유출 사고 시 ISMS-P 취소도 가능... “현행 ‘스냅샷’ 방식 평가 대수술” 작성일 03-12 18 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="fR7dyGb0IH"> <p contents-hash="e2c8ba34e583c9a2467e1e64dfeb8514c3a7db90f8cc1ea7acdebfa7405d24ad" dmcf-pid="4ezJWHKpOG" dmcf-ptype="general"><strong>정부, ISMS·ISMS-P 실효성 강화 위한 간담회서 의견 청취</strong></p> <p contents-hash="d26818e6f5d692d41ffc88e4e28f4192c0458f93fc64624defcb44d37e8f6fa9" dmcf-pid="8dqiYX9UwY" dmcf-ptype="general">[보안뉴스 강현주 기자] ‘정보보호 및 개인정보보호 관리체계 인증제’(ISMS·ISMS-P)가 유출 사고 시 인증 취소도 가능해질 예정이다. 현행 상 자율인 인증제가 대규모 개인정보처리자를 대상으로 의무화가 추진되고, 서면 위주 실사가 현장 중심으로 바뀐다. </p> <p contents-hash="57e8363b6109a4f25f98557b41f0c91715ef33de4f0838ac635d2eb238a90eeb" dmcf-pid="6JBnGZ2uEW" dmcf-ptype="general">과학기술정보통신부(부총리 겸 장관 배경훈)와 개인정보보호위원회(위원장 송경희)는 12일 서울 광화문 HJ비즈니스센터에서 ‘정보보호 및 개인정보보호 관리체계 인증제 실효성 강화를 위한 현장 간담회’를 개최했다.</p> <figure class="figure_frm origin_fig" contents-hash="93ed3e66644199c67ff5fe1359c71588807f53de9451c1718265fec5003b9939" dmcf-pid="PibLH5V7ry" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202603/12/552815-KkymUii/20260312161920961mvwr.jpg" data-org-width="1000" dmcf-mid="bm6Chvu5Ik" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202603/12/552815-KkymUii/20260312161920961mvwr.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> ▲‘정보보호 및 개인정보보호 관리체계 인증제 실효성 강화를 위한 현장 간담회’ [출처: 과기정통부] </figcaption> </figure> <div contents-hash="46587620ea51491f1fbb72442c6de8d799c49781d125731fae8c49bce4d180a2" dmcf-pid="QnKoX1fzOT" dmcf-ptype="general"> <br>서면 자료를 믿고 특정 시점 실사만으로 판단하는 ‘스냅샷’ 방식의 한계를 극복한다는 게 정부의 의지다. </div> <p contents-hash="006390b5de0a4a8d9d48b3edbb40243a9e5d71e5316810a0ab3d2b75c5f3a59b" dmcf-pid="xL9gZt4qrv" dmcf-ptype="general">개인정보위 위원장과 과기정통부 제2차관이 함께한 가운데, 인증기관인 한국인터넷진흥원장 및 금융보안원장, 심사기관, 인증심사원 등 20여명이 참여했다. </p> <p contents-hash="60c5e89bfc4c12122861a1768ff5b641a1a6fcfef8cfb5cfd75f186e32a40964" dmcf-pid="y1sFiohDmS" dmcf-ptype="general">이날 김선미 한국인터넷진흥원(KISA) 팀장은 ‘ISMS-P 실효성 강화 방안’을 주제로 개선 배경과 방향을 발표했다. </p> <figure class="figure_frm origin_fig" contents-hash="f07c6a130d2d3bceab1fac7fe9013ded915ad8134f2ca7b83929b6aef5d353f2" dmcf-pid="Wj8c3Ux2ml" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202603/12/552815-KkymUii/20260312161922284xfgx.jpg" data-org-width="1000" dmcf-mid="K78ICSUZOc" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202603/12/552815-KkymUii/20260312161922284xfgx.