ICT서비스 매출 300억 미만·매출 300억 이상 중기업 중 주요 정보통신설비 미보유 기업 해당
ISMS 40개 또는 44개로, ISMS-P 62개 또는 65개로 축소
인증수수료 절감 ISMS 50%↓, ISMS-P 40%↓

[보안뉴스 박은주 기자] 과학기술정보통신부(장관 이종호, 이하 과기정통부), 개인정보보호위원회(위원장 고학수, 이하 개인정보위) 및 한국인터넷진흥원(원장 이상중, 이하 KISA)은 중소기업이 ‘정보보호 및 개인정보보호 관리체계’(이하 ISMS 및 ISMS-P) 인증 취득 시 부담을 완화하기 위해 △인증기준 △인증비용 등을 간소화한 ISMS 및 ISMS-P 인증 특례(이하 ‘ISMS 및 ISMS-P 간편인증’) 제도를 7월 24일부터 시행한다.


[로고=과기정통부,개인정보위,KISA]

현행 ISMS와 ISMS-P 인증제도는 중견기업 이상이 인증기준을 충족하도록 설계되어, 중소기업은 인증을 취득하고 유지하기에 많은 인증항목과 높은 비용 등의 어려움을 호소해왔다. 이에 정부는 중소기업 규모 및 특성에 따라 완화된 인증기준과 비용으로 인증을 취득할 수 있도록 특례제도를 도입하는 정보통신망법을 개정(’24.1월 공포)했다. 특례제도의 △적용대상 △인증기준 △수수료 등을 규정하기 위한 하위법령을 정비해 ISMS 및 ISMS-P 간편인증 도입의 제도적 기반을 마련했다.

ISMS 및 ISMS-P 간편인증 적용대상은 △정보통신서비스 부문 매출액이 300억원 미만인 중소기업과 △정보통신서비스 부문 매출액이 300억원 이상인 중기업 중 회사 내 주요 정보통신설비를 보유하지 않은 기업이 신청할 수 있다. 이때 설비란 회사 내 자체서버, 네트워크 장비, 보안솔루션 등을 말하며, 웹호스팅서비스 클라우드 서비스를 이용하는 기업이 해당한다. 전체 의무대상 중 85개 기업(약 16%)이 적용받을 수 있다. 이에 관한 상세내용은 한국인터넷진흥원 누리집에서 확인할 수 있다.

다만 상기 대상이더라도, 국민 생활에 밀접한 영향을 미치는 △주요 정보통신서비스 제공자 △집적 정보통신시설 사업자 △일부 상급종합병원·대학교 △금융회사 △가상자산사업자는 ISMS 및 ISMS-P 간편인증 적용대상에서 제외된다.

인증기준은 기업이 실질적인 정보보호 활동을 할 수 있도록 하는 핵심 필수항목(사용자 식별·인증, 비밀번호 관리, 암호정책 적용, 악성코드 통제, 취약점 점검 및 조치 등)은 유지하되, 기업의 부담을 줄이기 위해 중소기업 수준에서 불필요한 항목은 삭제 또는 완화해 설계했다. 기존 대비 인증기준 항목이 36~40개가량 감소했다.

인증심사 수수료도, 인증기준 간소화에 따라 종전 대비 약 40~50% 수준으로 절감됐다. ISMS 수수료는 800~1,400만원에서 400~700만원으로, ISMS-P 수수료는 기존 1,000~1,800만원에서 600~1,100만원으로 줄어들었다. 또한, 인증 준비에 필요한 기업의 제반 비용도 감소할 것으로 기대된다.

한편, KISA는 새로 도입되는 ISMS 및 ISMS-P 간편인증 제도가 기업에 자리 잡을 수 있도록 적용대상 기업 등을 대상으로 절차, 방법 등을 안내하는 온라인 설명회를 7월 24일에 진행할 계획이다.

과기정통부 정창림 정보네트워크정책관은 “이번 ISMS 간편인증제 시행으로, 영세한 기업이 적은 부담으로도 사이버 위협을 선제적으로 예방·대응할 수 있어 고무적”이라며, “향후 기업 혁신을 저해하는 불필요·불합리한 부담 경감 등 제도 개선에 더욱 힘쓰겠다”고 말했다.

개인정보위 개인정보정책국 양청삼 국장은 “간편인증 도입을 통해 소규모 기업의 인증 취득 부담을 완화함으로써 개인정보보호 관리체계의 수준을 향상하고자 하는 기업의 자율적인 개인정보보호 노력이 강화될 수 있는 계기가 되길 바란다”고 밝혔다.
[박은주 기자(boan5@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>