검색 - IT세상을 바꾸는 힘 지디넷코리아

ZDNet 검색 페이지

'ISMS'통합검색 결과 입니다. (32건)

태그
기간
- 3개월
- 1년
- 1년 이전

재검색

[보안칼럼] 침해사고와 보안 인증

지난해 침해사고로 대규모 개인정보 유출 사고가 잇달으면서 ISMS·ISMS-P 인증에 대한 비판이 쏟아졌다. ISMS(Information Security Management system)는 말 그대로 '정보보호 관리체계' 인증이고, ISMS-P는 ISMS를 기반으로 개인정보 보호체계까지 검증하는 '정보보호 및 개인정보보호 관리체계' 인증이다. ISMS·ISMS-P 인증 무용론? 국제 표준인 'ISO 27001' 인증과 달리 ISMS·ISMS-P 인증은 정부가 운영하므로 인증 실효성에 대한 비판은 정부 비판으로 향하기 십상이다. 지난해 10월 '범정부TF'가 발표한 '범부처 정보보호 종합대책'에 두 인증 관련 내용이 포함된 이유다. 이를 토대로 올해 3월에 개정된 개인정보보호법에서는 일정 요건의 개인정보처리자에게 ISMS-P를 의무화했고(개인정보보호법 제32조의2(개인정보 보호 인증), 역시 3월에 개정된 정보통신망법에서는 일정 요건의 정보통신서비스 제공자에게 '강화된' ISMS 인증을 차등 적용할 수 있게 했다.(정보통신망법 제47조의7(정보보호 관리체계 인증의 차등적용 등). 또한, 4월에는 두 부처가 ISMS·ISMS-P 인증의 구체적 강화방안을 담은 '정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안'을 발표했다. 돌이켜 보면, 인증받은 기업에서 침해사고나 개인정보 유출 사고가 발생했을 때 ISMS·ISMS-P 인증에 대한 비판이 일어난 건 어제 오늘의 일은 아니다. ▲인증 기준 미흡 ▲인증심사원 자질 부족 ▲인증심사 과정 부실 ▲정부의 관리·감독 소홀이 주된 비판 지점이다. 심지어 해당 인증의 무용론이 나오기도 한다. 정부 주관 보안 인증을 받은 기업에서 침해사고가 발생했을 때 정부에 대해 비판이 나오는 것은 어쩌면 자연스러운 반응일 수도 있다. 사고 기업 중에는 ISO 27001 인증도 받은 곳이 있는데, ISO 27001에 대한 비판은 거의 없는 것과 대비된다. 필자는 인증대상 기업에서 침해사고 발생 시 ISMS·ISMS-P 인증에 대한 비판이 과도하고, 그에 따라 ISMS·ISMS-P 인증을 강화하면 거의 사고가 발생하지 않을 것처럼 대책을 내는 것 역시 과도하다고 본다. 여러 가지 이유로 ISMS·ISMS-P, ISO 27001 인증을 포함해 정보보호 '관리체계' 인증 또는 보안 인증에 대해 잘못 인식된 것이 주된 원인이 아닐까 싶다. ISMS·ISMS-P 인증 강화를 통해 인증대상 기업에서 사고가 발생하지 않도록 하고자 하는 정부의 노력에 대해 충분히 공감하면서도, 다음과 같은 두 이유로 정보보호 관리체계 인증 또는 보안 인증을 받은 기업에서도 침해사고가 날 수 있다는 인식 또한 필요함을 설명하고자 한다. 첫째, 정보보호 관리체계 인증의 본질적 특성과 둘째, 보안 인증의 본질적 특성이다 ISMS·ISMS-P 인증은 '관리체계' 인증이다! ISMS·ISMS-P 인증은 보안 인증 중에서도 정보보호 '관리체계'에 대한 인증이다. 적절한 정보보호 거버넌스를 구축하고(관리체계 기반 마련), 이를 기반으로 관리체계를 수립·운영하는 것을 검증한다. 이때 위험관리(또는 위험평가)를 통해 인증 범위 내에 어떤 위험(위협과 취약점)이 있는지, 그에 대한 보안대책은 수립되어 있고 제대로 작동하는지를 관리적·기술적·물리적 보안 영역의 '보호대책 요구사항'을 기준으로 증빙을 통해 검증한다. '관리체계'가 인증 기준에서 요구하는 대로 구축되고 각 영역에서 제대로 작동하는지 살펴보는 것이다. 예를 들어, 보호대책 요구사항 중 대표적인 기술적 보안 분야인 접근통제 분야(2.6)에는 2.6.1~2.6.7의 7가지 점검 항목이 있고, 그중 네트워크 접근(2.6.1)의 내용은 다음과 같이 되어 있다. 관리체계 인증은 사고가 발생할 수 있음을 전제로 한다 하나 더 살펴보자. ISMS 인증 기준의 많은 부분은 침해사고 예방을 위한 것이지만, 침해사고 발생 시 대응에 관한 내용도 포함되어 있다. 사고가 났을 때 법규를 준수하고 사전에 준비한 대응 절차에 따라 신속·정확하게 대응함으로써 피해를 최소화하고, 복구할 것을 규정한다. 상식적으로 고개를 끄덕일 만한 내용이다. 비슷한 인증 기준(통제항목)은 ISO 27001에도 있다. 사고가 났을 때도 관리체계는 여전히 중요하다. 관리체계가 제대로 되어 있지 않다면, 침해사고 발생 시 우왕좌왕하다가 사고를 더 키울 수 있다. 따라서 정보보호 관리체계 인증의 본질적 특성으로 볼 때 침해사고가 발생했다는 사실만으로 비판하는 것은 적절하지 않다. 침해사고를 줄이려면? 제품 및 서비스에 대한 침해사고를 최소화하기 위해서는 무엇보다도 '안전한 소프트웨어 개발 프로세스(Secure SDLC)'를 구축해 제품 및 서비스 개발 시 개발 단계별 보안 활동을 통해 취약점을 최소화하고, 출시 이후에도 이러한 보안 활동과 함께 모의해킹, 버그바운티 등을 통해 취약점(기존에 있거나 새롭게 발굴됐거나)을 선제적으로 탐지하여 신속하게 해결하는 것이 중요하다. 인터넷 접속 가능 사이트를 비롯한 기업 내 IT 인프라에 대해서도 마찬가지다. 인증 범위를 실효성 있게 정하여 ISMS·ISMS-P 인증을 받았다면, 기업의 관련 활동에서 정보보호 관리체계가 작동해 위험평가에 따른 보안대책을 구현하고, 그 결과를 모니터링하여 취약점을 탐지·대응·개선해 나가야 한다. 침투 테스트 등 '공격팀'(Red team)의 지속적 활동 역시 도움이 된다. 또한, 클라우드, SW 공급망, AI와 같이 새로운 보안 영역이 발생했을 때 그에 대한 위험평가를 통해 보안대책을 수립·운영함으로써 그러한 영역에서 발생하는 취약점을 예방·대응해야 한다. ISMS·ISMS-P 인증을 받은 기업에 침해사고가 발생하지 않도록 하기 위해 이러한 내용을 모두 정보보호 관리체계 인증에 포함하는 것이 바람직한가? 이런 모든 것을 다 포함하는 '올인원' 보안 인증은 가능한가? 만일 그러한 인증 체계를 만든다고 하면, 그것은 현실적으로 작동할 것인가? 보안을 조금 아는 사람이라면 당연히 아니라고 답할 것이다. ISMS, ISMS-P, ISO 27001, ISO 27017, ISO 27018, CSA STAR, SOC 2, ISO 22301 등 보안의 각 영역에 적합한 활동과 인증이 있다. 관리체계 인증은 그 나름의 역할이 있다는 말이다. 좀 더 본질적인 질문을 해 보자. 이런 보안 활동을 모두 하면 침해사고는 발생하지 않을 것인가? “보안 사고가 발생하지 않는다고 보증할 수 없다” 한 10년은 된 것 같다. 한 전자 대기업의 기술 고문으로 일하던 때 글로벌 보안 인증기업 사람들을 만난 적이 있다. “보안 사고가 발생하지 않는다고 보증하는 보안 인증은 없습니다.” 한창 스마트 제품(IoT 기기)에 대한 보안 인증 이슈가 떠오르던 때라서 '영업'을 하러 온 자리인데도 인증기업 쪽에서 이런 얘기를 꺼냈다. 인증(Certification)은 기본적으로 제품·서비스·인프라 등 '인증대상'이 사전에 수립된 '인증 기준'을 충족하는지 '검증'하는 작업이다. 품질경영시스템(ISO 9001) 인증, 가족친화 인증, TOEIC·TOEFL 같은 영어능력 인증 등 여러 분야에 많은 인증이 다양한 형태로 존재한다. 다른 분야와 달리 보안에는 공격자가 존재한다. 공격자는 공격 대상을 수년 동안 연구하며 시·공간의 제약을 벗어나 공격할 수 있지만, 공격 대상은 어떠한 공격자가 존재하는지조차 모르고, 그들이 언제 어떤 기술로 자신의 어느 부분을 노리는지 알기 어려운 극히 '기울어진 운동장' 위에 있다. 또한, 인증 기준에 맞춰 보안 인증을 받았다 하더라도 시간이 지나면서 드러나지 않았던 취약점이 밝혀지기도 하고, 새로운 공격자와 공격 기술이 출현해 과거에는 취약점이 아니었던 것이 취약점이 되기도 한다. AI의 등장으로 과거와는 다른 기술과 속도, 지속성으로 공격이 들어온다. 사회공학 공격을 통해 보안이 뚫리기도 한다. 보안 역량이 강하기로 유명한 마이크로소프트나 시스코에서도 침해사고가 발생하곤 한다. 이들 기업은 침해사고가 발생해도 신속하게 탐지·대응함으로써 피해를 최소화한다(고 주장한다). (물론 정보보호 관리체계를 기반으로 상당한 기술적 역량이 쌓였기 때문에 가능할 수 있다). 어떠한 보안 인증도 침해사고 예방을 보증할 수 없다는 것은 너무나 자명한 사실이다. 보안 인증과 정부 역할 다른 한편으로는, 기업의 침해사고에 대해 사실 관계를 조사해 행정처분 등 해당 기업의 책임을 묻는 것은 정부의 역할로 적절해 보이는데, ISMS·ISMS-P 인증의 세부적인 개선 대책을 준비·발표하는 일까지 정부가 나설 일인가 하는 의문도 생긴다. 특히 '강화인증군(안)'에는 ▲매출액 1조 원 이상 주요 ISP‧IDC ▲매출액 3조 원 이상 정보통신서비스 제공자 등이 포함된다고 하는데, 이런 대기업에 문제가 생기면 정부가 책임을 물으면 되지, 세금을 투입하여 새로운 인증 기준을 추가하면서까지 지원해 줄 일인가 싶다. 세계 주요국에 이런 사례가 있는지 궁금하다. ISMS·ISMS-P 인증의 '첫 단추'가 정부 주관으로 끼워졌으니 어쩔 수 없는 면이 있다 하더라도 이제는 정부가 보안 인증에서 자신의 역할을 점차 줄여나가는 방향으로 전환하는 게 어떨까 한다.

2026.08.04 22:55강은성 컬럼니스트

"K-보안, 인증도 우물안...CSMS로 고도화해야"

