ZDNet 검색 페이지

'ISMS 인증'통합검색 결과 입니다. (10건)

정부, 1천만명 이상 개인정보 피해시 보안인증 취소

정부가 무용론에 휘말린 정보보호(ISMS)와 개인정보보호(ISMS-P) 인증 기준을 강화, 실제 인증 취소 기업이 얼마나 나올지 주목된다. 개인정보보호위원회와 과기정통부는 29일 관계 기관과 함께 합동 대책회의를 열고 두 인증 취소 기준을 강화, 시행하기로 했다. 이에, 앞으로 정보보호(ISMS)와 개인정보보호(ISMS-P) 인증기업이 개인정보 보호법 위반으로 과징금 등의 처분을 받은 경우 위반행위의 중대성을 따져 인증을 취소한다. 특히 1천만명 이상의 피해 발생, 반복적 법 위반, 고의·중과실 위반행위로 사회적 영향이 큰 경우에는 원칙적으로 인증을 취소한다. 정보통신망법도 망법 등을 위반하고, 그 행위가 중대한 경우 인증취소할 수 있도록 법을 개정 중이며, 개정이 완료될 경우 관련 세부기준을 수립할 예정이다. 또 패치관리 등 실제 보안 사고와 밀접하게 연관된 핵심항목을 인증기업이 연 1회 받는 사후심사에서 집중 점검하고, 사후관리를 미이행하는 등 거부하는 경우와 자료 미제출 또는 허위제출 시 인증을 취소하고, 점검 결과 중대 결함이 발견된 경우 인증위원회의 심의를 거쳐 인증을 취소한다. 이날 개보위와 과기정통부는 한국인터넷진흥원, 금융보안원 등 인증기관 및 민간 전문가들로 구성한 인증위원회와 함께 '정보보호 및 개인정보보호 관리체계(ISMS·ISMS-P) 인증 취소 관계기관 대책회의'를 개최했다. KISA는 ISMS와ISMS-P(Personal Information & Information Security Management system) 법적 인증기관이고, 금융보안원은 금융 분야 인증 및 심사기관이다. ISMS·ISMS-P는 주요 정보자산 유출 및 피해 예방을 위해 일정수준 이상의 기업 또는 기관이 구축 및 운영 중인 개인정보 및 정보보호 체계가 적합한지 알려주는 인증(정보통신망법 제47조, 개인정보보호법 제32조의2에 근거)이다. 이번 대책회의는 지난 12월 6일 열린 '정보보호 및 개인정보보호 관리체계(ISMS·ISMS-P) 인증제 개선 관계기관 대책회의'의 후속 조치다. 최근 ISMS-P 인증기업의 사이버침해, 유출사고 빈발로 사후관리의 엄격성을 높여야 한다는 목소리를 반영, 관계기관은 긴밀한 협력체계를 구축해 왔으며, 이번 대책회의를 통해 그간 논의해 온 인증취소 기준 구체화 방안을 최종 심의·확정하고 즉각 시행할 계획이다. 개인정보위와 과기정통부는 지난 11월부터 운영 중인 관계기관 합동 제도개선 TF를 통해 최근 사이버침해 및 개인정보 유출사고의 주요 원인을 면밀히 분석하고, 핵심항목이 되는 인증기준을 도출해 왔다. 이번 대책회의에서는 이를 취소기준에 반영하는 방안을 논의하고, 향후 인증취소를 엄격히 적용할 계획이다. 개보위와 과기정토부는 인증 취소 이후의 관리 방안도 마련할 예정이다. 의무대상 기업에 대해서는 취소 이후 1년간 재신청 유예기간을 둬 실질적인 보안 개선이 이뤄지도록 유도하고, 해당 기간에는 인증의무 미이행 과태료를 면제해 기업의 불필요한 부담을 방지한다. 또 의무대상이 아닌 기업의 경우에도 지속적 관리체계를 구축하기 위해 인증 재취득을 권고하기로 했다. 현재 ISMS 인증은 법상 의무대상자로 정보통신망서비스제공자(ISP), 집적정보통신시설사업자(IDC) 등을 규정, 시행하고 있다. 또 ISMS-P는 현재 자율 인증인데, 주요 공공·민간 개인정보처리자를 대상으로 의무화하는 개인정보 보호법 개정안이 지난 17일 정무위 전체회의를 통과했다. 개인정보위는 “이번 회의는 지난 10월 범부처 정보보호 종합대책부터 이어 온 관계기관의 제도 개선 의지를 결집하는 자리”라며 “앞으로도 지속적 협력을 통해 인증기준에 미달하거나 중대한 위반이 있는 기업은 인증을 유지할 수 없도록 엄격히 관리, 인증제도의 신뢰성을 회복해 나가겠다”고 밝혔다. 과기정통부는 “인증 사후심사시 기준을 미달하는 등 인증받은 기업이 정보보호관리체계의 수준을 지속 유지하지 않는 경우 인증취소를 적극 실시해 정부 인증제의 제도의 실효성을 높이겠다.”고 밝혔다.