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> ▲‘정보보호 및 개인정보보호 관리체계 인증제 실효성 강화를 위한 현장 간담회’ [출처: 과기정통부] </figcaption> </figure> <div contents-hash="b2bea93dfef9f2367bf1f5e9a412e41da4a10b2465860830c5c243756785cda6" dmcf-pid="YA6k0uMVsh" dmcf-ptype="general"> <br>발표 내용에 따르면 KISA는 △인증 의무대상 확대 및 기준 강화 △인증심사 방식 강화 △인증 사후관리 강화 △심사기관 심사원 전문성 강화 등 4가지를 추진과제로 잡았다. </div> <p contents-hash="52a1725310de75b017e4977b1ca5372f12c29fa986e6ba7db353cf8109689cc7" dmcf-pid="GcPEp7RfDC" dmcf-ptype="general">현행 ISMS-P 인증은 자율적 취득이 가능하며 인증기준은 기업 규모 구분없이 일원화돼 있다. KISA는 공공이나 민간기업 가운데 대규모 개인정보처리자들의 ISMS-인증 의무화를 추진한다. 국민 파급력이 큰 처리자에 인증 의무를 부여한다는 취지다. </p> <p contents-hash="91c394277e1a107315123acbe2fa4b22bac274103cf30cbced940152b1083379" dmcf-pid="HkQDUze4II" dmcf-ptype="general">현행 인증은 기업 제출 자료에 대한 신뢰를 기반으로 서면 증적 확인 위주로 심사를 한다. 이를 보안 취약점 직접 점검, 시스템 접속 시연 등 현장 실증형 심사체계로 전환할 방침이다. 기술 및 현장실증 점검을 강화하겠다는 방향성이다. </p> <p contents-hash="1f66cf3b0a1107cd14692415d682e054d777b53d4226ed3d591939c24e570770" dmcf-pid="XExwuqd8wO" dmcf-ptype="general">현재까지는 인증 획득 기업이 사고가 발생해도 인증을 취소한 사례가 없다. 앞으로는 인증 사후 관리를 강화하고 문제 발생히 인증취소 등을 검토한다는 내용도 추진과제에 포함된다. </p> <p contents-hash="10cff0ca8066ad7c97b399d803dc494644a8829971be116c3293180f34cfbdf8" dmcf-pid="ZDMr7BJ6ss" dmcf-ptype="general">심사원 역량 부족 문제도 지적돼 온 만큼, 심사기관 관리 감독 강화 및 심사원 역량 제고 교육 강화도 추진된다. </p> <p contents-hash="4821eaab965066d8065e7b31f036fdacd8efb823f75116c813300a3336f0e7ce" dmcf-pid="5wRmzbiPEm" dmcf-ptype="general">김선미 팀장은 “현행 ISMS-P 인증 제도에 대한 구조적인 개편을 실시해 신뢰성을 제고하고 인증 심사 체계 실효성을 강화하고자 한다”고 밝혔다. </p> <p contents-hash="400d54d92adf816f22a8b9fd13882a32090fa6e896e7f177a42b2946ca10c1f3" dmcf-pid="1resqKnQwr" dmcf-ptype="general">정보보호 및 개인정보보호 관리체계(ISMS·ISMS-P) 인증은 기업·기관이 구축·운영 중인 정보보호 및 개인정보보호 체계가 적합한지 인증하는 제도다. 과기정통부 소관의 정보보호 관리체계와 개인정보위 소관의 개인정보 보호 요구사항을 결합한 통합 인증제도다. 과기정통부와 개인정보위는 지난해 12월 6일 인증제 개선 관계부처 대책회의를 개최하는 등 인증제도의 합리적 운영을 위한 협력을 지속해 왔다. </p> <p contents-hash="066dcd10c16e9caf38bd75a835cd555b6f9b63fbc55aa7d618b25434068cc814" dmcf-pid="thoSV8jJOw" dmcf-ptype="general">기업 및 기관은 ISMS·ISMS-P 인증을 통해 보유한 정보자산을 식별하고 개인정보 처리 흐름을 체계화하며 잠재적인 보안위험을 관리하는 등 관리체계를 고도화한다. 