"한국 사이버보안의 글로벌화를 위해서는 평가 수준 역시 글로벌 스탠다드에 맞춰야 합니다. 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증에 산재한 문제들을 최소화하고 국제 흐름에 맞춘 사이버 보안 관리체계(CSMS,Cyber Security Management system) 인증으로 고도화해야 합니다." 공병철 국제사이버보안인증협회 회장은 2일 지디넷코리아와 인터뷰에서 ISMS-P, 정보보호 공시 등 현 정보보호 체계의 의무화와 그 외 산재한 문제들에 대해 쓴소리를 쏟아냈다. 그는 이날 ▲정보보호 공시 제도 ▲정보보호최고책임자(CISO) 지정 제도 ▲ISMS-P 인증 제도 ▲ISMS-P 인증 심사 구조 ▲ISO/IEC 27001 ▲인증 심사기관의 투명성 ▲과징금 활용 방안 ▲국제 표준 무관심 등 사이버 보안 인증·공시 의무 관련 산재한 문제점을 현장의 관점에서 비판했다. 이같은 문제를 해결해야 한국 사이버 보안이 세계 표준을 선도할 수 있다는 지적이다. "정보보호 공시 의무화 대상 확대, '기준선' 없으면 무용지물" 공 회장은 정보보호 공시 의무화 대상이 전체 상장사로 확대될 예정인 가운데, 민간 기업의 적정 정보보호 투자액이 얼마인지 기준선이 부재한 상태에서 무조건 공시만 확대한다고 능사가 아니라고 지적했다. 그는 "과거에는 금융권 정보보호 557 투자라고 총 직원 중 IT 인력 5% 이상 확보, IT 인력 중 정보보호 전담 인력 5% 이상 구성, 전체 IT 예산 중 7% 이상을 정보보호에 사용하는 권고 기준이 있었다"면서 "그런데 금융권에서 557 이상 정보보호에 투자하기 시작하면서 이같은 권고 기준이 2020년을 기점으로 사라졌다. 하지만 금융권이 투자 수준을 맞춘 것일 뿐 민간에서는 여전히 정보보호 투자가 부족한 상황"이라고 진단했다. 공 회장은 "그럼에도 금융권이 정보보호 557 투자 권고 기준을 없앴다고 해서 민간에서도 이같은 기준을 따르지 않게 됐다"며 "얼만큼 투자해야 할지를 마련해 놓지 않은 채 공시만 확대한다고 해서 투자 확대가 일어날 거라는 생각은 오산"이라고 지적했다. 아울러 공 회장은 정보보호 분야에 전문 지식이 없을 것으로 우려되는 회계법인들이 정보보호 공시 사전점검반으로 활동하고 있는 상황에 대해서도 지적했다. 그는 "정보보호 공시는 정보보호 인력 및 투자액만 공시하는 것이 아니라 ISMS-P, ISO27001 등 공시대상 연도에 유효한 정보보호 관련 인증 및 평가 점검 등에 관한 사항들을 공시하도록 명시하고 있다"면서 "정보보호 공시 사전점검 기관은 총 31곳이 있는데, 이들은 대부분 회계법인이거나, 민간 기업이 수행하고 있다. ISMS-P, ISO27001 등 정보보호 전문 지식을 요하는 인증에 대한 사항을 이들이 제대로 점검할 수 있는지는 의문"이라고 밝혔다. 정보보호 공시 사전점검 기관은 기업이 정보보호 공시를 수행할 수 있도록 지원하고, 공개할 정보보호 현황이 공시 가이드라인 등을 중수해 작성됐는지 점검하는 역할을 수행한다. 지난달 기준 정보보호 공시 사전점검반은 31곳이다. 이 외에도 공 회장은 "정보보호 공시를 했을 때 기업에 되돌아가는 인센티브가 없어 공시 의무화에 대한 명분이 부족하다"며 "현재 자율적으로 정보보호 공시를 했을 경우에만 ISMS(정보보호 관리체계) 인증 수수료 30%를 할인해주고 있는데, 이같은 혜택은 의무 기업에는 제공되지 않는다"고 강조했다. 그는 "의무 대상이 되는 기업들은 공시를 위해 정보보호 예산을 투자하고, 인력을 늘리고, 인증을 획득하는 등 많은 비용을 써야 하는 반면 지원은 없다"며 "제도를 강제적으로 의무화 했을 때 메리트가 없기 때문에 세제 혜택 등 인센티브도 제공할 수 있어야 한다"고 제언했다. "과기정통부, CISO 지정 제도 관리·감독 뒷전" CISO 지정 제도와 관련해서는 정부가 관리·감독을 소홀히 하고 있다고 일침했다. 올해 3월 기준 개정된 정보통신망법에 따르면 CSIO는 임원을 CISO로 지정하고 과학기술정보통신부장관에게 신고하라고 규정하고 있다. 공 회장은 "과거 CISO 지정 제도는 임원급, 임직원 급에서 지정하도록 규정돼왔고, 지난해 잇달아 해킹 사고가 터져 나오면서 올해가 돼서야 이사회에 참가하는 임원을 CISO로 지정하라고 명시했다"면서 "그러나 과기정통부는 CISO 지정 제도가 의무화된 2018년부터 단 한 번도 CISO를 지정·신고한 기업에 대한 감독에 나선 적이 없다"고 말했다. 공 회장이 제시한 자료에 따르면 CISO 지정 제도가 의무화된 2018년을 기점으로 신고·지정한 기업이 크게 늘었다. 2018년 1442건에 불과했던 신고 건수가 2019년 5260건, 2020년 9018건으로 급증했다. 공 회장은 "제도가 의무화되자 많은 기업들이 CISO 지정·신고에 나섰으나 2020년부터 코로나19가 터져 나오면서 다시 신고 현황이 급감했다"며 "2024년에 신고 건수가 전년 884건에서 5617건으로 급증했는데, 당시 과기정통부가 CISO 지정을 법령에 맞춰 제대로 준수하고 있는지 여부를 검증하겠다는 보도가 나오자 또 다시 신고 건수가 늘었다. 그러나 과기정통부는 실제 검증에 나서지 않았다. 이에 CISO 지정 제도가 의무화된 이래 단 한 번도 제대로 이뤄지고 있는지 정부가 검증한 적이 단 한번도 없는 제도가 됐다"고 역설했다. "ISMS-P 심사에 영리 기업 투입?…감사는 없었다" ISMS-P 인증 심사의 구조와 관련해서는 우선 투명성에 대한 우려로 말을 꺼냈다. 국내 ISMS-P 인증 체계를 보면 과기정통부와 개인정보보호위원회(개인정보위)가 정책기관을 담당하고, 인증기관은 한국인터넷진흥원(KISA)이 담당한다. 실질적인 심사는 ▲한국정보통신진흥협회(KAIT) ▲한국정보통신기술협회(TTA) ▲개인정보보호협회(OPA) ▲차세대정보보안인증원(NISC) ▲한국경영인증원(KMR) 등 5개 기관 및 기업이 맡는다. 이와 관련 공 회장은 "KAIT, TTA, OPA는 '비영리' 협회로서 심사 과정에서 투명성을 담보할 수 있지만, NISC와 KMR은 주식회사로 엄연히 영리를 목적으로 하고 있으며, 언제든지 피심사 기업이 고객사가 될 수도 있는 곳"이라며 "그렇다면 인증기관인 KISA가 이들 기업의 투명성을 담보할 수 있도록 지속적으로 심사가 제대로 이뤄지는지 감사할 필요가 있는데, 이들에 대한 감사는 이뤄지지 않는 현실"이라고 진단했다. 그는 이어 "반면 ISO27001 등 국제 표준은 이미 공정한 체계를 갖춰 놨다. 미국 역시 민간 영역과 공공 부문을 나눠 진행하고 있다"고 강조했다. "KISA, ISMS-P 인증 심사원 시험 '바늘구멍' 만들어" 공 회장은 ISMS-P 인증 심사원 시험에 대한 구조적인 문제에 대해서도 지적했다. ISMS-P 인증 심사원 평가는 필기시험과 실기시험으로 구성돼 있다. 그는 "ISMS-P 인증 심사원 필기시험 합격자 수는 100명으로 한정시켜 놓았다. 2022년과 2023년에 한시적으로 이전 필기시험 합격 이후 실기시험에서 떨어진 인원에 대해 다음 필기시험에 한해 합격 처리해주고 있는데, 이 기간만 100명 이상으로 필기시험 합격자가 늘어났을 뿐, KISA에서는 100명이라고 명시해두고 있다"며 "그런데 시험 응시생이 점점 늘어나면서 심사원 합격률은 기하급수적으로 떨어져 사실상 '바늘구멍' 뚫기가 됐다"고 밝혔다. 이와 관련해 공 회장은 "ISMS-P 인증 심사원 평가를 통해 PM급 평가자를 양성하는 것이 시험의 목적인데, 바늘구멍 시험으로 만들어 KISA에 심사원들이 기댈 수밖에 없는 구조를 양산하고 있다"며 "정작 심사원들은 어렵게 시험에 합격해도 열악한 처우에 컨설턴트나 기업 보안 담당자로 떠나고 있는 실정"이라고 말했다. 공 회장은 "그런데 정작 정보보호 전문 서비스, 즉 컨설턴트 업체 지정도 KISA가 하고 있으며, 인정 자체도KISA가 주고 있다"며 "결국 전문가들이 어렵게 시험에 합격해 모두 KISA 밑으로 들어가게 될 수밖에 없는 구조"라고 강조했다. "사이버 보안은 全 산업 영역에 필수…선박 등 국제 표준 수용 'CSMS'로 나가야" 이제는 정보보호 관련 인증 체계가 국제 추세에 맞춰 CSMS로 나아가야 한다는 것이 그의 주장이다. 그는 "정보보호 관리체계 국제 표준인 ISO27001은 사실 ISMS 인증을 본따 만들었다. 90% 유사하며, 2013년 ISMS가 의무화됐을 당시 ISO27001도 개정됐으며, 한국이 국제 표준을 선도하고 있었다고 봐도 무방하다"면서 "기업들이 ISMS에만 매몰될 것이 아니라 전 세계적으로 통용되는 국제 표준으로 눈을 돌리면 되는데 현실이 녹록지 않다"고 밝혔다. 이어 공 회장은 "국제표준화기구(ISO)에 따르면 2013년 기준 ISO27001을 획득한 한국 기업은 731곳이었다. 같은 해 중국은 5318곳이 인증을 획득한 것으로 확인됐다"면서도 "2022년을 기준으로 보면 한국은 1531곳으로 약 두 배 늘어난 데 그친 반면 중국은 6만2245곳으로 약 11배 이상 늘어났다. 얼마나 국제 표준에 무관심한지 알 수 있는 대목"이라고 강조했다. 그는 "한국의 사이버보안 인증 체계가 다시 세계를 선도하기 위해서는 글로벌 스탠다드에 걸맞는 인증 체계로 고도화할 필요가 있다"고 말했다. 현재 ISMS-P는 정보통신망 서비스를 제공하는 ISP사업자, 집적정보통신시설 사업자, 매출액 100억 또는 일평균 이용자 수 100만 명 이상인 사업자 등 정보통신 서비스 사업을 영위하는 곳으로만 한정돼 있다. 그러나 국제 표준에 맞춰 정보통신 서비스 사업자뿐 아니라 자동차, 조선 등 일반 제조업도 대상에 포함하는 식으로 인증을 고도화해야 한다는 것이 공 회장의 생각이다. 공 회장은 "사이버 보안은 전 산업에 아우르는 중요한 영역이다. 이에 글로벌 스탠더드는 ISO23806(선박 사이버 안전 인증) 등 다른 산업군에서도 사이버 보안 관련 인증 체계를 내놓고 있다"며 "국내 정보보호 인증 체계에 산재한 문제를 현실화하고, 국제 표준으로 고도화할 수 있도록 ISMS-P에서 다른 산업군 영역까지 아우르는 'CSMS' 인증 체계가 필요한 때"라고 강조했다. 공 회장 "군대서 보안 처음 접해 ISMS 심사원으로 시작" 한편 공 회장이 이끄는 국제사이버보안인증협회는 ISMS-P 인증 심사원이 모여 2022년 9월 결성된 약 200명 규모의 협회다. 공 회장은 군 복무 시절 무선통신 중계병으로 근무하며 처음으로 보안을 접했고, 2013년 ISMS가 의무화되던 시점부터 KISA의 요청을 받아 심사원 활동을 하기 시작했다. 당시 ISMS는 처음으로 의무화되다 보니 많은 심사원들이 필요했는데, 급하게 심사원을 모집하다 보니 심사원 품질의 문제가 불거졌고, 이를 해소하기 위해 한국정보보호심사원협의회를 공 회장 주도로 만들어졌다. 과거 ISMS 인증이 의무화됐던 2013년 심사원들이 모여 2014년부터 한국정보보호심사원협의회를 결성한 것이 시작이었다. 2015년에는 한국정보보호심사원협회로 승격됐으며, 2022년 국제사이버보안인증협회로 거듭났다. 공 회장은 국제사이버보안인증협회를 이끌면서 한국인터넷정보학회 부회장과 한국사이버감시단 이사장을 역임하고 있다. 올해 2월에는 한국인터넷정보학회 산하에 인공지능 사이버보안 연구회를 만들어 위원장을 맡고 있다.

