ISMS-P · 정보보호 관리체계 인증

ISMS-P이란?

ISMS-P 인증을 준비한다는 것은 보안 업무의 기준점이 '사고가 나면 대응한다'에서 '평소에 했다는 것을 남겨 증명한다'로 옮겨간다는 뜻입니다. 심사원은 어떤 장비를 샀는지 묻지 않고, 지난 1년간 접근 권한을 누가 언제 검토했고 그 결과 계정 몇 개를 회수했는지를 확인합니다. 그래서 준비의 본질은 장비 도입이 아니라 주기적 활동의 제도화입니다. 영업에서도 체감이 달라집니다. 대기업 구매팀이 보내는 협력사 보안 점검표에서 인증서 한 장이 수십 개 문항을 한꺼번에 대체하는 일이 흔해, 계약 검토에 걸리던 시간이 눈에 띄게 줄어듭니다.

ISMS와 ISMS-P는 상하 등급이 아니라 심사 범위의 차이입니다. 개인정보 처리 흐름까지 포함하면 ISMS-P, 제외하면 ISMS이며 인증서에 적히는 대상 서비스·시스템·물리적 위치도 신청 기업이 직접 설정합니다. 인증 유효기간은 3년이고, 그 사이 매년 1회 사후심사와 만료 전 갱신심사를 통과해야 효력이 유지됩니다. 의무 대상은 정보통신망법에 따라 통신사업자, 집적정보통신시설(IDC) 사업자, 일정 규모 이상의 매출·이용자 수를 가진 정보통신서비스 제공자 등으로 정해져 있고 미이행 시 과태료 부과 대상이 됩니다. 금액과 이용자 수 기준은 고시 개정으로 바뀌므로 자사 해당 여부는 매년 다시 확인해야 합니다.

실무에서 많이 나오는 질문이 ISO 27001과의 관계입니다. 두 인증은 요구 항목이 겹쳐 문서 재활용은 가능하지만 서로 인정되지 않으며, 국내 법적 의무를 ISO 인증으로 대신할 수는 없습니다. 차이는 심사의 성격에 있습니다. ISO가 조직이 스스로 정한 기준을 지키는지 보는 쪽이라면, ISMS-P는 KISA가 제시한 인증기준 항목을 하나씩 대조하는 방식입니다. 글로벌 고객사는 ISO나 SOC 2를, 국내 공공·대기업은 ISMS-P를 요구하다 보니 두 트랙을 같이 끌고 가는 회사도 적지 않습니다.

가장 흔한 실패는 범위를 좁게 잡는 데서 시작됩니다. 심사 부담을 줄이려고 서비스 하나만 넣어 인증서를 받았는데, 정작 고객사가 쓰는 모듈이 범위 밖이라 "그 서비스는 인증 대상이 아니네요"라는 답을 듣고 재심사를 준비하는 일이 반복됩니다. 인증서 보유 여부보다 범위 항목을 먼저 맞춰야 하는 이유입니다. 또 하나는 컨설팅사가 정책 문서 세트를 만들어주면 끝난다는 생각입니다. 문서는 한 달이면 나오지만 최소 2~3개월치 운영 기록은 시간을 되돌려 만들 수 없고, 인증을 받았다고 유출 사고의 법적 책임이 면제되지도 않습니다.