ISMS, ISMS-P 인증제 실효성 강화방안 (요약)

1. 추진 배경 및 문제점
-사고 예방의 한계: 국제표준 기반의 관리체계 운영에도 불구하고 최근 통신사 및 이커머스 등 인증 기업들의 연이은 해킹 사고로 제도의 실효성 논란 증폭
-기존 방식의 한계: 자율에 기반한 재량 취득, 기업 중요도와 무관한 획일적 기준 적용, 한정된 인력의 서면 위주 '스냅샷' 심사 등으로 인해 실제 보안 취약점 발견 및 사후 지속 관리 미흡

2. 4대 추진과제
① 인증 의무대상 확대 및 기준 강화
-ISMS-P 의무화: 개인정보의 특성·규모, 매출액 등 고려하여 공공·민간 중요 개인정보처리시스템 ISMS-P 인증 의무화 추진
-인증 체계 3단계 재편: 기업의 위험도와 규모에 따라 '강화인증', '표준인증', '간편인증'으로 차등화하고 파급력이 큰 강화인증군 대기업에는 한층 엄격한 보안 기준 적용
-인증범위 확대: 외부 인터넷망과 연결되어 공격 경로로 활용될 수 있는 접점 자산을 인증 범위에 필수 포함
② 인증심사 방식 강화
-현장실증형 심사 전환: 심사원이 실질적 보안관리 상태를 실시간 시연 확인하는 등 현장 실증 심사 적용
-핵심항목 先 검증 및 기술심사: 핵심 보안 항목을 먼저 검증하여 기준 미달 시 본심사 진행 제한
-기술 심사: 전문 인력과 점검도구를 활용해 모의 침투 및 취약점 진단 수행
③ 인증 사후관리 강화
-상시 점검체계 확립: 주기별 점검 양식을 표준화하여 사후심사 시 집중 점검
-중대사고 심사 중단: 중대한 사고 발생 시 정부 조사 종료 전까지 인증 심사 및 심의 잠정 중단, 사고복구 및 조치, 재발방지 대책 수립 등에 집중, 조사 및 처분 종료 후 심사 재개, 사고 조치 결과 등 고려하여 인증 유지 여부 최종 결정
-사고기업 집중 심사 및 인증 취소: 사고 기업은 심사 인력과 투입 기간을 2배로 확대, 사고원인 및 조치현황 등 집중 심사 
침해사고 접수 인증기업 현황을 KISA에서 관리, 인증심사 강화대상에 편입하여 엄격한 심사 추진
인증 취소 사유 구체화, 관련 법령에 따라 취소 절차 추진 (중대결함 보완 미조치 시 인증취소)
④ 심사기관 및 심사원 전문성 강화
-심사품질 개선: 심사기관 신뢰도 조사 시행해 차년도 배분량에 반영
-심사전문성 강화: AI, 클라우드 등 전문 분야별 특화 심사 가능하도록 소속 심사원 확충
-심사기관 감독강화: 심사역량관리, 심사팀구성 원칙 준수 여부 등 사후관리 점검을 통해 부실 심사 시 업무정지(3~6개월) 및 지정취소(업무정지 3회 시) 조치
-심사원 역량강화: 실무교육 강화, 심사원별 전문분야 정보 관리 및 심사 활용
-심사원 처우개선: 인건비 현실화
-기술심사 가이드: 가이드 제공, 현장실증형 심사 수행능력 제고, 심사 일관성 확보