2026.06.03 08:51김기찬 기자

잇단 대형 해킹사고, 정부 '그립'은 강해져…보안 B+학점

지난해 6월 출범한 이재명 정부는 '진짜 성장'을 내세웠다. AI로 경제·사회·기술 대전환을 꾀해 국가발전과 국민행복이 선순환되는 시대를 열겠다는 것이다. 지난해 하반기부터는 30대 선도프로젝트가 가동되기 시작했으며 각 경제·산업 분야에서 AI 대전환이 진행 중이다. 일단 스타트는 좋다. AI 붐을 등에 업고 코스피 7000 시대가 열렸다. 하지만 미국·이스라엘-이란 전쟁으로 인한 고유가·고물가·고환율 리스크가 AI 대전환의 발목을 잡고 있다. 지디넷코리아는 창간 26주년을 맞아 이 격변의 시점에 있는 대한민국 산업 현장을 진단하고, 각 분야 전문가들과 함께 'AI 시대, 이재명 정부 1년'을 평가했다. [편집자주] 2025년 4월, 대한민국은 SK텔레콤 유심(USIM) 정보 유출이라는 초대형 보안사고가 터졌다. 이로부터 약 40여일 후인 작년 6월 4일 이재명 정부가 출범했다. 새 정부 출범 후에도 대형 보안사고가 잇달았다. 이재명 정부 출범 5일 후인 작년 6월 9일 예스24가 랜섬웨어 공격을 받아 홈페이지·앱·전자책·티켓 서비스가 대규모로 마비됐다. 이어 작년 8월 말~9월 초 KT의 불법 초소형 기지국(펨토셀)을 악용한 해킹으로 가입자 2만2227명의 개인정보가 유출되는 사고도 일어났다. 예스24와 KT 이후에도 롯데카드, SGI서울보증, 쿠팡에서도 태풍급 보안사고가 연달아 일어났다. 대형 보안사고가 이어지면서 이재명 정부는 규제 '그립'을 세게 쥐었다. 민간 사이버보안을 책임진 과기정통부와 개인정보보호 파수꾼인 개인정보보호위원회(개보위)가 잇달아 규제 강화책을 내놓았다. 올 1월 말 과기정통부는 20개 주요 실행과제로 이뤄진 '제2차 정보보호 종합대책'을 발표했다. 개보위는 지난 12일 대통령 주재 국무회의에서 '예방 중심 개인정보 관리체계 전환 계획'을 보고, 주요 공공시스템과 대규모 개인정보를 처리하는 약 1700개 고위험 시스템을 정부가 직접 정기점검을 하겠다고 선언했다. 이재명 정부는 지난해 공약집 등을 통해 사이버위협 대응 방안으로 ▲망 중심에서 데이터 중심의 정보보호 체계 전환 ▲침해사고 발생 시 명확한 책임 부과 ▲정보보호 공시제도 강화 추진 등을 제시한 바 있다. 일각에서는 정부의 강력한 보안 정책 드라이브로 우리나라 사이버 보안 펀더멘털이 한층 단단해질 것이라고 기대한다. 하지만 현장의 고질적인 구조적 결함을 먼저 해소하지 않은 채 밀어붙이기식 의무화만 강조한다면 산업계의 반발과 혼선은 불가피하다. 오랜 기간 체질 개선을 이루지 못한 사이버 보안 분야는 정부의 강력한 드라이브에도 불구하고 개선해야 할 부분이 포착됐다. 본지가 이재명 정부 출범 1주년을 맞아 정보보호 분야 산학연 전문가 50명에게 물은 결과, 평균 B+ 점수가 나왔다. 사이버보안과 개인정보보호 강화를 위한 잇달은 조치를 환영하면서도 "기업과 기관만 옥죄이는 것 아니냐"는 비판적인 시각과 함께 기업은 물론 보안 생태계의 한 축을 이루는 개인과 국가를 둘러싼 보안 생태계 전반이 건강해져야 한다는 것이다. 국가 망분리 대전환 'N2SF' 첫발…"정부 도입 의지 확인" 이달 초부터 국가정보원의 '국가 사이버보안 기본 지침'이 개정·시행됐다. 정보보안 체계가 레거시 IT를 넘어 AI, 클라우드 등 첨단 디지털 환경으로 전환함에 따라 선제적인 위험 관리 체계를 제도화하겠다는 것이 지침의 골자다. 가장 큰 변화는 '국가 망보안 체계(N2SF)' 시행이다. 개정에 따라 기존 지침 제 40조에 명시되었던 내부 업무망과 인터넷망의 일률적 분리 의무가 사라졌다. 본격적인 N2SF가 시행된 것이다. 그간 업무망(내부망)과 외부망은 물리적으로 분리돼 있어 외부 오픈소스나 인공지능(AI), 클라우드 등 신기술을 활용하는 데 제약이 있었다. 특히 코로나19 시기 재택 근무가 잦아지면서 외부망 접근 필요성이 대두됐고, 생성형AI 등장으로 공공 부문 디지털 혁신이 필요해졌다. 국가정보원 주도로 N2SF로 보안 패러다임을 전환할 것을 지난해부터 가이드라인 발표 등 사전 작업을 진행했다. N2SF는 기존 물리적 망분리 원칙을 데이터 중요도에 따라 차등적인 보안 시스템을 적용하는 체제로 전환하는 프레임워크다. 업무정보를 기밀(C)·민감(S)·공개(O) 등급으로 분류하고, 등급에 따라 도메인·정보시스템·보안통제를 차등 적용하도록 제시했다. 공공정보의 보안성과 활용성을 높이겠다는 목적이다. 그러나 현장에서는 어떤 데이터를 S 또는 O로 분류해야 하는지에 대한 세부 사례와 적용 기준이 모호하고, 일일이 적용하는 데 어려움이 있다는 지적이 제기됐다. 지난해부터 정부가 1년 가까이 추진하고 있지만 현장에서는 혼선이 반복되고 있는 것이다. 그럼에도 전문가들은 N2SF를 국가 최상위 보안 지침에 반영하는 등 당국의 노력은 고무적이라고 평가했다. 최영철 SGA솔루션즈 대표는 "지난해까지만 해도 N2SF에 대한 관심은 일부 공공기관에 그쳤지만, 5월부터 국가 사이버보안 기본 지침에 N2SF가 반영되면서 적용 대상이 모든 공공기관으로 확대됐다. 100명 중 20명만 관심을 가졌다면 이제는 100명 중 100명 모두 N2SF에 관심을 갖게 된 것"이라며 "국가정보원에서 C·S·O 등급 분류 체계에 대한 가이드라인도 마련하는 등 세밀한 준비가 뒷받침된다면 향후 N2SF 안착을 긍정적으로 보고 있다. 현 시점에서 N2SF 관련 정책 도입 현황은 'A' 등급으로 평가할 수 있겠다"고 밝혔다. 다만 최 대표는 "이제 본격적으로 시행하는 제도인 데다 예산 투입과 정부 대응이 중요한 분야인 만큼 향후 현장에서 요구하는 가이드라인이 늦게 발표되거나 정부의 지원이 미흡하다고 판단되면 N2SF 도입에 대한 개인적인 평가는 낮아질 것"이라고 말했다. 이재형 옥타코 대표는 보안업계 현장에서 N2SF 관련으로 겪는 현실적인 어려움에 대해 설명했다. 이 대표는 "보안 현장에서 N2SF 도입 시 C·S·O 등급 분류를 가장 어려워한다"며 "예를 들면 복지 분야 데이터는 상당히 민감한 데이터가 많은데 C·S·O 등급 분류와 법률 간 일부 맞지 않는 부분이 있다. 이처럼 C·S·O 등급 분류가 상대적으로 복잡한 분야에 있어 예외 조항 등 가이드라인이 더 세밀하게 짜여질 필요가 있다"고 말했다. 그는 "현장에서 겪는 어려움이 가이드라인에 조속히 반영돼야 N2SF 체계가 빠르게 안착할 수 있을 것"이라며 "자산 파악 후 데이터 등급 분류하고, 보안 대책을 취하는 일련의 과정들을 어떻게 처리해야 하는지 아직도 어려워 하는 조직이 많다"고 N2SF 도입 을 B-로 평가했다. 보안 인증·공시 '자율→강제' 전환…'형식주의' 탈피 현재 개정 추진 중인 정보보호산업의 진흥에 관한 법률(정보보호산업법)' 시행령안에 따르면 내년부터 정보보호 공시 의무 대상이 코스피·코스닥 전체 상장사로 확대된다. 기존에는 매출액 3000억 원 이상 상장사가 대상이였다. 정보보호 공시제도는 정부가 국민의 안전한 인터넷 이용과 기업 정보보호 투자 활성화를 위해 일정 규모 이상 기업을 대상으로 시행한다. 정보보호 투자와 전담 인력, 관련 활동 등 기업의 정보보호 현황을 의무 공개하는 제도다. 국민에게 기업의 보안 수준을 투명하게 공개해 자율적 경쟁을 유도하기 위한 제도다. 과학기술정보통신부(과기정통부)에 따르면 올해 총 693개사가 정보보호 공시 의무 대상으로 확정됐다. ISMS-P 인증 역시 의무 대상을 늘린다. 지난 4월 개인정보보보위원회(개인정보위)와 과기정통부는 '정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안'을 통해 ▲주요 공공시스템운영기관 ▲이동통신사업자 ▲본인확인기관 ▲대규모 개인정보처리자 등을 대상으로 ISMS-P 인증 제도를 의무화 했다. ISMS-P 인증을 받은 기업이 침해사고를 당하면서 자율에 맡겼던 인증 제도의 실효성이 없다는 지적이 이어짐에 따라 강제성을 부여한 것이다. 기업들이 정보보호 분야에 얼마나 투자하고 있는지 모든 국민이 알 수 있게 함과 동시에 ISMS-P 인증을 획득해야 하는 기업을 늘림으로써 자체적으로 보안에 더욱 투자를 확대할 수 있도록 조치한 것으로 풀이된다. 전문가들은 민간의 정보보호 투자 활성화를 위한 ISMS-P 인증 의무화, 정보보호 공시 의무 대상 확대는 긍정적이지만, 정부의 투자 확대 의지 또한 뒷받침돼야 한다고 주장했다. 한국정보보호학회 회장을 맡고 있는 김호원 부산대 컴퓨터공학과 교수는 "지난해 초까지만 하더라도 ISMS-P 인증 위원으로 활동했지만 최근 그만뒀다. ISMS-P 인증이 너무 형식적으로 흘러간다는 생각이 들었다. 3월께부터 한 번도 평가위원에 합류하지 않았다"면서도 "그러나 최근 정부에서 ISMS-P 인증 강화를 통해 주관기관인 한국인터넷진흥원(KISA) 등 정보보호 관련 기관에 힘을 실어준 점은 긍정적으로 평가할 수 있다"고 말했다. 이어 김 교수는 "그러나 이재명 정부가 '독자 AI 파운데이션 모델 사업'에만 너무 많은 관심이 몰려 있고, AI 모델 및 AI를 악용한 공격을 방어할 보안 분야에는 예산 등 정부의 투자 의지가 부족하다"면서 "AI 보안 이슈가 계속해서 부각되는 상황에서 정부가 보안 분야에 보다 적극적으로 예산을 투입할 필요가 있다"며 B로 평가했다. 이용준 극동대 해킹보안학과 교수는 "ISMS-P 인증 실무 기관의 역량이 중요한데, 인증 의무화 대상 확대로 추가되는 기업 수가 300개 이상이다. 기존 인증기업까지 포함해 심층 점검을 진행하기 위해서는 많은 리소스가 투입돼야 하는데, 현실성이 전제돼야 한다"며 "추가로 심사원 역량 강화와 기술적 점검 도구에 대한 지속적인 개선이 필요하다"고 강조했다. '매출액 10%' 초강수 채찍…심도 있는 분석 미흡 보안 패러다임 전환, 보안 공시·인증의 의무화에도 불구하고 반복적이거나 중대한 침해사고를 입은 기업에 대한 징벌적 과징금 부과도 주목할 만한 대목이다. 앞서 개인정보위는 지난 12일 오는 9월부터 중대한 개인정보 유출 사고를 낸 기업에 매출액의 최대 10%(현행 3%)까지 과징금을 부과하는 '징벌적 과징금' 제도를 시행한다고 밝혔다. 개정안은 반복적이거나 중대한 개인정보 침해 사고에 대한 제재 수위를 대폭 높였다. 적용 대상은 고의 또는 중과실로 3년 안에 같은 유형의 사고를 반복한 경우, 혹은 1000만명 이상 개인정보 유출 피해가 발생한 경우 등이다. 처벌 수위를 높임으로써 기업들이 더욱 경각심을 갖고 보안에 주의를 기울일 수 있도록 하기 위함으로 보인다. 그러나 표면적으로 드러난 사고 대응에만 집중한 제도일 뿐, 심도 있는 분석을 기반으로 정책을 마련했다고 보기에는 어렵다는 지적도 나왔다. 국가정보원 3차장을 지낸 김선희 가천대 스마트보안학과 초빙교수는 "어떤 사고에 대한 분석이 이뤄지고 난 이후 정책을 수립한 것이 아니라, 급한대로 사고에 대응하다 보니 형식적인 제도가 계속해서 나오고 있는 것으로 보인다"며 "국내 기업의 자체 잘못으로 인해 사고가 났으면 과징금을 매출액의 10%가 아니라 더 부과해도 마땅하지만, 외부 침해에 의한 사고면 과징금 기준이 달라야 한다. 이는 기업만의 문제가 아니다. 정부나 다른 이해관계자 등 각 주체의 책임 소재를 명확히 따져본 뒤 기업에 책임을 부과해야 하는데, 일방적으로 사고가 발생하면 기업이 모든 책임을 뒤집어 쓴다"고 말했다. 그는 "보안 투자가 부족하다는 인식 아래 인증, 공시 등을 의무화하고 있는데 정작 규모가 큰 기업들은 보안에 투자를 적게 하고 있지는 않다"며 "문제는 중소기업들인데, 이들은 보안에 투자할 여력도 없고 침해사고가 발생하면 그대로 당할 수밖에 없다. 그럼에도 과징금을 매긴다면 사고가 발생하더라도 어떻게든 숨기려할 것"이라고 부연했다. 김 교수는 매출액의 10%에 달하는 징벌적 과징금 제도를 'B'등급으로 평가했다. 과징금을 부과하는 것뿐 아니라 어떻게 활용할지에 대한 논의도 필요하다는 주장이 제기됐다. 염흥열 순천향대 정보보보학과 명예교수는 "매출액 10%에 달하는 과징금을 어떻게 사용할 지에 대한 논의는 잠깐 부각됐다가 현재 소강 상태"라며 "중소기업이나 사이버보안 분야 발전에 활용될 수 있는 기금 등의 형태로 지원이 이뤄져야 한다"고 강조했다. 이어 염 교수는 이재명 정부가 추진하는 사이버보안 정책이 지난 정부에 이어 다시 기틀을 잡아가는 과정이며, 향후 정책 방향성을 잡아가는지에 주목할 필요가 있기 때문에 당장은 A등급으로 평가했다. '미토스'에 발빠르게 대응한 과기정통부...곧 나올 새 정보보호 대책에 시선 미국 AI 전문기업 앤트로픽이 개발해 지난달 7일 공개한 AI모델 '미토스(Mythos)'가 가공할 보안 능력으로 미국 등 전세계에 경각심을 주고 있다. '미토스'에 대한 우리 정부의 대응책은 빨랐다. 미토스가 정식 발표된 지 일주일후인 지난달 14일 정부는 청와대 국가안보실은 민·관·군 주관 부처에 긴급 대응을 주문했고, 과기정통부는 각 기업 정보보호 최고책임자(CISO)에 AI를 활용한 보안 위협에 주의하고 각사별로 긴급 보안점검을 실시할 것을 당부하는 한편 AI를 활용한 특이 공격 발생 시 한국인터넷진흥원과 상황을 공유할 것을 요청했다. 또 이날 오후 류제명 제2차관 주재로 통신 3사 및 주요 플랫폼사(네이버, 카카오, 우아한형제들, 쿠팡 등) 정보보호 최고책임자와 긴급 현안점검회의를 개최, AI 고도화에 대한 사이버보안 대비태세 점검과 보안 체계 변화 동향을 예의주시하도록 당부했다. 뿐만 아니라 최우혁 정보보호네트워크정책실장도 같은 날 오후 국내 AI 보안전문가와 현안점검회의를 개최, '글래스윙' 프로젝트와 AI 보안서비스의 내용 및 수준, 국내에 미치는 영향 등에 대해 전문가 의견을 청취하고 대응방향 등을 논의했다. 류 차관은 지난달 16일 서울 삼성동 코엑스에서 열린 '제32회 정보통신망 정보보호 컨퍼런스(NetSec-KR 2026)'에서 축사를 하며 미토스((Mythos)에 대해 "우리 사회에 새로운 숙제를 줬다"며 또 한번 보안 주의를 환기시키는 한편 20일에는 한 행사에서 "글래스윙 프로젝트 참여를 타진중"이라고 밝혔다. '글래스윙' 프로젝트는 50개 안팎 미국 기업 및 기관에만 '미토스'의 보안 기능을 베타 테스트할 수 있는 권한을 준 것을 말한다. 이어 이번달 8일에는 배경훈 부총리가 직접 주재한 미토스 대응 산학연 보안전문가 간담회가 열렸다. 당시 간담회에는 SKT, 업스테이지, 모티프테크놀로지스 등 독자 파운데이션 모델 개발 참여기업과 주요 AI 기업, 김호원 한국정보보호학회장과 김진수 한국정보보호산업협회장 등이 참석해 의견을 내놨다. 당시 과기정통부는 "우리 사회 정보보호 패러다임을 AI기반 보안으로 서둘러 대전환해야 한다"고 강조했다. 산업계 시선은 과기정통부가 조만간 발표할 제 3차 정보보호 종합대책에 쏠린다. 2차 종합대책은 올 1월말 나왔다. 장일수 스패로우 대표는 "작년에 잇달아 일어난 대형 보안사고로 국내 보안시장 규모가 커질 것으로 보인다"면서 "미토스 등장으로 국내외 보안 시장이 새로운 환경을 맞았는데, 정부의 새 종합대책이 국내 보안산업계의 체질을 강화하는 계기가 됐으면 좋겠다"고 밝혔다.

2026.05.27 10:56방은주 기자

넷앤드, ISMS·ISMS-P 취득 과정 자동화…'들쑥날쑥' 컨설팅 개선

통합 접근제어 및 계정관리(IAM) 솔루션 전문 기업 넷엔드(대표 신호철)가 정보보호 관리체계 인증(ISMS), 정보보호 및 개인정보보호 관리체계 인증(ISMS-P) 취득 과정을 자동화해 컨설팅 위주의 기존 방식을 탈바꿈할 수 있는 시스템을 특허 등록했다. 넷앤드는 ISMS 및 ISMS-P 대응의 효율성과 정확도를 비약적으로 높일 수 있는 핵심 기술에 대한 특허 등록을 마쳤다고 4일 밝혔다. 이번에 넷앤드가 등록한 특허의 명칭은 '정보보호 관리체계 인증 기준에 따른 다단계 자동 적합성 판단 시스템'이다. 이 기술은 기업이나 기관이 ISMS 및 ISMS-P 인증 취득을 위해 수행하는 수준 진단과 증적 자료 검토 과정을 자동화해, 기존 수작업 위주의 컨설팅 방식이 가진 한계를 해결하는 데 초점을 맞추고 있다. ISMS 및 ISMS-P 인증은 조직이 보유한 정보자산과 개인정보를 안전하게 보호하기 위한 필수 제도로 여겨지고 있다. 최근 보안 사고가 늘어나면서 규제가 강화됐고 ISMS와 ISMS-P의 중요성은 더욱 부각되는 추세다. 그러나 복잡한 법령 체계와 방대한 증적 자료 분석은 인증 대응 시간과 비용을 증가시키고, 자료 누락과 같은 인적 오류를 일으킬 우려가 있다. 특히 기존 컨설팅 방식으로 인증 취득을 목표로 하기에는 컨설턴트 개인의 경험에 의존해 동일한 상황에서도 주관에 따라 평가가 달라지는 등 평가 기준의 일관성 결여라는 한계도 안고 있다. 넷앤드의 이번 특허 기술은 이러한 문제를 해결하기 위해 ▲1차 규칙 기반 판단(키워드 및 스크립트) ▲2차 AI 기반 유사 사례 분석 및 판단(생성형 AI 모델 활용) ▲3차 전문가 검토 및 최종 판단 등으로 이어지는 다단계 구조를 채택했다. 먼저 시스템이 정해진 규칙과 키웓에 따라 정형화된 항목을 1차적으로 걸러내고, 판단이 모호한 비정형 데이터는 생성형AI가 과거 유사 사례와 컨텍스트를 분석해 2차로 판정한다. 마지막으로 AI조차 판단이 어려운 고난도 항목만 전문가가 최종 확인하는 식이다. 각 판단 단계별로 근거가 로그 형태로 자동 기록되기 때문에 평가 과정의 투명성을 확보하는 것도 가능해 추후 검토나 감사 증거로 활용할 수 있다. 판단 결과는 '증적 관리대장'과 '수준 진단 상세결과 보고서' 등의 형태로 자동 생성해 문서화 과정의 오류 역시 최소화한다. 넷앤드는 평가 기준의 표준화를 통해 컨설턴트 개인의 역량 차이로 발생하던 품질 불균형 문제를 해소할 수 있을 것으로 기대하고 있다. 반복적이고 정형화된 업무를 시스템이 대신 처리함으로써 전체 컨설팅 소요 시간 역시 대폭 단축시킬 수 있을 전망이다. 아울러 전문가가 고난도 업무에만 집중할 수 있도록 지원하기 때문에 업무 효율성과 전문성도 동시에 향상시켰다. 넷앤드 관계자는 "이번 특허 기술은 단순히 수작업의 자동화를 넘어, 날로 복잡해지는 정보보호 법령과 인증 체계 속에서 인공지능(AI)을 결합한 차세대 보안 컴플라이언스 대응 체계를 구현한 것"이라며 "이번 지능형 판단 기술을 더해 제품 경쟁력을 한층 강화하고, 향후 관련 시장에서의 리더십을 더욱 공고히 하겠다"고 말했다.

2026.05.04 09:39김기찬 기자

개보위 과징금, 상위 20건 중 절반이 10억 넘어

개인정보보호위원회(개인정보위)로부터 지난해 100억 원이 넘는 과징금을 받은 기업은 2곳으로 집계됐다. 2024년 말 부과받은 쿠팡과 현대해상화재보험을 포함하면 10억 원이 넘는 과징금을 받은 기업도 10곳으로 나타났다. 27일 국제사이버보안인증협회(회장 공병철)가 개인정보위 공고문에 따라 집계·분석한 최근 2년간 개인정보위 과징금 및 과태료 상위순 20개 기업을 보면, SK텔레콤, 우리카드 등 기업이 개인정보보호법 위반으로 100억 원이 넘는 과징금을 부과받은 것으로 조사됐다. (아래 도표 참조) 가장 많은 과징금을 부과받은 SK텔레콤은 지난해 4월께 발생한 유심 해킹 사태로 1347억9100만 원의 과징금 철퇴를 맞았다. 여기에 더해 과태료도 960만 원을 부과받았다. 개인정보위에 따르면 개인정보보호법 제64조의 2에 따라 위반 사항이 발견될 경우 과징금을 부과한다. 이어 동법 제75조에 따른 위반 사항이 적발될 경우에는 과태료를 부과한다. 과징금과 과태료를 같은 기준으로 동시에 적용할 수 없으며, 명확한 기준은 법령에 따라 나뉘지만 크게 사안의 중대성에 따라 과징금과 과태료 사항이 나뉜다. SK텔레콤에 이어 우리카드는 지난해 3월 말께 개인정보위로부터 134억5100만 원의 과징금을 맞았다. 앞서 우리카드는 가맹점주 7만4천여명의 개인정보를 동의도 받지 않고 마케팅에 활용한 사항이 적발돼 과징금을 물게 됐다. 10억 원 이상의 과징금을 부과받은 기업은 높은 순으로 ▲메타 67억 원 ▲현대해상화재보험 61억9800만 원(과태료 102만 원) ▲카카오페이 59억6800만 원 ▲악사손해보험 27억1500만 원 ▲애플 24억500만 원(220만 원) ▲알리익스프레스 19억7800만 원(780만 원) ▲섹타나인 1477억7700만 원(720만 원) ▲SK스토아 14억3200만 원(300만 원) ▲비와이엔블랙야크 13억9100만 원 ▲쿠팡 13억1000만 원 등이다. 이 외에도 최근 2년간 과징금을 받은 기업 및 기관으로는 ▲테무 Whaleco Technology Limited 8억7900만 원(과태료 176만 원) ▲모두투어네트워크 7억4700만 원(과태료 102만 원) ▲월드코인 재단 7억2500만 원 ▲전북대학교 6억2300만 원(과태료 540만 원) ▲법무법인 로고스 5억2300만 원(과태료 690만 원) ▲동행복권 5억300만 원(과태료 480만 원) ▲엔에이치엔위투 5억300만 원(과태료 480만 원) ▲테무 Elementary Innovation Pte. Ltd. 4억 9000만 원 등이다. 공병철 정보보안인정협회장은 "정보보호 및 개인정보보호 관리체계 인증(ISMS-P) 등이 의무화됐고 과징금 부과 기준도 매출의 3%에서 10%로 상향 조정됐다"면서도 "그러나 ISMS-P 인증 심사를 받기 위한 기업들이 비용을 셀프로 지출하고 있으며, 인증 심사원도 심사에 따른 보수가 25년 전 금액과 똑같은 수준이 현재까지 유지되고 있다"고 지적했다. 그는 "개인정보위가 확보한 과징금 재원을 바탕으로 이같은 인증을 국고에서 수행토록 하며, 인증 심사원 역시 국가에서 보수를 지급함으로써 심사의 투명성을 더욱 제고할 수 있어야 한다"며 "이처럼 명확한 재원 활용 방안이 마련되지 않으면 과징금 부과 기준의 상향도 정책적 명분을 얻을 수 없다"고 강조했다.

