⤢✕

정책기관은 인증제도의 기본 방향과 정책을 결정한다. 인증기관은 심사 결과를 근거로 인증서 발급 여부를 결정하며, 심사기관은 기업이나 기관을 직접 방문해 인증기준 준수 여부를 심사한다.

관리체계 운영에서 확인하는 항목

인증기준은 총 102개 항목이며, 관리체계 수립 및 운영 영역에는 16개 항목이 포함된다.

⤢✕

관리체계 기반 마련에서는 정책 수립, 범위 설정, 경영진 책임과 역할 정의를 다룬다. 관리체계 운영에는 자원 할당과 인식제고 활동이, 위험관리에는 위험 식별·평가·처리가 포함된다. 내부감사와 관리체계 개선은 점검 및 개선 항목에서 확인한다.

보호대책에 포함되는 보안 통제

보호대책 요구사항은 64개 항목으로 구성된다.

⤢✕

이 영역은 정보보호 정책, 역할과 책임, 자산 식별을 비롯해 사용자 계정·인증·권한 관리를 다룬다. 외부 계약자와 아웃소싱 보안, 보안구역·출입통제·장비 보호, 임직원 인식제고와 퇴직자 관리도 포함된다.

개인정보와 중요정보의 암호화, 취약점·패치·로그 관리 역시 보호대책의 범위에 속한다.

개인정보 처리 시점마다 적용되는 보호조치

개인정보 처리단계별 요구사항은 22개 항목으로 구성된다.

⤢✕

수집 단계에서는 동의 획득, 최소 수집, 목적 명시를 확인한다. 제공 단계에서는 제3자 제공 제한과 위탁 관리가 대상이며, 보유·이용 단계는 접근제한, 이용제한, 보관 관리를 포함한다.

보유기간이 지난 개인정보의 파기와 안전한 파기방법도 요구된다. 정보주체의 열람·정정·삭제 권리를 보장하는지 역시 확인 대상이다.

자율신청과 의무인증 대상

ISMS-P는 관리체계 수준을 높이려는 모든 기업이나 기관이 자율적으로 신청할 수 있다. 의무대상에는 다음이 포함된다.

• ISP: 전기통신사업법에 따른 허가를 받은 통신사업자로 전국적 서비스 제공자
• IDC: 정보통신망법 제46조에 따른 집적정보통신시설 사업자
• 연매출 1,500억원 이상인 상급종합병원
• 재학생 1만명 이상 고등교육기관
• 정보통신서비스 부문 매출액 100억원 이상 기업
• 일일평균 이용자 수 100만명 이상 서비스 제공자

인증이 조직 운영에 미치는 영향

인증은 정보보호 및 개인정보보호 관련 법적 요구사항 준수에 연결된다. 의무대상자는 미인증 시 과태료 부과 면제가 가능하며, 개인정보 침해사고가 발생한 경우 과징금을 최대 30% 감경할 수 있다. 기업 신뢰도와 브랜드 가치에도 영향을 준다.

운영 측면에서는 보안관리 프로세스를 체계화하고 정보보호 및 개인정보보호 리스크를 낮추는 계기가 된다. 임직원의 정보보호 인식을 높이고 조직 안에 보안문화를 정착시키는 효과도 기대할 수 있다.

신청부터 사후관리까지의 심사 흐름

⤢✕

인증신청 단계에서는 인증 범위를 정의하고 신청서를 제출한다. 인증심사는 인증범위의 적정성을 검토하는 예비점검, 정책·지침 등 문서화된 체계를 확인하는 문서심사, 실제 구현과 운영 상태를 확인하는 현장심사로 진행된다.

인증위원회는 심사결과를 검토해 인증 여부를 결정한다. 발급된 인증서의 유효기간은 3년이며, 사후관리로 매년 1회 이상 사후심사를 실시한다.

ISO/IEC 27001 및 GDPR과의 관계

ISO 27001은 국제 정보보호 관리체계 인증이고, ISMS-P는 한국의 정보보호 및 개인정보보호 관리체계 인증이다. ISMS-P는 개인정보보호 요구사항을 포함하며 한국 법률을 기반으로 한다는 점에서 차이가 있다.

GDPR은 유럽연합의 개인정보보호 법규다. ISMS-P 인증을 취득했다고 해서 GDPR 완전 준수가 보장되지는 않지만, ISMS-P의 개인정보보호 요구사항은 GDPR 준수에 도움을 준다.

전자상거래와 의료정보 운영 환경의 적용

대형 전자상거래 기업 A사는 대량의 고객 개인정보와 결제정보 보호가 과제였다. ISMS-P 적용 과정에서 암호화, 접근통제, 로그관리를 강화했고, 침해사고 감소와 고객 신뢰도 증가가 결과로 제시됐다.

의료정보 시스템 운영 기업 B사는 민감한 의료정보를 보호해야 했다. 개인정보 수집 최소화, 암호화, 권한관리에 초점을 맞춰 적용했고, 규제 준수와 의료정보 유출 리스크 감소로 이어졌다.

심사 전에 갖춰야 할 운영 기반

준비는 경영진의 지원과 참여를 확보하고, 정보보호 및 개인정보보호 조직을 구성하는 데서 출발한다. 이어 인증 범위를 정의하고 자산을 식별한다.

구현 과정에서는 현황 및 차이 분석(Gap Analysis), 정책과 지침 개발, 위험평가와 처리, 보호대책 구현이 필요하다. 심사를 앞두고는 내부 점검을 실시하고 문서와 증적을 준비하며, 임직원 교육·인식제고와 모의심사를 진행한다.

ISMS-P는 인증서 취득에만 초점을 둔 제도가 아니다. 법적 의무사항 준수와 함께 정보보호 성숙도를 높이고, 개인정보 처리 전 과정을 관리하며, 정보보호와 개인정보보호를 통합적으로 다루는 관리체계다. 지속적인 개선을 통해 조직 전체의 정보보호 문화를 정착시키는 기반으로 활용할 수 있다.