ISMS 강화 인증제도 소개 및 대응방안

공공컨설팅팀 / 박태규 선임

■ 개요

어떤 제도도 침해사고를 완벽히 방지할 수는 없다. 그렇지만, 정보보호법제에서는 기업이 보유한 정보를 보호하기 위해 지켜야 할 기준을 정하고, 이를 이행하도록 요구하고 있다. 일정 규모 이상의 정보통신서비스를 운영하는 회사 등에게 의무화된 정보보호 관리체계 인증제도의 기준과 점검항목들은 이러한 준수 기준의 하나로 작동하고 있다.

이런 제도 아래에서, 정보보호 관리체계 인증 의무 대상자가 인증을 받지 않은 상태에서 침해사고가 일어난 경우에는 그 책임이 가중된다. 민사적 손해배상에서도 인증 의무를 이행하지 않은 사실이 불법 행위의 근거가 될 수 있기 때문이다. 물론, ISMS 인증을 받았다는 사실이 마치 국가가 사고 예방을 보증한 것처럼 오해를 낳는다는 문제는 있을 것이다. 그러나 자율에만 맡겨서는 보안 투자가 늘지 않는 것이 우리 현실이다. 최소한 이 체계를 통해 1년에 한번은 개별 기업이 정보보호 체계에 대한 심사를 받도록 해 정보보호에 대한 자원 투입이 현재 수준이라도 일어나도록 했다는 점에서 의미가 있었다.

그렇지만, 이러한 체계는 이제 도전을 받고 있다. 2025년에는 주요 통신사의 해킹 피해가 발생했고, 정부시스템에 대한 해킹 시도와 침해 사고 및 대규모 온라인 유통사를 비롯한 많은 개인정보 유출 사고가 있었다. 최근에는 보안 체계가 잘 갖추어져 있을 것으로 기대되는 은행들에서도 피해가 나타났다. 금년 4월에 발표된 미토스 쇼크는 기존의 취약점 방어 체계만으로는 AI를 이용한 해커를 방어하는 데 한계가 있다는 위기감을 주고 있는 실정이다. 이에 정부는 정보통신망 이용촉진 및 정보보호 등에 관한 법률에서 침해사고 대응에 관련된 조항들을 개정했다. "생성ㆍ처리하는 정보의 규모와 사회적 파급력으로 인하여 침해사고 발생 시 국민의 생명ㆍ신체 또는 재산에 중대한 위험을 초래할 우려가 있는 자로서 대통령령으로 정하는 자"에 대해서는 정보보호 관리체계 인증을 받기 위한 인증기준 및 절차 등을 강화하여 적용할 수 있도록 한 것이다.

이에 본 헤드라인에서는 ISMS 인증 제도 운영의 현황을 살펴보고, 강화된 인증기준의 적용에 대하여 현재까지 발표된 사항을 바탕으로 그 대응방안을 논의해 보고자 한다.

■ ISMS 인증 제도 현황

정보보호 관리체계 인증은 기업이 정보보호를 준수하기 위해 구축하여야 하는 경영시스템 요구사항을 정하고, 이를 충족할 경우 인증을 부여하는 제도로, 2001년부터 시행되었다. 국내에서는 ISO 표준인 ISO 27001을 기반으로 하여 국내 환경에 맞춰서 정보보호 관리체계 인증제도가 만들어졌다. 이후에 개인정보보호에 대한 경영시스템 표준인 ISO 27701과 상호 영향을 받으면서 개인정보보호 관리체계에 대한 인증 제도인 PIPL, PIMS 등이 만들어졌었다. 그러나, 이는 중복된 인증 제도가 비효율적이라는 비판이 이어져, PIPL은 폐지되고, ISMS와 PIMS는 통합하여, 2018년도부터 ISMS-P 인증으로 운영하고 있다. 이러한 연혁으로 인하여 ISMS-P는 두 법령에 각각 근거를 두고 있다. 정보통신망법에서는 제47조에 정보보호 관리체계의 인증이라는 항목으로 정보보호 관리체계 인증에 대한 근거를 두고 있으며, 개인정보보호법에서는 제32조의2에 개인정보보호 관리체계 인증에 대한 근거를 별도로 두고 있다. 이를 통합하여 운영하기 위하여 “정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시”를 개인정보보호위원회와 과학기술정보통신부가 공동으로 고시하고 있다. 인증기관은 두 부처가 지정한 한국인터넷진흥원과 금융보안원이며, 심사는 인증기관 2곳과 심사기관 6곳(KAIT, TTA, OPA, NISC, KMR, KPCQA)이 맡고 있다.