2025.12.29 18:46방은주

보안 인증 받은 쿠팡, 과징금 얼마나 나올까

대한민국 국민 65%에 달하는 개인정보 유출 사고가 발생한 쿠팡의 제재 수위에 대한 관심이 모아지고 있다. 보안의 기본이라고 할 수 있는 퇴사자 권한 관리가 유출사고의 원인으로 지목되고 있는 데다, 정부에서도 엄정 제재, 징벌적 손해 배상에 대한 목소리가 높아지고 있기 때문이다. 현행 기준에 따르면 매출액 기준 최대 3%에 달하는 과징금이 부과될 수 있어 쿠팡은 최대 1조원대 과징금 철퇴를 맞을 가능성도 있다. 2일 업계에 따르면 쿠팡은 최근 3천370만개의 개인정보가 유출되는 사고를 겪고 조사에 임하고 있다. 국회 과학기술정보방송통신위원회 최민희 위원장(더불어민주당) 분석에 따르면 이번 유출사고는 퇴사자 인증키를 퇴사 즉시 수거하지 않고 방치한 데 원인이 있는 것으로 알려졌다. 직원이 퇴사를 하면 회사 내부 데이터나 서버, 네트워크에 접근하지 못하도록 권한을 수거해야 하는데 그렇지 못한 것이 화근이 된 것이다. 다만 현재 회사는 무단 접근 경로를 차단하고 내부 모니터링을 강화하는 조치를 취했다. 개인정보보호위원회(개보위) 등 조사 당국에 따르면 정부는 쿠팡의 대규모 개인정보 유출로 민·관 합동 조사단을 꾸리고 본격적인 조사에 착수한 것으로 알려졌다. 개보위는 보안 조치 의무를 위반한 사실이 확인된 경우에는 엄정한 제재를 적용하겠다고 밝혔다. 이재명 대통령도 이날 쿠팡 개인정보 유출사고와 관련해 "쿠팡 때문에 우리 국민의 걱정이 많다"며 "처음 사건이 발생하고 5개월 동안이나 회사가 유출 자체를 파악하지 못했다는 것이 참으로 놀랍다. 관계 부처는 해외 사례를 참고해 과징금을 강화하고 징벌적 손해배상제도를 현실화하는 등의 대책에 나서달라"고 지시했다. 쿠팡, 최대 1조원 이상 과징금…최대 부과 가능성 낮아 조사 당국과 정부는 쿠팡에 대한 고강도의 제재 수위를 논하는 것으로 알려졌다. 현행법상 개인정보 유출 시 관련 법을 위반한 기업에는 전체 매출액의 3% 이내에서 과징금을 부과할 수 있다. 지난해 쿠팡의 매출액이 41조원이 넘는 만큼 1조원 이상의 과징금이 부과될 수 있다는 계산이 나온다. 다만 과징금 선정 절차는 사고와 관련 없는 매출은 제외하기 때문에 최대 과징금이 부과될 가능성은 낮다. 개보위에 따르면 과징금 선정은 우선 전체 매출액에서 사고와 관련 없는 매출액을 제외한 후, 과징금 선정 기준에 따라 기준금액을 정한다. 특히 기준금액 선정 이후에는 2차례에 걸쳐 조정에 들어간다. 여러 감경 사유를 따져보고 해당 사항이 있는 경우 과징금을 깎아준다. 대표적으로 유효한 정보보호·개인정보보호 관리체계(ISMS-P) 인증을 보유하고 있는 기업의 경우 현행법상 과징금의 최대 50%까지 감경받을 수 있다. 이에 쿠팡은 유효한 정보보호·개인정보보호 관리체계(ISMS-P) 인증을 취득한 기업이기 때문에 과징금을 최대 50% 감경받을 수 있다. 앞서 쿠팡은 지난 2021년 ISMS-P 인증을 획득한 이후 지난해 갱신까지 마친 상태로, 유효한 ISMS-P 인증을 보유하고 있다. 이에 현행법에 따라 과징금 감경 혜택을 받을 수 있는 것이다. 단, 감경 비율은 특정 위반 행위의 내용, 기업의 협조 정도, 시정 노력 등 여러 요소를 종합적으로 고려해 최종 결정된다. 해당 감경 제도로 우리카드는 과거 인천영업센터 가맹점주 개인정보 유용사건으로 부과된 과징금을 50% 감경받아 130억원만 부과된 바 있다. 1차, 2차 조정(감경) 절차 이후에는 중대성 판단을 하게 되는데, 중대성은 매우 중대함, 중대함, 보통, 약함 등 4단계로 구성된다. 가장 높은 '매우 중대함'으로 중대성이 판단된다고 하더라도 기준금액 내에서 과징금이 결정된다. 실제 역대 최대 과징금이 부과된 SK텔레콤 해킹 사태 당시 개보위는 이런 과정을 거쳐 1천348억원의 과징금을 부과했다. SK텔레콤의 무선통신사업 매출 약 13조원을 기준으로 하면 최대 3천831억원의 과징금이 부과될 수 있지만, 기준금액 설정에 따라 제재 수준이 낮아졌다. 그러나 쿠팡의 ▲지난해 매출이 SK텔레콤보다 높은 점 ▲유출 규모가 방대한 점 ▲5개월간 피해 사실을 인지하지 못한 점 등을 고려하면 SK텔레콤보다 높은 역대 최대 규모를 경신할 금액의 과징금이 선정될 가능성이 크다. 개보위 관계자는 "과징금 산정 과정에서 기준금액을 정한 이후 들어가는 감경 절차에 ISMS-P 인증 등이 감경 조항에 포함돼 있다"면서도 "과징금 산정 규모와 관련해서는 예단할 수 없고, 미리 언급할 수 없다"고 일축했다. 염흥열 순천향대 정보보호학과 명예교수는 "현행 과징금 부과 체계는 관련 분야 매출의 3%를 기준으로 산정하지만, 가감하는 조정절차가 있다. 조사 과정에 성실하게 임했는지, 피해자 구제에 적극적으로 했는지 등의 사항을 따져보고 가중하거나 감경해 과징금을 산정한다"며 "다만 정부나 대통령이 얘기하는 징벌적 과징금의 경우는 현재 법 개정 등 논의할 사항이 남아있다. 이번 쿠팡의 경우는 현 절차에 따라 산정되겠지만, 향후에는 개보위 TF에서 논의됐던 과징금 선정 관련 인센티브 제공, 징벌적 과징금 등 가감 조정절차의 방향성에 대해서 인식할 필요는 있다"고 밝혔다.

