홈 > 뉴스 > 재난포커스속보 ISMS·ISMS-P ‘인증취소 강화’, 유출·침해 기업 인증 즉시 취소 2025년 12월 30일 (화) 00:29:59 한지현기자 과학기술정보통신부와 개인정보보호위원회가 반복되는 사이버 침해와 개인정보 유출 사고에 대해 ISMS·ISMS-P 인증 취소 기준을 대폭 강화한다. 형식적 인증에 그친 기업에 대해서는 정부 인증을 유지할 수 없도록 하겠다는 강력한 신호다. 과학기술정보통신부(부총리 겸 장관 배경훈)와 개인정보보호위원회(위원장 송경희)는 12월 29일 한국인터넷진흥원, 금융보안원 등 인증기관과 민간 전문가가 참여하는 인증위원회와 함께 ‘ISMS·ISMS-P 인증 취소 관계기관 대책회의’를 개최한다고 밝혔다. 이번 회의는 지난 12월 6일 열린 인증제 개선 대책회의의 후속 조치로, 최근 ISMS-P 인증 기업에서 사이버 침해 및 개인정보 유출 사고가 잇따른 데 따른 것이다. 관계기관은 사후관리의 실효성을 높이기 위해 인증 취소 기준을 구체화하고, 이를 최종 확정해 즉시 시행할 계획이다. 과기정통부와 개인정보위는 지난 11월부터 관계기관 합동 제도개선 태스크포스(TF)를 운영하며 사고 원인을 집중 분석해 왔다. 그 결과 외부 인터넷 접점 자산 식별, 접근권한 관리, 보안 패치 관리 등 실제 사고와 직결되는 핵심 항목을 도출했다. 앞으로 인증 기업은 연 1회 실시되는 사후심사에서 해당 핵심 항목에 대한 집중 점검을 받게 된다. 사후관리 자체를 거부하거나 자료를 제출하지 않거나 허위로 제출할 경우, 인증은 취소된다. 점검 결과 중대한 결함이 확인될 경우에도 인증위원회 심의를 거쳐 인증을 취소한다. 개인정보 보호법 위반으로 과징금이나 행정처분을 받은 기업 역시 인증 취소 대상이 된다. 특히 ▲1천만 명 이상 대규모 피해 ▲반복적인 법 위반 ▲고의 또는 중과실로 사회적 파장이 큰 경우에는 원칙적으로 인증을 취소한다는 방침이다. 아울러 정보통신망법 위반 행위가 중대한 경우에도 인증 취소가 가능하도록 법 개정이 진행 중이며, 개정 완료 시 세부 기준을 추가로 마련할 예정이다. 인증 취소 이후 관리 방안도 함께 마련된다. ISMS·ISMS-P 인증 의무 대상 기업의 경우, 취소 후 1년간 재신청 유예기간을 두어 실질적인 보안 체계 개선을 유도한다. 이 기간 동안 인증 의무 미이행에 따른 과태료는 면제해 불필요한 부담은 최소화한다. 의무 대상이 아닌 기업에 대해서도 지속적인 보안 수준 유지를 위해 인증 재취득을 권고할 계획이다. 과기정통부 관계자는 “인증을 받은 이후 기준 미달 상태를 방치하는 기업에 대해서는 인증 취소를 적극적으로 적용해 정부 인증제도의 실효성을 높이겠다”고 밝혔다. 개인정보위 관계자도 “이번 회의는 범부처 정보보호 종합대책 이후 이어진 제도 개선 의지를 제도적으로 확정하는 자리”라며 “중대한 위반이 있는 기업은 더 이상 인증을 유지할 수 없도록 엄격히 관리해 인증제도의 신뢰성을 회복하겠다”고 강조했다. -한지현기자 ⓒ 재난포커스(http://www.di-focus.com) 무단전재 및 재배포금지 | 저작권문의