ISMS와 ISMS-P는 기업의 정보보호 및 개인정보보호 체계를 인증하는 제도입니다.
정보통신 기술이 빠르게 발전하면서 개인정보 유출 사고나 기업 기밀 유출과 같은 보안 위협도 점점 더 커지고 있습니다. 정보 자산을 보호하지 못한 기업은 기술적 손실과 고객 신뢰까지 잃게 되는데요. 이러한 위험을 예방 및 대응하며, 기업의 정보보호 수준을 증명할 수 있는 대표적인 인증 제도로 ISMS, ISMS-P 인증이 있습니다. 그렇다면 ISMS와 ISMS-P 인증은 어떤 기업이 받아야 할까요? 또, 인증을 받기 위해서는 어떤 절차를 거쳐야 할까요? 의무 대상, 인증 기준, 인증심사 절차 등에 대해 자세히 알려드리겠습니다!
ISMS와 ISMS-P 인증이란?
ISMS와 ISMS-P 인증의 가장 큰 차이점은 ‘개인정보 보호 포함 여부’ 입니다. 개인정보 처리 업무가 없는 기업은 ISMS 인증이 필요하고, 고객 정보와 같은 개인 정보를 주요하게 다루는 기업은 ISMS-P 인증이 필요합니다.
(1) ISMS(정보보호 관리체계 인증)
ISMS는 정보보호를 위한 일련의 조치와 활동이 인증기준에 적합함을 인터넷진흥원 또는 인증기관이 증명하는 제도입니다. 정보보호 중심으로 인증하는 경우 필요하며, 기존의 ISMS 의무대상 기업, 기관, 개인정보를 보유하지 않거나 개인정보 흐름의 보호가 불필요한 조직에게 필요한 인증입니다.
ISMS-P(정보보호 및 개인정보보호 관리체계 인증)
ISMS-P는 정보보호 및 개인정보보호를 위한 일련의 조치와 활동이 인증기준에 적합함을 인터넷진흥원 또는 인증기관이 증명하는 제도를 말합니다. 보호하고자 하는 정보서비스가 개인정보의 흐름을 가지고 있어 개인정보 처리 단계별 보안 강화가 필요한 조직에게 필요한 인증 제도입니다.
(2) ISMS-P(정보보호 및 개인정보보호 관리체계 인증)
ISMS-P는 정보보호 및 개인정보보호를 위한 일련의 조치와 활동이 인증기준에 적합함을 인터넷진흥원 또는 인증기관이 증명하는 제도를 말합니다. 보호하고자 하는 정보서비스가 개인정보의 흐름을 가지고 있어 개인정보 처리 단계별 보안 강화가 필요한 조직에게 필요한 인증 제도입니다.
모든 사업자가 인증을 필수로 받아야하나요?
모든 사업자가 인증을 필수로 받아야하는 것은 아니지만 의무 대상자는 법적으로 정해져 있습니다. 의무 대상자는 ①정보통신망서비스를 제공하는 자(ISP) ②집적정보통신시설사업자(IDC) ③전년도 매출액 또는 세입 등이 1,500억 원 이상이거나 정보통신서비스 부문의 전년도 매출액이 100억 원 이상 또는 전년도 일일평균 이용자 수 100만 명 이상으로서, 대통령령으로 정하는 기준에 해당하는 자입니다. 인증 의무 대상자는 ISMS, ISMS-P 인증 중 선택하여 인증 받을 수 있습니다.
ISMS와 ISMS-P의 인증 기준은 무엇인가요?
ISMS는 관리체계 수립 및 운영, 보호대책 요구사항을 충족하는지 심사하며, ISMS-P는 관리체계 수립 및 운영, 보호대책 요구사항에 더해 개인정보 처리 단계별 요구사항까지 총 3가지 항목에 대한 인증 기준을 충족하는지 심사합니다.
(1) 관리체계 수립 및 운영 (16개 항목)
전체 보안 체계의 핵심 틀로, 계획 수립부터 운영, 점검, 개선까지의 라이프사이클 전반을 포함합니다.
(2) 보호대책 요구사항 (64개 항목)
관리적·기술적·물리적 측면의 보호대책을 포함합니다.
(3) 개인정보 처리 단계별 요구사항 (21개 항목)
개인정보의 수집부터 파기까지, 전체 생명주기 각 단계에서 필요한 보호조치를 규정합니다.
ISMS와 ISMS-P 인증심사 절차는 어떻게 되나요?
ISMS와 ISMS-P 인증심사 절차는 신청 → 계약 → 심사 → 인증의 4단계로 진행됩니다. 기업의 규모 및 보안 체계 수준에 따라 준비부터 인증 취득까지는 약 6개월 이상이 소요되고, 인증 신청을 위해서는 최소 2개월 이상의 운영 기간이 필요합니다. 신청 시에는 운영 명세서, 사업자등록증, 개인정보 흐름도 등 다양한 서류가 요구되며, 계약 단계에서는 심사 범위와 일정 조율 후 심사 수수료를 정해 계약 체결을 진행합니다. 이후 인증심사팀이 기업을 방문해 서류와 현장을 점검하게 되는데요. 결함이 발견되면 수정 후 다시 제출해야 하며, 인증위원회가 최종 결과를 바탕으로 인증 여부를 결정합니다. 인증을 받은 후에도 매년 사후심사와 3년 주기의 갱신심사를 통해 체계를 유지해야 하며, 미갱신 시 인증은 종료되기 때문에 기업은 인증 이후에도 보안 체계를 지속적으로 운영하고 관리하는 노력이 필요합니다!
ISMS와 ISMS-P 인증을 받으면 어떤 효과가 있을까요?