2025.12.02 18:19김기찬

쿠팡 대규모 개인정보유출로 ISMS-P 실효성 또 도마

롯데카드에 이어 쿠팡에서 초대형 개인정보 유출 사고가 발생하면서 정보보호·개인정보보호 관리체계(ISMS-P) 인증제 실효성 논란이 더욱 거세지고 있다. 롯데카드는 ISMS-P 인증을 획득한 지 이틀만에 침해사고를 겪었고, 쿠팡은 2021년 최초 인증 획득 후 갱신까지 마친 상태였다. 1일 업계에 따르면 쿠팡은 최초 ISMS-P 인증 획득 이후 지난해 3월 갱신을 완료한 상태였으나, 최근 3천370만개의 개인정보가 유출되는 사고를 겪고 조사 중이다. 쿠팡은 올해 6월 24일부터 개인정보에 외부 접근이 이뤄진 것으로 추정하고 있다. 그러나 개인정보 유출을 인지한 시점은 지난달 18일로, 현재 경찰청, 한국인터넷진흥원(KISA), 개인정보보호위원회 등에 신고를 마친 상태다. 침해사고의 원인은 퇴사자 인증키 방치가 지목된다. 국회 과학기술정보방송통신위원회 최민희 위원장(더불어민주당)은 1일 "쿠팡 로그인 시스템 토큰 생성에 필요한 서명 정보를 담당하던 직원이 퇴사했음에도 권한을 삭제하거나 갱신하지 않고 방치해 퇴사한 내부 직원이 이를 악용한 것"이라고 분석했다. 회사는 무단 접근 경로를 차단했으며, 무단 접근 경로를 차단하고 내부 모니터링을 강화했다는 것이 쿠팡 측 설명이다. ISMS-P는 기업이 정보보호와 개인정보 보호를 위한 관리체계를 일정 수준 이상 갖추고 있음을 정부가 인증하는 제도다. 보안 정책 수립 여부, 기술적·관리적 통제, 보안 교육, 점검 체계 등을 평가한다. 그러나 롯데카드 사태 때부터 이번 쿠팡까지 ISMS-P 인증을 받은 기업들의 잇단 침해사고가 터져 나오면서 인증 자체의 실효성에 대한 실효성 논란이 불거지고 있다. 상시적인 검증 체계도 없고 형식적인 문서적 검사에 그치는 것이 아니냐는 지적이 나오는 것이다. ISMS-P 인증을 주관하는 한국인터넷진흥원(KISA)의 원장을 지낸 이원태 국민대 특임교수 역시 이번 사태를 계기로 ISMS-P 인증 체계에 대한 지적을 자신의 SNS에 남겼다. 그는 "쿠팡은 정부가 인증하는 정보보호 관리체계(ISMS-P)를 취득하고 갱신까지 한 기업이었다"며 "인증을 받고도 기본적인 퇴사자 권한 관리조차 작동하지 않았다는 사실은, 현재의 제도가 실질적 방어력보다는 문서와 절차를 맞추는 '보안 극장(Security Theater)'에 불과함을 여실히 보여준다"고 비판했다. 이 교수는 현행 ISMS-P 등 문서 중심 인증 체계를 실시간 행위 기반 모니터링 중심으로 전환할 것을 주문했다. ISMS-P 인증이 실효성 논란을 빚자 개인정보보호위원회는 이를 개선하겠다고 밝혔다. 송경희 개인정보보호위원회 위원장은 지난달 5일 서울 종로구 정부서울청사에서 열린 '출입기자단 브리핑'에서 현재 유효기간이 3년인데, 1년마다 모의해킹 중심 현장 심사를 하고 문제가 있으면 인증을 취소하겠다고 말했다. 또 예비심사제도 새로 도입하고 공공기관도 ISMS-P 인증 의무화를 단계적으로 추진하겠다고 밝혔다. 현재 2억에 불과한 관련 예산도 내년에는 증액할 예정이다.

