ISMS 강화 인증제도 소개 및 대응방안

■ ISMS 강화 인증제도 소개 및 대응방안

📌 문제 제기

정보보호 관리체계(ISMS) 인증은 일정 규모 이상의 정보통신서비스를 운영하는 기업 등에 의무화되어, 기업이 정보보호와 관련하여 준수해야 하는 제도적 기준으로 작용해 왔습니다. 현행 제도에 대한 비판도 존재하지만, 이 제도를 통해 개별 기업이 연 1회 정보보호 체계에 대한 심사를 받도록 함으로써, 기업들이 일정 수준 이상의 정보보호 자원을 투입하도록 유도했다는 점에서는 의미가 있었습니다.

그러나 이러한 체계는 최근 몇 년간 이어진 다수의 침해사고와 올해 4월 '미토스 쇼크'로 표현되는 AI를 활용한 침해 시도에 직면하면서 위기를 겪고 있습니다.

이에 정부는 정보통신망법 개정 과정에서 침해사고 대응과 관련된 조항을 개정하고, "생성·처리하는 정보의 규모와 사회적 파급력으로 인하여 침해사고 발생 시 국민의 생명·신체 또는 재산에 중대한 위험을 초래할 우려가 있는 자"를 지정하여 강화된 인증기준을 적용하도록 관련 조항을 강화했습니다.

이에 본 헤드라인에서는 ISMS 인증제도의 운영 현황을 살펴보고, 현재까지 발표된 내용을 바탕으로 강화된 인증기준의 적용과 그에 따른 대응방안을 논의하고자 합니다.

📌 ISMS 인증제도 현황

ISMS 인증은 2001년부터 시행되었으며, 2018년 PIMS 인증과 통합되어 ISMS-P 인증으로 운영되고 있습니다. 정보보호 관리체계에 대한 인증제도인 ISMS는 해당 조직이 정보시스템을 정보보호 위협으로부터 안전하게 운영할 수 있는 체계를 갖추었는지 인증하는 것을 목적으로 합니다.

다만, ISO 27001이나 ISO 27701과 비교했을 때, 국내 ISMS-P 인증은 실제 정보시스템에 정보보호 조치가 적용되어 있는지를 현장에서 확인하는 과정이 상대적으로 많은 편입니다.

최초로 ISMS 인증을 취득하려는 기업은 사전에 정보보호 조직을 구성하고, 정보자산 파악과 취약점 점검을 포함한 위험평가 등을 수행해야 합니다. 또한 일정 수준의 기술적 보호조치를 적용한 후에 인증심사를 받을 수 있습니다.

기업 규모에 따라 차이는 있지만, 인증심사 준비와 신청서 제출, 예비심사 및 본심사, 결함 조치, 인증위원회 보고 등의 절차를 모두 완료하고 최종 결과를 받기까지는 빠른 경우에도 약 8개월이 소요됩니다. 중간에 필요한 행정 절차와 준비 기간까지 포함하면 사실상 1년가량 진행되는 과정입니다. 또한 인증 취득 이후에도 매년 사후심사를 받아야 하므로, 인증제도는 사실상 연 단위의 주기로 운영됩니다.

기존 인증기준은 고시에 근거하고 있지만, 모든 기업에 획일적으로 적용되는 것은 아닙니다. 중소기업에는 ISMS 인증기준이 지나치게 엄격하므로 적용 기준을 유연화해야 한다는 주장이 제기되어 왔습니다. 이에 따라 ISMS 인증 의무대상자이더라도 일정 규모 이하의 매출액을 가진 중소기업이나 주요 정보통신설비를 직접 운영하지 않는 기업에는 간편인증이 도입되기도 했습니다.

반면, 정보보호 수준을 더욱 강화할 필요가 있는 금융권, 가상자산사업자, 알뜰폰 사업자 등에 대해서는 인증기준과 점검항목을 추가하여 심사를 운영하고 있습니다.

📌 강화된 인증기준 및 절차

강화인증의 적용 대상에는 매출액 1조 원 이상인 주요 정보통신서비스 제공자 및 집적정보통신시설 사업자, 매출액 3조 원 이상인 정보통신서비스 제공자가 포함됩니다. 또한 침해사고조사위원회의 심의 결과에 따라 민·관합동조사단의 조사를 받은 사업자나, 침해사고가 여러 차례 발생하여 정보통신망법에 근거한 과징금을 부과받은 사업자도 대상에 포함됩니다.