2026.04.27 21:48김기찬 기자

"심사원마다 기준 들쑥날쑥"…보안 실무자가 외친 ISMS-P 개선점

정보보호 및 개인정보보호 관리체계 인증(ISMS-P)을 획득하려는 기업 보안 담당자 사이에서 일부 세부 항목 및 심사 방식에 대한 불만이 터져나왔다. ISMS-P 인증 심사원의 성향에 따라 인증 획득 난이도가 달라진다는 지적이다. 금융사 보안 담당자는 17일 지디넷코리아와 만나 "ISMS-P 인증 심사원의 성향에 따라 인증 난이도가 결정된다. 까다롭게 심사하는 심사원의 경우에는 인증 획득 난이도가 급격하게 어려워지는 반면, 여유롭게 심사하는 심사원은 반대의 경우가 연출될 때가 있다"고 밝혔다. 심사위원 마다 보는 '잣대'가 다르다는 것이다. IT기업 보안 담당자 역시 "ISMS-P 인증이 객관적인 지표로 평가가 되지 않는 항목도 있는데 이런 부분은 심사원의 주관이 반영될 수밖에 없다"며 "정량평가 형식을 갖추고 있지만, 정작 심사원마다 집중적으로 보는 포인트가 다르기 때문에 주관적인 평가가 이뤄진다"고 말했다. 게임사 보안 담당자는 "명확하게 안전성 확보조치에 나온 기준이나 근거가 없으면 심사 기준이 명확하지 않다"며 "실제로 방화벽 룰셋(규칙)만 하더라도 점검 때마다 보는 깊이가 다르고 범위도 천차만별"이라고 토로했다. ISMS-P 인증 심사 과정은 1~2주간 심사 이후 심사원이 제기한 결함에 대한 보완 조치를 완료하고 보고서를 작성, 인증 위원회 심의를 마치는 것으로 최종 완료된다. 보완 조치 과정이 100일 이내로 수행해야 하는 장기간의 작업인 만큼 심사 과정의 핵심이다. 그럼에도 결함 여부가 객관적인 지표가 아니라 심사원의 주관이 당락을 가르는 상황이 종종빚어지고 있다. 이와 관련, KISA는 "워낙 심사 항목이 많고 심사원도 한 명만 투입되는 것이 아니다 보니 인증을 획득하는 기업의 입장에서는 '우리 기업만 여유 없게 심사하는 것 같아'하고 느끼는 점에 대해서는 공감한다"면서도 "그러나 심사원에게 이의제기를 할 수 있는 기회를 주지 않는 것은 아니다. 주요 사항들을 점검한 이후 기업과 심사위원회 간 상호 서명해야 하는 보고서가 있는데, 기업에서도 보고서가 마음에 들지 않으면 다시 문제제기를 할 수 있다. 상호 확인된 상태에서 서명하도록 돼 있다"고 밝혔다. 그럼에도 기업 보안 담당자들의 불만은 줄어들지 않고 있다. 실제 다른 IT 기업 보안 담당자는 기존 심사에서는 결함으로 분류되지 않았던 부분이 ISMS-P 인증 갱신 시점에 다른 심사원에 의해 결함으로 분류되는 일도 겪었다. 일관되지 않은 심사가 결과마저 바꿔놓은 것이다. 그는 "ISMS-P 인증 심사 때 로그의 적재량도 확인하는데, 로그는 감사(audit)로그, 트래픽로그, 시스템로그 등 다양한 종류가 있다"면서 "그런데 ISMS-P 인증 심사원마다 필수적으로 확인하는 로그의 종류가 달랐다"고 말했다. 이 담당자는 또 "실제로 기존 심사 때 트래픽 로그 적재량 관련으로 결함이 나온 적이 없는데, 이번 심사 때에는 결함이 나왔다"며 "심사원마다 기준이 다른 부분이 결함과 직접적으로 연관되는 사례"라고 설명했다. 기업 매출 따라 불나나…매출 300억 원 미만은 '소화기 배치' 항목 제외 ISMS-P 세부 인증 항목 중에서도 개선해야 할 부분도 포착됐다. KISA에 따르면 ISMS-P를 획득하기 위해서는 ▲관리체계 수립 및 운영 인증 기준(16개 항목) ▲보호대책 요구사항(64개 항목, 190여개 점검사항) ▲개인정보 처리단계별 요구사항(21개 항목, 90여개 점검사항) 등 요구사항을 충족해야 한다. 보호대책 요구사항은 ISMS-P 인증 심사 과정 중에 서버실이나 전산실에 화재 방지를 위한 소화기 배치 등 보호설비를 갖추고 있는지까지도 확인한다. 심지어 스프링클러 유무, 누수 감지, 심지어 온도나 습도 등 항온항습 설비까지 갖췄는지도 확인한다. 현행 ISMS-P 인증 세부점검 2-4-4 항목, '항온항습·화재·누수·UPS·발전기 등 설비 운영철자 수립·운영, 인터넷 데이터 센터(IDC) 이용 시 계약서 명시·점검' 사항이다. 문제는 화재가 기업 규모에 따라 발생하는 것이 아님에도 불구하고 ISMS-P 간편인증에는 보호설비 운영 항목이 제외되면서 형평성을 저해할 수 있다는 점이다. 앞서 KISA는 'ISMS-P 간편인증제'를 도입했는데, 매출액 300억 원을 기준으로 이보다 낮으면 기존 ISMS-P 인증 대신 ISMS-P 간편인증을 획득할 수 있도록 했다. ISMS-P 인증이 획득에 필요한 수수료만 800만~1400만 원이 들고, ISMS-P 인증 소요 기간만 최소 6개월 이상 필요하다. 여기에 인증 획득을 위한 컨설팅을 받아야 하는 점 등을 고려하면 획득까지는 수천만 원의 비용이 든다. 이에 KISA는 비교적 규모가 작은 기업의 ISMS-P 획득 문턱을 낮추기 위해 기존 ISMS-P 인증보다 심사 항목을 40개가량 줄여 간소화하고 수수료 역시 400만~700만 원 선으로 낮췄다. 세부 항목 및 인증 수수료를 줄임으로써 중소기업 인증 획득을 지원하는 취지는 꼭 필요한 제도라는 것이 보안담당자들의 중론이다. 다만 세부 항목 축소 과정에서 똑같이 적용돼야 할 항목이 제외됐다. 이에 매출액 300억 원이 넘는 기업은 ISMS-P 인증을 획득하기 위해 서버실에 소화기를 둬야 하지만, 매출 규모가 이보다 낮으면 소화기 배치 여부는 확인하지 않는 역설적인 상황이다. 정부, 현장 목소리 반영해 인증 실효성 높인다…종합 대책 마련 착수 이처럼 보안 담당자들 사이에서도 ISMS-P 인증에 대한 개선 요구가 나오고 있는 만큼 정부 차원에서도 현장 의견을 반영해 인증의 실효성을 제고하기 위한 작업에 착수했다. 지난 12일 정부 등에 따르면 송경희 개인정보보호위원회 위원장, 류제명 과학기술정보통신부 제2차관 및 KISA, 금융보안원 등 인증 기관 관계자는 ISMS-P 인증의 실효성 제고를 위한 종합 대책 마련을 위한 현장 간담회를 개최했다. 이날 간담회에서는 정부가 마련 중인 ISMS-P 인증제도의 실효성 강화를 위한 정책 방향이 소개됐다. 구체적으로 ▲인증 의무 대상 확대 및 인증 기준 강화 ▲예비심사 신설과 기술심사·현장실증형 심사 적용 등 심사방식 개편 ▲유출사고 방지를 위한 인증 사후관리 강화 ▲심사기관 감독 강화 및 심사원 전문성 제고를 통한 심사 품질 향상 등을 제시했다. 간담회 참석자들은 심사의 일관성 확보를 위한 가이드를 마련해야 한다고 주장했다. 실제 기업 담당자들이 강조하는 심사원의 성향에 따라 심사 과정이 달라지는 부분을 개선해야 한다고 짚은 것이다. 정부는 간담회에서 논의된 현장 의견을 적극 반영해 '정보보호 및 개인정보보호 인증제 실효성 강화방안'을 발표할 예정이다. 염흥열 순천향대 정보보호학과 교수는 "ISMS-P 인증의 품질은 심사원의 역량과 연관될 수밖에 없다. 인증 심사 과정 중 결함을 찾아내는 것이 심사원의 역할이기 때문"이라며 "어떤 항목을 결함으로 판단하는지 기준을 일관성 있게 만들 필요가 있다"고 밝혔다. 염 교수는 "ISMS-P 인증을 획득하려는 기업의 입장에서는 '다른 기업에서는 이렇게 해도 인증 획득을 했는데, 어째서 우리는 결함으로 분류되는가'하는 형평성 문제가 불거질 수 있기 때문이다"라며 "정부에서 ISMS-P 인증을 개선하는 과정에서 대상이 되는 기업 담당자들의 의견을 수렴했을 것으로 보인다. 향후 추가적인 의견 수렴 과정이 필요하다고 생각되면 보안 담당자들 역시 적극적으로 의견을 개진해야 할 것"이라고 강조했다.

2026.03.17 22:28김기찬 기자

임종인 고려대 교수 "ISMS-P 개편, 체크리스트 수준 안돼"

"새로운 위협 환경을 감안해 인증 체계를 개선해야 하는데, 이런 부분이 반영되지 않으면 인증을 받더라도 해킹 공격에 계속해서 뚫리는 문제가 속출할 것이다. 정보보호 관리체계(ISMS), 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증이 제대로 되려면 이같은 새로운 위협 환경을 계속해서 반영하는 노력과, 제로트러스트 방법론, ISO27001 등 국제 표준에 맞추려는 노력이 수반돼야 한다." 임종인 고려대학교 정보보호대학원 명예교수는 최근 지디넷코리아와 인터뷰에서 ISMS, ISMS-P 인증 개선 방향과 관련해 이같이 밝혔다. 그는 "기존의 ISMS 인증은 경계 보안 기반이다. 그러나 쿠팡, 신한카드 등 최근 발생한 사고들은 내부자에 의해서 발생했는데 이런 부분은 ISMS 인증을 받아도 소용이 없다"며 "이처럼 무선 백도어, 내부자, 공급망 공격 등 새로운 위협 환경을 감안해 ISMS를 개선해야 한다. 심지어 무선 백도어 공격 장비도 10만원이면 구매할 수 있을 정도로 공격의 장벽이 낮은 상황인데, 정부가 ISMS 체계를 개선하는 작업에 이런 신종 위협을 반영해야 할 것"이라고 강조했다. 임 교수는 또 국제 표준에 맞춘 인증 체계 개선이 필수라고 강조했다. '체크리스트' 수준의 패스 혹은 논패스 인증 심사 방식도 문제라고 지적했다. 임 교수는 "ISO27001등 국제 표준에서 나아가 신종 위협 등에 대한 추가적인 보안 조치를 요구하는 '플러스' 방식의 인증 체계를 내놓아야 '한국형'이라는 이름을 붙여가며 독창성까지도 챙길 수 있는 방법임이 분명하다. 그러나 국제 표준을 준수하기는커녕 패스 혹은 논패스의 심사 방식은 일종의 '요식형'"이라며 "국제 표준에 '플러스(+)' 방식으로 인증이 마련돼야지 나름대로 재단해서 보안 사항을 빼버리면 안 된다"고 역설했다. 그는 "해외에서는 이미 제로트러스트 방법론으로 보안 체계를 구축하려는 시도들이 이어지고 있는데, 한국화 인증이라고 내놓은 것들이 이런 흐름은 반영하고 있지 못하다"며 "미국은 2027년께 전부 제로트러스트 기반의 보안 체계로의 패러다임 변화를 주고 있다. '한국형'도 좋지만, 국제 표준에서 더 나아간 방식으로 '한국형' 인증 체계를 만드는 것이 중요하겠다"고 밝혔다. 임 교수는 ISMS 인증 심사 부문에서도 개선해야 할 사항이 있다고 봤다. 그는 "정부가 ISMS 인증 의무화 대상을 확대하겠다는 의지를 보이고 있는데, 현재 ISMS 심사는 한 기관이나 기업에 오래 있어봤자 일주일이다. 평가 중 서류 작업 상태 확인하고 실제 시스템을 레드티밍까지 하면서 제대로 심사하는 것은 사실상 불가능한 상태"라며 "1년에 제대로 심사하면 100곳도 심사하지 못한다. 50곳을 심사해도 정말 부지런히 심사한 것이다. 이런 상황에서 인증 의무화 대상자를 확대한다는 것이 의문"이라고 설명했다. 그는 "회계 감사도 4곳 회계법인에 정부가 위임한 형태로 진행하고 있다. 그리고 만약 법인이 부정한 행위를 하면 엄격하게 책임을 묻는다. 그렇게 회계 감사라고 하는 새로운 비즈니스 모델도 생긴 것"이라며 "ISMS도 기관에서 제대로 심사할 수 없는 환경이라면 위탁을 시키고 위탁 업체를 감시·감독하는 형태여야 한다. 정부가 스스로 모든 곳을 평가하겠다고 하면 제대로 된 인증 심사가 이뤄지지 않는다"고 강조했다. 이에 그는 "근본적으로 ISMS 인증 체계가 제대로 마련되려면 민간에 심사 업무를 위탁하고 전문화시킬 수 있는 방안을 고민해야 한다"며 "의무화 대상을 확대할 거면 한 번에 대상을 늘리는 것이 능사가 아니라, 점진적으로 확대하고 그 동안 실제 검사할 수 있는 우리 역량도 키우는 것이 중요하다"고 말했다. 임 교수는 인공지능(AI)과 결합된 방식의 체계 개편도 필요하다고 주문했다. 그는 "제로트러스트 기반의 인증 체계 개편도 오늘날에 와서야 구현이 가능해졌다. 사실 제로트러스트는 10여년 전부터 제시된 개념인데, 당시에는 구현할 수 있는 방법이 없었고 제대로 실현시키기 어려운 상황이었다"며 "반면 현재는 제로트러스트 방법론에서 요구하는 마이크로 세그멘테이션(Micro Segmentation), 즉 최소 권한·제로 트러스트 원칙으로 트래픽을 제한하는 보안 접근 방식 등을 AI가 발전돼서 각 보안 회사들이 가진 데이터를 이용해 훈련만 제대로 시키면 제로트러스트에 한발 다가갈 수 있다"고 당부했다. 다만 임 교수는 국가AI전략위원회에 유능한 실력자들이 합류하고 있는 만큼 향후 정부가 올바른 개선안을 도출할 것이라고 믿고 있다. 그는 "ISMS를 두고 여러 논의가 계속돼야 할 텐데, 국가AI전략위원회에 보안TF 리더로 한국인터넷진흥원(KISA) 원장을 지낸 이원태 국민대 특임교수, 김휘강 고려대 교수 등 신뢰할 수 있는 사람들이 합류해 있기 때문에 향후 좋은 방향으로 개선될 거라 믿는다"며 "다만 실천 가능한 방안이 나올 수 있을지 걱정된다"고 밝혔다. 임종인 교수는 고려대 정보보호대학원 원장을 역임했다. 초대 개인정보보호위원회 위원으로도 활동한 '보안 구루'다. 15대 한국정보보호학회 회장을 지냈고, 2015년과 2024년에는 각각 대통령비서실 안보특별보좌관, 대통령비서실 사이버특별보좌관으로 활동했다. 현재는 고려대 정보보호대학원 석좌교수이자 명예교수로 있으며, 김&장법률사무소 고문이다.