2025.12.01 22:35김기찬

사람인 '비긴즈', 국내 데이팅 앱 최초 ISMS-P 획득

사람인은 연애 성향 매칭 서비스 비긴즈가 국내 데이팅앱 최초로 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 획득했다고 27일 밝혔다. ISMS-P는 과학기술정보통신부와 개인정보보호위원회가 공동 운영하는 최고 수준의 정보보호 인증 제도로, 정보보호 관리체계와 개인정보 처리 전 단계에 걸쳐 총 101개 항목을 충족해야만 취득할 수 있다. 비긴즈는 서비스 초기부터 '신뢰할 수 있는 만남'을 핵심 가치로 삼고, 페이스 인증·실명 인증·지인 인증 등 다단계 신원 검증을 적용해 만남 환경을 제공해왔다. 사람인이 커리어 플랫폼 운영을 통해 쌓아온 보안 경험과 노하우도 비긴즈의 안정성 확보에 기여했다. 또한, 비긴즈는 사진 없이 연애 성향과 대화만으로 관계를 시작할 수 있는 '블라인드챗'과 연애 성향·가치관 분석 도구 '블룸 검사'를 통해 외적 조건이 아닌 내면적 궁합 중심의 매칭을 지원한다. 현재까지 블룸은 검사 누적 응시자 50만명, 누적 매칭 1천건 이상을 기록했다. 비긴즈 관계자는 “최근 개인정보 보호에 대한 이용자 우려가 커지는 상황에서, 국가 공인 수준의 보안 체계를 공식적으로 인정받았다는 점에서 의미가 크다”며 “앞으로도 AI 기반 보안 기술과 회원 인증 체계를 지속 강화해 이용자가 가장 안심할 수 있는 데이팅앱으로 자리 잡겠다”고 말했다.

2025.11.27 09:20박서린

피싱방지 앱 1위 에버스핀 '페이크파인더', ISMS로 공급망 보안 강화 해법 부상

인공지능(AI) 기반 사이버 보안 기업 에버스핀(대표 하영빈)의 피싱방지 솔루션 '페이크파인더'가 지난달 정부의 '범부처 정보보호 종합대책' 발표 이후 공급망 보안 강화를 위한 해법으로 또 한 번 주목받고 있다. KB국민은행·카카오뱅크 등 60여 개 금융기관이 사용하며 점유율 1위를 기록 중인 페이크파인더가 다시 주목받는 이유는 정보보호 관리체계(ISMS) 인증 때문이다. 정부는 최근 범부처 정보보호 종합대책에서 공공·금융·통신·플랫폼 등 핵심 IT 시스템에 대한 대대적인 보안 점검과 함께 정보보호 관리체계(ISMS·ISMS-P) 실효성 강화, 소프트웨어·서비스 공급망 전반 보안 수준 제고, 정보보호 서비스 산업 육성 등을 주요 방향으로 제시했다. ISMS 인증을 취득한 페이크파인더는 이같은 정책 기조 속에서 금융사·통신사·공공기관 등 고객사가 자체 시스템뿐 아니라 도입하는 외부 보안 솔루션까지 포함한 전체 디지털 공급망 보안의 강화기반으로 자리매김할 수 있게 됐다. 에버스핀은 과거 자회사 시큐차트가 최초 획득한 페이크파인더 ISMS 인증을, 합병 이후 새로운 기준에 맞춰 다시 전체 관리체계를 검증받아 ISMS를 취득했다. 페이크파인더는 세계 최초로 화이트리스트 방식 악성앱 탐지 기술을 적용했다. 전 세계에서 정상적으로 출시된 앱 2천200만 개 이상을 실시간으로 수집, DB화 한 고유 시스템을 바탕으로, 사용자 스마트폰에 설치된 앱이 정상 앱을 위장한 위조 앱인지, 정상 앱이 변조된 형태인지, 원격제어 앱이 악용되고 있는지 등을 정밀 분석해 피싱·스미싱·원격조작 기반 금융사기 공격을 사전에 차단한다. 기존 블랙리스트 방식처럼 '사고를 일으킨 앱'만 찾는 것이 아니라 정상 앱의 원형을 기준으로 조금이라도 어긋난 앱을 찾아내는 선제방어·사전예방형 구조다. 페이크파인더는 KB국민은행·카카오뱅크·한국투자증권·신한투자증권·KB국민카드·우리카드·DB손해보험·SBI저축은행·저축은행중앙회 등 60여 고객사에서 적용하는 등 국내 시장 점유율 1위를 달리고 있다. 에버스핀은 ISMS 인증 과정에서 페이크파인더 서비스 전반에 대해 ▲정보보호 정책 및 조직 체계 ▲위험 관리 프로세스 ▲접근통제·암호화·로그 관리 ▲서비스 운영 안정성 등 주요 항목에 대해 검증을 받았다. 그 결과 페이크파인더는 피싱·악성앱 탐지 성능뿐 아니라, 서비스 운영과 정보보호 관리 측면에서도 ISMS 기준에 부합하는 체계를 갖춘 솔루션으로 공식 인정받아 왔다. 에버스핀의 ISMS 인증으로 페이크파인더를 도입하는 금융·통신사·공공기관 등이 자체 서비스 내부 보안을 강화할 수 있음은 물론, 외부 보안 솔루션까지 포함한 디지털 공급망 전체에서의 컴플라이언스 요구를 더욱 안정적으로 충족할 수 있게 됐다. 최근 발생하는 보안사고는 단일 시스템의 취약점뿐 아니라 연동된 시스템·외부 솔루션·단말 환경 등 공급망 전반의 관리 책임이 함께 논의되는 상황이기 때문에, 관리 체계가 검증된 보안 솔루션을 활용하는 것은 공급망 보안 리스크를 줄이는 실질적인 수단이 될 수 있다. 하영빈 에버스핀 대표는 “정부의 범부처 정보보호 종합대책은 보안을 이제 개별 시스템의 문제가 아니라 연결된 전체 생태계와 공급망의 문제로 보겠다는 선언이라고 본다”며 “페이크파인더 ISMS 인증은 에버스핀이 피싱·악성앱 탐지 기술뿐 아니라, 관리 체계 측면에서도 고객사의 강화된 기준을 함께 맞춰 나갈 수 있는 준비를 갖췄다는 신호”라고 말했다.

