잇단 유출 사고에 ‘개인정보보호 관리체계 인증제도’ 개편…달라지는 점은?

IT동아

2026.01.20 18:56:15

조회 543 추천 0 댓글 5

[IT동아 김예지 기자] 정부가 정보보호 관리체계 인증(ISMS) 및 개인정보보호 관리체계 인증(ISMS-P)의 실효성을 높이기 위해 제도를 전면 개편한다. 이는 지난해 10월 국가 전반의 정보보호 역량 강화를 위해 발표된 ‘범부처 정보보호 종합대책’의 후속으로, 국가 인증을 취득한 기업에서조차 개인정보 유출 사고가 잇따르자 인증 제도의 개선이 필요하다는 판단에 따른 것이다.

정부는 지난해 12월 인증 실효성 강화를 위한 제도 개편 방안을 발표했다 / 출처=AI 생성 이미지

정부는 ‘강화된 정보보호 관리체계 구축’을 목표로 지난해 12월 제도 개편 방안을 발표했다. 개인정보위는 사고 발생 기업에 대한 현장 점검에 착수했으며, 과기정통부는 900여 개 ISMS 인증 기업의 자체 점검 결과를 바탕으로 올해부터 현장 검증을 이어간다. 양 기관은 합동 TF를 통해 확정한 개선안을 2026년 1분기 단계적으로 시행한다. 지난 1월 9일에는 정보보호 공시 의무 대상자를 확대하는 ‘정보보호 산업법 시행령’ 개정안을 입법예고 했다.

앞서 정부는 금융·통신 등 핵심 IT 시스템에 대한 보안 취약점을 점검한다고 밝혔다. 특히 통신사는 실제 해킹 방식을 모방한 불시 점검을 받게 되며, 취약한 펨토셀은 즉시 폐기 조치될 계획이다. 보안 인증 제도를 현장 심사 중심으로 전환하고, 사후관리를 강화한다. 모의해킹 훈련과 화이트 해커를 활용한 상시 점검 체계도 구축한다.

ISMS·ISMS-P, 개정되는 이유는

범부처 정보보호 종합대책 목표 / 출처=과기정통부

ISMS는 기업의 정보자산을 안전하게 보호하는 보안 조치를 국가가 인증하는 제도다. ISMS-P는 여기에 개인정보 보호 영역을 더한 것이다. 기존에 ISMS는 법상 의무대상자(ISP, IDC 기업) 등에 의무였던 반면, ISMS-P는 자율 인증에 가까워 그동안 기업들은 필요에 따라 선택적으로 받아왔다.

그러나 지난해 인증을 취득한 통신사, 쿠팡, 롯데카드 등에서 침해 사고가 연이어 발생하며 실효성 논란이 일었다. 예컨대, 지난해 발생한 KT 해킹 사고는 인증 범위 밖이었던 펨토셀을 통해 발생하면서 기존 관리 체계의 한계를 드러냈다. 인공지능(AI)을 활용한 공격이 갈수록 지능화되는 상황에서 보안 인증은 최소한의 방어선에 불과하다. 인증 취득을 보안의 완성이 아닌 지속적인 관리를 위한 최소한의 기반으로 인식돼야 한다.

ISMS-P도 의무화…실전형 검증 강화

심사방식 강화방안 주요내용(안) / 출처=과기정통부

앞으로는 기존 자율적으로 운영되던 ISMS-P 인증을 공공·민간 주요 개인정보처리시스템(주요 공공시스템, 통신사, 온라인 플랫폼사 등)에 대해 의무화한다. 특히 통신사, 대규모 플랫폼 등 국민 파급력이 큰 기업에 대해 강화된 인증기준을 마련한다. 시행령 개정안이 적용될 경우, 기존에는 매출액 3000억 원 이상의 대기업만 정보보호 현황을 의무 공시했지만, 앞으로는 코스피·코스닥 상장사 전체로 확대된다. 또한 의무에서 빠져 있던 공공기관, 금융회사, 소기업, 전자금융업자에 대한 예외도 삭제된다. 이로써 소비자는 기존보다 늘어난 기업들의 정보보호 현황을 확인할 수 있게 된다.

