'실효성 논란' 개인정보보호 인증 손본다…심사 강화

[프라임경제] 쿠팡이 정보보호·개인정보보호 관리체계(ISMS·ISMS-P) 인증을 취득하고도 3370만건 규모의 개인정보가 유출되면서 제도의 실효성 논란이 불거졌다. 쿠팡뿐만 아니라 SK텔레콤(017670)·KT(030200) 등 인증을 받은 기업에서 유출 사고가 반복돼 인증 제도를 보완의 필요성이 제기됐다.

송경희 개인정보보호위원회 위원장. ⓒ 개인정보보호위원회

이에 정부가 ISMS·ISMS-P 인증제도 전면 개편에 나섰다. 그동안 서면 심사에 그쳤었는데 현장 심사와 상시 관리체계로 전환한다.

과학기술정보통신부(이하 과기정통부)와 개인정보보호위원회(이하 개인정보위)는 10일 정부서울청사에서 열린 경제관계장관회의에서 '정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안'을 발표했다.

ISMS-P 인증은 과기정통부와 개인정보위가 공동으로 운영하는 국내 유일의 정보보호 및 개인정보보호 관리체계 인증제도다. 2018년 과기정통부의 '정보보호 관리체계 인증(ISMS)'과 개인정보위의 '개인정보보호 관리체계 인증(PIMS)'을 통합해 만들었다.

정부는 △인증 의무화 및 기준 강화 △심사 방식 개편 △사후관리 강화 △심사 품질 제고 등 4대 과제를 추진한다.

먼저 국민 파급력이 큰 대규모 개인정보처리자에 개인정보보호 인증 의무를 부여한다. 주요 공공시스템 운영기관과 이동통신사업자, 본인확인 기관, 매출액과 개인정보 처리 규모 등을 고려한 대규모 개인정보처리자 등에 대해 ISMS-P 인증을 의무화하고 단계적으로 확대한다.

또한 인증을 '강화인증·표준인증·간편인증' 3단계로 구분한다. 국민 생활에 파급력이 큰 강화인증군에는 강화된 기준과 심사방식을 차등 적용한다.

주요 보안위협 사례, 주요국 보안 요구 사항을 참조해 보안을 강화한 인증기준 개발 후 강화인증군에 적용한다.

서면 중심에서 현장 중심으로 심사방식을 바꾼다. 심사투입 인력, 기간 확대 등 심사팀 구성 체계를 개편한다.

표준인증군은 인증심사원을 추가 투입해 현장실증을 강화하고, 강화인증군은 취약점점검원을 투입해 기술심사를 정밀하게 실시한다.

보안사고와 직결하는 중요 핵심항목·기술심사는 '先 검증 → 後 본심사'를 통해 미흡한 기업 부실인증을 사전 차단한다.

심사원이 실질적 보안관리 상태를 확인할 수 있도록 실시간 시연 확인 등 현장실증 심사방법을 적용한다.

인증 사후에도 보안관리 유지될 수 있도록 상시 점검을 강화한다. 

상시 점검체계를 확립해 인증의 취득부터 유지·갱신에 이르는 전 과정에서 관리체계가 현장에서 연간 적정하게 운영되고 있는지를 중점 점검한다.

중대한 침해사고가 발생한 경우 정부의 조사·처분 종료 전까지 인증 심사·심의를 잠정 중단한다.

사고기업은 인증심사 시 심사인력, 기간 투입을확대(2배), 사고원인·조치현황 등을 집중심사해 재발방지를 강화한다.

침해사고가 접수된 인증기업의 현황을 KISA에서 관리하고, 인증심사 강화대상에 편입해 보다 엄격한 심사를 추진한다.

법령에 규정된 인증취소 사유를 구체화하고 관련 법령에 따라 취소 절차를 추진한다. 

심사품질 제고를 위해서는 심사기관의 관리책임과 사후점검을 강화하고, 심사원의 전문성 향상을 위한 교육·관리에 집중한다.

심사기관의 심사품질 관리책임을 강화해 심사기관 스스로 심사역량 및 전문성을 관리하는 체계로 전환한다. 인증심사 종료 후 심사기관에 대한 신뢰도 조사를 실시하고, 그 결과를 차년도 인증심사 배분량에 반영한다.

아울러 AI·클라우드 등 전문분야별 특화 심사가 가능하도록 소속심사원을 확충 또는 전문심사원 모집을 통해 전문성을 확보한다.

부실심사 등 심사품질 하락 방지 위한 심사기관 재지정 요건, 지정 사후점검(매1년)도 강화한다. 

매 인증심사 종료 후 심사기관에 대한 신뢰도 조사를 실시하고 그 결과를 차년도 인증심사 배분 시 반영해 심사기관이 스스로 품질을 관리하는 체계를 마련한다.

양 부처는 시행령과 고시 개정 등 후속 조치를 추진할 계획이다.