2025.11.20 09:25주문정

정부, ISMS-P 인증 1200여 기업 전수조사 착수

정부가 ISMS-P 인증 기업 1200여 곳 전체를 대상으로 전수 조사에 나섰다. 롯데카드 해킹 여파로 ISMS-P 인증 제도에 대한 무용론이 불거지고 있는 만큼 칼을 빼든 것이다. 한국인터넷진흥원(KISA)의 ISMS-P 연도별 인증서 발급 현황에 따르면 15일 기준 ISMS-P 인증 유효기간이 만료되지 않은 곳은 총 1217개로 집계됐다. ISMS-P(Information Security Management system–Personal information protection)는 정보보호 관리체계(ISMS)와 개인정보보호 관리체계(PIMS)를 통합한 인증이다. 기업이 정보자산 보호(정보보안) 뿐만 아니라 개인정보 보호법 준수까지 충족해야 인증을 받을 수 있다. 인증 유효기간은 3년이다. ISMS-P를 주관하는 한국인터넷진흥원(KISA)는 14일 공지사항을 통해 'ISMS-P 인증기업 특별 사후점검 관련 FAQ'라는 게시글을 올렸다. 해달 게시글에는 개인정보보호위원회(개보위)가 ISMS-P 인증 기업에 보낸 'ISMS-P 인증기업 특별 사후점검 실시 및 결과 회신 요청의 건'이라는 제목의 공문 파일도 함께 첨부돼 있었다. 공문에 따르면 개보위는 "최근 ISMS-P 인증을 취득한 기업의 해킹사고 등이 빈번하게 발생함에 따라 ISMS-P 인증 무용론까지 제기되며 국민 불안이 가중되는 상황"이라며 "이에 개보위는 대국민 피해 확산 방지와 인증의 실효성 유지를 위해 개인정보보호법 제32조의2에 따라 ISMS-P 인증 기업 및 기관을 대상으로 특별 사후 점검을 실시하고자 한다"고 밝혔다. KISA의 ISMS-P 연도별 인증서 발급 현황에 따르면 15일 기준 ISMS-P 인증의 유효기간이 만료되지 않은 총 1217곳으로 집계됐다. 개보위는 올해 말까지 ISMS-P 인증 기업 및 기관 전체에 대해 ▲비밀번호 관리 ▲암호화 적용 ▲로그 및 접속기록 ▲패치 관리 ▲사고 대응 및 복구 등 항목의 실태를 전수 조사할 방침이다. 다만 점검 방법은 기업의 자체 점검 형식으로 진행된다. 이후 최고경영자(CEO)에 결과를 보고하는 식이다. 다만 유출사고가 발생한 인증기업의 경우는 내년 1월 현장점검을 통해 조치사항을 이행했는지 여부를 확인한다. 결과는 내년 1월11일까지 제출해야 하는 식이다. 한편 개보위는 실효성 논란을 빚고 있는 ISMS-P 인증을 개선, 1년마다 모의해킹 중심 현장 심사를 하고 문제가 있으면 인증을 취소하는 적극 행정에 나설 예정이다. 또 예비심사제도 새로 도입하고, 공공기관도 순차적으로 ISMS-P 인증 의무화를 추진할 계획이다.

