< 7월 멘토링 소그룹 과제 - 1. ISMS - P 인증 제도 조사 >

 

# ISMS & ISMS-P 인증 개요

ISMS(정보보호 관리체계 인증)이란 인터넷진흥원 등의 인증기관이 특정 조직의 정보보안을 위한 활동이 인증기준에 적합한지를 증명하는 제도이다. 정보통신망법이 개정되며 도입되었고, 2001년 7월부로 시행되었다.

 

 ISMS-P (정보보호 및 개인정보보호 관리체계 인증)이란 인터넷 진흥원같은 관련 기관이 개인정보보호를 포함, 정보보호를 위한 특정 기관의 조치가 인증 기준에 적합한지를 평가하고 증명하는 제도이다.

 

 

 

# ISMS-P 인증 유형

 

 ISMS-P 인증 유형에는 크게 정보보호 위주의 정보보호 관리체계 인증(ISMS)와 개인정보의 흐름 영역이 추가된  정보보호 및 개인정보보호 관리체계 인증(ISMS-P)이 있다. 인증 취득을 원하는 조직의 경우 ISMS 인증이 완료된 후 ISMS 인증범위의 분야를 변경하여 최종적으로 ISMS-P 인증을 취득할 수 있다.

 

 

 

# ISMS-P 인증심사의 종류

 

 ISMS-P 인증심사의 종류에는 최초, 사후, 갱신 심사가 있다.

 

 인증을 처음으로 취득하는 경우나 이미 인증 취득을 완료했지만 인증범위의 중대한 변경 사항이 있을 경우에는 최초심사 과정을 거쳐야 한다. 최초심사의 경우 인증 취득 후 3년의 유효기간이 부여된다.

 

 인증을 취득한 경우에도 매년 1회 이상 ISMS-P의 유지 여부를 확인받아야 하는데, 이는 사후심사를 통해 진행된다.

 

 마지막으로 갱신심사의 경우 ISMS-P 인증의 유효기간을 갱신하여야 할 경우 실시하는 심사이다. 만일 유효기간을 갱신하지 않는다면 인증은 효력을 잃는다.

 

 

 

# ISMS-P 인증 연관 기관

 

 

 ISMS-P는 여러 담당기관의 체계적인 추진으로 인증된다. 크게는 정책기관, 인증기관, 심사기관으로 분류할 수 있다.

 

 대표적인 정책기관으로는 개인정보보호위원회와 과학기술정보통신부가 있다. 이들은 인증제도와 연관된 법, 제도를 개선하고 관련 정책을 결정하는 기능을 수행한다. 또, 인증기관 및 심사기관을 선발하여 지정하는 업무도 수행한다.

 

 인증기관에는 금융보안원(FSI), KISA(한국인터넷진흥원) 등이 있다. KISA의 경우 제도를 운영하고 인증의 품질을 관리하는 역할을 수행한다. 또 ISMS 인증서 발급 및 인증심사원을 양성하는 기능또한 수행하고 있다. FSI의 경우는 금융과 관련된 인증심사와 금융분야의 인증서를 발급해주는 역할을 수행한다.

 

 개인정보보호협회(OPA), 한국정보통신기술협회(TTA), 한국정보통신진흥협회(KAIT) 등의 기관은 심사기관에 속하는데, 정책기관에 의해 지정되며 ISMS-P 인증심사를 수행한다.

 

 

 

# ISMS-P의 인증 영역, 기준과 유형

 

 

 ISMS-P의 인증 영역은 관리체계 수립 및 운영 영역, 보호대책 요구사항 영역, 개인정보 처리 단계별 요구사항 영역 등 3가지 영역이 존재한다.

 

 먼저 관리체계 수립 및 운영 영역의 경우 하위에 총 4가지의 인증 기준이 존재한다. 관리체계 기반마련, 위험 관리 등의 인증 기준이 있으며, 모든 인증 기준이 ISMS와 ISMS-P 인증에 적용된다.

 

 보호대첵 요구사항의 경우 하위에 12가지의 인증기준이 존재한다. 사고 예방 및 대응, 암호화 적용 등의 인증기준이 존재하며, 관리체계 수립 및 운영 영역과 마찬가지로 모든 인증기준이 ISMS, ISMS-P 인증에 적용된다.

