“ISMS-P 인증받고도 개인정보 유출되면 현장까지 뒤진다”,개인정보위, 인증심사 전면 손질

article_right_top

정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 받은 기업의 개인정보 보호 수준을 실제 현장에서 검증하는 절차가 강화된다. 인증을 취득했다는 사실만으로 관리체계의 적정성을 판단하는 데 그치지 않고, 침해사고나 개인정보 유출이 발생할 경우 현장 취약점 점검과 모의침투까지 실시할 수 있도록 제도가 바뀐다. 개인정보보호위원회는 ISMS-P 인증제도의 실효성을 높이기 위한 「개인정보 보호법 시행령」 개정안을 마련하고 9월 16일부터 10월 26일까지 입법예고한다고 밝혔다.

이번 개정안은 개인정보위가 지난 4월 발표한 ‘정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안’을 구체화한 것으로, 인증심사의 현장성을 높이고 인증기준을 보다 세분화하는 한편 인증 의무대상 기업에 대한 제재 방식도 합리적으로 조정하는 데 초점이 맞춰졌다. ISMS-P는 기업 등이 자체적으로 구축·운영하고 있는 정보보호 및 개인정보보호 관리체계가 관련 기준에 적합한지를 심사해 인증하는 제도다. 주요 정보자산의 유출과 개인정보 침해를 예방하는 장치지만, 실제 사고가 발생했을 때 인증 당시의 관리체계가 현장에서 제대로 작동했는지를 별도로 확인할 필요성이 제기돼 왔다.

이에 따라 시행령 개정안에는 서면 중심으로 이뤄질 수 있는 인증심사를 실제 운영환경을 확인하는 방식으로 보완하는 내용이 담겼다. 앞으로 인증심사는 필요에 따라 서면심사와 현장심사를 병행할 수 있도록 관련 규정이 명확해진다. 특히 인증 유효기간 중 침해사고나 개인정보 유출이 발생한 경우에는 일정한 자격을 갖춘 기술인력이 현장에서 점검도구를 활용해 취약점 진단과 모의침투를 수행할 수 있도록 근거를 마련한다.

인증을 받은 이후 매년 진행되는 사후심사에서도 서면심사와 현장심사를 함께 실시할 수 있으며, 필요할 경우 취약점 점검도 가능해진다. 현장 점검에 참여할 수 있는 기술인력은 「정보보호산업의 진흥에 관한 법률 시행규칙」 별표 1에 따른 중급 이상의 자격기준을 갖춰야 한다. 인증 기준 자체도 기업별 특성을 반영할 수 있도록 손질된다. 개인정보를 얼마나 많이 처리하는지, 해당 기업의 사고가 사회에 미칠 파급력이 어느 정도인지 등을 고려해 인증기준을 차등 적용할 수 있는 구체적인 근거가 마련된다.

모든 기업에 동일한 기준을 일률적으로 적용하기보다 개인정보 처리 규모와 사회적 영향 등을 고려해 심사기준을 세분화할 수 있도록 제도적 기반을 마련하는 것이다. 인증 의무기업에 대한 제재 방식도 조정된다. 인증 의무가 있는 기업이 인증 취소 처분을 받은 경우에는 원칙적으로 인증 취득 의무를 위반한 데 따른 과태료가 부과될 수 있지만, 개정안은 취소 이후 1년 동안 해당 과태료 부과를 유예할 수 있도록 하는 규정을 신설했다.

인증 취소 이후 즉시 제재하는 대신 취소 원인에 대한 재발방지 대책을 마련하고 새로운 ISMS-P 인증을 다시 취득할 수 있는 기간을 부여하겠다는 취지다. 다만 허위 자료를 제출하거나 부정한 방법으로 인증을 취득해 인증이 취소된 경우에는 과태료 유예 대상에서 제외된다. 인증제도를 악용한 경우까지 재취득 기간을 이유로 제재를 늦추지는 않겠다는 것이다.

개인정보위는 10월 26일까지 입법예고를 통해 이해관계자와 관계부처의 의견을 수렴한 뒤 법제처 심사 등의 절차를 거쳐 시행령 개정을 신속하게 마무리할 계획이다. 연내에는 관련 고시 개정도 추진해 인증심사와 사후관리 체계 전반에 대한 정비를 이어갈 예정이다.

-심해영기자