2025.11.15 15:20김기찬

국감서 쏟아진 ISMS 비판…"누구나 해킹 가능"

한국인터넷진흥원(KISA)이 주관하는 보안인증 '정보보호 및 개인정보보호 관리체계(ISMS·ISMS-P) 인증의 실효성에 대한 지적이 끊이지 않고 있다. 28일 국회 과학기술정보방송통신위원회 등에 따르면 지난 13일 개최된 과학기술정보통신부(과기정통부) 대상 국정감사에서 조인철 더불어민주당 의원은 ISMS 인증에 사각지대가 있다고 비판했다. 조 의원은 당시 미국 온라인쇼핑몰을 통해 USB 케이블 형태의 '스파이칩'으로 컴퓨터를 해킹하는 과정을 시연했다. 조 의원은 "온라인으로 미국에서 주문을 했는데 누구도 제지하지 않았다. 단돈 20만원도 하지 않는다. 만약 이런 케이블을 과기부 직원 누군가의 PC에 꽂혔다면 어떻게 됐겠나"고 지적했다. 조 의원은 KISA의 ISMS 인증 항목이 통신 및 보안 장비의 유통 현황과 동떨어져있는 것이 문제라고 지적했다. 미국에서 단돈 20만원이면 PC를 해킹할 수 있는 장비를 누구나 구매할 수 있는데, 국가기관에서 제공하는 인증에서조차 스파이칩 관련 항목이 없다는 것이다. 조 의원은 "누구나 쉽게 접근할 수 있는 장비로 정부의 네트워크에 침입할 수 있는 위험이 있다. 실제로 미국 전문 해킹 매체인 '프랙'이 발간한 보고서를 보면 최근 한국의 주요부처 상당수가 해킹 피해를 입었다"며 "ISMS 인증제도에도 스파이칩 관련 항목이 없다. 대책을 마련해야 한다"고 밝혔다. 류제명 과기정통부 제2차관도 "ISMS 80개 항목 중 스파이칩 관련해서 구체적인 항목은 없다"고 확인했다. 한편 과기정통부 및 KISA 등 기관은 이를 계기로 ISMS 인증을 강화한다는 방침이다. 단순 서류 확인에 그치던 ISMS 심사를 현장 중심으로 바꾸고, 중대한 결함 발생 시 인증을 취소하는 등 실효성을 강화하겠다는 것이 골자다. 또한 중대한 결함이 발견된 경우에는 인증을 취소하는 등 사후 관리를 강화하기로 했다. 모의해킹 훈련과 화이트해커를 활용한 상시 취약점 점검 체계로 구축할 수 있도록 강화한다.