심사 절차에 실효성이 더해지는 조치들도 시행된다. 본심사 전 예비심사 단계를 신설해 핵심 항목들을 선제 검증하고, 기술심사 및 현장실증 심사를 강화한다. 실제 해킹 공격을 가정한 모의 침투 테스트(모의해킹)를 통해 주요 보안 취약점을 미리 점검한다. 특히 사고 이력이 있거나 위험도가 높은 기업은 모의해킹 검증이 의무화된다. 예비심사를 통과하지 못하면 본심사 자체가 불가능하며, 기존 인증 기업이라도 효력이 정지될 수 있다.

본심사 단계 역시 기존의 서면 위주 심사에서 벗어나, 실제 운영 환경을 확인하는 현장 실증형으로 전환된다. 심사원은 현장에서 세부 보안 설정과 관리 실태를 면밀히 평가하며, 심사 인력은 AI와 최신 공격 기술에 능통한 전문가들로 구성된다.

사후관리도 한층 강화한다. 유출사고 발생 시 특별 점검을 실시하며, 중대 결함 발견 시 인증위원회 의결을 거쳐 인증을 취소한다. 더불어 인증의 유효기간 3년은 유지되나, 매년 상시 점검을 통해 기준 미달 시 신속한 보완을 요구하는 등 운영 단계의 책임성을 강화했다.

보안 전략, 규제 준수에서 실전 대응으로

범부처 정보보호 종합대책 목표 / 출처=한국인터넷진흥원

기업들의 부담 증가에 대한 우려의 목소리도 있다. 예비심사 신설과 현장 실사 확대로 심사 일정이 길어지면서 기업 입장에서는 경제적·행정적 부담이 커지기 때문이다. 또한 고도의 기술력이 필요한 모의해킹과 현장 실증을 수행할 전문 심사 인력의 수급 불균형 문제도 과제다.

일각에서는 내용이 상세할 경우 오히려 해커에게 기업의 보안 취약점 지도를 제공하게 될 수 있다는 지적도 나온다. 따라서 기업의 영업 비밀을 보호하면서 투명성을 높이는 정교한 가이드라인이 필요하다. 홍관희 LG유플러스 센터장은 지난 IT동아와의 인터뷰에서 “기업의 운영 문화와 거버넌스 중심으로, 실질적인 항목 전반을 평가하는 방향으로 발전해야 한다”고 제언했다.

과기정통부는 입법예고 기간 중 공청회 등을 통해 수렴한 각계의 의견을 바탕으로 법제처 심사 등 후속 절차를 밟는다. 개정안은 2027년 정보보호 공시 대상자부터 적용되며, 신규 대상 기업의 부담을 줄이기 위해 공시 가이드라인 배포와 맞춤형 컨설팅 및 교육을 적극 지원할 계획이다.

한편 제도 개편은 국내 보안 산업 발전의 기폭제가 될 것으로 보인다. 예컨대, 빅데이터 분석 AI 및 보안 전문 기업 에스투더블유(S2W)는 모의해킹 의무화에 대응하기 위한 위협 인텔리전스 기반의 실전형 검증 모델을 제시한다. 기업이 취약점을 입체적으로 파악하도록 지원하고, 공개된 취약점에 대한 자동 검증 시스템을 활용해 실제 위협 행위자의 공격 시나리오 기반 테스트를 제공한다. 다크웹에 유출된 계정 정보로부터 실제 공격으로 이어지는 시나리오까지 검증하도록 돕는다.

보안은 이제 ESG 경영의 핵심 지표가 됐다. 기업들은 이제 단순한 보안 체크리스트 채우기 식에서 벗어나야 한다. ISMS 및 ISMS-P 개편은 대한민국 사이버 보안의 수준을 한 단계 높이기 위한 필연적인 과정이다. 이제 보안은 사고 후 수습하는 비용이 아니라, 기업의 생존을 결정짓는 자산이자 서비스 품질로 인식돼야 한다. 제도 개편이 실질적인 국가 보안 강화로 이어지기 위해 현장의 목소리를 반영한 세밀한 운영 전략과 충분한 심사 인력 확보, 중소기업과 스타트업을 위한 유인책이 병행돼야 한다.

