정보보호 관리체계 인증의 요건과 유효기간

핵심 정리

정보보호 관리체계 인증은 신청인이 수립·운영하는 정보보호 조치와 활동이 인증기준에 적합함을 증명하는 제도다. 이 제도의 조문은 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」에 규정되어 있다. 따라서 인증의 근거는 법률과 과학기술정보통신부장관이 고시하는 관리체계 인증기준이다.

인증은 신청과 협의, 인증심사, 인증위원회 심의 순으로 진행된다. 신청인은 인증 범위와 일정에 관해 심사기관과 협의한다. 심사는 서면심사와 현장심사를 병행하고, 심사 결과는 인증위원회가 심의한다.

인증을 취득하면 3년의 유효기간이 부여된다. 유효기간 안에 침해사고가 발생한 인증 취득자에 대한 현장심사는 인증심사원 또는 과학기술정보통신부장관이 정하여 고시하는 자격기준을 갖춘 기술인력이 수행할 수 있다. 이 규정에 따라 인증의 사후관리는 침해사고 대응과도 맞닿아 있다.

인증의 효력은 신청인과 협의한 인증 범위에서 심사한 내용에 한정된다. 협의 대상이 아닌 조직이나 서비스는 인증 범위에 포함되지 않으므로, 인증 결과를 해석할 때는 범위를 먼저 확인해야 한다.

자세히

인증 대상과 국내외 체계

인증 대상은 정보통신망법에 따라 관리체계를 수립·운영하는 자다. 국제적으로는 ISO/IEC 27001이 정보보안 관리 시스템의 요구사항을 명시한 정보보호 관리체계 국제 인증 규격으로 쓰인다. 국내에서 정보보호 및 개인정보보호 관리체계 인증제도는 ISMS-P다. 국내 인증은 법령에 근거를 두고, 국제 규격은 표준으로서 인증 체계에 쓰인다는 점을 구분해야 한다.

유효기간과 사후심사

최초심사로 인증을 받은 뒤 유효기간 중에는 매년 1회 이상 사후심사를 신청해야 한다. 사후심사는 인증 후 사후관리를 위해 매년 실시하는 절차다. 유효기간 3년과 사후심사의 매년 주기는 서로 다르므로 구분해야 한다. 사후심사는 유효기간 전체를 한 번에 대신하는 절차가 아니라 해마다 거치는 절차다.

인증심사원 자격과 책임

인증심사원 자격의 유효기간은 자격을 부여받은 날부터 3년이다. 인증심사 과정에서 취득한 정보를 법령상 근거나 동의 없이 누설하거나 업무 목적 외에 사용하면 인증심사원 자격이 취소될 수 있다. 선임심사원은 심사원 자격을 취득한 뒤 인증심사에 3회 이상 참여하고 심사일수의 합이 15일 이상인 자다. 자격 취득과 참여 실적은 서로 대체할 수 없는 요건이므로, 하나만 충족해서는 선임심사원이 될 수 없다. 인증심사원의 교육과 자격관리에 관한 세부기준은 과학기술정보통신부장관이 정하여 고시한다.

인증기관과 관련 기관

정보보호관리체계(ISMS) 인증기관으로 지정된 기관은 금융보안원이다. 한국정보통신진흥협회는 정보통신 산업의 진흥을 맡는 협회다. 한국정보통신기술협회는 정보통신 기술 시험과 표준 관련 기관이다. 개인정보보호협회는 개인정보 보호 관련 단체다. 이들 기관은 서로 역할이 다르므로 인증기관과 협회를 같은 것으로 보아서는 안 된다.