"철저한 개인정보 관리" 삼쩜삼, 세무 스타트업 첫 'ISMS' 인증

세금 신고·환급 도움 서비스 '삼쩜삼'을 운영하는 자비스앤빌런즈가 세무 스타트업 중에서는 처음으로 정보보호 관리체계(ISMS) 인증을 획득했다고 4일 밝혔다.

ISMS 인증은 한국인터넷진흥원(KISA)이 주관하는 주요 정보보호 관리체계 인증 중 하나다. 해당 인증은 관리체계 수립 및 운영(16개)과 보호 대책 요구사항(64개) 등 총 80개에 이르는 인증 기준에 대한 적합성 평가를 모두 통과해야 취득할 수 있다.

ISMS 인증 획득은 시스템 개발과 운영 보안, 침해사고 관리를 비롯한 다양한 정보보호 측면에서 안정성을 확보했다는 의미를 갖는다.

자비스앤빌런즈는 삼쩜삼 서비스에 대한 ISMS '인증 적합' 결과를 받았으며, 2026년 3월까지 인증이 유효하다. 이후에는 사후 심사를 통해 인증 갱신을 지속한다.

현재 삼쩜삼은 한국세무사회의 '불법 세무대리' 주장에 따른 서비스 중단을 압박받고 있다. 관련 혐의로 고발당했지만 경찰은 지난해 자비스앤빌런즈에 대해 무혐의 불송치 결정을 내렸다.

이후 세무사회는 삼쩜삼의 주민등록번호 처리가 위법하다며 개인정보보호법 위반 문제를 제기했다. 개인정보 위탁 처리에 관한 근거가 불명확한 현행법의 한계에서 비롯됐다. 이에 대해선 국무총리 소속 개인정보보호위원회(개보위)가 현재 조사를 진행 중이다.

세무사회의 반대 속에서도 삼쩜삼은 2020년 5월 첫선을 보인 이후 현재까지 1500만명의 가입자를 확보하며 고속 성장했다. 총 6107억원이 실제 환급으로 이어졌으며, 환급받은 고객의 1인당 평균 환급액은 18만원이다.

자비스앤빌런즈 관계자는 "삼쩜삼은 인증 의무 대상에 포함되지 않았던 사업 초기 단계부터 고객 정보보호 차원에서 높은 수준의 단계로 서비스를 운영해왔다. 이번 ISMS 인증은 그간의 노력에 대한 공신력을 인정받은 것"이라고 했다.

특히 세무 플랫폼 스타트업 중에서는 가장 먼저 ISMS 인증을 받아냈다. 오는 31일까지 진행되는 종합소득세 신고(2022년 귀속분) 서비스를 한층 강화된 삼쩜삼의 정보보호 시스템을 기반으로 이용할 수 있게 됐다는 설명이다.

김춘추 자비스앤빌런즈 정보보호최고책임자(CISO)는 "향후 ISMS-P(개인정보보호 관리체계) 등 국제 표준 정보보호 인증도 확보해 개인정보 보호를 위한 보안 인프라 구축에 최선을 다할 것"이라고 말했다.

[머니투데이 스타트업 미디어 플랫폼 '유니콘팩토리']

최태범 기자 bum_t@mt.co.kr