잇단 유출 사고에 ‘개인정보보호 관리체계 인증제도’ 개편…달라지는 점은?

IT동아 · 2026.01.20 18:56:15

[IT동아 김예지 기자] 정부가 정보보호 관리체계 인증(ISMS) 및 개인정보보호 관리체계 인증(ISMS-P)의 실효성을 높이기 위해 제도를 전면 개편한다. 이는 지난해 10월 국가 전반의 정보보호 역량 강화를 위해 발표된 ‘범부처 정보보호 종합대책’의 후속으로, 국가 인증을 취득한 기업에서조차 개인정보 유출 사고가 잇따르자 인증 제도의 개선이 필요하다는 판단에 따른 것이다.

정부는 지난해 12월 인증 실효성 강화를 위한 제도 개편 방안을 발표했다 / 출처=AI 생성 이미지

정부는 ‘강화된 정보보호 관리체계 구축’을 목표로 지난해 12월 제도 개편 방안을 발표했다. 개인정보위는 사고 발생 기업에 대한 현장 점검에 착수했으며, 과기정통부는 900여 개 ISMS 인증 기업의 자체 점검 결과를 바탕으로 올해부터 현장 검증을 이어간다. 양 기관은 합동 TF를 통해 확정한 개선안을 2026년 1분기 단계적으로 시행한다. 지난 1월 9일에는 정보보호 공시 의무 대상자를 확대하는 ‘정보보호 산업법 시행령’ 개정안을 입법예고 했다.

앞서 정부는 금융·통신 등 핵심 IT 시스템에 대한 보안 취약점을 점검한다고 밝혔다. 특히 통신사는 실제 해킹 방식을 모방한 불시 점검을 받게 되며, 취약한 펨토셀은 즉시 폐기 조치될 계획이다. 보안 인증 제도를 현장 심사 중심으로 전환하고, 사후관리를 강화한다. 모의해킹 훈련과 화이트 해커를 활용한 상시 점검 체계도 구축한다.

ISMS·ISMS-P, 개정되는 이유는

범부처 정보보호 종합대책 목표 / 출처=과기정통부

ISMS는 기업의 정보자산을 안전하게 보호하는 보안 조치를 국가가 인증하는 제도다. ISMS-P는 여기에 개인정보 보호 영역을 더한 것이다. 기존에 ISMS는 법상 의무대상자(ISP, IDC 기업) 등에 의무였던 반면, ISMS-P는 자율 인증에 가까워 그동안 기업들은 필요에 따라 선택적으로 받아왔다.

그러나 지난해 인증을 취득한 통신사, 쿠팡, 롯데카드 등에서 침해 사고가 연이어 발생하며 실효성 논란이 일었다. 예컨대, 지난해 발생한 KT 해킹 사고는 인증 범위 밖이었던 펨토셀을 통해 발생하면서 기존 관리 체계의 한계를 드러냈다. 인공지능(AI)을 활용한 공격이 갈수록 지능화되는 상황에서 보안 인증은 최소한의 방어선에 불과하다. 인증 취득을 보안의 완성이 아닌 지속적인 관리를 위한 최소한의 기반으로 인식돼야 한다.

ISMS-P도 의무화…실전형 검증 강화

심사방식 강화방안 주요내용(안) / 출처=과기정통부

앞으로는 기존 자율적으로 운영되던 ISMS-P 인증을 공공·민간 주요 개인정보처리시스템(주요 공공시스템, 통신사, 온라인 플랫폼사 등)에 대해 의무화한다. 특히 통신사, 대규모 플랫폼 등 국민 파급력이 큰 기업에 대해 강화된 인증기준을 마련한다. 시행령 개정안이 적용될 경우, 기존에는 매출액 3000억 원 이상의 대기업만 정보보호 현황을 의무 공시했지만, 앞으로는 코스피·코스닥 상장사 전체로 확대된다. 또한 의무에서 빠져 있던 공공기관, 금융회사, 소기업, 전자금융업자에 대한 예외도 삭제된다. 이로써 소비자는 기존보다 늘어난 기업들의 정보보호 현황을 확인할 수 있게 된다.

심사 절차에 실효성이 더해지는 조치들도 시행된다. 본심사 전 예비심사 단계를 신설해 핵심 항목들을 선제 검증하고, 기술심사 및 현장실증 심사를 강화한다. 실제 해킹 공격을 가정한 모의 침투 테스트(모의해킹)를 통해 주요 보안 취약점을 미리 점검한다. 특히 사고 이력이 있거나 위험도가 높은 기업은 모의해킹 검증이 의무화된다. 예비심사를 통과하지 못하면 본심사 자체가 불가능하며, 기존 인증 기업이라도 효력이 정지될 수 있다.