그러나 최근 ISMS·ISMS-P 인증을 받은 통신사, 대형 플랫폼 사업자 등에서 보안 및 개인정보 유출사고가 발생함에 따라, 인증제도의 실효성을 강화하기 위한 종합적 대책 마련이 필요한 상황이다. </p> <p contents-hash="ee212b23d53a595150540904db07759b7a06a670e29d7efaa69ee61d892c9b41" dmcf-pid="Flgvf6AisD" dmcf-ptype="general">이에 과기정통부와 개인정보위는 ISMS·ISMS-P 인증제도가 실질적으로 작동할 수 있도록 ‘정보보호 및 개인정보보호 인증제 실효성 강화방안’을 수립·발표할 계획이다. 이에 앞서 현장의 의견을 청취하고자 이번 논의의 자리를 마련했다.</p> <p contents-hash="86cb5b720cfa09f1e4d09022f3d266c3f720f05293a885cbcb3c4334168d2db5" dmcf-pid="3SaT4PcnDE" dmcf-ptype="general">참석자들은 이 같은 실효성 강화 방향에 대해 인공지능 발전과 해킹 기술 고도화 등 급변하는 기술 환경에 대응하기 위한 시의적절한 접근이라고 평가했다. 나아가 기술심사 강화 등의 개선책이 현장에서 실질적으로 작동하기 위한 세부 고려사항에 대해 다양한 의견을 제시했다. </p> <p contents-hash="9b81f4797d0d0b3069b62ef935f0eba5f7e590523cac7f5d4027a3e6ab82b595" dmcf-pid="0vNy8QkLrk" dmcf-ptype="general">특히 심사의 일관성을 확보하기 위해 기술심사 가이드 마련 등 제도적 보완이 필요하며, 전반적인 심사 품질 강화를 위해 심사기관에 대한 적극적인 모니터링과 심사원의 심사 참여 요건 개선 등의 정책이 필요하다고 제언했다. </p> <p contents-hash="c4efaa5b9ea42cea62a46a65a76863b64e5343b578175f7edff79dc0979a47c9" dmcf-pid="pTjW6xEorc" dmcf-ptype="general">과기정통부와 개인정보위는 이번 간담회에서 논의된 현장 의견을 적극 반영해 ‘정보보호 및 개인정보보호 인증제 실효성 강화방안’을 발표할 예정이다.</p> <p contents-hash="ce260a6aece8b8e341cc22ab786e33181dc78aa88b1a10034943798a2dae4e53" dmcf-pid="UyAYPMDgsA" dmcf-ptype="general">송경희 개인정보위 위원장은 “ISMS-P 인증제도는 기업이 운영 중인 개인정보 보호 관리체계를 선제적으로 점검함으로써 개인정보 침해를 예방할 수 있는 중요한 사전 예방 정책 중 하나”라며 “서면 중심의 샘플링 점검과 특정 시점에서의 한번의 실사로 판단하는 ‘스냅샷’ 방식의 한계를 극복해야 한다”고 밝혔다. </p> <p contents-hash="3a49ec7cf18512838dd40a0ac252b67b3711f50a9d07ada6ae31b8d24e271569" dmcf-pid="uWcGQRwaEj" dmcf-ptype="general">이어 “심사 시점 발급 받은 인증서 표지로 만족하는 것이 아니라 일정 수준 이상의 보호 조치가 지속 유지될 수 있는 구조를 만들어야 한다”고 강조했다. </p> <p contents-hash="2ca684a1d45c66d4bf9bd37e67c691cae3da18644dd69c875af44cb5d0c798cb" dmcf-pid="7YkHxerNDN" dmcf-ptype="general">류제명 과기정통부 제2차관은 ”정보보호 관리체계는 2001년 도입돼 25년간 기업 전반의 보안 수준 역량 강화에 일조한 중요한 제도였고 감사할 일”이라며 “다만 많은 세월이 흘렀는데 현재의 침해사고 양상을 볼 때 실효성이 있는지, 기술 진화의 양상을 반영하지 못하는 점은 없는지, 보완할 것은 없는지 돌아볼 시기”라고 말했다. </p> <p contents-hash="ceae9dd0a92c1e786a38a2ff75a4b853ff5bd4a6d84b483bbcd783055a36e260" dmcf-pid="zGEXMdmjOa" dmcf-ptype="general">이어 “제도의 실효성을 위한 정보통신망법 개정안이 금일 본회의를 통과할 예정으로, 심사 기준을 강화하고 논란됐던 부분들이 법에 반영될 것”이라고 밝혔다. </p> </section> </div> <p class="" data-translation="true">Copyright © 보안뉴스. 무단전재 및 재배포 금지.</p> 관련자료 이전 카카오 노조 “디케이테크인 고용 불안, 카카오가 책임져라” 03-12 다음 "내게 딱 맞는 암 치료법 찾는다"…NDS-이노크라스, 유전자 분석 시스템 공동 개발 03-12 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
