[뉴스토마토 전연주 기자] 정보보호와 개인정보보호 관리체계가 일정 기준을 충족해 ISMS-P 인증을 받은 기업에서도 대규모 개인정보 유출 사고가 잇따르면서 인증제도의 실효성을 높여야 한다는 지적이 나옵니다. 인증 취득 이후에도 실제 보안체계가 제대로 작동하는지 지속적으로 점검하는 사후관리 강화가 필요하다는 목소리가 커지고 있습니다.
ISMS-P는 정보보호 및 개인정보보호 관리체계 인증으로, 기업이 정보보호와 개인정보보호를 위한 관리적·기술적·물리적 보호조치를 갖추고 이를 체계적으로 운영하고 있는지를 심사하는 제도입니다. 최초 인증의 유효기간은 3년이며 이후 매년 사후심사를 받습니다. 인증이 보안 사고가 발생하지 않는다는 것을 보장하는 것은 아니지만, 기업의 관리체계가 일정 기준을 충족했다는 지표로 활용됩니다.
최근 인증기업에서도 대형 사고가 잇따랐습니다. 롯데카드는 지난해 7월 ISMS-P 인증을 취득한 뒤 한 달 만에 약 297만명의 개인신용정보가 유출됐습니다. 쿠팡 역시 인증 보유 상태에서 대규모 개인정보 유출 사고가 발생했습니다. 그러나 두 회사의 인증은 현재 그대로 유지되고 있습니다.
인증 범위를 둘러싼 문제도 남아있습니다. SK텔레콤은 ISMS-P 인증을 보유하고 있었지만 지난해 대규모 유심정보 유출 사고가 발생한 이동통신 핵심 네트워크·시스템은 기존 인증 범위에 포함되지 않았습니다. 개인정보보호위원회는 약 2300만명의 유심 정보 등이 유출된 사고를 조사한 뒤 해당 이동통신 네트워크·시스템까지 ISMS-P 인증 범위를 확대하도록 개선권고했습니다.
사고가 발생해도 인증이 자동으로 취소되는 것도 아닙니다. 현행 제도에서는 개인정보보호 관련 법령을 위반하고 그 사유가 중대한 경우 등을 취소 사유로 두고 있으며, 관련 처분 이후 인증위원회 심의·의결을 거쳐 취소 여부를 판단합니다.
개인정보위 관계자는 "처분서가 통보돼야 취소 절차가 돌입된다"며 "법 위반 행위가 중대한 경우 등 취소 사유에 해당하는지를 보고 인증위원회 심의·의결을 거쳐 결정하게 된다"고 설명했습니다. 현재 실제 인증 취소 사례는 없으며, 쿠팡도 처분서가 통보되지 않아 관련 절차가 시작되지 않은 상태입니다.
정부는 인증 이후 사후관리의 실효성을 높이기 위한 제도 개편을 추진하고 있습니다. 지난 4월 발표한 ISMS·ISMS-P 실효성 강화방안에는 상시점검과 현장검증 확대, 중대한 법 위반 등에 대한 인증취소 강화 방안이 담겼습니다. 다만 세부 제도화는 아직 진행 중으로, 개보위는 시행령과 고시, 안내서 등을 순차적으로 마련하고 있습니다.
전문가들은 인증 취득 자체보다 이후 실제 보안체계가 지속적으로 작동하는지를 확인하는 과정이 중요하다고 봅니다.
염흥열 순천향대 정보보호학과 명예교수는 "인증기업이 문서만의 행위가 아닌 실효성을 갖는 정보보호 관리체계를 운영하도록 CISO(정보보호최고책임자)나 CPO(개인정보보호책임자)에게 관리체계 운영·감사를 위한 책임과 권한을 강화할 필요가 있다"며 "기업 자체적으로 감사 기준과 인력을 마련해 상시적으로 효과성을 점검할 수 있는 체계를 갖춰야 한다"고 말했습니다.
황석진 동국대 국제정보보호대학원 교수도 대형 사고 기업 상당수가 ISMS-P 인증을 보유하고 있다는 점에서 인증의 실효성을 다시 점검할 필요가 있다고 지적했습니다. 그는 "사후적인 방식은 한계가 있다”며 인증 이후 실제 관리체계가 작동하는지를 지속적으로 살펴야 한다"고 강조했습니다.
전연주 기자 kiteju1011@etomato.com
이 기사는 뉴스토마토 보도준칙 및 윤리강령에 따라 김기성 편집국장이 최종 확인·수정했습니다.
ⓒ 맛있는 뉴스토마토, 무단 전재 - 재배포 금지