 

 마지막으로 개인정보 처리 단계별 요구사항 영역의 경우 하위에 5개의 인증 기준이 존재한다. 개인정보 제공 시 보호조치, 정보주체 권리보호 등의 인증 기준이 있다. 앞서 언급한 두 영역과는 달리 인증 기준이 ISMS 에는 적용되지 않고, ISMS-P에만 적용된다는 특징이 있다.

 

 

 

# ISMS-P 인증의 기대 효과와 목표

 

 ISMS-P 인증은 지속 가능한 정보보호 관리체계를 수립함으로써 기업체의 정보보호 관리수준을 높이는 것을 목표로 한다. 또 기업체가 체계성 있고 지속성 있는 ISMS-P을 구축 함으로써 외부에서 가해지는 해킹이나 DDoS 등의 위협과 사고에 신속하게 대응할 수 있게 한다. 이 뿐만 아니라 기업의 경영진이 직접적으로 정보보호와 관련된 의사결정 과정에 적극 찹여함으로써 정보보호 관련 업무에 대한 신뢰성 향상을 기대해볼 수 있다. 또 위 인증을 취득한 기관의 경우 가산점 등의 혜택을 받아 공공부문 사업에서의 입찰에서 유리한 위치를 점할 수 있다.

 

 

 

# ISMS-P 인증 대상

 

 ISMS-P의 인증 대상에는 크게 임의신청자와 의무대상자가 있다.

 

 의무대상자는 정보통신망서비스제공자(ISP), 집적정보통신시설사업자(IDC), 매출액 및 이용자 수 요건에 따른 대상자로 구분할 수 있다.

 

 임의신청자는 ISMS-P 를 구축하고 운영하여 적합성을 판단하려고 하는 모든 개인정보처리자가 속한다. 공공기관은 물론 개인이나 특정 단체도 임의신청자가 될 수 있고, 자유롭게 인증을 신청할 수 있다. 임의신청자는 인증 범위를 신청 기관이 정해서 신청할 수 있지만, 나머지 사항(심사 기준, 심사 절차)는 의무대상자의 경우와 동일하다.

 

 

 

# ISMS-P 인증심사 절차

 

 ISMS-P 인증심사 절차는 크게 준비, 심사, 인증, 사후관리 단계로 이루어진다.

 

 준비 단계에서는 인증 신청 및 신청 접수를 위한 서류들을 준비하여 심사기관에 제출한 뒤, 심사일정을 확정하고 수수료를 납부하는 과정을 거친다. 이때 신청 서류로는 법인등기부등본과 법인/개인 사업자등록증 등이 있다. 인증 심사 신청 과정에서 분할 신청이 가능하지만, 인증 심사 분할 시에는 각각의 인증 범위에 대한 개별 인증신청서를 별도로 작성해야 한다.

 

 심사 단계의 경우 서면/현장 심사가 진행되며, 인증심사 시작회의가 가장 먼저 진행된다. 심사 단계에서 인증심사팀은 심사를 통해 발견된 문제점에 대해 인증 신청 기관의 담당자와 회의를 겨치며 결과를 확인한다. 심사가 완료되면 인증심사 종료회의가 열리고, 이후 인증 신청 기관은 40일 이내에 보완 요청을 받은 부분의 조치를 완료하여 확인서를 제출해야 한다. 만일 연장 기간을 포함하여 최대 100일 이내에 적절한 보완 조치가 취해지지 않았을 경우, 인증이 취소되며 최초 심사의 경우 심사 자체가 무효 처리된다.

 

 심사 단계가 끝나면 인증 단계로 넘어가는데, 인증 단계에서는 인증위원회의 심의 의결을 통해 심사 결과가 인증 기준에 적합한지를 따져 인증 결과를 도출하고, 이를 신청기관에 통보한다. 통보를 받았을 때 신청기관이 이를 부적합한 통보라고 판단한다면, 이에 대해 이의신청을 할 수 있다.

 

 사후관리 단계에서는 일정 기간마다 사후 심사와 갱신 심사가 진행된다. 사후 심사의 경우 인증이 발급된 날짜로부터 1년이 되기 전에 해야하는 심사로, 유효기간을 지키지 않을 시에는 인증이 취소된다. 갱신심사의 경우 인증의 유효기간을 연장하기 위해 시행하는 심사로, 이 또한 인증 유효기간 내에 심사가 진행되지 않을 시에 인증이 효력이 상실된다.