핵심 수치

10월 15일 국정감사에서 이연희 의원은 ISMS 인증을 받은 기업도 침해사고를 당했고, 인증이 과징금 경감 수단으로 전락했다고 지적했다. ISMS는 정보보호 관리체계 인증으로, 기업이 정해진 기준에 따라 보호조치를 수립하고 운영하는지 심사한다.

항목 수치·내용
유지 중인 ISMS-P 인증서 1,281건, 10월 현재
인증 유효기간 3년
사후심사 최초 인증 후 매년
카드사 과징금 경감액 144억 원
강화인증 심사 기간 기존 1주일에서 2주 이상으로 확대

이 의원은 최근 3년간 인증을 받은 기업 다수가 침해사고를 당했다고 밝혔다. 다만 뉴스에는 피해 기업 수나 전체 인증 기업 대비 비율이 제시되지 않았다. 과징금 144억 원도 특정 카드사의 경감액으로 소개됐으며, 전체 경감 규모는 확인되지 않는다.

연도별·항목별 비교

ISMS는 2001년 7월 정보통신망법에 근거해 도입됐다. 개인정보보호 관리체계인 PIMS는 2010년 10월 별도로 시작됐고, 두 인증은 2018년 11월 통합돼 현재의 ISMS-P로 운영된다.

인증은 3년 유효하지만 최초 인증 뒤 매년 사후심사를 받는다. 과기정통부 정보보호네트워크 정책실장은 올해 도입한 강화인증제가 기존 1주일 서류심사에서 2주 이상 심사로 늘었고 현장 심사도 한다고 밝혔다.

의미 해석

인증서 1,281건은 제도의 규모를 보여주지만, 인증 보유만으로 침해사고 예방 효과를 판단할 수는 없다. 뉴스에 나온 침해 기업 수와 사고 원인, 인증 심사 결과가 공개되지 않아 사고율이나 인증 효과를 수치로 비교하기 어렵다.

이 의원은 인증을 받았는데도 사고가 난 기업의 인증 취소 사례가 없다고 지적했다. KISA 이상중 원장은 인증의 목적이 보안 사고를 줄이는 것이라고 답했다. 인증 실무자는 인증 보유 여부와 함께 사후심사 결과, 사고 뒤 인증 유지·취소 여부, 과징금 경감액을 구분해 확인할 필요가 있다. 이는 뉴스에 제시된 정보 공백을 점검하기 위한 비교 항목이다.

결론

현재 쟁점은 인증 건수보다 인증 이후의 사고 대응과 과징금 경감 효과를 검증할 수 있느냐에 있다.

  • 최근 3년 침해사고 기업 수와 인증 유지 현황의 공개 여부를 확인한다.
  • 사후심사와 강화인증의 심사 기간·현장 심사 여부를 비교한다.
  • 과징금 144억 원의 산정 기준과 인증에 따른 경감 내역을 확인한다.
  • #ISMS
  • #ISMS인증
  • #이연희의원
  • #정보보호
  • #과징금