ISMS-P 현장검증 강화…개인정보 유출 땐 '모의침투' 점검

(서울=뉴스1) 나연준 기자 = 정부가 전문 기술인력을 기업 현장에 투입해 취약점 진단과 모의침투를 실시하는 등 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증 심사 강화한다.

개인정보보호위원회는 ISMS-P 인증의 실효성을 강화하기 위한 '개인정보 보호법 시행령' 개정안을 16일부터 10월 26일까지 입법예고한다고 밝혔다.

ISMS-P는 기업 등이 운영하는 정보보호·개인정보보호 체계가 인증 기준에 적합한지를 심사하는 제도다. 주요 정보자산과 개인정보의 유출 및 피해를 예방하기 위해 운영되고 있다.

이번 개정안은 지난 4월 발표한 '정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안'의 후속 조치다. 인증심사의 현장성을 강화하고 인증 기준을 구체화하는 한편 인증 의무대상자에 대한 제재를 합리화하는 것이 골자다.

우선 ISMS-P 인증 과정에서 서면심사와 현장심사를 병행할 수 있도록 관련 규정을 명확히 한다.

특히 인증 유효기간 중 침해사고나 개인정보 유출이 발생한 경우 일정한 자격을 갖춘 전문 기술인력이 현장에서 점검도구를 활용해 취약점을 점검할 수 있도록 한다. 취약점 진단뿐 아니라 실제 공격 상황을 가정해 보안 취약점을 확인하는 모의침투도 가능해진다.

인증을 취득한 이후 매년 실시하는 사후심사에서도 서면·현장심사를 병행하고 취약점 점검을 실시할 수 있도록 한다.

기업의 특성에 따라 인증 기준을 달리 적용할 수 있는 근거도 구체화한다. 개인정보 처리 규모와 개인정보 유출 시 사회적 파급력 등을 고려해 인증 기준을 차등 적용할 수 있도록 할 방침이다.

인증이 취소된 의무대상 기업에 대해서는 제재를 일부 완화한다.

ISMS-P 인증 의무가 있는 기업이 인증 취소 처분을 받으면 인증 의무 위반에 따른 과태료 부과를 1년간 유예하는 조항을 신설한다. 기업이 취소 사유에 대한 재발 방지 대책을 마련하고 새로운 인증을 취득할 시간을 주기 위해서다.

다만 거짓이나 부정한 방법으로 인증을 취득했다가 취소된 경우에는 과태료 부과 유예 대상에서 제외한다.

개인정보위는 입법예고 기간 이해관계자와 관계부처 등의 의견을 수렴하고 법제처 심사 등을 거쳐 시행령 개정을 완료할 계획이다. 연내 관련 고시 개정도 추진한다.

한편 이번 시행령 개정안의 구체적인 내용은 개인정보위 누리집 '공지사항'에서 확인할 수 있다. 개정안에 대한 의견은 10월 26일까지 △국민참여입법센터 △전자우편 △일반우편(정부서울청사 자율보호정책과)으로 제출할 수 있다.

yjra@news1.kr