본심사 단계 역시 기존의 서면 위주 심사에서 벗어나, 실제 운영 환경을 확인하는 현장 실증형으로 전환된다. 심사원은 현장에서 세부 보안 설정과 관리 실태를 면밀히 평가하며, 심사 인력은 AI와 최신 공격 기술에 능통한 전문가들로 구성된다.

사후관리도 한층 강화한다. 유출사고 발생 시 특별 점검을 실시하며, 중대 결함 발견 시 인증위원회 의결을 거쳐 인증을 취소한다. 더불어 인증의 유효기간 3년은 유지되나, 매년 상시 점검을 통해 기준 미달 시 신속한 보완을 요구하는 등 운영 단계의 책임성을 강화했다.

보안 전략, 규제 준수에서 실전 대응으로

범부처 정보보호 종합대책 목표 / 출처=한국인터넷진흥원

기업들의 부담 증가에 대한 우려의 목소리도 있다. 예비심사 신설과 현장 실사 확대로 심사 일정이 길어지면서 기업 입장에서는 경제적·행정적 부담이 커지기 때문이다. 또한 고도의 기술력이 필요한 모의해킹과 현장 실증을 수행할 전문 심사 인력의 수급 불균형 문제도 과제다.

일각에서는 내용이 상세할 경우 오히려 해커에게 기업의 보안 취약점 지도를 제공하게 될 수 있다는 지적도 나온다. 따라서 기업의 영업 비밀을 보호하면서 투명성을 높이는 정교한 가이드라인이 필요하다. 홍관희 LG유플러스 센터장은 지난 IT동아와의 인터뷰에서 “기업의 운영 문화와 거버넌스 중심으로, 실질적인 항목 전반을 평가하는 방향으로 발전해야 한다”고 제언했다.

과기정통부는 입법예고 기간 중 공청회 등을 통해 수렴한 각계의 의견을 바탕으로 법제처 심사 등 후속 절차를 밟는다. 개정안은 2027년 정보보호 공시 대상자부터 적용되며, 신규 대상 기업의 부담을 줄이기 위해 공시 가이드라인 배포와 맞춤형 컨설팅 및 교육을 적극 지원할 계획이다.

한편 제도 개편은 국내 보안 산업 발전의 기폭제가 될 것으로 보인다. 예컨대, 빅데이터 분석 AI 및 보안 전문 기업 에스투더블유(S2W)는 모의해킹 의무화에 대응하기 위한 위협 인텔리전스 기반의 실전형 검증 모델을 제시한다. 기업이 취약점을 입체적으로 파악하도록 지원하고, 공개된 취약점에 대한 자동 검증 시스템을 활용해 실제 위협 행위자의 공격 시나리오 기반 테스트를 제공한다. 다크웹에 유출된 계정 정보로부터 실제 공격으로 이어지는 시나리오까지 검증하도록 돕는다.

보안은 이제 ESG 경영의 핵심 지표가 됐다. 기업들은 이제 단순한 보안 체크리스트 채우기 식에서 벗어나야 한다. ISMS 및 ISMS-P 개편은 대한민국 사이버 보안의 수준을 한 단계 높이기 위한 필연적인 과정이다. 이제 보안은 사고 후 수습하는 비용이 아니라, 기업의 생존을 결정짓는 자산이자 서비스 품질로 인식돼야 한다. 제도 개편이 실질적인 국가 보안 강화로 이어지기 위해 현장의 목소리를 반영한 세밀한 운영 전략과 충분한 심사 인력 확보, 중소기업과 스타트업을 위한 유인책이 병행돼야 한다.