2025.10.28 16:55김기찬

ISMS 인증 실효성 국회 청문회서 도마…개편 목소리 높아

롯데카드가 정보보호 및 개인정보보호 관리체계 인증인 'ISMS-P' 인증을 받은 지 약 보름만에 침해사고가 발생하면서 ISMS 인증 제도에 대한 실효성 문제가 도마 위에 올랐다. 24일 열린 국회 과학기술정보방송통신위원회(과방위)가 개최한 KT·롯데카트 해킹 청문회에서 조인철 더불어민주당 의원은 조좌진 롯데카드 대표에게 ISMS-P 인증을 획득한 지 얼마 되지 않아 유출 사태가 있었다고 지적하며 롯데카드의 잘못인지 ISMS-P 인증제도에 허점이 있었는지를 질의했다. 이와 관련해 조 대표는 "ISMS-P가 모든 항목에 대해 점검을 실시하는 것은 아니다"면서도 "회사 내부의 정보보호 관리 실태가 부실했다"고 ISMS-P 인증 제도의 허점보다는 회사의 책임으로 돌리는 답변을 했다. ISMS-P는 개인정보보호위원회가 주관하는 개인정보보호 관리체계(ISMS-P)로 KISA는 관리·감독을 맡는다. 앞서 롯데카드는 지난달 14일 오후 해킹으로 내부 파일이 유출됐다. 유출 규모는 200GB(기가바이트) 수준이며, 피해 인원은 297만명이다. 이번 해킹으로 일부 회원의 주민등록번호, CVC(카드 뒷면 3자리 숫자), 내부 식별번호 등이 유출됐다. 그러나 ISMS-P 인증을 받은 지 보름 만에 침해사고가 발생한 만큼 보안업계 일각에서는 ISMS 인증 자체가 실효성이 떨어진다는 지적이 제기됐다. 익명을 요구한 보안업계 관계자는 "ISMS 인증제도 자체가 회사나 기관이 개인정보나 정보보호를 얼마나 잘 관리하고 있는지를 살펴보고, 적합하다는 판정을 내리는 것인데 인증을 받자마자 해킹에 속수무책으로 당했으면 사실상 제도 자체가 실효성이 없다는 것을 방증한 셈"이라며 "예컨대 HACCP(한국식품안전관리인증원에서 운영하는 식품 안전 관리 인증) 인증을 받은 식품을 구매해서 먹었는데 식중독에 걸린 것과 마찬가지"라고 목소리를 높였다. 심지어 조 대표가 청문회에서 밝힌 내용을 종합하면 오라클이 개발한 자바 웹 애플리케이션 서버(WAS) 제품에서 2017년 발견된 취약점을 패치했어야 했으나, 당시 롯데카드는 48개의 온라인 결제서버 중 한 개의 서버에 패치를 놓친 것으로 확인됐다. 그럼에도 현재까지 약 8년간 해당 서버에 대한 보안 패치가 이뤄지지 않아 해커의 침투를 허용하게 된 것이다. 또 오라클 취약점에 대한 적절한 패치가 이뤄지지 않고 방치돼 있음에도 ISMS-P 인증이 나와 무용론이 더 거세졌다. 청문회 당일 김승주 교수도 이 점을 지적하며 "ISMS 인증 체계는 기본 건강검진 같은 것인데, 롯데카드 같은 경우 굉장히 중요하다고 긴급 업데이트하라고 공지한 보안 취약점이 8년 동안 방치돼 있었다"며 "이렇게 긴급한 보안 취약점이 8년 동안 방치돼 있었는데 2025년에 ISMSP 인증서가 나간 것은 분명한 관리 부실"이라고 지적했다. 한편 25일 국회 과학기술정보방송통신위원회 소속 조국혁신당 이해민 의원실이 한국인터넷진흥원(KISA)으로부터 제출받은 자료인 정보보호관리체계(ISMS)-P 인증제도 안내서에 따르면 KT 해킹의 발단이 됐던 펨토셀(불법 초소형 기지국)은 ISMS-P 인증범위에 빠져있는 것으로 나타나 ISMS 인증 제도의 실효성 논란에 불을 지피고 있다. 이 의원은 "해킹 피해를 본 기업은 ISMS나 ISMS-P 인증을 받은 곳이다"라며 "형식적인 서류심사나 체크리스트 위주의 인증이 아니라 실제 해킹 위협 시나리오를 토대로 보안관리 체계를 개편해야 한다"고 강조했다.

2025.09.25 19:57김기찬

[현장] "중기 정보보호 인증 이렇게"···ISMS-P 교육장 가보니

“저희 회사가 개인정보 보호를 잘하고 있는지 확인하고 싶어서 왔어요. ISMS-P를 취득하려고 심사에 필요한 자료를 만들고 있거든요. 인증 기관이 어디인지, 예외 사유는 무엇인지 알려줘서 도움을 얻었습니다.” 10일 오전 서울 송파구 IT벤처타워 소재 한국인터넷진흥원(KISA) 교육장. 이 곳엔 오전부터 중소기업에서 보안 업무를 맡고 있는 20명이 참석해 강의실을 채웠다. 과기정통부와 개인정보위, KISA가 공동으로 시행하는 중소기업을 위한 '정보보호 및 개인정보보호 관리 체계(ISMS-P·Personal Information & Information Security Management system) 구축‧운영 교육'을 듣기 위해서다. 이들 기관은 개인정보 보호 관리 체계 인증을 취득할 예정이거나 관심 있는 중소기업을 대상으로 매년 교육을 하고 있다. 올해도 3월부터 9월까지 6개월간 시행한다. 이날은 오프라인으로 이뤄지는 교육 첫째 날이다. 'ISMS-P'는 기업이 보안 수준을 높이고 개인정보 유출을 막도록 보호 체계를 갖췄는지 심사하고 인증하는 제도다. 정보통신망 서비스를 제공하는 기업이나 정보통신 서비스 매출액이 100억원 이상인 업체는 의무적으로 인증을 취득해야 한다. 인증 받으려면 시스템운영팀과 정보보안팀, 개인정보보호팀 같은 조직을 꾸려야 한다. 시스템 운영 장소와 설비도 필요하다. 이날 강사로 나선 임지석 ISMS-P 인증심사원은 “우리 회사가 어떤 조직을 갖춰 무슨 자산을 관리할지, 개인정보를 수집·이용·파기할 때 어떻게 처리할지, 사고 예방·대응은 무슨 수로 할지 등을 증명해야 한다”며 “중소기업기본법과 특정금융정보법 등에 기준이 나온다”고 안내했다. “중소기업 스스로 인증 받을 요령 알고파” 인증신청서 양식을 받아 본 참가자들은 어떻게 쓰는지 골몰했다. 자세한 심사 기준이 궁금하면 서슴없이 손 들고 질문했고, 쉬는 시간 강사에게 가 따로 묻기도 했다. 한 참가자는 기자에게 “제도가 있다는 것은 알았지만 구체적 내용을 몰랐다”며 “여기서 전체적인 개요를 파악해 좋았다”고 소감을 밝혔다. 그러면서 “우리 회사는 아직 인증 계획이 없지만 '알아두면 좋겠다' 생각했다”며 “회사에 건의하니 선뜻 허락해 배우러 왔다”고 말했다. 기업에서 개인정보 보호 관련 중간관리자라는 고윤상씨는 “우리 회사는 인증 취득을 준비하고 있다”며 “중소기업이 컨설팅 업체를 안 써도 자체 인력으로 ISMS 심사를 신청하고 유지·관리하는 방법까지 알고 싶다”고 밝혔다. 그는 “13년 동안 개인정보 보호 업무를 해 관련 제도에 관심이 많다”며 “KISA가 직접 교육하는 만큼 이론보다 실제로 현업에 적용할 요령을 얻을 수 있을 것 같다”고 기대했다. 9월까지 ISMS-P 인증 제도 온·오프라인 교육 이날은 교육 첫날로, ISMS-P 인증 제도 개요를 다뤘다. 이어서 나흘 동안 ▲간편인증 보호 대책 항목 분석 ▲개인정보 처리 관련 법과 제도 ▲개인정보 보호 대책 ▲기업별 운영 사례 실습 등을 진행한다. 이처럼 올해 교육 일정은 3월부터 9월까지 총 6회, 회당 5일간 운영된다. ▲3월 10일 ~ 3월 14일 ▲3월 31일 ~ 4월 4일 ▲5월 19일 ~ 5월 23일(온라인) ▲6월 30일 7월 4일 ▲8월 18일 ~ 8월 22일(온라인) ▲9월 15일 ~ 9월 19일 가운데 가능한 일정을 골라 신청하면 된다. 단 5일 연속 참석해야 한다. 지방에 있거나 현장 출석하기 어렵다면 온라인 교육을 들을 수 있다. 참석하려는 기업은 상생누리나 개인정보배움터 홈페이지에서 교육 한 달 전부터 신청할 수 있다. 수료기업 중 희망한다면 KISA가 제공하는 보안 취약점 점검, 맞춤형 기술 지원 등을 받을 수 있다. 오명희 KISA ISMS팀 선임연구원은 “상장기업이 이 인증을 얻으면 환경·사회·지배구조(ESG) 중 사회 부문 평가를 건너뛴다”며 “정보보호 전문 서비스 기업과 보안 관제 기업으로 지정할 때에도 가점을 받는다”고 소개했다.

