개인정보 유출 사전예방 강화…“ISMS 전면 개편…서류 인증 끝낸다”

정부가 개인정보 유출과 사이버 침해사고를 막기 위해 정보보호 관리체계(ISMS·ISMS-P)를 전면 개편한다. 서면 중심의 형식적 심사를 폐기하고, 현장 실증과 기술 검증을 도입하는 한편, 통신사·이커머스 등 대규모 개인정보처리자에 대한 인증 의무화를 추진한다.

개인정보보호위원회와 과학기술정보통신부는 ‘정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안’을 통해 인증 대상부터 심사 방식, 사후관리까지 전면 재설계에 나선다고 밝혔다. 최근 인증 기업에서도 해킹 사고가 잇따르며 제도 무용론이 제기된 데 따른 조치다.

개편안의 핵심은 ‘강제성’과 ‘실효성’이다. 국민 생활에 영향이 큰 사업자는 단계적으로 인증을 의무화하고, 인증 체계는 ‘강화·표준·간편’ 3단계로 세분화한다. 특히 대형 사업자는 모의침투, 취약점 진단 등 고강도 기술 심사를 반드시 통과해야 한다.

심사 방식도 대폭 바뀐다. 기존 서류 검토 중심에서 벗어나 현장 점검과 실증 테스트를 도입하고, 예비심사를 통해 부실 기업은 본심사 진입 자체를 차단한다.

사후관리 역시 강화된다. 인증 이후에도 상시 점검 체계를 가동하고, 중대 침해사고 발생 시 인증을 중단하거나 취소하는 등 ‘한 번 따면 끝’ 구조를 폐기한다.

정부는 올해 하반기부터 사후관리 강화 방안을 시행하고, 2027년부터 인증 의무화와 차등 인증체계를 본격 적용할 계획이다.