ISO 표준인 ISO 27001과 ISO 27701의 기본 취지가 그러하듯이, 관리체계에 대한 인증제도는 어떤 정보시스템이 정보보호에 대해서 안전한가를 인증하는 것이 아니다. 해당 조직이 정보시스템을 정보보호 위협으로부터 안전하게 운영할 수 있는 체계를 갖추었는지를 인증하는 것이 목적이다. 다만, ISO 27001과 ISO 27701에 비하여 국내의 ISMS-P 인증은 실질적으로 시스템에 정보보호조치가 취해져 있는 지를 실사하는 과정이 더 많다. 그렇기에 ISO 27001이나 ISO 27701에 비하여 심사 과정의 기간이 길고, 투입되는 심사원의 수도 많다.

일반적으로 인증 심사를 받기 위해서는 사전에 정보보호 조직의 구성, 정보 자산 파악, 취약점 점검을 포함하는 위험평가 등이 이루어져야 한다. 또한, 어느 정도 기술적 조치도 이루어져야 인증심사를 받을 수 있다. 보통 이런 과정은 초기에 외부 컨설팅을 통해 진행되며, 규모에 따라 최소한 1~3개월 정도의 컨설팅을 받는다. 이후에 심사기관으로 신청서를 접수하고, 심사팀장이 예비점검을 실시해 2달 후 현장 심사를 한다. 최소심사인 경우 심사원 5명 정도가 투입되어 5일 정도 심사가 진행된다. 해당 심사 과정에서 발견된 결함 사항은 40일 ~ 100일간의 기간 내에 조치해야 한다. 해당 사항이 해결된 후 심사팀장은 다시 결함 사항의 조치여부를 실사한다. 조치가 완료되었다는 것을 확인하면 인증기관을 거쳐 인증위원회에 심사결과보고서를 제출하고, 온/오프라인 대면 보고를 통해 질의응답을 거친다. 심사 완료 보고에는 해당 기관의 정보보호 조직 구성, 정보시스템의 현황, 발견된 결함사항과 결함 사항에 대한 조치방법이 포함되며, 인증위원회는 이 결과보고를 듣고 질의응답을 거쳐 인증의 취득 여부를 결정한다. 인증은 3년간 유효하다. 3년이 지나는 주기에는 갱신심사를 거쳐야 하며, 3년의 기간 중에는 매년 사후심사를 거쳐야 한다.

이러한 인증 취득 과정은 준비과정을 시작으로 심사 수검, 결함 조치, 최종 결과가 나오기까지 8개월 정도 걸린다. 중간의 행정 기간이나 준비 기간을 포함하면 사실상 1년간 진행된다. 그리고 인증은 취득으로 끝나는 것이 아니라 매년 사후 심사를 받아야 하기 때문에 연 주기의 사이클로 돌아간다. 정보보호 인증 제도는 모든 취약점을 조치하는 회사에 부여되는 것이 아니다. 내부 위험평가와 내부감사, 외부 심사를 통해 결함을 찾아내고 이를 바로잡으며, 정보보호 수준이 꾸준히 개선되고 있는지를 확인하는 데 목적이 있다.

■ 별도 인증기준 사례

강화인증이 있기 전, ISMS 인증기준이 모든 기업에 획일적으로 적용되지는 않았다. 2025년 침해사고가 연달아 이슈화되기 전까지만 하더라도, 중소기업에게 정보보호 관리체계 인증은 부담되므로 인증을 유연화해야 한다는 주장도 있었다. 하여, 소규모 기업을 대상으로 한 간편인증인 경량화된 정보보호 관리체계가 제도에 새로 포함되기도 했었다. 정보통신서비스 부문 매출액이 100억원 이상일 경우에 해당되어 의무대상자가 되었으나, 정보통신망법 시행령에서 정한 완화 인증 대상이 되는 사업자는 간편인증을 받을 수 있도록 2024년부터 심사가 진행되었다. 간편인증의 방법으로 심사될 경우, 인증기준과 확인사항도 표준 인증기준의 50~60% 수준으로 줄여서 심사가 진행되며, 심사팀도 3명으로 구성하여 3일 수준에서 진행된다.

