ISMS인증은 조직이 정보를 다루는 과정에서 갖추어야 할 보안 체계를 제대로 마련했는지를 외부 기관이 확인해 부여하는 인증이다. 거래하려는 업체가 개인정보나 시스템을 안전하게 관리하는지 궁금할 때 사람들은 그 업체가 isms인증을 받았는지부터 확인한다. 이 글은 isms인증이 무엇을 뜻하는지, 누가 isms인증 의무대상자가 되는지, isms인증심사가 어떻게 진행되는지, 그리고 인증서와 인증현황을 어떻게 확인하면 되는지를 순서대로 정리한다.
isms인증이 확인해 주는 것
isms인증은 한 조직의 정보보호 관리체계, 즉 보안을 지키기 위한 정책과 조직, 절차가 실제로 갖추어져 있고 운영되고 있는지를 심사해 부여하는 인증이다. 단순히 보안 장비를 설치했는지를 보는 것이 아니라, 위험을 파악하고 대응하는 체계가 문서와 실제 운영 양쪽에서 갖추어져 있는지를 함께 살핀다. 인증을 받으면 isms인증서가 발급되고, 그 안에는 인증 범위와 유효기간이 표시된다. 인증서가 있다고 해서 사고가 전혀 나지 않는다는 뜻은 아니며, 관리체계를 일정 수준 이상으로 갖추고 있다는 확인에 가깝다.
인증 대상이 되는 범위는 회사 전체가 아니라 특정 서비스나 시스템으로 한정되는 경우가 많다. 그래서 어떤 업체가 isms인증을 보유하고 있다고 밝히더라도, 그 인증이 실제 거래하려는 서비스까지 포함하는지는 별도로 확인해야 한다. 인증 범위와 유효기간은 인증서에 함께 적혀 있으므로, 거래 전에 그 부분을 직접 확인하는 것이 가장 정확하다.
누가 isms인증 의무대상자가 되나
isms인증의무대상자는 법령에서 정한 기준에 따라 정해진다. 일정 규모 이상의 정보통신서비스를 제공하는 사업자, 개인정보를 대량으로 처리하는 사업자, 정보통신망을 통해 서비스를 운영하는 일부 업종이 대표적으로 거론되는 대상이다. 다만 매출액이나 이용자 수 같은 구체적인 기준값은 해마다 고시로 정해지고 조정될 수 있으므로, 이 글에서 특정 숫자로 단정하지 않는다. 자신의 사업이 isms인증 의무대상에 해당하는지는 관련 기관이 공개하는 최신 안내 자료에서 직접 확인하는 것이 안전하다.
의무대상이 아니더라도 자율적으로 isms인증을 신청하는 경우도 있다. 거래처나 이용자에게 보안 수준을 보여주고 싶은 사업자, 공공기관과 계약을 위해 인증이 필요한 사업자가 자율신청을 택한다. 즉 isms인증 대상은 법으로 강제되는 의무대상자와, 필요에 따라 스스로 신청하는 자율신청자로 나뉜다고 이해하면 된다.
isms인증심사는 어떻게 진행되나
isms인증심사는 신청한 조직이 정한 인증 범위 안에서 문서 심사와 현장 심사를 함께 진행하는 방식으로 이루어진다. 문서 심사에서는 정보보호 정책과 절차가 마련되어 있는지를 살피고, 현장 심사에서는 실제로 그 절차가 운영되고 있는지를 담당자 면담과 시스템 확인을 통해 점검한다. 이 심사는 isms인증심사원 자격을 갖춘 인력이 맡으며, 심사원은 정해진 isms인증기준에 따라 항목별로 이행 여부를 판단한다.
isms인증기준은 관리체계 수립과 운영, 보호대책 요구사항 등 여러 영역으로 나뉘어 있고, 그 세부 해설은 isms인증기준 안내서에 실려 있다. 심사를 준비하는 조직은 이 안내서를 참고해 자신의 조직이 각 항목을 어떻게 충족하고 있는지를 미리 점검하는 경우가 많다. 심사 결과 부족한 부분이 발견되면 일정 기간 안에 보완하도록 요구되고, 보완이 확인된 뒤에야 인증서가 발급된다.
자주 어긋나는 지점과 확인하는 순서
실무에서 자주 헷갈리는 부분은 인증서 자체와 인증현황의 차이다. 인증서 사본만으로는 위조나 만료 여부를 가려내기 어렵기 때문에, isms인증현황을 공개하는 곳에서 인증 번호나 유효기간을 함께 대조해 보는 것이 더 정확하다. 또한 상위 개념인 isms인증과, 개인정보 보호 영역까지 포함하는 확장된 인증을 같은 것으로 혼동하는 경우도 있으므로, 거래 상대방이 정확히 어떤 인증을 받았는지 명칭을 그대로 확인하는 습관이 필요하다.
아래는 isms인증과 관련해 헷갈리기 쉬운 개념을 구분해 정리한 것이다. 표는 해마다 바뀌는 금액이 아니라 구조상의 차이만을 담고 있다.
| 구분 | 내용 |
|---|---|
| isms인증 의무대상자 | 법령이 정한 기준에 해당해 인증을 반드시 받아야 하는 사업자 |
| 자율신청자 | 의무대상은 아니지만 필요에 따라 스스로 인증을 신청하는 사업자 |
| isms인증서 | 심사를 통과한 뒤 발급되며 인증 범위와 유효기간이 표시됨 |
| isms인증현황 | 발급된 인증의 유효 여부를 별도로 확인할 수 있는 공개 정보 |
isms인증을 확인하려는 독자라면, 먼저 상대 업체가 밝힌 인증 범위와 유효기간이 실제 거래하려는 서비스와 일치하는지부터 살펴보는 것이 순서다. 이어서 그 인증 번호를 isms인증현황이 공개된 곳에서 대조해 보고, 자신의 사업이 isms인증의무대상자에 해당하는지 궁금하다면 관련 기관이 배포하는 최신 isms인증기준 안내서와 공식 안내 자료를 통해 확인하면 된다. 구체적인 신청 절차나 비용, 대상 기준의 수치는 시기에 따라 달라질 수 있으므로, 신청을 앞두고 있다면 반드시 그 시점의 공식 공지를 다시 한번 확인해야 한다.
· · · · · · · · · ·
스페셜타임스는 AI 기술의 도움을 받아 더 빠르고 다양한 뉴스를 독자에게 전달하기 위해 노력하고 있습니다.