ISMS-P 인증이란 무엇일까?
아빠! 요즘 뉴스에서 인터넷 쇼핑몰이나 대형 병원 같은 곳이 'ISMS-P 인증'을 받았다고 홍보하는 걸 봤어요. ISMS-P가 도대체 뭐예요? 개인정보를 잘 지키고 있다는 뜻인가요?
우리 민지가 아주 중요한 국가 인증제도를 발견했네! 맞단다. ISMS-P는 우리나라에서 기업이 고객의 개인정보와 중요한 IT 시스템을 안전하게 관리하고 있는지 종합적으로 검증해 주는 최고 수준의 종합 보안 인증제도란다.
1. ISMS-P 인증이란 무엇인가요?
영어로 되어 있어서 좀 어려워 보여요. 약자가 무슨 뜻인지 쉽게 설명해 주세요!
약자를 하나씩 풀어서 보면 훨씬 이해하기 쉽단다.
- ISMS (Information Security Management System): 정보보호 관리체계
- P (Personal Information Protection System): 개인정보보호 관리체계
즉, '정보보호 및 개인정보보호 관리체계 인증'을 뜻해. 과학기술정보통신부, 개인정보보호위원회, 방송통신위원회가 공동으로 운영하고, KISA(한국인터넷진흥원)가 심사기관으로 관리하는 제도지.
ISMS-P는 기업이 정보자산을 보호하기 위한 'ISMS(정보보호 관리체계)'와 고객의 개인정보를 수집·유지·파기하는 전 과정을 보호하는 'PIMS(개인정보보호 관리체계)'를 하나로 통합한 국가 공인 인증제도입니다.
2. ISMS와 ISMS-P는 어떤 점이 다를까요?
아빠! 그냥 'ISMS'라고 적혀 있는 곳도 있고 'ISMS-P'라고 적힌 곳도 있던데, 두 개가 서로 다른 건가요?
좋은 질문이야! 간단히 말해서 뒤에 'P'가 붙었느냐 아니냐의 차이란다. 기존에는 정보보안을 다루는 ISMS와 개인정보보호를 다루는 PIMS가 나눠져 있었는데, 기업들의 중복 부담을 줄이고자 2018년에 하나로 통합된 인증 방식이 바로 ISMS-P란다.
구체적인 차이점은 표로 정리하면 쉽게 비교해볼 수 있어.
| 구분 | ISMS 인증 | ISMS-P 인증 |
|---|---|---|
| 주요 보호 대상 | 기업의 정보자산 및 IT 시스템 네트워크 Security | 정보자산 + 개인정보의 흐름 전체 |
| 심사 항목 수 | 80개 항목 | 101개 항목 (80개 + 개인정보 21개) |
| 인증 범위 | 기술적·관리적 보안 중심 | 수집, 이용, 제공, 파기 등 개인정보 라이프사이클 포함 |
3. 어떤 기업이 꼭 받아야 하나요? (법적 의무 대상)
모든 회사나 가게가 다 이 인증을 받아야 하는 건가요? 아니면 대기업만 받는 건가요?
원래는 자율적으로 신청해서 받는 자율 인증이지만, 일정 규모 이상의 서비스나 많은 개인정보를 다루는 기업에는 법적으로 의무화되어 있단다. 의무 대상 기준을 만족하고도 받지 않으면 최대 3,000만 원 이하의 과태료가 부과될 수 있어.
- 상급종합병원: 세브란스, 서울대병원 등 매출액 및 재학생 수가 일정 기준 이상인 대형 의료기관
- 대형 대학: 직전 연도 재학생 수가 1만 명 이상인 고등교육법상 대학
- 정보통신서비스 부문 매출액: 100억 원 이상인 기업
- 일일 평균 이용자 수: 직전 3개월간 일일 평균 이용자 수(PV/UV)가 10만 명 이상인 기업
- 주요 ICT 사업자: 인터넷전문iSP, IDC(데이터센터) 사업자 등
4. ISMS-P 인증의 심사 항목과 절차
아까 101개나 되는 항목을 검사한다고 하셨잖아요! 그렇게 많은 항목을 어떻게 점검하나요?
101개 심사 항목은 크게 3개 영역으로 나눠져 있단다. 심사위원들이 실제 회사에 방문해서 문서와 시스템 운영 현황을 아주 꼼꼼하게 점검하지.
- 1영역: 관리체계 수립 및 운영 (16개 항목) — 경영진의 참여, 위험 평가, 정책 수립 및 위험 관리 체계가 갖춰져 있는지 확인
- 2영역: 보호대책 요구사항 (64개 항목) — 접근 권한 제어, 암호화 적용, 네트워크 보안, 사고 대응 대책 등 기술적·물리적 보안 조치 점검
- 3영역: 개인정보 처리단계별 요구사항 (21개 항목) — 개인정보의 수집, 이용, 제공, 파기 등 개인정보의 전체 생애주기(Life Cycle) 보호 준수 여부 점검
인증을 받고 난 후 끝나는 게 아니야! 인증 유효기간은 3년이지만, 매년 '사후 심사'를 통과해야 인증 자격이 유지된단다.
아하! 우리가 안심하고 웹사이트나 앱을 이용할 수 있었던 건 이렇게 깐깐한 ISMS-P 인증 덕분이었네요!
우리 민지가 아주 잘 이해했구나. 혹시 정보보호나 보안에 대해서 또 어떤 게 궁금하니?
아빠, 그러면 아까 말씀해주신 개인정보 처리단계별 요구사항에서 개인정보를 파기할 때 어떤 방법으로 없애는지 이게 궁금해요!