강화인증에 대한 구체적인 인증기준과 절차는 아직 고시로 공개되지 않았습니다. 다만, 과학기술정보통신부와 개인정보보호위원회가 발표한 보도자료에 따르면, 20개의 인증기준과 76개의 점검항목이 추가될 것으로 보입니다.

공개된 인증기준의 예시에는 자동화 도구를 활용한 정보자산 식별, 비인가 변경 탐지를 위한 무결성 검증 도구 운영, 자동화된 계정 관리, 액세스 토큰과 API 키 등 인증정보의 전체 생명주기 관리 등이 포함되어 있습니다.

인증심사 절차 역시 본심사 기간을 연장하고 투입되는 심사원 수를 늘리는 방향으로 개편될 예정입니다. 특히 취약점 점검 인력이 추가로 투입되어 점검 도구를 활용한 CVE 점검, CCE 점검, 소스코드 점검 및 모의침투 등의 과정이 포함됩니다.

예비심사에서도 기존 관리체계 운영명세서를 기준으로 한 서면 점검 방식에서 기술심사 방식이 적용됩니다. 핵심항목을 충족하지 못할 경우 본심사 단계로 진행하지 않고 신청을 반려하거나, 사후심사의 효력을 취소하는 방안도 포함되어 있습니다.

본심사에서는 취약점 점검을 포함한 현장 실증 심사가 강화됩니다. 이행점검 단계에서도 기존에는 심사팀장 1명이 점검을 수행했으나, 앞으로는 심사 결과의 미흡 수준에 따라 추가 인력을 투입하는 방안이 포함되어 있습니다.

아울러 공개된 인증심사 항목의 예시에는 구체적으로 포함되어 있지 않지만, 최근 침해사고의 주요 내용을 인증기준에 반영하겠다는 방침도 발표되었습니다.

따라서 KISA 보호나라를 통해 최근 공지되고 있는 정보보호 모니터링 관련 사항, AI 기반 사이버 공격에 대응하기 위해 필요한 보안 조치, 침해사고 발생 시 신속한 복구를 위한 백업 원칙 등도 함께 고려할 필요가 있습니다.

📌 결론

정보보호를 위한 제도들이 기업의 자율적인 개선을 유도하는 방향에서는 기대한 만큼의 효과를 거두지 못했습니다. 오히려 일정 수준의 효과를 보여 온 ISMS-P 인증제도는 보안사고가 발생할 때마다 인증을 받은 기업에서도 사고가 발생했다는 비판을 받고 있습니다.

이는 ISMS-P 인증이 업권별 별도 규제를 받지 않는 사업자에게 적용되는 정보보호 제도 중, 침해사고가 발생하지 않은 기업에 대해서도 주기적인 외부 점검을 의무화하는 사실상 유일한 규제 제도이기 때문입니다.

결국 인증을 취득한 기업에서도 침해사고가 발생한다는 비판에 대응하기 위해, 강화인증이라는 형태의 ISMS 심사제도 변화가 정보통신망법 개정에 반영되었습니다.

강화인증의 세부 인증기준이 아직 모두 공개된 것은 아니지만, 향후 변경되는 ISMS 인증심사에 대응하기 위해서는 기존보다 폭넓고 심층적인 정보자산 관리가 필요할 것으로 보입니다. 특히 인터넷 접점을 포함한 정보자산의 현황을 더욱 면밀하게 파악하고, 취약점 점검과 위험평가를 실질적으로 수행해야 합니다.

또한 발견된 취약점에 대해서도 체계적인 대응이 이루어져야 강화되는 ISMS 인증심사에 효과적으로 대응할 수 있을 것으로 판단됩니다.

SK쉴더스 화이트해커 그룹 EQST의 최신 보안 인사이트가 담긴 EQST insight 전문이 궁금하다면, ‘더 알아보기’를 클릭해보세요!

👉 더 알아보기: https://www.skshieldus.com/report/eqstInsight/headline2610.html

✅EQST(이큐스트)는 ‘Experts, Qualified Security Team’ 이라는 뜻으로 사이버 위협 분석 및 연구 분야에서 검증된 최고 수준의 보안 전문가 그룹입니다.