법령과 고시의 인증기준은 동일하지만, 산업에 따라서 별도의 점검항목을 거쳐야 하는 경우도 있다. 이러한 점검항목들은 해당 산업의 특성에 비추어 정보보호를 강화하여야 하는 요구사항에 맞추어 강화되었다. 금융보안원은 금융권에 대하여 2019년 11월부터 금융권에 적합한 ISMS-P 인증 점검항목이라는 이름으로 별도의 점검항목을 추가하여 인증심사를 실시한다. 현재는 2022년 8월에 개정된 기준이 사용되고 있다. 해당 점검항목은 392개 항목으로, 그 당시 기준의 일반적인 점검항목 322개(관리체계 수립 및 운영 42개, 보호대책 192개, 개인정보보호 88개)에 비하여, 관리체계 수립 및 운영에서는 3개, 보호대책에서는 42개, 개인정보 처리단계에서는 25개의 점검항목을 추가하는 방법이다.

금융권 외에도 별도의 점검항목을 추가 심사하는 경우도 있다. 특정 금융거래정보의 보고 및 이용 등에 관한 법률에 따라 정보보호 관리체계 인증을 받아야 금융정보분석원장에게 신고를 할 수 있는 가상자산사업자에 대한 인증심사에서는 2020년도부터 관리체계 수립 및 운영에서 11개, 보호대책에서는 45개의 점검항목을 추가해 심사가 진행중이다. 알뜰폰(MVNO) 사업자도 마찬가지다. 본인인증 우회 취약점 등을 이용한 부정개통 및 해킹이 일어나자, 2024년부터 MVNO(알뜰폰)에 대한 특화 세부점검항목 개발이 이루어졌다. 2025년부터는 주요 정보통신서비스 제공자의 범위에 포함되어, 정보보호 관리체계 인증 심사 시에 관리체계 수립 및 운영에서 11개, 보호대책에서는 29개의 점검항목이 추가 적용됐다.

■ 강화된 인증기준 및 절차

우선, 강화인증의 적용대상이 되는 대상은 정보보호 관리체계 인증 의무대상자 중 다음 사항에 해당되는 자이다. 1)과 2)에 해당하는 경우에는 매출액 규모에 따라서 정해지지만, 3)에 해당하는 경우에는 침해사고 여부에 따라 정해지는 것이므로 1)과 2)에 해당하는 매출액을 가지지 않더라도 지정될 수도 있다.

1)전년도(법인인 경우에는 전 사업연도를 말한다) 매출액이 1조원 이상인 주요정보통신서비스 제공자 및 집적정보통신시설 사업자

2)전년도(법인인 경우에는 전 사업연도를 말한다) 매출액이 3조원 이상인 정보통신서비스 제공자

3)최근 3년 이내 침해사고가 발생하여, 침해사고조사심의위원회의 심의 결과에 따라 민ㆍ관 합동조사단의 조사를 받거나, 정보통신서비스 제공자의 고의 또는 중과실로 인하여 침해사고가 5년 이내의 기간 동안 2회 이상 발생한 경우에 과장 과학기술정보통신부 장관에게 과징금을 부과받은 정보통신서비스 제공자

아직 강화인증에 대한 인증기준 및 절차가 고시로 공개되지는 않았다. 다만, 과학기술정보통신부와 개인정보보호위원회가 금년 4월에 발표한 “정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안” 보도자료를 기반으로 절차를 추정해 볼 수 있다. 해당 안에서는 주요 보안위협 사례, 주요국 보안 요구 사항을 참조하여 보안을 강화한 인증기준을 개발하여 강화인증군에 적용하겠다고 밝혔고, 이러한 인증 기준으로 20개의 인증기준과 76개의 점검항목을 포함할 예정이라 발표했다. 해당 보도자료에서 강화 인증기준 예시로 발표된 사항은 다음과 같다.

