이연희 의원 "ISMS 인증 무용...대기업 과징금 경감 수단 전락"

ZDNet Korea 기사 원문을 끝까지 읽고 해요체로 옮겨 정리했어요.

무엇이 지적됐나

한국인터넷진흥원(KISA) 등 ICT 산하기관을 대상으로 15일 국회에서 열린 과학기술정보방송통신위원회 국정감사에서 정보보호 인증(ISMS) 문제가 또 도마에 올랐어요. 작년에 이어 올해도 무용론이 나왔어요.

ISMS란

ISMS는 과기정통부와 KISA가 주관하는 정보보호 인증이에요. 기업·기관이 관리적·기술적·물리적 보호조치를 체계적으로 세우고 실제로 운영하는지를 정부 기준으로 심사해요.

• 의무 대상: ISP, IDC, 정보통신서비스 부문 전년도 매출 100억 원 이상이거나 일평균 이용자 100만 명 이상인 사업자 등
• 2001년 7월 정보통신망법에 근거해 도입됐고, 2010년 PIMS가 따로 생긴 뒤 2018년 11월 통합돼 지금의 ISMS-P가 됐어요.
• 10월 현재 유지 인증서는 1,281건이고, 유효기간 3년에 매년 사후심사를 받아요.

이연희 의원의 질의

민주당 이연희 의원은 최근 3년간 인증을 받은 많은 기업이 침해사고를 당했다며 무용론을 꺼냈어요. 인증 기업 중 해킹당한 곳의 명단을 KISA에 요청했지만 받지 못했다며 자료 제출을 강하게 요구했어요.

"인증을 받았는데도 뚫렸어요. 인증을 받으면 과징금을 50% 할인해 줘요. 모 카드사는 할인받은 과징금이 144억 원에 달해요. 인증이 정보보호 목적은 못 이루고 대기업의 과징금 경감 수단으로 전락한 것 아닌가요?"

그는 뚫린 곳의 인증을 취소한 사례가 없다며 사후 검사가 필요하지 않냐고 물었고, 최우혁 과기정통부 정보보호네트워크정책실장은 "앞으로 관리를 잘하겠다"고 답했어요. 최 실장은 올해 강화인증제를 도입해 1주일 서류심사였던 기간을 2주 이상으로 늘리고 현장 심사도 한다고 설명했어요.

이훈기 의원 자료

민주당 이훈기 의원이 KISA, 개인정보보호위원회, 과기정통부에서 받은 자료에 따르면 ISMS·ISMS-P 인증 기업의 침해사고 신고는 2021년부터 올해 상반기까지 총 531건이에요.

• 2021년 21건, 2022년 25건, 2023년 101건
• 2024년 96건, 2025년 178건, 2026년 상반기 110건
• 이 중 ISMS-P 인증 기업 신고는 115건이에요.