ISMS 의무인증 대상 확대! 어떻게 대응해야 할까?

카페 > 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2293

ISMS 의무인증 대상 확대! 어떻게 대응해야 할까?

2015년 12월, 개인정보보호와 관련된 정보통신망법이 개정되었습니다. 정보통신망법은 개인정보 유출 등 관련 사고가 있을 때마다 개인정보보호 강화 측면에서 지속적으로 개정되어 왔는데요. 특히 이번 개정안에는 일반기업이나 공공기관 등에 큰 영향을 미칠 수 있는 항목이 포함되어 있습니다.

바로 정보보호관리체계(Information Security Management System, 이하 ISMS) 인증 의무대상이 매출 또는 세입이 1,500억 원 이상인 업체로 확대되어 많은 기업이 의무적으로 ISMS 인증을 받아야 하는 상황이 되었습니다. 2014년 중소기업청 발표 기준 매출액 1,500억 원 이상 중견기업의 수가 3,826개라고 하는데요. 이중 상당수 기업이 ISMS 인증 의무대상에 해당할 것으로 보입니다. 

이번 시간에는 어떤 기업이 ISMS 인증을 받아야 하고, 또 어떻게 준비해야 하는지 자세히 설명해드리도록 하겠습니다.

ISMS란 정보통신망의 안전성 확보를 위해 수립•운영하고 있는 기술적•물리적 보호조치 등 종합적인 관리체계에 대한 인증제도를 말하는데요. 국내에서는 정보통신망법 제47조에 의해 일정 기준에 해당하는 기업은 의무적으로 ISMS 인증을 취득하도록 하고 있습니다. 즉, 기업의 보안관리 수준을 일정 수준 이상으로 향상시키고, 지속적으로 관리할 수 있는 체계를 만들어주는 인증제도라고 할 수 있습니다.

<정보보호 관리체계 인증제도 소개 (출처: KISA 홈페이지)>

2016년 6월 1일 시행 예정인 정보통신망법 개정안 제47조에는 아래와 같이 의무인증 대상이 정의되어 있습니다. 아래 의무인증 대상자 조건 중 빨간색 부분이 2015년 12월 개정된 법률에 의해 추가된 조항으로 매출•세입이 1,500억 원 이상인 기업을 의무대상자로 추가 지정하였습니다.

정보통신망법 제47조 (정보보호 관리체계의 인증)

② 「전기통신사업법」 제2조제8호에 따른 전기통신사업자와 전기통신사업자의 전기통신역무를 이용하여 정보를 제공하거나 정보의 제공을 매개하는 자로서 다음 각 호의 어느 하나에 해당하는 자는 제1항에 따른 인증을 받아야 한다. <신설 2012.2.17., 2015.12.1.>

1. 「전기통신사업법」 제6조제1항에 따른 허가를 받은 자로서 대통령령으로 정하는 바에 따라 정보통신망서비스를 제공하는 자

2. 집적정보통신시설 사업자

3. 연간 매출액 또는 세입 등이 1,500억원 이상이거나 정보통신서비스 부문 전년도 매출액이 100억원 이상 또는 3개월간의 일일평균 이용자수 100만명 이상으로서, 대통령령으로 정하는 기준에 해당하는 자 

<정보보호 관리체계의 인증 (출처: 법제처)>

미래창조과학부에서 2016년 2월 3일 게시한 정보통신망법 시행령 입법예고 안에는 의무인증 대상을 조금 더 구체적으로 명시하고 있는데요.

[정보통신망법 시행령 입법예고안 (2016.2.3)]
제49조제2항제3호를 다음과 같이 신설한다.
  3. 전년도(법인인 경우에는 전 사업연도를 말한다) 매출액 또는 세입 등이 1,500억원 이상인 자로서 다음 각 목의 어느 하나에 해당하는 자
   가. 「의료법」 제3조제2항에 따른 의료기관
   나. 「전자금융거래법」 제2조의3에 따른 금융회사
   다. 전년도 말 기준 직전 3개월간의 일일평균 이용자 수가 1만명 이상인 자

<정보통신망법 시행령 (출처: 미래창조과학부)>

‘전년도말 기준 직전 3개월간 일 평균 이용자수 1만명’이라는 것이 어떤 기준으로 집계해야 할지 명확하지 않은데, 아래 자료를 보면 확실하게 알 수 있습니다.

<정보보호관리체계 인증제도 안내서(출처: KISA)>

이제 아시겠죠? 정보통신망을 통해서 서비스되는 시스템(B2B, B2C 모두 포함)의 사이트별 직전년도 3개월 평균 방문자 수(페이지뷰 기준)의 합이 1만 명이 넘게 되면 ISMS 의무대상에 해당이 됩니다.

ISMS 인증 업무는 미래창조과학부가 주관부처로서 법제도 및 심사기관 지정 등의 업무를 담당하고, 한국인터넷진흥원(KISA)이 인증기관으로서 인증 업무를 총괄하고 있습니다. 즉, KISA에서 인증심사, 인증서 발급 등의 업무를 수행하고 있는 것입니다.

<정보보호관리체계 인증제도 안내서(2013)>

인증심사를 준비하고 최종적으로 인증서를 받을 때까지 걸리는 기간은 인증범위 및 기업 규모에 따라 다르지만 8~10개월 정도 소요가 됩니다. 상세하고 꼼꼼하게 통제항목의 이행 여부를 점검하고 있으므로 준비단계에 많은 노력을 기울여야 합니다.