2025.03.10 16:50유혜진

잡코리아, 디지털 명함 앱 '눜', 정보보호 관리체계 인증 획득

잡코리아(대표 윤현준)가 운영하는 디지털 명함 앱 '눜'이 한국인터넷진흥원(KISA)에서 관리하는 정보보호 관리체계(ISMS) 인증을 획득했다고 26일 밝혔다. ISMS는 기업이 주요 정보보호 관리 절차와 대책을 체계적으로 수립 및 운영한 기업에 과학기술정보통신부 산하 기관인 KISA가 인증을 부여하는 국가 공인인증이다. 눜은 관리체계 수립 및 운영, 보도대책 요구사항 분야에서 요구되는 관리체계 운영·암호화 적용 등 총 80가지 인증 기준을 충족해 적합성 평가를 모두 통과했다. 잡코리아는 2013년 ISMS 인증을 획득한 이후 지속적으로 고객 개인정보 관리를 강화해왔다. 2022년에는 취업 플랫폼 최초로 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증을 받았으며, 이후 꾸준히 인증 자격을 유지해오고 있다. 또 2024년에는 개인정보보호위원회와 공동으로 '민간협력 자율규제'에 참여하며 구직자 개인정보 보호 수준을 한층 강화했다. 이런 보안 안정성을 바탕으로 눜은 사용자 중심의 새로운 커리어 서비스를 지향하며 차별화된 기능을 제공해 호응을 얻고 있다. 여러 개의 멀티프로필이 담긴 명함을 만들 수 있는 서비스를 통해 직장인뿐 아니라 프리랜서, N잡러 등 다양한 이용자를 확보했다. 향후 눜은 취미와 취향을 반영하고 커리어 전문성을 강조할 수 있는 다양한 기능을 추가하여 디지털 명함을 취향대로 커스텀할 수 있는 다양한 기능도 제공할 계획이다. 홍정아 잡코리아 눜 사업 리드는 "'눜'의 정보보호 관리 체계를 철저하게 운영해 ISMS 인증을 획득할 수 있었다"며 "앞으로도 고객의 소중한 개인정보를 안전하게 보호하고 신뢰받는 서비스 환경을 제공하기 위해 지속적으로 보안 체계를 고도화해 나갈 것"이라고 밝혔다.

2025.02.26 17:27백봉삼

지금 뜨는 기사

이시각 헤드라인

LG전자, 역대 최대 매출에도 일회성 비용에 실적 '뒷걸음'

새해벽두 CES 강타한 AI 휴머노이드...미래 산업 전면에

라스베이거스서 'K-뷰티테크' 알리다...에이피알 CES 전시 가보니

두산·현대도 K-AI 반도체 '주목'…팹리스 유망주들과 협력 모색

ZDNet Power Center