ISMS-P 심사가 완전히 달라진다
3월 12일에 과기정통부랑 개인정보위가 ISMS-P 인증제 실효성 강화 간담회를 열었다. KISA, 금융보안원, 심사기관, 인증심사원까지 다 불러 모았다. 여기서 나온 얘기를 컨설팅하는 입장에서 보면, 앞으로 심사장 풍경이 꽤 달라지겠구나 싶다.
지금까지는 심사 시점에 서류 잘 갖춰놓고 스냅샷 한 번 찍으면 인증서가 나왔다. 그런데 인증받은 기업에서 대형 유출이 계속 터지니까, 정부가 "이 방식으로는 안 되겠다"고 판단한 거다. 송경희 개인정보위 위원장 표현을 빌리면, 인증서 표지 한 장으로 만족하는 게 아니라 보호 조치가 계속 유지되는 구조를 만들겠다는 거다.
바뀌는 게 여러 갠데, 나는 그중에 예비심사가 제일 크다고 본다. 나머지부터 훑고 그 얘기를 하겠다.
인증이 3단계로 갈린다
지금은 회사 규모가 어떻든 같은 기준으로 심사한다. 앞으로는 위험 수준에 따라 간편·표준·강화 세 단계로 나뉜다. 통신사나 대형 플랫폼 같은 고위험군엔 강화 인증이 붙는다. KISA 김선미 디지털보안인증단장 말로는 주요 보안위협 사례랑 해외 요구사항을 참고해서 강화 기준을 따로 만들 거라고 한다.
개인적으로 더 반가운 건 외부 인터넷 연결 자산을 인증 범위에 무조건 포함시킨다는 부분이다. 현장에서 범위 산정할 때 "이 서버는 빼도 되지 않나요?"라는 질문을 정말 셀 수 없이 들었다. 클라우드 자산이든 API 엔드포인트든 슬쩍 빼놓는 게 관행처럼 있었는데, 이게 막히면 그 실랑이가 확 줄어든다.
서류 말고 실제로 보여달라
지금 심사는 특정 시점 상태만 확인하는 스냅샷이다. 본심사 때 증적 보고, 샘플 몇 개 확인하면 끝. 이게 두 갈래로 바뀐다.
하나는 예비심사다. 본심사 전에 비밀번호 암호화나 패치 적용 같은 핵심 통제항목을 먼저 점검하는데, 여기서 미달이면 본심사에 들어가지도 못한다. 최초 인증이면 신청이 반려되고, 사후심사에서 걸리면 인증이 취소될 수도 있다. 아까 이게 제일 크다고 한 이유가 이거다. 지금까진 기본적인 게 안 돼 있어도 일단 본심사는 받고 봤다. 그러다 서로 시간만 버리는 경우가 많았다. 문턱을 앞에 세워두면 준비 안 된 곳은 아예 못 들어오니까, 나는 이건 오히려 잘하는 거라고 본다.
다른 하나는 현장실증형 심사다. 서류 확인이 아니라 실제 시스템을 직접 검증한다. 취약점 스캐너 돌리고, 소스코드 진단하고, 모의침투까지 심사 과정에 들어온다. 그래서 전문 기술 인력이랑 심사 기간도 늘린다고 한다. 1년에 한 번 심사 때만 스캐너 돌려보는 곳이 아직 많은데, 그 방식으론 이제 안 된다. 실무자 입장에선 이게 체감이 제일 클 거다. "문서 있습니다"가 통하던 시절이 끝나고 "직접 열어서 보여주세요"가 되는 거니까.
인증받고 끝이 아니다
사후관리도 세진다. 유출 사고가 난 기업은 사후심사 인력이랑 기간을 두 배로 늘려서 원인이랑 재발 방지를 집중적으로 본다. 중대한 결함이 나오면 인증 취소까지 간다. 3년 주기로 갱신만 신경 쓰면 되던 게 아니라, 사고 한 번에 인증이 날아갈 수 있게 되는 셈이다.
심사하는 쪽도 같이 조인다. 품질이 미달인 인증기관엔 업무 정지나 지정 취소 같은 행정처분을 걸 수 있는 근거를 만들고, 분야별 인증위원회를 두고, 심사원한테 AI 같은 신기술 교육도 늘린다. 심사 품질 편차 얘기는 예전부터 나왔으니 방향 자체는 맞다.
개정 개보법이랑 맞물린다
이번 개편은 따로 노는 움직임이 아니다. 2026년 3월 10일에 공포된 개정 개인정보보호법의 ISMS-P 의무화 조항(제32조의2 제1항 단서, 2027년 7월 1일 시행)이랑 직접 엮인다.
의무화 대상이 누구냐는 시행령에 위임돼 있어서 아직 확정은 아니다. 다만 간담회 분위기를 보면 매출 규모에 개인정보 보유 규모를 얹어서, 공공시스템 운영기관이랑 통신사, 대형 플랫폼이 주 대상이 될 것 같다. 2027년 7월에 의무화가 켜지는데 그 전에 심사 방식이 현장실증형으로 바뀌면, 대상 기업 입장에선 준비할 시간이 생각보다 빠듯하다.
세부 고시는 아직 안 나왔다. 정부는 이번 간담회 의견을 반영해서 실효성 강화방안을 곧 발표한다고 했으니, 나오면 그때 다시 정리하겠다.
출처