이연희 의원 "ISMS 인증 무용...대기업 과징금 경감 수단 전락"
[지디넷코리아]한국인터넷진흥원(KISA) 등 ICT 산하기관들을 대상으로 15일 국회서 열린 과학기술정보방송통신위원회 국감에서 정보보호 분야 인증(ISMS) 문제가 또 다시 도마에 올랐다. 작년에도 ISMS 인증 무용론이 거론됐는데, 올해도 무용론이 다시 제기됐다.ISMS(Information Security Management system)는 과기정통부와 한국인터넷진흥원(KISA)이 주관하는 정보보호 분야 인증이다. 기업과 기관이 정보보호를 위해 필요한 관리적·기술적·물리적 보호조치를 체계적으로 수립하고 실제 운영하고 있는지를 정부가 정한 기준에 따라 심사해 인증하는 제도다. 의무 대상이 있다. ISP와 IDC, 정보통신서비스 부문 전년도 매출액이 100억원 이상이거나 전년도 일일 평균 이용자가 100만명 이상인 사업자 등이다. 2001년…
핵심 요약
- 이연희 의원, ISMS 인증이 대기업 과징금 경감 수단으로 전락했다고 지적
- 최근 3년간 ISMS 인증 기업 다수가 침해사고를 당한 것으로 나타나
- 최우혁 실장, 강화인증제 도입 등 관리 강화하겠다고 답변
15일 열린 국회 과학기술정보방송통신위원회 국감에서 정보보호 인증(ISMS)의 실효성 문제가 다시 제기됐다. 작년 국감에서도 무용론이 나온 가운데, 올해도 같은 지적이 이어졌다.
ISMS는 과기정통부와 한국인터넷진흥원(KISA)이 주관하는 정보보호 인증으로, 2001년 7월 정보통신망법에 근거해 도입됐다. 2010년 10월 PIMS가 별도 도입된 뒤 2018년 11월 두 제도가 통합돼 현재의 ISMS-P가 됐다. 10월 현재 유지 인증서는 1281건이며 유효기간은 3년, 최초 인증 후 매년 사후심사를 받는다.
인증 무용론 제기
더불어민주당 이연희 의원은 "최근 3년간 인증을 받은 곳 많은 기업이 침해사고를 당했다"며 인증 무용론을 거론했다. 그는 인증 기업의 해킹 명단을 KISA에 요청했으나 받지 못했다고 밝혔다.
이 의원은 KISA 이상중 원장에게 인증이 보안 사고를 줄이기 위해 받는 것인지 물었고, 원장은 맞다고 답했다. 이어 인증을 받으면 과징금을 50% 할인해주며 모 카드사는 할인받은 과징금이 144억원에 달한다고 지적했다.
인증이 정보보호 목적은 달성하지 못한채 대기업의 과징금 경감 방안으로 전락한 것 아니냐
— 이연희 더불어민주당 의원
정부 측 답변
이 의원은 인증을 받고도 뚫린 곳의 인증 취소 사례가 없고 사후 검사도 하지 않느냐고 최우혁 과기정통부 정보보호네트워크 정책실장에게 물었다. 최 실장은 "앞으로 관리를 잘하겠다"고 답했다.
최 실장은 올해 강화인증제를 새로 도입해 기존 1주일 서류심사에서 2주 이상으로 기간을 늘리고 현장 심사도 하고 있다고 밝혔다. 이훈기 민주당 의원에 따르면 ISMS·ISMS-P 인증 기업의 침해사고 신고는 2021년부터 올해 상반기까지 총 531건이며, 2023년 101건, 2025년 178건으로 증가했다. 이 가운데 ISMS-P 인증 기업 신고는 115건이었다.
ⓒ K새벽 무단 전재 및 재배포 금지