IT동아 김예지 기자 (yj@itdonga.com)

사용자 중심의 IT 저널 - IT동아 (it.donga.com)

▶ 한국 소비자 SSD 시장 가까이 가겠다는 키오시아 “크루셜 빈자리 채우러 왔습니다”▶ [위클리AI] 구글 제미나이, 더 유용해진다···오픈AI와 차별화 외 ▶ [투자를IT다] 2026년 1월 3주차 IT기업 주요 소식과 시장 전망

고정닉 0

원본 첨부파일 4본문 이미지 다운로드

전체 댓글 0개

등록순 최신순 답글순

본문 보기

타인의 권리를 침해하거나 명예를 훼손하는 댓글은 운영원칙 및 관련 법률에 제재를 받을 수 있습니다.
Shift+Enter 키를 동시에 누르면 줄바꿈이 됩니다.

갤러리 리스트
번호	제목	글쓴이	작성일	조회	추천
설문	시대를 잘 타고나서 뜬 것 같은 스타는?	운영자	26/02/16	-	-
6637	[주간스타트업동향] 퍼슬리, 중동 최대 의료 전시회서 기업용 헬스케어 API 공개 外	IT동아	02.18	19	0
6636	올림픽에 적용된 AI 기술, 무엇이 있을까	IT동아	02.18	604	4
6635	[크립토퀵서치] 디지털자산 거래소의 장부거래란 무엇인가요?	IT동아	02.18	12	0
6634	[투자를IT다] 2026년 2월 2주차 IT기업 주요 소식과 시장 전망	IT동아	02.17	28	0
6633	[위클리AI] 구글·카카오, 손 잡았다 "진보된 일상 경험 제공" 외 [6]	IT동아	02.17	963	2
6632	[IT하는법] AI로 사주팔자·토정비결에 작명까지 보는 법 [4]	IT동아	02.17	828	4
6631	[정석희의 기후 에너지 인사이트] 4. ‘우리만의 기후테크’는 위험하다: 글로벌 표준과의 동기화가 시급한 이유	IT동아	02.16	35	0
6630	[신차공개] 페라리 최초 전기차 루체·MINI 쿠퍼 SE 폴스미스 에디션 공개 [1]	IT동아	02.16	567	1
6629	연휴 시즌 보이스피싱 주의보…통신사별 막는 방법은?	IT동아	02.16	592	2
6628	[주간투자동향] 폴스타게임즈, 프리 시리즈A 브릿지 투자 유치 外	IT동아	02.16	43	0
6627	"피지컬 AI 생태계 구축" NC AI가 꿈꾸는 차세대 AI 기술 주권	IT동아	02.13	45	0
6626	귀성길에 오르기 전, 이것만은 한 번 더...‘운전 체크리스트’	IT동아	02.13	79	0
6625	스트레스솔루션 “스트레스 관리하는 힐링비트로 글로벌 헬스케어 기업으로 도약할 것” [경북대 X SKT]	IT동아	02.13	86	0
6624	하모니게이트 “AI 로봇 의족으로 절단 장애인 사회 복귀 돕는다” [서울과기대기술지주 미래기업]	IT동아	02.13	44	0
6623	스페이스XㆍxAI 합병 “일론 머스크의 비전 실현일까? 과잉 욕심일까?”	IT동아	02.13	496	1
6622	산업부, 'K-온디바이스 AI 반도체 사업'으로 국산 AI 반도체 업계 지원	IT동아	02.12	53	0
6621	네이버 컬리N마트, 당일배송 품었다…쿠팡 이탈 고객 잡을까 [25]	IT동아	02.12	1417	5
6620	메디센싱 "소리로 상황 이해하는 AI···의료·일상 돕는 방향으로 확장할 것" [과기대 딥테크]	IT동아	02.12	47	0
6619	[스타트업-ing] 오아시스 스튜디오 “플랫폼 개발 역량 강화로 ‘카멜’ 개발 박차”	IT동아	02.12	48	0
6618	플룸네트워크 “한국, RWA 시장 성장 잠재력 크다”	IT동아	02.12	49	0
6617	서울창조경제혁신센터·LKB평산HB MOU '바이오 딥테크 기업 육성'	IT동아	02.12	44	0
6616	플랜즈커피 “무인 카페 편견 깨고 커피 사각지대 해소할 것” [경북대 X IT동아]	IT동아	02.12	47	0