표1. 강화 인증기준(예시) / 과학기술정보통신부, 개인정보보호위원회 보도자료(2026.4.10)

인증범위도 넓어진다. 인증대상 서비스와 관련된 장비, 시설 등을 빠짐없이 포함하는 데 그쳤다면, 앞으로는 외부 인터넷과 연결되는 접점 자산까지 인증범위를 단계적으로 확대할 계획이다. 또한, 최근 주요 침해사고 원인 분석 및 기술변화를 반영하는 인증기준서 개선과 위험평가의 기준이 되는 위험수용 가이드라인을 배포하여 기업 자체에서 진행되는 위험평가 과정에 대해서도 요구수준을 상향하는 것으로 보인다.

심사 과정도 개편된다. 강화인증은 본심사 기간은 물론 투입되는 심사원의 수도 늘린다. 기존에는 ISMS인증 심사의 경우 5명의 심사팀이 5일간 진행하고, ISMS-P 인증 심사의 경우 5명의 심사팀이 7일간 진행하는 것이 일반적이었다. 기존에도 인증범위에 맞추어 인원수 및 일정을 조정하였다. 강화인증에서는 취약점점검원 5명을 추가하여, ISMS 심사의 경우 10명이 10일간, ISMS-P 심사는 10명이 12일간 실시하는 것을 기본으로 하고 인증 범위에 따라 조정하는 것으로 변경된다.

추가로 투입되는 취약점점검원은 점검도구(취약점 스캐너, 스크립트, 소스코드 진단툴 등)을 활용하여 취약점점검 및 모의침투를 수행하는 과정이 더해진다. 이러한 취약점점검에는 CVE 점검, CCE 점검, 소스코드 점검 및 모의침투 과정의 4가지가 점검 항목으로 포함될 예정이다. 이 방식은 클라우드 보안인증(CSAP)의 점검 방식을 강화인증에 적용하는 방식으로 유사하게 실시될 것으로 보인다. 다만, 이 경우 강화인증 대상 사업자의 인증범위는 클라우드 보안인증(CSAP)의 범위보다 넓을 수 있다. 그리고 CSAP는 대부분 초기 구축 단계에 심사를 받아 조치할 수 있었지만, 강화인증은 이미 운영중인 레거시 시스템에서 취약점을 점검하게 된다. 이러한 점을 고려하면 어느 수준에서 취약점에 대한 조치가 이루어진 다음에 인증을 부여할 수 있을지에 대해서는 인증위원회의 기대수준과 심사기관의 현장 상황에서의 요구수준을 맞추는 데 상당한 시간이 소요될 것으로 보인다.

표2. 취약점 점검별 점검 항목(안) / 과학기술정보통신부, 개인정보보호위원회 보도자료(2026.4.10)

또한, 정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안에는 예비점검 및 현장 실증 심사를 강화하는 내용도 포함되어 있다. 기존 심사팀장이 관리체계 운영명세서를 기반으로 서면위주로 점검하던 예비심사 단계를 강화하여, 예비심사에서 취약점진단 및 모의침투 등 기술심사 방식을 적용하여 핵심항목이 미충족된 경우에는 본심사 단계로 넘어가지 않고 신청을 반려하거나 사후심사의 효력을 취소시키는 방안이 포함되어 있다.

본심사 단계에서도 현장 실증 심사를 강화하는 방안으로 실시간 시연 확인 등 현장 실증 심사방법 적용을 강화하겠다는 내용이 포함되어 있다. 그 예시로 ① 숨겨진 정보자산 식별을 위하여 자산관리시스템을 실사하거나 필요 시 점검도구를 활용한 네트워크 스캔을 수행하는 것, ② 계정, 권한 회수의 즉시성 검증을 위하여 테스트 계정을 생성하고 퇴직이나 직무변경 상황을 부여하여 절차를 검증하는 것, ③ 대용량 유출, 관리자 접속 등 이상행위 모니터링 현황을 점검하기 위하여 이상행위 상황을 부여하고 서버, 보안시스템 등 로그를 실사하는 것, ④ 백업데이터 무결성 검증과 실제 데이터 복구를 시험하기 위하여 테스트 파일을 생성 및 백업하고 이를 암호화한 다음 복구를 시연하는 것 등이 있다. 이행점검 단계에서도 심사팀장 1명이 수행하던 것을 심사결과 미흡 수준에 따라 인력 추가 투입이 이루어지도록 하겠다는 내용이 포함된다.