ISMS와 ISMS-P 인증을 받는다면 고객과 시장의 신뢰도 확보, 기업의 정보보호 및 개인정보보호 관리수준 향상, 보안 사고 대응력을 강화하는 효과가 있습니다.
(1) 고객과 시장의 신뢰도 확보
정보보호 및 개인정보보호에 대한 신뢰성을 높여 대외 이미지를 제고할 수 있으며, 공공부문 사업 입찰 시 가산점 등의 혜택을 얻을 수도 있습니다.
(2) 기업의 정보보호 및 개인정보보호 관리수준 향상
체계적이고 종합적인 정보보호 관리체계를 구축함으로써 기업의 정보보호 및 개인정보보호 관리수준을 향상 시킬 수 있어요. 또한, 기업 경영진이 직접 정보보호 의사결정에 참여함으로써 정보보호 및 개인정보보호 업무에 대한 책임성과 신뢰성을 향상시킬 수 있습니다.
(3) 보안 사고 대응력 강화
해킹, DDoS 등의 침해사고 혹은 개인정보 유출사고가 발생했을 때 신속하게 대응할 수 있는 관리체계를 마련할 수 있습니다. 또한, 보안 사고 발생 시 피해를 최소화할 수 있으며 재발방지 대책을 체계적으로 수립할 수 있게 됩니다.
여기서 잠깐! ISMS 및 ISMS-P 간편 인증 제도는 무엇인가요?
ISMS와 ISMS-P 인증 준비 절차와 비용이 부담스러운 기업들을 위한 인증제도가 있습니다. 바로 ‘ISMS 및 ISMS-P 간편 인증 제도’인데요. ISMS 및 ISMS-P 간편 인증 제도는 중소기업에게 부담이 될 수 있는 많은 인증 항목, 높은 비용과 같은 어려움을 줄이기 위해 중소기업 규모와 특성에 따라 완화된 인증 기준과 비용으로 취득할 수 있는 인증 제도입니다.
(1) 적용 대상
정보통신 서비스 부문 매출액이 300억원 미만인 중소기업, 정보통신 서비스 매출액이 300억원 이상인 중기업 중 회사 내 주요 통신설비(웹호스팅ㆍ클라우드 서비스 이용자)를 보유하지 않은 기업이라면 간편 인증 제도를 신청할 수 있습니다.
(2) 인증 기준
ISMS 인증 기준 수는 정보통신서비스 부문 매출액이 300억원 미만인 중소기업의 경우 80개에서 40개로 축소되었고, 정보통신서비스 매출액이 300억원 이상인 중기업 중 회사 내 주요 통신설비(웹호스팅ㆍ클라우드 서비스 이용자)를 보유하지 않은 기업은 80개에서 44개로 축소되었습니다.
(3) 수수료
ISMS 인증의 수수료는 800~1,400만원에서 400~700만원으로 절감되고, ISMS-P 인증은1,000~1,800만원에서 600~1,100만원으로 약 40%~50% 수준으로 절감되었습니다.
엑소스피어와 함께 탄탄한 기업 보안 체계를 구축하고, ISMS와 ISMS-P 인증 대비하세요!
ISMS와 ISMS-P 인증은 우리 회사가 정보보호와 개인정보보호를 얼마나 체계적으로 운영하고 있는지를 보여주는 공식적인 신뢰 지표입니다. 투자 유치, 파트너십, B2B 영업, 공공 입찰 등에서 ISMS, ISMS-P 인증 유무가 중요한 기준이 되기도 하죠. 엑소스피어는 백신과 정보유출예방(DLP) 기능을 한 번에 제공하는 올인원 PC보안 서비스로 ISMS, ISMS-P 인증 준비에 필요한 엔드포인트 보안 항목들을 지원합니다. 엑소스피어 고객사 중에서도 ISMS 인증을 획득하신 곳이 있는데요. 고객사 케이스카이비는 “엑소스피어 덕분에 인증 준비가 훨씬 수월했다"고 전해주셨고, 헥슬란트는 NAC와 함께 엑소스피어를 도입하여 인증을 통과하셨다고 해요. 또한, 라포랩스는 “엑소스피어는 ISMS 인증을 받기 위해 보안 점검 항목을 패스할 수 있는 기능들이 많이 갖춰져 있고, 엑소스피어로 엔드포인트 보안 정책을 구성해 ISMS 최초 심사를 문제 없이 마무리했다”고 전해주셨습니다.
ISMS와 ISMS-P 인증이 어렵게 느껴지신다면 올인원 PC보안 서비스 엑소스피어와 체계적인 보안 관리 시작하고 한걸음 더 쉽게 준비해 보세요! ‘무료체험 시작하기’ 버튼을 통해 회원가입을 하시면 2주간 마음껏 엑소스피어 기능을 체험하실 수 있으니 많은 관심 부탁드리며, ISMS와 ISMS-P 인증 관련하여 궁금하신 부분은 언제든지 메일 혹은 전화로 문의해 주시면 빠르게 답변 드리도록 하겠습니다. 감사합니다!
[참고 링크 및 문서]
KISA 한국 인터넷진흥원 - KISA 정보보호 및 개인정보보호관리체계 인증 ISMS-P 제도소개
KISA 한국 인터넷진흥원 - KISA 정보보호 및 개인정보보호관리체계 인증 ISMS-P 인증 대상
KISA 한국 인터넷진흥원 - KISA 정보보호 및 개인정보보호관리체계 인증 ISMS-P 인증 기준
과학기술정보통신부, 개인정보보호위원회 보도자료 - ‘중소기업의 정보보호 인증부담 완화를 위한 「정보보호 및 개인정보보호관리체계 간편인증」 제도 시행’(2024.07.23)
KISA 한국 인터넷진흥원 - ISMS-P 인증제도 안내서(2024.07)
