정보 유출사고때 사후검증 통해 'ISMS-P 인증 취소' 추진

쿠팡 등 인증기업 잇단 유출 계기
정보보호 ISMS-P인증 관리강화
예비심사 충족 못하면 신청 반려
내년 1분기 중 고시 개정해 시행

정부가 통신사와 쿠팡 등 대형 플랫폼사에 대해 정보보호관리체계(ISMS)·정보보호 및 개인정보보호 관리체계(ISMS-P) 인증 고위험군에 포함시켜 엄격히 관리키로 했다. 사고시 즉각 사후검증을 통해 인증제도 준수 여부를 확인하고, 이를 취소하는 방안도 추진된다. 최근 이동통신3사(SKT·KT·LG유플러스) 등 해킹사고에 이어 쿠팡 해킹사고까지 잇따르면서 정부가 인증하는 정보보호관리체계가 유명무실하는 지적이 잇따른데 대한 조치다. <본지 11월 18일자 1·3면 참조>

■예비심사 통과 못하면 신청 반려

과학기술정보통신부와 개인정보보호위원회, 한국인터넷진흥원(KIS) 등은 지난 6일 송경희 개보위원장 주재로 회의를 갖고 ISMS 및 ISMS-P 인증 실효성 강화를 위한 제도 전면적 개편을 추진키로 했다고 7일 밝혔다.

정부는 통신사, 대규모 플랫폼 등 국민 파급력이 큰 기업은 '고위험군'으로 분류해 강화된 인증기준을 적용한다. 심사방식도 강화한다. 예비심사 단계에서 핵심항목을 선검증하고, 기술심사 및 현장실증 심사를 강화하도록 개선한다. 핵심항목을 충족하지 못하면 본심사를 진행할 수 없다.

■사고시 즉각 사후심사

사후관리도 대폭 강화한다. 인증기업의 유출사고 발생 시 적시에 특별 사후심사를 실시, 인증기준의 중대 결함이 발견되는 경우 인증위원회 심의·의결을 거쳐 인증을 취소한다.

한편, 개인정보위는 유출사고가 발생한 인증기업에 대해 이달부터 현장점검을 실시한다. 특히 쿠팡 등 현재 조사가 진행 중인 기업의 경우, 과기정통부 민관합동조사단·개인정보위 조사와 연계해 인증기관 주관으로 인증기준 적합성 등에 대해 점검한다. 과기정통부도 통신, 온라인쇼핑몰 등 900여개 ISMS 인증기업들을 대상으로 보안 취약점 점검 등 긴급 자체 점검을 요청했다. 양 기관은 지난달부터 운영 중인 과기정통부·개인정보위·인증기관 합동 제도개선 태스크포스(TF)를 통해 개선방안을 최종 확정하고, 특별 사후점검 결과 등을 반영해 내년 1·4분기 중 관련 고시를 개정해 단계적으로 시행할 예정이다.

mkchang@fnnews.com 장민권 기자

Copyrightⓒ 파이낸셜뉴스. 무단전재 및 재배포 금지.