2026.01.21 16:27김기찬 기자

수술대 오른 ISMS-P…S2W, 실전형 모의해킹 '주목'

지난해 정보보호 및 개인정보보호 관리체계 인증(ISMS-P), 정보보호 관리체계 인증(ISMS)을 받은 기업마저도 해커의 공격에 무너졌다. 이에 정부가 강화를 골자로 인증 체계를 손보고 있다. '체크리스트' 형식의 서류 중심 인증 심사에서 벗어나 모의해킹, 취약점 진단 등을 의무화하는 식의 '현장 검증'을 강화하는 방안이 꼽힌다. 이에 에스투더블우(S2W) 등 공격자 관점에서 조직의 취약점을 선제적으로 파악하고 대응하는 오펜시브 보안 기업에 관심이 모아지고 있다. 19일 한국인터넷진흥원(KISA)에 따르면 국내 사이버 침해사고 신고 건수는 2022년 1천142건, 2023년 1천277건, 2024년 1천887건 등으로 매년 증가세를 기록했다. 지난해 수치는 집계되지 않았지만, 상반기에만 1천건 이상이 접수돼 전년 동기 대비 침해사고 신고 건수는 약 15% 늘었다. 특히 지난해 SK텔레콤, KT, 롯데카드 등 굵직한 해킹 사고가 터져 나온 데다, 이들 기업이 ISMS 및 ISMS-P 인증을 받았음에도 외부 공격을 당했다는 사실이 알려져 현행 인증 제도가 충분히 대응하지 못한다는 지적도 제기되고 있다. 반기 또는 연 단위로 시행하는 주기적인 점검과 정부 차원에서 시행하는 인증 제도만으로는 실질적인 위험을 막는데 도움이 되지 않는다는 지적도 나온다. 이에 정부는 ISMS 및 ISMS-P 제도 전반에 대한 손질에 나섰다. 개인정보보호위원회와 과학기술정보통신부는 대책회의를 마련하고, 주요 공공 시스템과 대규모 플랫폼 등 중요 개인정보처리자를 대상으로 ISMS-P 인증 의무화를 2027년 7월부터 시행할 예정이다. 또 보안 사고와 직결되는 항목인 패치 관리, 취약점 점검 등 부문에서 기준에 미달할 경우 인증심사를 중단, 인증 부여 자체가 멈춘다. 인증의 실효성 강화를 위해 정부가 본격적으로 칼을 빼든 양상이다. 정부가 취약점 점검 등 부문에서 강력한 기준점을 제시한 만큼 사전에 취약점을 찾아내고 조치하기 위한 모의해킹, 취약점 진단 등 오펜시브 시큐리티 분야가 탄력을 받을 전망이다. 실제 정부가 제시한 개선안에는 사고 이력이 있거나 고위험군으로 분류된 기업에 대해 예비심사 단계부터 취약점 진단과 더불어 실제 공격 상황을 가정한 모의해킹(Penetration Testing)을 의무화하는 내용이 포함됐다. 이런 변화에 S2W는 실전형 검증 수요에 대응하기 위해 사이버위협 인텔리전스(CTI) 기반 분석 역량을 모의해킹 절차에 결합한 보안 모델을 고객사에 제시할 청사진을 갖고 있다. 디지털 리스크 프로텍션(DRP)과 공격표면관리(ASM), 위협 인텔리전스(TI)를 연계해 조직의 공격 노출 구간을 입체적으로 파악할 수 있도록 지원하는 형태다. 특히 자체 공격 표면 관리(ASM) 솔루션을 통해 외부 공격표면을 식별하고, 위험도 판별 알고리즘으로 내부 자산의 대응 우선순위를 도출하는 것이 특징이다. 공개된 취약점을 자동 검증하는 CART(Continuous Automated Red Teaming) 시스템을 활용해 실제 위협 행위자의 공격 시나리오 기반 테스트도 수행하는 것도 가능하다. 아울러 공격자의 전술·기술·절차(TTP)를 분석해 대비해야 할 취약점과 선제적 대응 방안을 제안하며, 다크웹에 유출된 계정 정보로부터 파생될 수 있는 공격 시나리오까지 검토하도록 지원하고 있다. 양종형 S2W 오펜시브연구팀장은 "S2W의 모의해킹 서비스는 노출 지표를 통합적으로 관리하고 취약점의 우선순위를 실시간으로 조정하는 등 지속적 위협 노출 관리(CTEM) 체계를 구축하는 데 필요한 기반을 제공한다"고 설명했다.

2026.01.19 23:07김기찬 기자

정부, 보안인증 ISMS-P 내년 7월부터 의무화

정부가 정보보호(보안) 분야 대표 인증인 ISMS-P를 오는 2027년 7월부터 의무화한다. 작년에 통신사와 플랫폼 기업, 카드사에서 잇달은 해킹 사건이 발생, 개인정보보호에 대한 국민 불안감이 커진데 대한 대응책이다. ISMS-P(Information Security Management system–Personal information protection)인증은 정보보호 관리체계(ISMS)와 개인정보보호 관리체계(PIMS)를 통합한 인증으로, 2019년 1월부터 시행됐다. 정보자산 보호(정보보안) 뿐 아니라 개인정보 보호법 준수까지 충족해야 인증을 받을 수 있다. 인증 유효기간은 3년으로 그동안 의무화는 아니였다. 작년 11월 중순 현재 ISMS-P 인증을 받은 곳은 1217개다. 개인정보위원회(개보위) 고낙준 과장은 13일 송경희 개보위원장이 참석한 가운데 열린 '공공분야 개인정보보호 현장간담회'에서 ISMS-P 실효성을 강화한다면서 "중요 개인정보처리자를 대상으로 ISMS-P 인증 의무화를 2027년 7월부터 시행할 예정"이라고 밝혔다. 그동안 ISMS-P 인증 의무화에 대해 정부와 국회 등에서 여러차례 얘기가 나왔지만, 개보위가 그 시기를 공개한 것은 이번이 처음이다. 이를 위해 개보위는 올 상반기중 관련 하위법령 정비를 마칠 방침이다. 의무화 대상은 매출액, 개인정보 보유 규모 등을 고려해 선정한다. 공공시스템운영기관과 주요 플랫폼기업들이 대상이 될 전망이다. 이들 의무화 대상 기업과 기관은 과징금 경감을 제외하고, 미 획득시 과태료를 신설, 3천만원을 부과할 예정이다. 개보위는 ISMS-P 인증 의무화와 함께 예비심사 도입과 현장실사 강화 등의 인증 방식 개선도 추진한다. 또 보안 사고와 직결하는 항목인 패치 관리와 취약점 점검 부문에서 기준 미달시 인증심사를 중단, 인증 부여를 아예 안할 계획이다. 또 사고기업 대상 특별점검 실시와 중대 및 반복적 법 위반시 인증취소 등의 사후 관리도 강화한다. 특별점검 항목은 비밀번호 관리, 암호와, 로그 및 접속기록, 사고대응 및 복구 노력 등이다. 한편 이날 현장간담회에 참석한 보건 분야 공공기관 담당자들은 개보위의 ISMS-P 인증 의무화에 따른 각 기관의 비용 문제와 부족한 인력 문제를 호소, 대책 마련을 요청했다.

2026.01.13 20:22방은주 기자

보안 인증 8년만에 대폭 손질...컨설팅기업들 "특수 온다" 함박웃음

정부 차원의 정보보호 관리체계 인증(ISMS) 및 정보보호 및 개인정보보호 관리체계 인증(ISMS-P) 개편 움직임이 본격화하면서 보안 컨설팅 수요도 늘어날 전망이다. 다양한 IT 자산들이 생겨나고 공격자가 노릴 만한 공격 표면이 확장되면서 지난해 수많은 침해사고가 발생해 적지 않은 한국 기업들이 골머리를 앓았다. 심지어 국내 최고 수준의 보안 인증인 ISMS, ISMS-P를 획득했음에도 해커의 공격에 무방비하게 뚫리는 기업들이 생겨났다. 이에 ISMS 인증 제도의 실효성에 대한 지적이 쏟아졌고, 정부가 이에 대응해 ISMS 인증 제도를 본격적으로 손보기 시작했다. 최초 ISMS는 어떤 모습?…2002년 만들어져 24년여간 명맥 유지 ISMS 인증은 과학기술정보통신부(과기정통부)가 2002년부터 운영해 온 제도다. 현재 운영 기관인 한국인터넷진흥원(KISA)의 전신인 '한국정보보호진흥원'이 ISMS를 운영했다. KISA 등에 따르면 당시 과기정통부는 초고속 인터넷이 보급되면서 보안 관리의 필요성이 높아졌고, 정보통신망의 안정성과 신뢰성 확보를 위한 인증제도를 시행했다. 최초에는 ISMS 고유항목 22개를 포함해 104개의 인증항목을 심사했다. ISMS는 만들어진 초반부터 난항을 겪었다. 시행된 지 1년 만에 2003년 대한민국 인터넷망이 DDoS(디도스) 공격으로 마비되는 일명 '1·25 인터넷대란'이 발생했고, 2008년엔 최대 온라인 쇼핑몰이었던 옥션에서 1천만명이 넘는 유출 사고가 터졌다. 이에 당시 ISMS 인증이 기업에 '권고'하는 수준의 자율 인증 체계였던 만큼, 기업의 보안 관리 체계를 단순히 권고하는 수준을 넘어 '의무'로 강제해야 한다는 목소리가 높아졌다. 이후 정보통신서비스제공자 대상으로 시행되던 정보보호안전진단 제도와 2013년 통합·개편됐다. 일정 규모 이상의 상급병원과 종합대학 및 온라인서비스를 제공하는 정보통신사업자에게 인증이 의무화됐다. 한편 ISMS 인증의 출시부터 일부 기업에 의무화되는 기간 동안 방송통신위원회가 주관하는 '개인정보보호 관리체계(PIMS)', 행정안전부가 주관하는 개인정보 보호 인증(PIPL) 등 다양한 정보보호 관련 인증이 생겨났다. 문제는 기업 입장에서 ISMS 인증도 의무로 받아야 하는 상황인데, 항목이 50% 이상 중복되는 PIMS 인증도 획득해야 하는 등 '중복 운영' 논란이 불거졌다는 점이다. 이에 과기정통부, 방송통신위원회, 행정안전부는 ISMS와 PIMS 인증을 통합해야 한다는 데 의견을 모았고, 이중 인증의 부담을 줄이기 위해 통합을 결정해 지난 2017년 말 지금의 ISMS-P 인증이 탄생했다. ISMS(인증 항목 104개)와 PIMS(인증 항목 86개)의 동일․유사한 인증항목을 통폐합했는데, 정보보안 관련 80개 항목과 개인정보보호 관련 22개 항목이 단일화돼 총 102개의 인증 항목으로 구성됐다. 현행 ISMS 인증은 2023년 개정 기준 64개 보호대책 요구사항, 보안 관리체계 수립 및 운영16개, 개인정보 처리단계별 요구사항 21개 등을 충족해야 획득이 가능하다. 당초 ISMS-P 인증 출시 당시 개인정보 처리 단계별 요구사항 영역에서 1개 중복적인 요소가 정리되면서 22개에서 21개로 줄었고, 현재는 총 101개 항목을 평가하고 있다. 현행 인증의 평가 항목을 구체적으로 살펴보면 보안 관리체계 수립 및 운영 항목에서는 ▲경영진 참여 ▲최고정보보호책임자(CISO), 개인정보보호책임자(CPO) 임명 여부 ▲IT 자산 위험 평가 ▲1년에 한 번 이상 관리체계 점검 여부 등을 확인한다. 64개 보호대책 요구사항에는 ▲사용자 식별 등 인증 영역 ▲네트워크 접근 제어 영역 ▲크리덴셜(비밀번호, ID 등)의 암호화 적용 여부 ▲로그 기록 및 관리 ▲모바일 기기 보안 등 인증부터 엔드포인트까지 보안 대책이 마련돼 있는지를 평가한다. 21개 개인정보 처리 단계별 요구사항에서는 개인정보 수집·파기·제3자 제공 등과 관련해 적법성을 따진다. 대표적으로 ▲개인정보 수집 시 동의 확보 여부 ▲개인정보의 기술적·관리적 보호조치 ▲개인정보 제3자 제공 동의 확보 여부 ▲회원 탈퇴 시 정보 즉시 삭제 여부 등이다. ISMS 인증 획득 의무화 기업 확대…심사 방식도 까다로워져 ISMS 인증 제도는 다시 한 번 변화의 기로에 놓였다. 이번에는 ISMS 인증을 받은 기업들까지도 해킹 공격에 무력화됐던 만큼 손질에 들어간 것이다. 개인정보보호위원회(개보위), 과기정통부는 지난해 말 ISMS, ISMS-P 인증 기업의 해킹·대규모 개인정보 유출사고가 반복 발생함에 따라, 대책회의를 지난해 12월6일 개최하고 인증 실효성 강화를 위한 제도의 전면적 개편 방안을 추진한다고 밝힌 바 있다. 구체적인 내용을 살펴보면 ▲공공·민간 주요 개인정보처리시스템(주요 공공시스템, 통신사, 대규모 플랫폼 등)에 대한 인증 획득 의무화 ▲통신사, 대규모 플랫폼 사업자 등 국민 파급력이 큰 기업에 대해 강화된 인증기준을 마련해 적용 ▲심사방식 전면 강화 ▲분야별 인증위원회 운영 및 심사원 대상 AI 등 신기술 교육을 통한 인증 전문성 향상 ▲사후관리 대폭 강화 등이 골자다. 현장 심사 중심으로 전환하고 중대한 결함이 발생할 경우 인증을 취소하는 등 실효성을 제고하는 한편, 모의해킹 훈련과 화이트해커를 활용한 상시 취약점 점검 체계도 구축할 방침이다. 심사 방식 역시 까다로워진다. 예비 심사 단계에서 핵심 항목을 충족하지 못하면 본심사에 진입할 수 없도록 조치한다. 개편안 발표 이후 지난해 12월17일 개보위는 ISMS-P 인증 의무화 대상 확대 등의 내용을 담은 '개인정보 보호법' 개정안을 국회 정무위원회 전체회의에 제출했고, 현재 통과된 상태다. 향후 과기정통부와 개보위는 합동 제도개선 태스크포스(TF)를 통해 개선 방안을 최종 확정하고, 올해 1분기 중 관련 고시를 개정해 단계적 시행에 나설 방침이다. 정부 ISMS '손질'에 보안 컨설팅 업체 수요 '맑음' ISMS, ISMS-P 인증 획득을 위해 의무 기업이나 자율적으로 인증을 획득하려는 조직에서는 보안 컨설팅 업체와의 계약을 통해 빠르고 효율적으로 인증 획득을 목표로 하고 있다. 한국정보보호산업협회(KISIA)가 발표한 2025년 국내 정보보호산업 실태조사에 따르면 2024년 기준 정보보안 관련 기업(876개) 중 22.7%(약 199개 기업)가 보안 컨설팅 사업을 영위하고 있는 것으로 나타났다. 이 중에서도 보안 컨설팅 등 정보보호 서비스의 전문 역량을 인정받은 일부 기업이 따로 분류된다. 정보보호산업법 등 관련 법에 근거한 주요정보통신기반시설에 대한 취약점 분석∙평가 업무 및 보호대책 수립업무를 지원하는 과기정통부 지정 '정보보호 전문서비스 기업'이다. 한국인터넷진흥원(KISA)이 지난해 10월 발표한 정보보호 전문서비스 기업 지정 현황에 따르면 현재 총 29개 기업이 여기에 해당한다. 구체적으로 ▲시큐아이 ▲싸이버원 ▲안랩 ▲A3시큐리티 ▲SK쉴더스 ▲소만사 ▲CAS ▲윈스테크넷 ▲이글루코퍼레이션 ▲시큐어원 ▲한전KDN ▲파수 ▲파이오링크 ▲신한DS ▲한국통신인터넷기술 ▲F1시큐리티 ▲KCA ▲한국정보기술단 ▲씨드젠 ▲한시큐리티 ▲모비딕 ▲시큐리티허브 ▲L&J테크 ▲핀시큐리티 ▲티앤디소프트 ▲라온시큐어 ▲이노시큐리티 ▲롯데이노베이트 ▲수산아이앤티 등이다. 보안 컨설팅 업체의 시장 규모도 성장세다. KISIA에 따르면 보안 컨설팅 업체의 매출 규모는 2022년 5천726억원에서 2023년 5천953억원으로 늘었고, 2024년 기준 6천426억원으로 6천억원대를 돌파해 매년 성장세를 기록하고 있다. 이런 가운데 정부가 올해를 기점으로 본격적인 'ISMS 인증 손질'에 나선 만큼, 기업의 ISMS 인증 획득을 지원하는 보안 컨설팅 업체들의 새로운 수요에 따른 성장세는 계속될 전망이다. 염흥열 순천향대 정보보호학과 명예교수는 정부의 ISMS 인증 개편 동향과 관련해 "정부가 ISMS 인증 실효성 강화를 위한 법적 기반을 마련하고 있다. 개인정보 보호법 개정안이 정무위원회를 통과했고, 근거 조항을 만드는 작업이 이뤄지는 것으로 보인다"며 "ISMS 인증이라는 중요한 정책 수단을 효과적으로 활용하기 위한 정책적 변화가 이뤄지고 있다"고 설명했다. 염 교수는 이어 "ISMS 인증 의무화 대상 기업의 수는 50~100곳 정도로 많지 않다"면서도 "다만 ISMS 인증 획득 절차나 핵심 통제 항목을 어떻게 유연화할지에 대한 컨설팅은 필요할 것으로 예상되는 만큼 보안 컨설팅 수요는 늘어날 것으로 예상한다"고 밝혔다.