<정보보호관리체계 인증제도 안내서(2013)>

ISMS 인증제도는 정보보호 관리활동을 지속적으로 실행할 수 있는 체계가 만들어져 있는가를 인증해주는 제도이기 때문에 일회성 심사로 끝나는 것이 아닙니다. 매년 인증심사 기준에 부합하게 보안관리가 이루어지고 있는지 심사를 받아야 하는데요. ISMS 인증을 취득한 후에는 매년 사후심사를 받고, 3년 주기로 갱신심사를 받아야 합니다.

<정보보호관리체계 인증제도 안내서(2013)>

기업에서 ISMS 인증을 취득하고 지속적으로 관리하기 위해서는 전담인원 배치, 시스템 운영부서의 지원, 기타 보안솔루션 등 일정 부분 투자를 할 수 밖에 없습니다. 따라서 경영진의 꾸준한 관심과 지원이 절대적으로 필요한데요. 단순히 법적 의무를 준수한다는 측면에서 접근하기보다는 기업의 보안수준을 한 단계 끌어올리는 수단으로 인증제도를 잘 활용하는 것이 좋습니다.

ISMS 인증을 취득하기 위해서는 ISMS 인증기준에 따른 104개 통제항목에 대해 적절한 보호대책을 수립하여 이행하고 있다는 것을 증명해야 합니다. 대략적인 유형을 살펴보면 정책, 조직, 자산관리, 인적보안, 물리보안, 개발보안, 암호통제, 접근통제, 운영보안, 침해사고 대응 및 IT재해복구 대책 등 다양한 항목에 대한 보호대책이 수립되어 있어야 합니다. 

<ISMS 인증심사 점검 항목>

대기업처럼 다수의 정보보안 인력이 존재하는 경우 자체적인 준비만으로 인증심사 대응이 가능하겠지만, 정보보호 전담자가 없는 중견기업 입장에서는 내부 인력만으로 인증심사를 준비하기가 상당히 어렵습니다. 그래서 일정 부분 정보보호컨설팅 업체의 도움을 받을 수밖에 없는데요. 기업의 정보보호 현황에 따라 아래와 같은 3가지 형태로 정보보호컨설팅 업체를 활용할 수 있겠습니다.

<규모에 따른 ISMS 심사 준비 방안>

인증범위에 따라 차이가 있을 수 있지만, 인증준비 과정은 보통 ISMS 인증컨설팅을 통한 관리체계 수립 → 개선과제 이행 → 인증심사 준비 → 심사수검 → 결함조치의 단계를 거치게 됩니다. 최종적으로 인증서를 받게 되는 시점은 결함조치 기간이나 인증위원회의 개최 일자(분기 단위 개최)에 따라 달라집니다.

<ISMS 인증심사 단계 및 수행 Task>

인증심사 과정에서 인증심사원들이 통제항목별 보호대책의 적절성을 검증하게 되는데요. 미흡한 사항에 대해서는 결함보고서를 작성해 관리체계 보완을 요구하게 됩니다. 기업에서는 인증심사 종료 후 1개월 이내에 결함사항에 대한 개선조치 후 보완조치내역서를 KISA에 제출해야 하는데요. 조치 기간은 최대 2개월을 연장할 수 있습니다.

<결함보고서 예시 및 보완조치 방안>

결론적으로 총 3개월의 기간을 개선조치에 사용할 수 있지만, 준비단계에서부터 ISMS 통제항목별 현황을 잘 분석해 미흡한 부분에 대해서는 사전에 조치를 취하는 것이 좋습니다. 개선이 어려운 항목들은 미리 개선활동을 수행하는 것이 인증서를 최단기간 내에 획득하는 방법입니다.

ISMS 인증을 받기 위해서는 컨설팅 비용, 솔루션 구축비용, 시스템 개선 인건비와 인증유지 관리를 위한 비용이 발생할 수 있는데요. 비용이 많이 드는 만큼, ISMS 인증을 받지 않을 경우에는 어떤 처벌이 있는지 궁금하신 분들이 많으실 거라 생각됩니다.

ISMS 의무대상 사업자가 ISMS 인증을 받지 않는 경우 최대 3,000만 원까지 과태료를 부과 받을 수 있습니다. 개정된 정보통신망법 부칙에 시행일(2016년 6월 1일)로부터 6개월 이내에 인증을 취득하라고 명시되어 있으므로 ISMS 인증 의무대상 사업자는 2016년 12월까지 ISMS 인증을 취득해야 하는 상황입니다.

ISMS 인증 취득을 위해 발생하게 되는 비용이 과태료보다 많게 되면, 차라리 과태료를 내겠다는 의사결정을 하실 수도 있을 텐데요. 하지만 과태료는 매년 부과될 수도 있고, 개인정보 유출 사고 등이 발생했을 때 기업이 법적 의무를 다했는지가 소송에서 중요한 쟁점이 된다는 것을 고려해보면 의무를 준수하는 것이 합리적이고 바람직할 것입니다.

앞으로 독자 여러분의 정보보호관리체계에 대한 이해를 돕기 위해서 다음 편에서 ‘ISMS 유사 인증제도’, ‘ISMS 주요 결함사항 및 대응방법’, ‘ISMS 통제항목 대응을 위한 보안솔루션’ 등에 관한 내용을 계속 소개해 드릴 예정이니 독자 여러분의 많은 관심 부탁 드립니다. 

출처 : LGCNS 블로그
글 ㅣ 김기준 차장 ㅣ LG CNS 보안컨설팅팀