[한국미래일보=이도은 대학생 기자]

AI 생성 이미지

  ISMS-P(정보보호 및 개인정보 보호 관리체계) 인증을 보유한 기업이라 하더라도 대규모 개인정보 유출 등 중대한 법 위반이 발생할 경우 인증이 취소된다. 정부가 인증 사후관리 강화를 통해 제도의 실효성과 신뢰성을 높이겠다는 방침을 분명히 한 것이다.

 과학기술정보통신부와 개인정보보호위원회는 29일 인증위원회와 함께 관계기관 대책회의를 열고 ISMS·ISMS-P 인증 취소 기준을 구체화하는 방안을 최종 확정해 즉시 시행한다고 밝혔다. 최근 SK텔레콤, 쿠팡 등 인증 기업에서 사이버 침해와 개인정보 유출 사고가 반복되면서, 인증 이후 관리가 미흡하다는 지적이 이어진 데 따른 조치다.

 이번 회의를 통해 정부는 인증 기업이 매년 받는 사후심사에서 점검 강도를 한층 높이기로 했다. 외부 인터넷 접점 자산 관리, 접근권한 통제, 보안 패치 관리 등 실제 사고와 직결되는 핵심 항목을 중심으로 집중 점검이 이뤄진다. 사후심사 자체를 거부하거나 자료를 제출하지 않거나 허위로 제출한 경우에는 즉각 인증이 취소된다.

 점검 과정에서 중대한 보안 결함이 발견될 경우에도 인증위원회의 심의를 거쳐 인증이 취소될 수 있다. 특히 1000만 명 이상 개인정보 피해가 발생했거나, 반복적인 법 위반, 고의 또는 중과실로 인한 침해 사고처럼 사회적 영향이 큰 사안에 대해서는 원칙적으로 인증을 취소한다는 방침이다.

 개인정보보호위원회 관계자는 “인증 기준에 미달하거나 중대한 법 위반이 있는 기업이 인증을 유지하는 일이 없도록 관계기관 간 협력을 강화하겠다”며 “엄정한 사후관리를 통해 ISMS-P 인증 제도의 신뢰를 회복해 나가겠다”고 말했다.