■ 추가적인 고려사항

최근 침해사고의 현황을 반영하여, KISA보호나라에서는 기업에서 수행하여야 하는 보안점검 및 모니터링에 대한 안내를 하고 있다. 이러한 안내 사항은 최근 발생하는 침해사고의 대응을 위한 것이므로ISMS 인증심사 수검시에는 점검을 할 수 있는 준비가 되어 있는지와 정보보호 모니터링 과정에서 이러한 요구사항들이 반영되어 있는지가 포함될 수 있다. 이러한 사례들 중 최근 공지사항을 살펴보면 다음과 같다.

표3. 최근 사이버공격 대비 기업 보안강화 권고 / KISA 보호나라 공지사항(2026.10.03)

또한, AI 기반 사이버공격에 어떻게 대응할 지에 대한 내용도 인증기준에는 반영되어야 할 것으로 보인다. 이 부분에 대하여 점검 기준으로 발표된 사항은 없으나, 과학기술정보통신부가 클로드 미토스 출현 이후에 공지한 내용을 기반으로 반영된다면 다음 사항을 참조할 수 있다.

표4. AI 기반 사이버공격 대비 기업 대응 요령 / 과학기술정보통신부∙한국인터넷진흥원 (2026.05.07)

5월에 발표되었던 AI 기반 사이버공격 대비를 위한 CEO 행동 수칙의 7번째에는 기업의 정보보호 전략 목표를 ‘완벽한 차단’에서 ‘신속한 회복’으로 전환하는 것이 필요하다는 내용이 담겼다. 그 글의 해당 항목에는 사고 발생 후 비즈니스 중단을 최소화하는 것은 경영진의 역량에 달려 있다는 설명이 함께 있다.

특히 2025년 사고 중에는 큰 규모의 조직에서도 랜섬웨어 피해를 당하여, 해당 회사의 주된 서비스가 상당기간동안 중단되는 피해를 겪은 회사들이 많았다. 이러한 상황은 추후 인증기준에 반영될 것으로 보이며, 이에 요구되는 조치로써 한국인터넷진흥원이 제시한 백업 8대 원칙은 고려해 볼 필요가 있다.

표5. 랜섬웨어 대응을 위한 데이터백업 8대 보안 수칙 / 한국인터넷진흥원 (2025.07.17)

■ 결론

정보보호를 위한 제도는 과거 자율공시 시절의 정보보호 공시제도나 정보보호 준비도 평가처럼, 자율적인 개선을 추구하는 방향으로는 기대한 효과가 달성되지 않았다. 기업에서 정보보호를 강화한다는 것은 결국 비용과 인력을 사용해야 하는 것이고, 일정 부분의 자원을 투입해야 한다는 의미다. ESG 등 다른 홍보 효과가 있다고 하더라도 자율 규제에 맡기는 것은 한계가 있다. 이로 인하여 어느 정도 효과가 보이는 정보보호 관리체계 인증은 오히려 사고 때에만 관심이 집중된다. 이 제도는 업권 별 규제를 받지 않는 사업자에게 적용되는 정보보호 제도 중에서 사고가 발생하지 않은 회사에 대해서도 주기적인 외부 점검을 강제하는 사실상 유일한 규제 제도이기 때문이다.

제도가 가진 특성 때문에, 2025년에 정보보호 사고가 빈번하게 일어나자 인증에 대한 비판이 많았다. 인증을 받은 회사도 침해사고가 발생했다는 점이 문제가 됐다. 이에 2025년 10월에 발표된 범부처 정보보호 종합대책에서는 인증에 대한 요구사항을 강화하는 방향의 대책이 담겼고, 그 결과가 이번 정보통신망법 개정으로 이어졌다. 인증기준의 세부내역이 아직 모두 공개된 것은 아니지만, 기존 ISMS 심사 준비 대비, 인터넷 접점을 포함한 정보 자산은 넓고 깊게 관리해야 하며, 취약점 점검과 위험평가는 보다 실질적으로 이루어져야 하고, 발견된 취약점에 대한 대응도 시스템적으로 이루어져야, 변경되는 ISMS 인증심사에도 대응할 수 있을 것으로 보인다.

더 많은 전문가 리포트 보기