개인정보 1000만명분 유출 또는 사고 반복 시 ISMS 인증 취소(종합)

개인정보위·과기정통부, ISMS·ISMS-P 인증 취소 기준·절차 구체화
사고 연관 핵심 항목의 중대 결함 시 인증 취소 엄격 적용
인증 취소 시 1년간 재신청 유예기간 부여 및 미이행 과태료 면제

[서울=뉴시스]윤정민 기자 = 정보보호·개인정보보호 관리체계 'ISMS'와 'ISMS-P' 인증을 받은 기업·기관이 1000만명 이상의 개인정보 유출 피해를 발생시켰을 경우 인증이 취소된다. 반복적으로 개인정보 보호법을 위반하거나 고의·중과실 위반 행위로 사회적 영향이 큰 경우에도 원칙적으로 인증이 취소된다.

개인정보보호위원회는 과학기술정보통신부와 함께 29일 오전 서울정부청사에서 ISMS·ISMS-P 인증 취소 관계기관 대책회의를 열고 사이버침해, 개인정보 유출사고 기업 인증 취소 기준·절차를 공개했다.

ISMS-P는 2018년부터 정보보호 관리체계 인증(ISMS)과 개인정보보호 관리체계 인증(PIMS)을 통합해 시행 중인 인증제도다. ISMS 80개 기준(관리체계 16개, 보호대책 64개)에 개인정보 처리 단계별 요구사항 21개 항목을 추가해 평가한다.

정부는 인증 기업이 개인정보 보호법 위반으로 과징금 등의 처분을 받은 경우 위반 행위 중대성을 따져 인증을 취소한다. 구체적으로 1000만명 이상의 피해 발생, 반복적 법 위반, 고의·중과실 위반행위로 사회적 영향이 큰 경우에는 원칙적으로 인증을 취소한다는 방침이다.

정부는 정보통신망법에서도 망법 등을 위반하고 그 행위가 중대한 경우 인증 취소할 수 있도록 법을 개정하고 있다. 개정이 완료될 경우 관련 세부 기준을 수립할 계획이다.

또 정부는 외부 인터넷 접점 자산 식별, 접근권한 관리, 패치관리 등 실제 사고와 밀접하게 연관된 핵심 항목을 연 1회 진행할 사후심사에서 집중 점검한다.

사후관리를 미이행하는 등 거부하는 경우 자료를 미제출 또는 허위제출 시 인증을 취소한다. 점검 결과 중대 결함이 발견된 경우 인증위원회 심의를 거쳐 인증을 취소한다.

인증 취소 이후의 관리 방안도 마련한다. 인증 의무 대상 기업에 대해서는 취소 이후 1년간 재신청 유예 기간을 둬 실질적인 보안 개선이 이뤄지도록 유도한다.

해당 기간에는 인증 의무 미이행 과태료를 면제해 기업의 불필요한 부담을 방지한다. 의무 대상이 아닌 기업에도 지속적 관리체계를 구축하기 위해 인증 재취득을 권고하기로 했다.

개인정보위 관계자는 "앞으로도 지속적 협력을 통해 인증 기준에 미달하거나 중대한 위반이 있는 기업은 인증을 유지할 수 없도록 엄격히 관리해 인증 제도 신뢰성을 회복해 나가겠다"고 밝혔다.

과기정통부 관계자는 "인증 사후 심사 시 기준을 미달하는 등 인증 받은 기업이 정보보호관리체계의 수준을 지속 유지하지 않는 경우 인증취소를 적극 실시해 정부 인증제 실효성을 높이겠다"고 말했다.

☞공감언론 뉴시스 alpaca@newsis.com