IT동아 김예지 기자 (yj@itdonga.com)

사용자 중심의 IT 저널 - IT동아 (it.donga.com)

번호	제목	글쓴이	작성일	조회	추천
설문	취미 부자여서 결혼 못 할 것 같은 스타는?	운영자	26/01/19	-	-
6526	“맥북ㆍ맥미니ㆍ아이패드 모두 OK” 벤큐, 애플 생태계 맞춤형 모니터 MA 시리즈 공개	IT동아	19:29	4	0
6525	‘기술 굴기’냐 ‘실용주의’냐…휴머노이드, 3국 3색 전략	IT동아	18:51	5	0
6524	AI와 클라우드 단절이 유발하는 문제, 운영 구조 개선으로 푼다	IT동아	18:23	9	0
6523	넥스트챌린지 7주년, 누적 국비 1100억 유치, 구글 ‘창구’ 6년 연속 주관 등으로 글로벌 위상 강화	IT동아	17:11	8	0
6522	[스타트업-ing] 람다이노비전 “우주·항공·자율주행 FMCW 라이다 핵심 기업으로”	IT동아	17:08	8	0
6521	[크립토퀵서치] 왜 디지털자산 거래소 소유 분산 규제를 반대하나요?	IT동아	17:06	138	0
6520	칠로엔 "영상 편집자 생산성 높이는 AI 음악 검색 서비스, 링크뮤직" [경북대 X IT동아]	IT동아	15:22	8	0
6519	“단어부터 실전 대화까지”…영어 회화 장벽 낮춘 말해보카 2주 써보니	IT동아	13:32	9	0
6518	"진로 교육 현장 목소리를 기술로" 사자가온다, 흥미·가치 높인 콘텐츠에 집중 [경북대 X IT동아]	IT동아	09:52	9	1
6517	[리뷰] 소니 미러리스 카메라의 발전 방향을 보여준 A7M5	IT동아	01.22	27	0
6516	[월간자동차] 25년 12월, ‘테슬라 모델 Y’ 8개월 연속 판매 1위	IT동아	01.22	19	0
6515	HP, 게이밍 브랜드 ‘하이퍼엑스’로 통합…‘오멘’은 어찌되나?	IT동아	01.22	25	0
6514	'국내 반입 금지 성분 한눈에' 해외직구식품 올바로, 89만 명이 찾는 이유 [1]	IT동아	01.22	1152	4
6513	[써니모모의 '육십 먹고 생성AI'] 4. 구글 '노트북LM'으로 기억을 확장하기	IT동아	01.22	24	0
6512	[정훈구의 인터'스페이스'] 서울숲, 성수동 잇는 '거리 설계'의 실험장	IT동아	01.22	22	1
6511	다이슨, 2026년형 홈 가전 3종 출시··· '더현대 팝업스토어에서 만나요'	IT동아	01.22	29	0
6510	스테이블코인 발행 주체 제한 논란, 업계 “혁신 저해 우려”	IT동아	01.22	21	0
6509	‘자녀의 쇼츠 중독 방지’…유튜브 청소년 보호 기능 살펴보니	IT동아	01.22	23	0
6508	서울과기대, 초창패 투자파트너 IR 라이브로 '창업 분야 역량' 증명	IT동아	01.22	22	0
6507	[시승기] 포화 상태 중형 SUV 시장에 던진 르노의 승부수…'그랑 콜레오스'	IT동아	01.21	24	0
6506	[주간스타트업동향] 칼렛바이오, '리펄프 테이프' 혁신제품 지정 外	IT동아	01.21	20	0
6505	[경북대 X IT동아] 사람과모빌리티, V2N2X 표준화 선도로 자율협력주행 ‘안전 기준’ 세운다	IT동아	01.21	25	0
6504	토큰증권 규제 국회 본회의 통과, 시장 개설은 지연	IT동아	01.21	289	2
6503	[스타트업-ing] "친환경 임플란트로 주목" 비투랩, 더 탄탄하게 성장한 이유	IT동아	01.21	21	0
6502	한국 소비자 SSD 시장 가까이 가겠다는 키오시아 “크루셜 빈자리 채우러 왔습니다”	IT동아	01.20	113	0
	잇단 유출 사고에 ‘개인정보보호 관리체계 인증제도’ 개편…달라지는 점은? [5]	IT동아	01.20	430	0
6500	[위클리AI] 구글 제미나이, 더 유용해진다···오픈AI와 차별화 외	IT동아	01.20	29	0
6499	중고차 시장에 스며든 AI…맞춤형 진단·추천 기능으로 신뢰도 높인다	IT동아	01.20	32	0
6498	엔비디아, DLSS 4.5·DGX 스파크 앞세워 AI PC 생태계 확장 나선다	IT동아	01.20	47	0
6497	"무료 AI 쓰려면 광고 봐야?" 챗GPT의 실험, AI 뉴노멀 될까	IT동아	01.20	49	0
6496	'관광객 1000만 시대' 꿈꾸는 거창군, 바바그라운드와의 협업으로 가능성 키운다	IT동아	01.20	26	0
6495	[투자를IT다] 2026년 1월 3주차 IT기업 주요 소식과 시장 전망	IT동아	01.20	288	0
6494	네이버 탈락시킨 '프롬 스크래치' 잣대··· 기술 효율보다 독자성 택한 과기부	IT동아	01.19	93	0
6493	[뉴스줌인] 한층 실속 더한 가성비폰 ‘포코 M8 5G’ 출시, 갤럭시 A36과 비교하면?	IT동아	01.19	117	0
6492	[신차공개] 제네시스 ‘GV60 마그마’·’2026 G70·G70 슈팅 브레이크’ 출시	IT동아	01.19	48	0
6491	[정석희의 기후 에너지 인사이트] 2. 기후변화의 바이블? IPCC 보고서 '제대로' 활용하기 [3]	IT동아	01.19	637	1
6490	아디다스 러닝 앱, 한국 정식 출시···나이키 NRC 아성 위협할까	IT동아	01.19	25	0
6489	‘속도보다 체감 품질 중요’…2025년 5G 품질 성적표 살펴보니	IT동아	01.19	84	0
6488	SBA·K-DATA '서울형 R&D 기업 데이터 보증’으로 성장 사다리 잇는다	IT동아	01.19	27	0
6487	엔비디아 DLSS 4.5 “2세대 트랜스포머 모델로 게임 그래픽 가속” [11]	IT동아	01.17	1219	1
6486	“물 들어올 때 노 젓자” 금융당국, 외환ㆍ자본시장 혁신 나선다	IT동아	01.16	57	0
6485	AI 열풍에 ‘금값’ 된 PC 부품, 기다림만이 답은 아니다	IT동아	01.16	163	0
6484	서울지하철, 신형 교통카드 키오스크 설치…17년 만에 무엇이 바뀌었나 [7]	IT동아	01.16	1815	4
6483	[IT하는법] 스마트폰 모바일 데이터 사용량을 제한하려면?	IT동아	01.16	115	0
6482	생성형을 넘어 에이전트로…공공 행정 분야 AI 2.0 전환 박차	IT동아	01.16	52	0
6481	연이은 보안 사고, 사이버보험 도움될까…통신사 보안 서비스는?	IT동아	01.16	1064	0
6480	[스타트업리뷰] 기업 채용 업무 효율성 높이는 세컨드팀 ‘AI면접관’	IT동아	01.16	37	0
6479	[써니모모의 '육십 먹고 생성AI'] 3. 디카/스마트폰 사진으로 애니메이션 만들기	IT동아	01.15	47	0
6478	[시승기] 전기차 시장에 등장한 또 하나의 선택지…'기아 EV4'	IT동아	01.15	45	0
6477	[경북대 X IT동아] 네오덱스 "개구기에서 의료 AI까지, 치의학계의 '퍼스트 무버' 될 것"	IT동아	01.15	144	0

