개인정보보호 인증제 전면 개편, 안전 강화

개인정보보호 인증제 전면 개편, 안전 강화

정부가 개인정보 유출과 사이버 침해사고를 예방하기 위해 정보보호 관리체계 인증제도(ISMS·ISMS-P)를 전면 개편한다. 이번 개편은 기존의 서면 중심 형식적 심사에서 벗어나 현장 중심의 실증 심사와 기술 심사를 도입하는 데 중점을 둔다. 특히 통신사와 이커머스 등 대규모 개인정보처리자에 대해선 인증 의무화를 추진한다.

인증 의무 대상 확대 및 3단계 체계 도입

개인정보보호위원회와 과학기술정보통신부는 10일 정부서울청사에서 열린 경제관계장관회의에서 '정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안'을 발표했다. 이번 방안은 최근 통신사와 이커머스 해킹 사고 등 인증기업에서 발생한 사고를 계기로 인증제도의 실효성에 대한 우려를 해소하기 위해 마련됐다.

우선 국민 생활에 큰 영향을 미치는 대규모 개인정보처리자에 대해 개인정보보호 인증을 의무화한다. 주요 공공시스템 운영기관, 이동통신사업자, 본인확인기관, 일정 규모 이상의 민간 기업 등이 대상이며, 단계적으로 적용 범위를 확대할 계획이다. 또한 기존의 획일적인 인증 기준을 개선해 '강화인증', '표준인증', '간편인증'의 3단계 체계를 도입해 위험 기반 차등 관리체계를 구축한다.

현장 중심 심사와 기술 검증 강화

인증 심사 방식도 대폭 강화된다. 기존 서면 위주 심사에서 벗어나 현장 중심의 실증 심사를 도입하고, 취약점 진단과 모의침투 등 기술 기반 검증을 적용한다. 본심사 이전 예비심사를 통해 핵심 보안 항목을 사전 점검하고, 점검 결과에 따라 본심사 진행 여부를 결정해 부실 인증을 방지한다. 또한 중요도가 높은 시스템은 전문 인력을 투입해 정밀 점검한다.

사후관리 및 인증취소 기준 강화

인증 이후 관리체계도 강화된다. 기존의 특정 시점만 확인하는 일회성 점검에서 벗어나 상시 점검 체계를 구축해 인증 취득 이후에도 보안 수준이 지속 유지되는지를 관리한다. 중대한 침해사고 발생 시에는 인증 심사를 잠정 중단하고, 사고 원인과 재발 방지 대책을 확인한 뒤 심사를 재개한다. 중대한 결함이 일정 기간 내 보완되지 않으면 인증을 취소하는 등 사후 조치를 엄격히 적용할 방침이다.

심사기관과 심사원 책임 및 전문성 강화

심사 품질 확보를 위해 심사기관과 심사원의 책임과 역량도 강화한다. 심사기관에 대한 신뢰도 평가를 도입해 결과를 인증 심사 배분에 반영하고, 지정 기준 준수 여부를 정기 점검한다. 심사원에 대해서는 취약점 점검 등 기술 역량 교육을 강화하고, AI와 클라우드 등 전문 분야별 심사 체계를 구축한다. 또한 심사원 인건비를 현실화해 처우도 개선할 계획이다.

향후 추진 일정

정부는 관련 시행령과 고시 개정, 예산 확보 등을 통해 후속 조치를 추진한다. 상시 점검 강화와 인증 취소 기준 등 사후관리 제도는 2026년 하반기부터 시행하며, 인증 의무화 확대와 차등 인증 체계는 2027년부터 단계적으로 시행할 예정이다.

관계자 발언

송경희 개인정보보호위원회 위원장은 "인증제도를 개인정보 보호의 사전 예방 핵심 수단으로 개선해 국민이 안심할 수 있는 디지털 환경을 구현하겠다"고 밝혔다. 류제명 과학기술정보통신부 제2차관은 "인증제도의 실효성을 높여 국민이 신뢰할 수 있는 정보보호 체계로 발전시키겠다"고 말했다.