금융·의료기관도 '정보보호 관리체계 인증' 의무화..보안 컨설팅 '수혜"

[이데일리 김현아 기자] 민감한 고객 정보를 다루는 금융기관이나 의료기관 등도 올해부터 정보보호 관리체계(ISMS) 인증을 받아야 한다.

또한 홈페이지 일일 평균 이용자 수가 1만 명 이상인 제조·교육·운수·건설·전기·가스·출판·영상·숙박 및 음식업체 등도 ISMS 인증이 의무화됐다.

정보보호 관리체계(Information Security Management System) 인증제도는 주요 정보자산 유출 및 피해를 사전에 예방하기 위한 목적으로 기업이 스스로 수립·운영 중인 정보보호 체계가 적합한지를 인증하는 제도다.

이로써 개인정보보호에 대한 보안 인프라는 강화됐고, 시큐아이이나 세이프넷, 지란지교, A3시큐리티 같은 보안 컨설팅 업체도 수혜를 맞게 됐다. ISMS 인증의 인정기관은 미래부이고, 인증기관은 한국인터넷진흥원·금융보안연구원 등인데, 이들에게 인증받기 전에 보통 보안 컨설팅 회사를 활용하는 이유에서다.

지난해까지는 정보통신기술(ICT)기업에 한해 인증이 의무화됐지만, 올해부터는 금융이나 의료기관까지 확대된 이유에서다. 업체 수로 보면 지난해 270여개 인증 의무 업체가 올해에는 2배 이상 늘어날 것으로 보인다.

미래창조과학부(장관 최양희, 이하 미래부)는 지난해 개정된 ?정보통신망 이용촉진 및 정보보호 등에 관한 법률?(‘15.12.1. 공포, ’16.6.2. 시행)의 시행령 및 시행규칙 개정안을 2월 3일부터 입법예고한다고 밝혔다.

개정안은 정보보호 건강검진에 비유되는 정보보호 관리체계(ISMS) 인증제도와 관련한 개정 정보통신망법에서 위임한 사항 등을 규정하고 있으며, 주요내용은 다음과 같다.

정보보호 관리체계 인증 신규 의무 대상으로 매출 또는 세입이 1,500억원 이상 업체 중 다량의 민감한 정보를 다루는 의료기관 및 금융업종 전체, 의료 및 금융 이외의 제조나 숙박 등의 오프라인 업종은 일일평균 이용자 수가 1만명 이상인 사업자로 규정했다.

보통 ISMS 인증비용은 1천만 원 정도다. 이에 따라 정부는 정보보호 관리체계 인증 취득시, 정보보호 경영시스템 인증(ISO/IEC 27001), 개인정보보호 관리체계 인증 및 주요정보통신기반시설 취약점의 점검 분석·평가 등을 받은 경우 심사항목 일부를 생략할 수 있도록 해 기업 부담을 완화했다.

또한 심사기관 지정의 요건·절차·유효기간 등은 현행 인증기관 지정의 요건·절차·유효기간 등을 준용하도록 규정했다.

미래부는 이번 시행령 및 시행규칙 개정안을 통해 기업들이 정보보호에 대한 투자를 확대하고, 정보보호 대응능력 수준이 대폭 향상될 것으로 기대하고 있다.

개정안 전문은 미래부 누리집(홈페이지: www.msip.go.kr/뉴스·알림/법령정보/입법·행정 예고)에서 확인할 수 있으며, 의견이 있는 기관·단체 또는 개인은 3월 13일까지 미래부에 의견을 제출할 수 있다.

입법예고, 규제심사, 법제심사, 차관회의, 국무회의 등의 절차를 거쳐 확정된 시행령 및 시행규칙은 6월 2일에 공포?시행될 예정이다.