2026.01.11 19:24김기찬 기자

정보보호 전문서비스기업 29곳 "수요 증가 대비 선제 대응 한창"

정부가 정보보호 관리체계 인증(ISMS), 정보보호 및 개인정보보호 관리체계 인증(ISMS-P)에 대한 강화 중심의 개편을 추진하고 있는 만큼 주요 정보보호 전문서비스 기업들은 대체로 수요가 늘어날 것으로 예상하고 있다. 실제 기존 고객사들을 중심으로 문의가 이어지고 있으며, 개편 내용이 확정되면 늘어날 수요에 선제적으로 대비하고 있는 모양새다. 정보보호 전문서비스 기업들은 주요 정보통신시설이나 전자금융 시설에 대한 취약점 분석·평가가 가능하도록 과학기술정보통신부(과기정통부가) 지정한 기업으로, 지난해 하반기 기준 총 29곳이다. 안랩 "ISMS→ISMS-P 전환·신규 의무 대상자 유입으로 수요↑" 가장 먼저 정보보호 전문서비스 기업으로 지정된 기업 중 하나인 안랩은 ISMS 인증 개편 관련으로 3가지 핵심을 짚으며, 정보보안 컨설팅 수요가 늘어날 것으로 예상했다. 안랩이 제시한 3가지 ISMS 관련 컨설팅 수요 증가 배경은 ▲ISMS에서 ISMS-P로의 전환 및 의무 대상의 전방위적 확대 ▲기술 심사 중심의 고도화와 '예비 심사제 도입' ▲사후 관리 및 제재 규정 강화에 따른 상시 거버넌스 수요 등을 꼽았다. 안랩 관계자는 "ISMS 인증의 제도적 강제성과 기술 심사 강화로 인해 정보보안 컨설팅 수요의 실질적인 확대가 예상된다"며 "2025년 하반기부터 구체화된 인증 제도 개편은 단순한 기준 변경을 넘어 국내 보안 시장의 체질 개선을 유도하고 있으며, 특히 주요 ISMS 인증 기업들의 ISMS-P로의 전환과 신규 의무 대상자의 유입이 맞물려 컨설팅 수요가 지속될 전망"이라고 진단했다. 구체적으로 안랩은 최근 개인정보 보호의 중요성 증대와 규제 강화에 따라 ISMS-P로 통합 인증을 받으려는 수요가 늘어날 것으로 봤다. 대형 온라인 플랫폼, 통신사, 주요 공공 시스템 대상으로만 의무화됐던 ISMS 인증이 이번 제도 개편으로 의무 대상이 대폭 확대될 것이라는 전망에 기반한 분석이다. 안랩은 정부가 2026년 하반기까지 인증 완료를 목표로 설정함에 따라, 신규 인증 획득 및 ISMS-P 전환을 위한 전략적 갭(GAP) 분석 컨설팅 수요가 집중되고 있다고 밝혔다. 아울러 실무적인 기술 보안 수준을 입증해야 하는 구조로 개편될 전망이 나온 만큼, 기업 스스로 준비하기에는 기술적 한계가 명확하기 때문에 전문 기술력을 보유한 컨설팅 기업에 대한 의존도는 높아질 수밖에 없다고 봤다. 인증을 획득하는 것뿐 아니라 유지 및 관리 차원에서도 높은 난이도가 요구되기 때문에 컨설팅 기업은 더욱 집중 수혜를 누릴 거라는 전망도 나왔다. 안랩 관계자는 "이제 기업들은 일회성 인증 취득 프로젝트가 아니라, 상시적 보안 수준을 유지하기 위한 '관리형 컨설팅'과 '보안 거버넌스 체계 고도화' 서비스를 필수로 선택하게 될 것"이라며 "개인정보 유출 사고 발생 시 즉각적인 '특별 사후심사'가 시행되며, 중대 결함 시 인증을 즉시 취소하는 '원스트라이크 아웃(One-Strike Out)제' 도입이 유력하기 때문"이라고 밝혔다. 라온시큐어 "모의해킹·취약점 진단 중심 ISMS 개편 중점" 라온시큐어는 정부가 ISMS 인증을 모의해킹, 취약점 진단 등을 강화하려는 움직임을 보인 데에 방점을 뒀다. 라온시큐어 관계자는 "라온시큐어는 ISMS 인증 획득 지원 관련으로 2012년부터 컨설팅 사업을 계속해왔다"며 "정부가 ISMS 인증 획등 의무 대상을 확대하게 된다면 컨설팅 수요는 높아질 것으로 예상해 대비하고 있다"고 밝혔다. 그는 "정부가 최근 화이트해커 역량이 필요한 모의해킹, 취약점 진단 등을 중심으로 ISMS 인증 심사 과정을 강화한다는 개편안을 발표했는데, 그만큼 ISMS 인증 컨설팅과 화이트해킹은 뗄 수 없는 관계"라며 "정부의 개편 이후 라온시큐어의 화이트햇센터가 제공하는 프리미엄 모의해킹 등을 중심으로 사업을 강화하고 고객사의 인증 획득을 보다 수월하게 돕는 역할을 할 것"이라고 말했다. 라온시큐어는 ISMS 구축 및 인증지원 컨설팅 서비스를 제공하고 있다. ISMS-P, ISO27001 등 다양한 인증의 획득 및 유지관리를 지원한다. 이번 인증 개편 관련, ISMS 인증과 관련해 라온시큐어 산하의 화이트햇센터와 유기적 연계를 통한 서비스 강화에 주력하고 있다. 특히 라온시큐어는 세계 최고 수준의 신뢰할 수 있는 화이트해커가 실제와 동일한 방식으로 모의해킹을 진행하는 '프리미엄 모의해킹' 서비스를 운영하고 있는 만큼, 인증 획득 과정은 물론 실제 고객사의 발생 가능한 해킹 이슈를 사전에 탐지할 수 있도록 돕는다. 이글루 "실제 수요 확산 체감…관제 기반 노하우 반영할 것" 이글루코퍼레이션(이글루)은 아직까지 보안 컨설팅에 대한 수요 증가가 숫자로 드러나지는 않았지만, 문의가 늘어나면서 실제 수요 확산이 체감되고 있다고 밝혔다. 이글루 관계자는 "이글루는 오래 전부터 컨설팅 사업을 해왔고, 뛰어난 보안 관제 역량을 기반으로 전문성도 업계에서 우위를 점하고 있다"며 "최근 컨설팅 관련으로 문의가 눈에 띄게 늘었는데, 매출에서 눈에 띌 정도로 증가량이 나타나진 않는다"고 설명했다. 이 관계자는 이어 "처음으로 ISMS 인증을 획득하려는 일부 고객사들이 이글루의 고유 역량이나 기존 레퍼런스를 보고 유입되는 경우가 많다"며 "기존 고객사는 물론 신규 고객사에 대해서도 차별화된 서비스를 제공할 것"이라고 밝혔다. 이글루는 'IGAM(IGLOO Corporation Assessment Methodology)' 방법론을 통해 정보보호 컨설팅 서비스를 제공하고 있다. IGAM은 다수의 프로젝트 수행에 적용돼 검즌된 방법론으로, 프로젝트의 특성에 따라 유연한 구성이 가능하다는 것이 장점이다. 이에 현업에 즉시 적용할 수 있도록 태스크(Task)별 모듈화 방식을 적용한 컨설팅 방법론 및 벙보보호 수준 강화를 위한 서비스를 제공하고 있다. 수산아이앤티 "N2SF·AI 등 신기술 기반 ISMS 인증까지 지원" 수산아이앤티는 최근에 정보보호 전문서비스 기업으로 지정된 기업으로, 제로트러스트(Zero Trust), 국가 망보안 체계(N2SF), 공급망 보안 등 최신 보안 트렌드를 컨설팅 방법론에 반영해 서비스를 제공하고 있다. 수산아이앤티는 "정부의 ISMS 강화 개편에 따라 컨설팅 수요가 양적·질적으로 모두 크게 성장할 것으로 확신하고 있다. 최근 정부의 ISMS 및 ISMS-P 인증 제도 개편 방향은 단순한 '인증 취득'을 넘어, '공급망 보안'과 클라우드, 인공지능(AI) 등 신기술 환경까지 검증 범위를 확대하는 추세"라며 "이에 따라 기존 ISMS 인증 의무 기업뿐 아니라 이들과 협업하는 중소·중견 기업들까지 보안 체계 수립의 필요성이 확대되고 있다"고 진단했다. 이에 수산아이앤티는 기업들은 단순한 규제 준수를 넘어 복잡해진 IT 환경에서 실질적인 리스크 관리 차원에서 컨설팅 의뢰 수요가 증가할 것으로 전망했다. 수산아이앤티 관계자는 "정부의 보안 강화 개편 움직임에 따라 회사의 보안 컨설팅 방법론을 고도화하는 중에 있다"며 "최신 보안 트렌드를 컨설팅 방법론에 반영하는 것은 물론, 컨설팅 조직의 전문성을 강화하기 위해 기술 부문의 전문 보안 컨설턴트를 계속해서 채용하고 있다"고 밝혔다. 그는 이어 "수산아이앤티는 '솔루션 개발 노하우를 활용한 통합 보안 컨설팅'을 지향하고 있다"며 "일반적인 컨설팅 전문 기업은 관리적·물리적 점검에 강한 반면, 기술적 취약점 조치에는 한계를 보일 때가 있다. 하지만 수산아이앤티는 27년 이상 네트워크 보안 및 데이터 보안 솔루션을 직접 개발·공급해 온 독보적인 기술력을 보유하고 있으며, 이를 기반으로 단순히 문제점을 지적하는 문서 위주의 컨설팅이 아닌 기술적 조치 방안까지 '원스톱'으로 제시할 수 있다는 차별점을 갖고 있다"고 설명했다. 수산아이앤티는 공공·금융·민간 부문에서 1천800곳 이상의 다양한 산업군에서 축적한 풍부한 레퍼런스를 기반으로 향후 정부의 ISMS 개편에도 발빠르게 대응할 방침이다. 확정된 내용 없어 '신중론'도…"준비는 철저히" 윈스테크넷은 ISMS 인증 개편으로 인해 늘어날 수요 예상과 관련해서는 개편 내용이 확정되지 않았기 때문에 신중한 입장을 견지하면서도, 새로 나온 내용은 곧바로 컨설팅 사업에 반영해 준비하고 있다. 윈스테크넷 관계자는 "ISMS 인증 획득 지원 관련 컨설팅 사업 부문에서 장기간의 노하우를 축적한 고급 수행 인력을 윈스테크넷은 확보하고 있다"며 "정보통신·금융기반 시설 취약점 가이드라인이 발표될 때에도 업데이트되는 내용들을 계속해서 컨설팅 사업에 반영하면서 준비하고 있다"고 설명했다. 다만 그는 "ISMS 개편 내용이 방향성은 잡혔지만, 구체적인 심사 항목이나 기준이 발표된 것이 없기 때문에 본격적인 사업 강화 전략이 수립되지는 않았다"면서도 "하지만 구체적인 심사 항목이나 새롭게 발표되는 ISMS 관련 사항이 발표된다면 사업 역량을 강화할 준비는 언제든지 마친 상태"라고 밝혔다. 윈스테크넷의 경우와 같이 정부의 ISMS 개편 관련 내용이 확정되지는 않았기 때문에 아직 '준비단계'에 머문 기업들도 적지 않다. 파수 관계자는 "보안 컨설팅 분야는 특별한 변화 없이 늘 꾸준하게 문의가 있는 분야"라며 "ISMS 인증 개편 방향이 확정되지 않아 뚜렷한 사업 확대 계획은 세워지지 않았지만, 구체적인 방안이 나오면 반영해 준비할 계획"이라고 밝혔다. 또 SK쉴더스 역시 "정부의 ISMS 제도 개편 등의 상황을 살펴보고 있다"면서도 "아직은 제도 개편 관련 필요한 준비를 검토 중"이라고 설명했다. 파이오링크 관계자는 "현재까지는 기존 고객사들이 ISMS 인증이 강화되는 것과 관련해 요구 수준에 대한 질문이 많아진 정도"라며 "아직까지는 ISMS 인증 개편 시 보호 요건을 충족하는지 여부에 대해 꼼꼼히 체크하는 문의가 많아졌다"고 말했다. 반면 전문가들은 ISMS 인증 요건이 강화될 전망이 나오는 만큼 컨설팅업체 수요는 증가할 것으로 예상했다. 이용준 극동대 해킹보안학과 교수는 "ISMS-P 제도를 정부가 강화하는 경우 기업이 확대되고 실효성을 높이기 위해 기술적 조치로 취약성 분석이 강화될 것으로 예상된다"며 "이에 ISMS-P 컨설팅업체 수요도 증가할 것이며 특히 양적 증가 보다는 취약점 점검 기술적 역량을 갖춘 컨설팅업체 여부가 중요해 져야 ISMS-P 실효성이 높아 질 것"이라고 설명했다. 이 교수는 "현재 과기정통부에서 지정하는 정보보호 서비스 전문기업은 2025년 기준 29개로 신규 보안컨설팅 기업 증가와 추가 정보보호 서비스 전문기업 추가 지정이 필요할 것으로 보인다"며 "향후 ISMP-P 강화로 보안컨설팅 시장 확장과 검증된 기술이 입증된 보안컨설팅 기업으로 보안 분야에 전반적인 강화 대책으로 기대된다"고 밝혔다.