최근 방문

즐겨찾기

즐겨찾기 갤러리

이미지 올리기 이용안내

갤러리 이슈박스, 최근방문 갤러리

연관 갤러리

개념글 리스트

차단하기

[IT동아 갤러리]

갤러리 본문 영역

ISMS·ISMS-P, 개정되는 이유는

ISMS-P도 의무화…실전형 검증 강화

보안 전략, 규제 준수에서 실전 대응으로

▶ 한국 소비자 SSD 시장 가까이 가겠다는 키오시아 “크루셜 빈자리 채우러 왔습니다”▶ [위클리AI] 구글 제미나이, 더 유용해진다···오픈AI와 차별화 외▶ [투자를IT다] 2026년 1월 3주차 IT기업 주요 소식과 시장 전망

추천 비추천

댓글 영역

① NFT 발행

② NFT 구매

하단 갤러리 리스트 영역

왼쪽 컨텐츠 영역

갤러리 리스트 영역

페이지 이동

오른쪽 컨텐츠 영역

알림 설정

알림

디시콘 리스트

디시콘

디시콘 검색결과(0)

인기 디시콘

▶ 한국 소비자 SSD 시장 가까이 가겠다는 키오시아 “크루셜 빈자리 채우러 왔습니다”▶ [위클리AI] 구글 제미나이, 더 유용해진다···오픈AI와 차별화 외 ▶ [투자를IT다] 2026년 1월 3주차 IT기업 주요 소식과 시장 전망