ISMS-P 정리
ISMS-P 정리
1. ISMS / ISMS-P란?
- ISMS (정보보호 관리체계 인증): 정보보호를 위한 일련의 조치와 활동이 인증기준에 적합함을 한국인터넷진흥원(KISA) 또는 인증기관이 증명하는 제도
- ISMS-P (정보보호 및 개인정보보호 관리체계 인증): 위 정보보호에 더해 개인정보보호를 위한 조치까지 포함하여 인증하는 제도 (ISMS의 확장 버전)
2. 법적 근거
| 구분 | 과학기술정보통신부 | 개인정보보호위원회 |
|---|---|---|
| 법령 | 정보통신망법 제47조 (시행령 제47~54조, 시행규칙 제3조) | 개인정보보호법 제32조의2 (시행령 제34조의2~8) |
| 고시 | 정보보호 관리체계 인증 등에 관한 고시(ISMS) | 개인정보보호 관리체계 인증 등에 관한 고시(PIMS) |
통합 — 정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시(ISMS-P)
| 통합 근거 법령·고시 |
|---|
| 정보통신망 이용촉진 및 정보보호에 관한 법률 제47조 |
| 정보통신망 이용촉진 및 정보보호에 관한 법률 시행령 제47조~제54조 |
| 정보통신망 이용촉진 및 정보보호에 관한 법률 시행규칙 제3조 |
| 개인정보보호법 제32조의2 |
| 개인정보보호법 시행령 제34조의2~제34조의8 |
| 정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시 |
3. 인증 체계 (역할 분담)
- 정책기관: 과기정통부 · 개인정보보호위원회 — 법·제도 개선, 정책 결정, 인증·심사기관 지정
- 인증기관:
- 한국인터넷진흥원(KISA) — 제도 운영, 인증품질관리, 신규·특수분야 심사, 인증서 발급, 심사원 양성·자격관리
- 금융보안원(FSI) — 금융분야 인증심사 및 인증서 발급
- 심사기관: KAIT, TTA, OPA, NISC, KMR, KPCQA — 인증심사 수행
4. 인증 기준 (총 101개 항목)
| 영역 | 항목 수 | 세부 분야 |
|---|---|---|
| 1. 관리체계 수립 및 운영 | 16 | 기반 마련(6), 위험 관리(4), 운영(3), 점검 및 개선(3) |
| 2. 보호대책 요구사항 | 64 | 정책·조직·자산(3), 인적(6), 외부자(4), 물리(7), 인증·권한(6), 접근통제(7), 암호화(2), 도입·개발보안(6), 운영관리(7), 보안관리(9), 사고 예방·대응(5), 재해복구(2) |
| 3. 개인정보 처리단계별 요구사항 | 21 | 수집(7), 보유·이용(5), 제공(4), 파기(2), 정보주체 권리보호(3) |
- ISMS 인증: 1번 + 2번 영역만 (총 80개)
- ISMS-P 인증: 1번 + 2번 + 3번 영역 전부 (총 101개)
- 즉, 3번 “개인정보 처리단계별 요구사항”이 ISMS-P에만 적용되는 차이
[참고] ISMS·ISMS-P 인증제 개편안 (2026.4.10 발표, 시행 예정)
개인정보위·과기정통부가 발표한 「인증제 실효성 강화방안」. 사후관리는 2026 하반기, ISMS-P 의무화·차등 적용은 2027년 시행 추진 중.
개편 배경
- 2026년 2월 기준 ISMS 의무대상 593개사, 전체 인증 1,257건(ISMS 942, ISMS-P 315)
- 최근 3년간 인증기업 중 약 14%(179개사)에서 침해사고 발생 → 제도 실효성 문제 제기
- 자율 취득이던 ISMS-P의 관리 공백, 서면·샘플링 심사의 검증 한계, 사후관리·인증취소 부재 등이 문제점으로 지적
핵심 변화
- ISMS-P 의무화: 자율 취득 → 공공·민간 중요 개인정보처리시스템 중심 의무화
- 인증체계 3단계 재편: 강화(Advanced) / 표준(Standard) / 간편(Lite)
- 강화군(매출 1조↑ ISP·IDC, 매출 3조↑ 정보통신서비스 제공자): 기존 기준 + 강화 인증기준 20개 추가
- 심사 절차 개편: 서면·샘플링 → 4단계 현장실증형
- ① 예비심사(핵심항목 선검증) → ② 기술심사(CVE 스캔, 보안설정 점검, 소스코드 진단, 모의침투) → ③ 본심사(서면+현장실증) → ④ 이행심사
- 인증취소 실질화: 사후관리 거부, 중대결함 미조치(보안패치 미적용, 로그 미보관 등), 중대 법령 위반 시 인증취소 심의 (보완 기한 100일)
시사점
- “인증 보유”에서 “실질적 운영 입증”으로 감독 초점 이동
- 보안조직의 권한·예산·인력·운영증적이 경영진 책임과 직접 연결되는 구조
출처
- 한국인터넷진흥원(KISA), 「ISMS-P 누리집 - 제도소개」 https://isms-p.or.kr/sysm/intro/selectSysmCertDetail.do
- 법무법인 화우, “ISMS·ISMS-P 인증제 전면 개편”, 『법률신문』, 2026.4.16 https://www.lawtimes.co.kr/news/articleView.html?idxno=219452
This post is licensed under CC BY 4.0 by the author.