2026.01.11 13:00김기찬 기자

내부자 무선 백도어 해킹, 신종 수법 부상…"ISMS에 포함돼야"

군사기밀 탈취를 목적으로 'USB 형태의 해킹 장비'를 동원한 가상화폐거래소 운영자에게 대법원이 상고심을 기각하고 원심 징역형을 확정했다. 이번 판결로 신종 해킹 수법에 대한 경각심이 높아지면서, Wi-Fi(무선랜) 외에 '비표준·비인가 RF 통신'까지 고려한 무선 대응 기준을 현행 보안 인증제도에 시급히 반영해야 한다는 목소리가 커지고 있다. 대법원 판결이 확정된 이번 사건은 가상화폐 거래소 대표가 텔레그램을 통해 북한 해커 '보리스'의 지시를 받아 현역 장교를 포섭, '포이즌 탭(Poison Tap)'이라는 USB 형태의 해킹 장비를 노트북에 연결해 군사기밀을 유출하려 한 혐의다. 1심 재판부는 이를 "대한민국 전체를 위험에 빠뜨릴 수 있는 중대한 범행"으로 규정했다. 문제는 이런 위협이 급증하고 있음에도 국내 대응 체계는 여전히 과거 수준에 머물러 있다는 점이다. 지난 10월 국정감사에서도 기존 Wi-Fi 기반 이외의 '변종 무선 침투 위협'에 대한 보안 공백이 지적된 바 있다. 당시 국회 과방위 소속 조인철 의원(더불어민주당)은 국감장에서 USB 케이블 형태의 '무선 스파이칩'을 시연하며 "현행 정보보호 관리체계(ISMS) 인증에 스파이칩 관련 항목이 전무하다"고 질타했다. 이에 류제명 과기정통부 2차관 역시 "ISMS 80개 항목 중 스파이칩 관련 구체 항목은 없다"며 제도적 한계를 시인했다. 국회 문체위 소속 진종오 의원(국민의힘) 또한 국회입법조사처 자료를 인용해 "최근 일반 USB 케이블에 초소형 스파이칩을 심는 무선백도어 해킹 공격이 급증하고 있다"며 "사용자 인증이나 암호화 등 소프트웨어 대책에만 초점이 맞춰진 현행 ISMS 인증으로는 하드웨어 기반의 무선 백도어를 탐지하는 데 한계가 명확하다"고 강조했다. 이에 현행 ISMS 체계를 고도화해 새로운 위협으로 부상한 무선 백도어 해킹 공격에 대비해야 한다는 목소리가 나온다. 임종인 고려대 정보보호대학원 명예교수는 "기존의 경계 보안 체계는 외부 공격은 효율적으로 방어할 수 있을지 몰라도 내부자 위협을 방어하지는 못한다"며 "무선 백도어 장비도 10만원이면 구매할 수 있는 상황에서 진화하고 있는 위협에 대한 예방이 필요하다"고 강조했다. 임 교수는 이어 "ISMS 인증은 체크리스트에 불과하다 보니 무선 백도어와 같은 물리적 환경에서 내부자에 의한 공격은 효과적으로 방어하고 있는지 검증하지 못한다"며 "인공지능(AI) 기반의 무선 백도어 상시 탐지 솔루션을 구축하고, 제로트러스트(Zero Trust) 방법론으로 내부자 위협에 대응하고 있는지 검증할 수 있어야 한다"고 밝혔다.

2026.01.06 18:30김기찬 기자

정부, 1천만명 이상 개인정보 피해시 보안인증 취소

정부가 무용론에 휘말린 정보보호(ISMS)와 개인정보보호(ISMS-P) 인증 기준을 강화, 실제 인증 취소 기업이 얼마나 나올지 주목된다. 개인정보보호위원회와 과기정통부는 29일 관계 기관과 함께 합동 대책회의를 열고 두 인증 취소 기준을 강화, 시행하기로 했다. 이에, 앞으로 정보보호(ISMS)와 개인정보보호(ISMS-P) 인증기업이 개인정보 보호법 위반으로 과징금 등의 처분을 받은 경우 위반행위의 중대성을 따져 인증을 취소한다. 특히 1천만명 이상의 피해 발생, 반복적 법 위반, 고의·중과실 위반행위로 사회적 영향이 큰 경우에는 원칙적으로 인증을 취소한다. 정보통신망법도 망법 등을 위반하고, 그 행위가 중대한 경우 인증취소할 수 있도록 법을 개정 중이며, 개정이 완료될 경우 관련 세부기준을 수립할 예정이다. 또 패치관리 등 실제 보안 사고와 밀접하게 연관된 핵심항목을 인증기업이 연 1회 받는 사후심사에서 집중 점검하고, 사후관리를 미이행하는 등 거부하는 경우와 자료 미제출 또는 허위제출 시 인증을 취소하고, 점검 결과 중대 결함이 발견된 경우 인증위원회의 심의를 거쳐 인증을 취소한다. 이날 개보위와 과기정통부는 한국인터넷진흥원, 금융보안원 등 인증기관 및 민간 전문가들로 구성한 인증위원회와 함께 '정보보호 및 개인정보보호 관리체계(ISMS·ISMS-P) 인증 취소 관계기관 대책회의'를 개최했다. KISA는 ISMS와ISMS-P(Personal Information & Information Security Management system) 법적 인증기관이고, 금융보안원은 금융 분야 인증 및 심사기관이다. ISMS·ISMS-P는 주요 정보자산 유출 및 피해 예방을 위해 일정수준 이상의 기업 또는 기관이 구축 및 운영 중인 개인정보 및 정보보호 체계가 적합한지 알려주는 인증(정보통신망법 제47조, 개인정보보호법 제32조의2에 근거)이다. 이번 대책회의는 지난 12월 6일 열린 '정보보호 및 개인정보보호 관리체계(ISMS·ISMS-P) 인증제 개선 관계기관 대책회의'의 후속 조치다. 최근 ISMS-P 인증기업의 사이버침해, 유출사고 빈발로 사후관리의 엄격성을 높여야 한다는 목소리를 반영, 관계기관은 긴밀한 협력체계를 구축해 왔으며, 이번 대책회의를 통해 그간 논의해 온 인증취소 기준 구체화 방안을 최종 심의·확정하고 즉각 시행할 계획이다. 개인정보위와 과기정통부는 지난 11월부터 운영 중인 관계기관 합동 제도개선 TF를 통해 최근 사이버침해 및 개인정보 유출사고의 주요 원인을 면밀히 분석하고, 핵심항목이 되는 인증기준을 도출해 왔다. 이번 대책회의에서는 이를 취소기준에 반영하는 방안을 논의하고, 향후 인증취소를 엄격히 적용할 계획이다. 개보위와 과기정토부는 인증 취소 이후의 관리 방안도 마련할 예정이다. 의무대상 기업에 대해서는 취소 이후 1년간 재신청 유예기간을 둬 실질적인 보안 개선이 이뤄지도록 유도하고, 해당 기간에는 인증의무 미이행 과태료를 면제해 기업의 불필요한 부담을 방지한다. 또 의무대상이 아닌 기업의 경우에도 지속적 관리체계를 구축하기 위해 인증 재취득을 권고하기로 했다. 현재 ISMS 인증은 법상 의무대상자로 정보통신망서비스제공자(ISP), 집적정보통신시설사업자(IDC) 등을 규정, 시행하고 있다. 또 ISMS-P는 현재 자율 인증인데, 주요 공공·민간 개인정보처리자를 대상으로 의무화하는 개인정보 보호법 개정안이 지난 17일 정무위 전체회의를 통과했다. 개인정보위는 “이번 회의는 지난 10월 범부처 정보보호 종합대책부터 이어 온 관계기관의 제도 개선 의지를 결집하는 자리”라며 “앞으로도 지속적 협력을 통해 인증기준에 미달하거나 중대한 위반이 있는 기업은 인증을 유지할 수 없도록 엄격히 관리, 인증제도의 신뢰성을 회복해 나가겠다”고 밝혔다. 과기정통부는 “인증 사후심사시 기준을 미달하는 등 인증받은 기업이 정보보호관리체계의 수준을 지속 유지하지 않는 경우 인증취소를 적극 실시해 정부 인증제의 제도의 실효성을 높이겠다.”고 밝혔다.

2025.12.29 18:46방은주 기자

보안 인증 받은 쿠팡, 과징금 얼마나 나올까

대한민국 국민 65%에 달하는 개인정보 유출 사고가 발생한 쿠팡의 제재 수위에 대한 관심이 모아지고 있다. 보안의 기본이라고 할 수 있는 퇴사자 권한 관리가 유출사고의 원인으로 지목되고 있는 데다, 정부에서도 엄정 제재, 징벌적 손해 배상에 대한 목소리가 높아지고 있기 때문이다. 현행 기준에 따르면 매출액 기준 최대 3%에 달하는 과징금이 부과될 수 있어 쿠팡은 최대 1조원대 과징금 철퇴를 맞을 가능성도 있다. 2일 업계에 따르면 쿠팡은 최근 3천370만개의 개인정보가 유출되는 사고를 겪고 조사에 임하고 있다. 국회 과학기술정보방송통신위원회 최민희 위원장(더불어민주당) 분석에 따르면 이번 유출사고는 퇴사자 인증키를 퇴사 즉시 수거하지 않고 방치한 데 원인이 있는 것으로 알려졌다. 직원이 퇴사를 하면 회사 내부 데이터나 서버, 네트워크에 접근하지 못하도록 권한을 수거해야 하는데 그렇지 못한 것이 화근이 된 것이다. 다만 현재 회사는 무단 접근 경로를 차단하고 내부 모니터링을 강화하는 조치를 취했다. 개인정보보호위원회(개보위) 등 조사 당국에 따르면 정부는 쿠팡의 대규모 개인정보 유출로 민·관 합동 조사단을 꾸리고 본격적인 조사에 착수한 것으로 알려졌다. 개보위는 보안 조치 의무를 위반한 사실이 확인된 경우에는 엄정한 제재를 적용하겠다고 밝혔다. 이재명 대통령도 이날 쿠팡 개인정보 유출사고와 관련해 "쿠팡 때문에 우리 국민의 걱정이 많다"며 "처음 사건이 발생하고 5개월 동안이나 회사가 유출 자체를 파악하지 못했다는 것이 참으로 놀랍다. 관계 부처는 해외 사례를 참고해 과징금을 강화하고 징벌적 손해배상제도를 현실화하는 등의 대책에 나서달라"고 지시했다. 쿠팡, 최대 1조원 이상 과징금…최대 부과 가능성 낮아 조사 당국과 정부는 쿠팡에 대한 고강도의 제재 수위를 논하는 것으로 알려졌다. 현행법상 개인정보 유출 시 관련 법을 위반한 기업에는 전체 매출액의 3% 이내에서 과징금을 부과할 수 있다. 지난해 쿠팡의 매출액이 41조원이 넘는 만큼 1조원 이상의 과징금이 부과될 수 있다는 계산이 나온다. 다만 과징금 선정 절차는 사고와 관련 없는 매출은 제외하기 때문에 최대 과징금이 부과될 가능성은 낮다. 개보위에 따르면 과징금 선정은 우선 전체 매출액에서 사고와 관련 없는 매출액을 제외한 후, 과징금 선정 기준에 따라 기준금액을 정한다. 특히 기준금액 선정 이후에는 2차례에 걸쳐 조정에 들어간다. 여러 감경 사유를 따져보고 해당 사항이 있는 경우 과징금을 깎아준다. 대표적으로 유효한 정보보호·개인정보보호 관리체계(ISMS-P) 인증을 보유하고 있는 기업의 경우 현행법상 과징금의 최대 50%까지 감경받을 수 있다. 이에 쿠팡은 유효한 정보보호·개인정보보호 관리체계(ISMS-P) 인증을 취득한 기업이기 때문에 과징금을 최대 50% 감경받을 수 있다. 앞서 쿠팡은 지난 2021년 ISMS-P 인증을 획득한 이후 지난해 갱신까지 마친 상태로, 유효한 ISMS-P 인증을 보유하고 있다. 이에 현행법에 따라 과징금 감경 혜택을 받을 수 있는 것이다. 단, 감경 비율은 특정 위반 행위의 내용, 기업의 협조 정도, 시정 노력 등 여러 요소를 종합적으로 고려해 최종 결정된다. 해당 감경 제도로 우리카드는 과거 인천영업센터 가맹점주 개인정보 유용사건으로 부과된 과징금을 50% 감경받아 130억원만 부과된 바 있다. 1차, 2차 조정(감경) 절차 이후에는 중대성 판단을 하게 되는데, 중대성은 매우 중대함, 중대함, 보통, 약함 등 4단계로 구성된다. 가장 높은 '매우 중대함'으로 중대성이 판단된다고 하더라도 기준금액 내에서 과징금이 결정된다. 실제 역대 최대 과징금이 부과된 SK텔레콤 해킹 사태 당시 개보위는 이런 과정을 거쳐 1천348억원의 과징금을 부과했다. SK텔레콤의 무선통신사업 매출 약 13조원을 기준으로 하면 최대 3천831억원의 과징금이 부과될 수 있지만, 기준금액 설정에 따라 제재 수준이 낮아졌다. 그러나 쿠팡의 ▲지난해 매출이 SK텔레콤보다 높은 점 ▲유출 규모가 방대한 점 ▲5개월간 피해 사실을 인지하지 못한 점 등을 고려하면 SK텔레콤보다 높은 역대 최대 규모를 경신할 금액의 과징금이 선정될 가능성이 크다. 개보위 관계자는 "과징금 산정 과정에서 기준금액을 정한 이후 들어가는 감경 절차에 ISMS-P 인증 등이 감경 조항에 포함돼 있다"면서도 "과징금 산정 규모와 관련해서는 예단할 수 없고, 미리 언급할 수 없다"고 일축했다. 염흥열 순천향대 정보보호학과 명예교수는 "현행 과징금 부과 체계는 관련 분야 매출의 3%를 기준으로 산정하지만, 가감하는 조정절차가 있다. 조사 과정에 성실하게 임했는지, 피해자 구제에 적극적으로 했는지 등의 사항을 따져보고 가중하거나 감경해 과징금을 산정한다"며 "다만 정부나 대통령이 얘기하는 징벌적 과징금의 경우는 현재 법 개정 등 논의할 사항이 남아있다. 이번 쿠팡의 경우는 현 절차에 따라 산정되겠지만, 향후에는 개보위 TF에서 논의됐던 과징금 선정 관련 인센티브 제공, 징벌적 과징금 등 가감 조정절차의 방향성에 대해서 인식할 필요는 있다"고 밝혔다.

2025.12.02 18:19김기찬 기자

쿠팡 대규모 개인정보유출로 ISMS-P 실효성 또 도마

롯데카드에 이어 쿠팡에서 초대형 개인정보 유출 사고가 발생하면서 정보보호·개인정보보호 관리체계(ISMS-P) 인증제 실효성 논란이 더욱 거세지고 있다. 롯데카드는 ISMS-P 인증을 획득한 지 이틀만에 침해사고를 겪었고, 쿠팡은 2021년 최초 인증 획득 후 갱신까지 마친 상태였다. 1일 업계에 따르면 쿠팡은 최초 ISMS-P 인증 획득 이후 지난해 3월 갱신을 완료한 상태였으나, 최근 3천370만개의 개인정보가 유출되는 사고를 겪고 조사 중이다. 쿠팡은 올해 6월 24일부터 개인정보에 외부 접근이 이뤄진 것으로 추정하고 있다. 그러나 개인정보 유출을 인지한 시점은 지난달 18일로, 현재 경찰청, 한국인터넷진흥원(KISA), 개인정보보호위원회 등에 신고를 마친 상태다. 침해사고의 원인은 퇴사자 인증키 방치가 지목된다. 국회 과학기술정보방송통신위원회 최민희 위원장(더불어민주당)은 1일 "쿠팡 로그인 시스템 토큰 생성에 필요한 서명 정보를 담당하던 직원이 퇴사했음에도 권한을 삭제하거나 갱신하지 않고 방치해 퇴사한 내부 직원이 이를 악용한 것"이라고 분석했다. 회사는 무단 접근 경로를 차단했으며, 무단 접근 경로를 차단하고 내부 모니터링을 강화했다는 것이 쿠팡 측 설명이다. ISMS-P는 기업이 정보보호와 개인정보 보호를 위한 관리체계를 일정 수준 이상 갖추고 있음을 정부가 인증하는 제도다. 보안 정책 수립 여부, 기술적·관리적 통제, 보안 교육, 점검 체계 등을 평가한다. 그러나 롯데카드 사태 때부터 이번 쿠팡까지 ISMS-P 인증을 받은 기업들의 잇단 침해사고가 터져 나오면서 인증 자체의 실효성에 대한 실효성 논란이 불거지고 있다. 상시적인 검증 체계도 없고 형식적인 문서적 검사에 그치는 것이 아니냐는 지적이 나오는 것이다. ISMS-P 인증을 주관하는 한국인터넷진흥원(KISA)의 원장을 지낸 이원태 국민대 특임교수 역시 이번 사태를 계기로 ISMS-P 인증 체계에 대한 지적을 자신의 SNS에 남겼다. 그는 "쿠팡은 정부가 인증하는 정보보호 관리체계(ISMS-P)를 취득하고 갱신까지 한 기업이었다"며 "인증을 받고도 기본적인 퇴사자 권한 관리조차 작동하지 않았다는 사실은, 현재의 제도가 실질적 방어력보다는 문서와 절차를 맞추는 '보안 극장(Security Theater)'에 불과함을 여실히 보여준다"고 비판했다. 이 교수는 현행 ISMS-P 등 문서 중심 인증 체계를 실시간 행위 기반 모니터링 중심으로 전환할 것을 주문했다. ISMS-P 인증이 실효성 논란을 빚자 개인정보보호위원회는 이를 개선하겠다고 밝혔다. 송경희 개인정보보호위원회 위원장은 지난달 5일 서울 종로구 정부서울청사에서 열린 '출입기자단 브리핑'에서 현재 유효기간이 3년인데, 1년마다 모의해킹 중심 현장 심사를 하고 문제가 있으면 인증을 취소하겠다고 말했다. 또 예비심사제도 새로 도입하고 공공기관도 ISMS-P 인증 의무화를 단계적으로 추진하겠다고 밝혔다. 현재 2억에 불과한 관련 예산도 내년에는 증액할 예정이다.

