ISMS-P · 정보보호 관리체계 인증
ISMS-P Certification
ISMS-P이란?
- 정보보호+개인정보보호 관리체계 통합 인증(KISA)
- 일정 요건 사업자는 ISMS 인증이 법적 의무
- 문서가 아니라 주기적 '운영 증적'이 통과를 가름
ISMS-P는 정보보호 관리체계(ISMS)와 개인정보보호 관리체계(PIMS)를 통합한 인증입니다. 개인정보를 다루지 않거나 범위에서 제외한 경우에는 ISMS만, 개인정보 처리까지 포함하면 ISMS-P를 받습니다. 심사는 관리체계 수립·운영, 보호대책 요구사항, 개인정보 처리 단계별 요구사항의 세 영역으로 이뤄지며, 정책 문서만이 아니라 실제 운영 증적을 확인합니다.
정보통신망법 등에 따라 매출액·이용자 수 등 일정 기준을 넘는 사업자에게는 ISMS 인증이 의무이며, 미이행 시 과태료 대상이 될 수 있습니다. 의무 대상이 아니어도 공공 입찰이나 대기업 협력사 등록에서 요구되는 경우가 많아 자발적으로 취득하는 기업이 늘고 있습니다. 인증은 유효기간이 있고 기간 중 사후심사, 만료 전 갱신심사를 받아야 유지됩니다. 적용 기준과 의무 대상 요건은 개정되므로 한국인터넷진흥원(KISA) 최신 안내로 확인하는 것이 필요합니다.
실무에서 준비의 성패를 가르는 것은 문서가 아니라 '운영의 흔적'입니다. 접근 권한 검토, 로그 점검, 백업 복구 시험, 협력업체 보안 점검, 임직원 교육을 정해진 주기로 실제 수행하고 기록을 남기는 체계가 없으면 심사 직전에 몰아서 만들 수 없습니다. 특히 개인정보 처리 흐름도와 위탁·제3자 제공 현황은 부서 간 협업 없이는 정확히 그릴 수 없어, 정보보호 조직만의 과제로 두면 반드시 막힙니다.
정보보호 관리체계(ISMS)와 개인정보보호 관리체계(PIMS)가 별도로 운영되던 것을 2018년 통합해 ISMS-P로 일원화했습니다. 과학기술정보통신부·개인정보보호위원회 정책 아래 한국인터넷진흥원(KISA)이 인증 제도를 운영합니다.
SaaS 기업이 대기업 고객사 요구로 ISMS-P 인증 취득을 준비하는 상황입니다.
- 범위 결정 — 인증 대상 서비스와 시스템, 개인정보 포함 여부를 정해 ISMS와 ISMS-P 중 무엇을 받을지 확정합니다.
- 현황 진단 — 인증 기준 항목별로 현재 수준을 자체 점검해 미비 항목 목록과 소요 기간을 산출합니다.
- 체계 수립 — 정보보호 조직과 책임자를 지정하고, 정책·지침을 실제 운영 가능한 수준으로 정비합니다.
- 운영 증적 축적 — 권한 검토·로그 점검·백업 복구 시험·직원 교육을 정해진 주기로 수행하고 기록을 남깁니다. 이 기간이 준비의 대부분을 차지합니다.
- 심사 대응·유지 — 심사 후 결함 조치를 완료하고, 사후심사·갱신심사 일정을 연간 보안 계획에 고정합니다.