6615	폴스타, 올해 판매 목표 4000대 이상…"신차 2종 투입 및 인프라 확충 추진"	IT동아	02.11	50	0
6614	[주간스타트업동향] 시프티, 30인 미만 영세사업장 대상 HR 플랫폼 무료 지원 外	IT동아	02.11	41	0
6613	'42주년' 산돌, AI 시대 맞아 한국형 버크셔 해서웨이 꿈꾸는 이유 [4]	IT동아	02.11	1139	2
6612	인천대, "실패를 성공의 자산으로"... '2026 재도전성공패키지' 참가자 모집	IT동아	02.11	50	0
6611	[스타트업 브랜딩 가이드] 브랜드 컨셉이 없으면 고객은 가격부터 본다	IT동아	02.11	62	0
6610	"안정적 출력은 기본, 위기에 강해야 됩니다" 마이크로닉스가 말하는 AI 시대 파워서플라이	IT동아	02.10	50	0
6609	양자컴퓨터가 '코인' 암호도 뚫는다던데... 진짜?	IT동아	02.10	67	0
6608	[자동차와 法] ADAS가 사고 내고 책임은 사람이 진다...과실비율의 사각지대	IT동아	02.10	44	0
6607	클로드 코워크는 SaaS 업계의 종말일까? 긍정론과 부정론 짚어보니	IT동아	02.10	59	0
6606	[위클리AI] 앤스로픽·오픈AI, 새 모델 동시 발표···역사적인 전면전될까	IT동아	02.10	56	0
6605	[자동차 디자人] ‘라곰’ 철학으로 빛의 균형을 디자인하다…황유지 지커 디자이너	IT동아	02.10	69	0
6604	LG유플러스, AI가 알아서 관리하는 ‘자율 네트워크’ 시대 연다	IT동아	02.10	51	0
6603	[황성진의 '고대 사상가, AI를 만나다'] 소크라테스가 현대인들에게 가장 먼저 던질 질문 한 가지 [3]	IT동아	02.10	927	4
6602	[스타트업-ing] 이노디테크 “AI 치아 교정 솔루션 ‘닥터얼라인내비’ 세계 무대에서도 호평”	IT동아	02.10	51	0
6601	[K-스페이스 퀀텀 점프] 3. 공항개발 수출은 새로운 성장 동력이다	IT동아	02.10	321	0
6600	[투자를IT다] 2026년 2월 1주차 IT기업 주요 소식과 시장 전망	IT동아	02.09	61	0
6599	[뉴스줌인] 'TV 헤드폰' 젠하이저 RS 275, 일반 헤드폰과 다른점은??	IT동아	02.09	125	0
6598	[신차공개] BYD, 2000만원대 전기차 돌핀 출시·제네시스, 오프로드 콘셉트카 공개	IT동아	02.09	120	0
6597	[주간투자동향] 디자인앤프랙티스, 151억 원 규모 시리즈A 투자 유치 外	IT동아	02.09	123	0
6596	"AI로 언어 진단 골든타임 확보" 송앤스타크코아퍼레이션, 착한 기술 기업 꿈꾼다 [과기대 딥테크]	IT동아	02.09	57	0
6595	아티피셜 소사이어티 “기초 학력 길러주는 AI 맞춤형 학습 플랫폼 러니” [경북대 X IT동아]	IT동아	02.09	64	0
6594	악성코드검거단 "백신 무용지물인 신종 악성코드, '악단홀'로 바로 차단"[과기대 딥테크] [6]	IT동아	02.09	1310	0
6593	빗썸 '62만 비트코인 오지급' 사고···금융당국 “거래소 긴급 점검” [9]	IT동아	02.09	1563	1
6592	마크 저커버그가 꿈꾸는 세 번째 인터넷 시대, 슈퍼 인텔리전스는 무엇일까? [27]	IT동아	02.06	1708	7
6591	유튜브에 들어온 제미나이, ‘시청 흐름 끊지 않고 궁금증 해결’ [2]	IT동아	02.06	164	0
6590	모빌린트, 스페이스린텍과 함께 '우주 산업용 AI 반도체' 도전한다	IT동아	02.06	62	0
6589	교육 인프라 공백 메우는 에듀테크…개발도상국에서 가능성 시험	IT동아	02.06	71	0
6588	[스타트업-ing] 라젠카AI “데이터 인공지능으로 헬스케어 금융 불편 해소”	IT동아	02.06	69	0