2025.12.01 22:35김기찬 기자

사람인 '비긴즈', 국내 데이팅 앱 최초 ISMS-P 획득

사람인은 연애 성향 매칭 서비스 비긴즈가 국내 데이팅앱 최초로 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 획득했다고 27일 밝혔다. ISMS-P는 과학기술정보통신부와 개인정보보호위원회가 공동 운영하는 최고 수준의 정보보호 인증 제도로, 정보보호 관리체계와 개인정보 처리 전 단계에 걸쳐 총 101개 항목을 충족해야만 취득할 수 있다. 비긴즈는 서비스 초기부터 '신뢰할 수 있는 만남'을 핵심 가치로 삼고, 페이스 인증·실명 인증·지인 인증 등 다단계 신원 검증을 적용해 만남 환경을 제공해왔다. 사람인이 커리어 플랫폼 운영을 통해 쌓아온 보안 경험과 노하우도 비긴즈의 안정성 확보에 기여했다. 또한, 비긴즈는 사진 없이 연애 성향과 대화만으로 관계를 시작할 수 있는 '블라인드챗'과 연애 성향·가치관 분석 도구 '블룸 검사'를 통해 외적 조건이 아닌 내면적 궁합 중심의 매칭을 지원한다. 현재까지 블룸은 검사 누적 응시자 50만명, 누적 매칭 1천건 이상을 기록했다. 비긴즈 관계자는 “최근 개인정보 보호에 대한 이용자 우려가 커지는 상황에서, 국가 공인 수준의 보안 체계를 공식적으로 인정받았다는 점에서 의미가 크다”며 “앞으로도 AI 기반 보안 기술과 회원 인증 체계를 지속 강화해 이용자가 가장 안심할 수 있는 데이팅앱으로 자리 잡겠다”고 말했다.

2025.11.27 09:20박서린 기자

피싱방지 앱 1위 에버스핀 '페이크파인더', ISMS로 공급망 보안 강화 해법 부상

인공지능(AI) 기반 사이버 보안 기업 에버스핀(대표 하영빈)의 피싱방지 솔루션 '페이크파인더'가 지난달 정부의 '범부처 정보보호 종합대책' 발표 이후 공급망 보안 강화를 위한 해법으로 또 한 번 주목받고 있다. KB국민은행·카카오뱅크 등 60여 개 금융기관이 사용하며 점유율 1위를 기록 중인 페이크파인더가 다시 주목받는 이유는 정보보호 관리체계(ISMS) 인증 때문이다. 정부는 최근 범부처 정보보호 종합대책에서 공공·금융·통신·플랫폼 등 핵심 IT 시스템에 대한 대대적인 보안 점검과 함께 정보보호 관리체계(ISMS·ISMS-P) 실효성 강화, 소프트웨어·서비스 공급망 전반 보안 수준 제고, 정보보호 서비스 산업 육성 등을 주요 방향으로 제시했다. ISMS 인증을 취득한 페이크파인더는 이같은 정책 기조 속에서 금융사·통신사·공공기관 등 고객사가 자체 시스템뿐 아니라 도입하는 외부 보안 솔루션까지 포함한 전체 디지털 공급망 보안의 강화기반으로 자리매김할 수 있게 됐다. 에버스핀은 과거 자회사 시큐차트가 최초 획득한 페이크파인더 ISMS 인증을, 합병 이후 새로운 기준에 맞춰 다시 전체 관리체계를 검증받아 ISMS를 취득했다. 페이크파인더는 세계 최초로 화이트리스트 방식 악성앱 탐지 기술을 적용했다. 전 세계에서 정상적으로 출시된 앱 2천200만 개 이상을 실시간으로 수집, DB화 한 고유 시스템을 바탕으로, 사용자 스마트폰에 설치된 앱이 정상 앱을 위장한 위조 앱인지, 정상 앱이 변조된 형태인지, 원격제어 앱이 악용되고 있는지 등을 정밀 분석해 피싱·스미싱·원격조작 기반 금융사기 공격을 사전에 차단한다. 기존 블랙리스트 방식처럼 '사고를 일으킨 앱'만 찾는 것이 아니라 정상 앱의 원형을 기준으로 조금이라도 어긋난 앱을 찾아내는 선제방어·사전예방형 구조다. 페이크파인더는 KB국민은행·카카오뱅크·한국투자증권·신한투자증권·KB국민카드·우리카드·DB손해보험·SBI저축은행·저축은행중앙회 등 60여 고객사에서 적용하는 등 국내 시장 점유율 1위를 달리고 있다. 에버스핀은 ISMS 인증 과정에서 페이크파인더 서비스 전반에 대해 ▲정보보호 정책 및 조직 체계 ▲위험 관리 프로세스 ▲접근통제·암호화·로그 관리 ▲서비스 운영 안정성 등 주요 항목에 대해 검증을 받았다. 그 결과 페이크파인더는 피싱·악성앱 탐지 성능뿐 아니라, 서비스 운영과 정보보호 관리 측면에서도 ISMS 기준에 부합하는 체계를 갖춘 솔루션으로 공식 인정받아 왔다. 에버스핀의 ISMS 인증으로 페이크파인더를 도입하는 금융·통신사·공공기관 등이 자체 서비스 내부 보안을 강화할 수 있음은 물론, 외부 보안 솔루션까지 포함한 디지털 공급망 전체에서의 컴플라이언스 요구를 더욱 안정적으로 충족할 수 있게 됐다. 최근 발생하는 보안사고는 단일 시스템의 취약점뿐 아니라 연동된 시스템·외부 솔루션·단말 환경 등 공급망 전반의 관리 책임이 함께 논의되는 상황이기 때문에, 관리 체계가 검증된 보안 솔루션을 활용하는 것은 공급망 보안 리스크를 줄이는 실질적인 수단이 될 수 있다. 하영빈 에버스핀 대표는 “정부의 범부처 정보보호 종합대책은 보안을 이제 개별 시스템의 문제가 아니라 연결된 전체 생태계와 공급망의 문제로 보겠다는 선언이라고 본다”며 “페이크파인더 ISMS 인증은 에버스핀이 피싱·악성앱 탐지 기술뿐 아니라, 관리 체계 측면에서도 고객사의 강화된 기준을 함께 맞춰 나갈 수 있는 준비를 갖췄다는 신호”라고 말했다.

2025.11.20 09:25주문정 기자

정부, ISMS-P 인증 1200여 기업 전수조사 착수

정부가 ISMS-P 인증 기업 1200여 곳 전체를 대상으로 전수 조사에 나섰다. 롯데카드 해킹 여파로 ISMS-P 인증 제도에 대한 무용론이 불거지고 있는 만큼 칼을 빼든 것이다. 한국인터넷진흥원(KISA)의 ISMS-P 연도별 인증서 발급 현황에 따르면 15일 기준 ISMS-P 인증 유효기간이 만료되지 않은 곳은 총 1217개로 집계됐다. ISMS-P(Information Security Management system–Personal information protection)는 정보보호 관리체계(ISMS)와 개인정보보호 관리체계(PIMS)를 통합한 인증이다. 기업이 정보자산 보호(정보보안) 뿐만 아니라 개인정보 보호법 준수까지 충족해야 인증을 받을 수 있다. 인증 유효기간은 3년이다. ISMS-P를 주관하는 한국인터넷진흥원(KISA)는 14일 공지사항을 통해 'ISMS-P 인증기업 특별 사후점검 관련 FAQ'라는 게시글을 올렸다. 해달 게시글에는 개인정보보호위원회(개보위)가 ISMS-P 인증 기업에 보낸 'ISMS-P 인증기업 특별 사후점검 실시 및 결과 회신 요청의 건'이라는 제목의 공문 파일도 함께 첨부돼 있었다. 공문에 따르면 개보위는 "최근 ISMS-P 인증을 취득한 기업의 해킹사고 등이 빈번하게 발생함에 따라 ISMS-P 인증 무용론까지 제기되며 국민 불안이 가중되는 상황"이라며 "이에 개보위는 대국민 피해 확산 방지와 인증의 실효성 유지를 위해 개인정보보호법 제32조의2에 따라 ISMS-P 인증 기업 및 기관을 대상으로 특별 사후 점검을 실시하고자 한다"고 밝혔다. KISA의 ISMS-P 연도별 인증서 발급 현황에 따르면 15일 기준 ISMS-P 인증의 유효기간이 만료되지 않은 총 1217곳으로 집계됐다. 개보위는 올해 말까지 ISMS-P 인증 기업 및 기관 전체에 대해 ▲비밀번호 관리 ▲암호화 적용 ▲로그 및 접속기록 ▲패치 관리 ▲사고 대응 및 복구 등 항목의 실태를 전수 조사할 방침이다. 다만 점검 방법은 기업의 자체 점검 형식으로 진행된다. 이후 최고경영자(CEO)에 결과를 보고하는 식이다. 다만 유출사고가 발생한 인증기업의 경우는 내년 1월 현장점검을 통해 조치사항을 이행했는지 여부를 확인한다. 결과는 내년 1월11일까지 제출해야 하는 식이다. 한편 개보위는 실효성 논란을 빚고 있는 ISMS-P 인증을 개선, 1년마다 모의해킹 중심 현장 심사를 하고 문제가 있으면 인증을 취소하는 적극 행정에 나설 예정이다. 또 예비심사제도 새로 도입하고, 공공기관도 순차적으로 ISMS-P 인증 의무화를 추진할 계획이다.

2025.11.15 15:20김기찬 기자

국감서 쏟아진 ISMS 비판…"누구나 해킹 가능"

한국인터넷진흥원(KISA)이 주관하는 보안인증 '정보보호 및 개인정보보호 관리체계(ISMS·ISMS-P) 인증의 실효성에 대한 지적이 끊이지 않고 있다. 28일 국회 과학기술정보방송통신위원회 등에 따르면 지난 13일 개최된 과학기술정보통신부(과기정통부) 대상 국정감사에서 조인철 더불어민주당 의원은 ISMS 인증에 사각지대가 있다고 비판했다. 조 의원은 당시 미국 온라인쇼핑몰을 통해 USB 케이블 형태의 '스파이칩'으로 컴퓨터를 해킹하는 과정을 시연했다. 조 의원은 "온라인으로 미국에서 주문을 했는데 누구도 제지하지 않았다. 단돈 20만원도 하지 않는다. 만약 이런 케이블을 과기부 직원 누군가의 PC에 꽂혔다면 어떻게 됐겠나"고 지적했다. 조 의원은 KISA의 ISMS 인증 항목이 통신 및 보안 장비의 유통 현황과 동떨어져있는 것이 문제라고 지적했다. 미국에서 단돈 20만원이면 PC를 해킹할 수 있는 장비를 누구나 구매할 수 있는데, 국가기관에서 제공하는 인증에서조차 스파이칩 관련 항목이 없다는 것이다. 조 의원은 "누구나 쉽게 접근할 수 있는 장비로 정부의 네트워크에 침입할 수 있는 위험이 있다. 실제로 미국 전문 해킹 매체인 '프랙'이 발간한 보고서를 보면 최근 한국의 주요부처 상당수가 해킹 피해를 입었다"며 "ISMS 인증제도에도 스파이칩 관련 항목이 없다. 대책을 마련해야 한다"고 밝혔다. 류제명 과기정통부 제2차관도 "ISMS 80개 항목 중 스파이칩 관련해서 구체적인 항목은 없다"고 확인했다. 한편 과기정통부 및 KISA 등 기관은 이를 계기로 ISMS 인증을 강화한다는 방침이다. 단순 서류 확인에 그치던 ISMS 심사를 현장 중심으로 바꾸고, 중대한 결함 발생 시 인증을 취소하는 등 실효성을 강화하겠다는 것이 골자다. 또한 중대한 결함이 발견된 경우에는 인증을 취소하는 등 사후 관리를 강화하기로 했다. 모의해킹 훈련과 화이트해커를 활용한 상시 취약점 점검 체계로 구축할 수 있도록 강화한다.

2025.10.28 16:55김기찬 기자

배 부총리 "ISMS 인증 강화...새 제도 검토도"

13일 세종시 정부세종청사에서 열린 국회 과학기술정보방송통신위원회(과방위)의 과학기술정보통신부 국정감사에서 배경훈 부총리 겸 과기정통부 장관은 ISMS 인증에 대해 "강화할 필요가 있다"고 밝혔다. 배 부총리의 이 같은 답변은 조인철 의원이 ISMS 인증 문제점을 지적한 데 대한 답변에서 나왔다. 조 의원은 ISMS 인증기업 중 침해사고가 발생한 연간 건수 도표를 보여주며 ISMS 인증 개선을 요구했다. 과기정통부는 ISMS 인증에 대해 개선을 포함해 새로 만들지도 검토할 계획이다. ISMS 인증은 정보보호 관리체계(Information Security Management system)를 말한다. 기업이나 기관이 정보자산(고객 정보, 내부 데이터 등)을 안전하게 보호하기 위해 관리·운영하는 체계를 갖췄는지를 당국이 공식적으로 인증하는 제도다. 인증 항목은 3개 분야(관리체계 수립 및 운영, 보호대책 요구사항 등)의 총 80개다. ISMS 인증 의무적으로 받아야 하는 곳은 ▲연 매출 100억 원 이상 또는 이용자 수 100만 명 이상의 정보통신서비스 제공자 ▲데이터센터(IDC), 클라우드 서비스 제공자 ▲가상자산사업자(가상자산 거래소 등) ▲전자금융업자 등이다. 조 의원 자료에 따르면, ISMS 인증 기업 중 침해사고 발생 건수는 2021년 6건에서 2022년 13건, 그리고 2023년 101건으로 껑충 뛰었다. 2024년엔 96건이였다. 올 6월 현재 73건을 기록, 이 추세라면 최근 5년새 가장 많을 전망이다. 조 의원은 인증 체크리스트가 적정한 지, 또 심사원 자질은 괜찮은 지 등을 제기하며 배 부총리에 종합 대책 마련을 촉구했다. 조 의원은 ISMS 심사가 3~4일간 모든 기업에 동일하게 이뤄지고, 인증 심사원 자격 시험 합격률이 6.5% 밖에 안되지만 한번 떨어지면 계속 재시험이 가능하다면서 자격증을 딴 후 심사원의 관리 문제도 짚었다. 이에 배 총리는 "(조 의원 지적에) 충분히 공감하고, 저도 문제의식을 갖고 있다. (제도를) 업그레이드 할 지, 완전히 새로 만들지를 종합적으로 검토해 보고하겠다"고 답했다.

2025.10.13 19:52방은주 기자

Prev 1 2 Next