“인터넷은 이제 비즈니스 모델 그 자체” ISMS 인증은 필수!

ISMS인증제도는 조직에서 주요 정보자산의 기밀성, 무결성, 가용성을 실현하기 위한 정보보호 관리 절차와 대책을 체계적으로 수립하여 지속적으로 관리, 운영하기 위한종합적인 체계이다.

기업의 환경 변화

기업이 생존하기 위해서는 지속적으로 변화하는 환경에 적응해야 한다. 최근 기업환경의 변화는 비즈니스 패러다임의 변화와 기업에 대한 사회적 책임 요구의 강화로 요약할 수 있다.

비즈니스 패러다임의 변화
기존의 제조업 기반의 산업구조에서 정보 기술(Information Technology)이란 기업의 비즈니스를 수행하는데 하나의 도구일 뿐이었다. 즉 제조된 물품을 판매하기 위하여 인터넷 홈페이지를 만든다거나 문서 작성 및 회계 계산을 돕기 위한 전용 소프트웨어를 도입하는 정도였다. 그러나 최근 IT는 기업 비즈니스의 근간으로 활용되고 있다.
예를 들어 인터넷 포털 업체의 경우 인터넷은 단순한 도구가 아닌 비즈니스 모델 그 자체인 것이다. 이러한 IT의 중요한 속성 중 하나가 정보보호이다.
기업의 사회적 책임 요구 강화
기업은 자신이 속한 사회 공동체에서 경영활동을 하고 이윤을 창출하는 상호 보완적인 관계이기 때문에 기업의 사회적 책임은 지속적으로 커지고 있다. 기업 윤리나 내부 통제가 미흡한 경우 기업의 이미지가 하락하여 경영활동에 어려움을 겪거나 고객으로부터 집단 소송을 당할 수 있는 새로운 위험이 생겨나고 있다. 또한 정보보호와 관련된 법률 및 제도가 강화되는 추세이다. 이러한 환경 변화를 고려할 때 현존하는 가장 비용 효과적인 방법이 정보보호관리체계(Information Security Management System)이다.

ISMS 인증의 필요성

ISMS란 조직에서 주요 정보자산의 정보보호 관리 절차와 대책을 체계적으로 수립하여 지속적으로 관리ㆍ운영하기 위한 종합적인 체계를 말한다. 한편 ISMS 인증 제도는 기업이 운영중인 ISMS가 방송통신위원회가 고시한 인증 심사 기준에 적합한지를 한국인터넷진흥원(KISA)이 심사하여 인증해주는 제도이다.

이를 통하여 기업은 부분적 보안ㆍ일회성 관리ㆍ산발적 대응에서 벗어나 균형적 보안ㆍ지속적 관리ㆍ체계적 대응이 가능해져 정보보호 수준을 제고할 수 있다.

ISMS 인증 제도 개요

ISMS 인증 제도는 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’ 제47조에 근거하고 있으며 권고 사항이다. 조직의 정보보호를 체계적으로 수행하려는 기업은 누구든지 ISMS를 수립하고 운영하여 인증을 신청할 수 있다. 인증 기준은 ‘정보보호 관리과정, 문서화, 정보보호 대책’으로 구분되며 정보보호 관리과정과 문서화는 필수 사항이다.

정보보호 관리과정은 ISMS를 수립ㆍ운영하기 위한 절차를 규정하고 있으며 문서화는 ISMS를 운영하기 위한 문서들을 작성하고 관리하는 요건을 규정하고 있다. 정보보호 대책은 15개 분야로 되어 있어 기업이 위험분석을 통하여 필요한 대책을 선택하여 적용할 수 있도록 구성되어 있다.

인증 취득을 희망하는 기업은 ISMS를 구축하여 일정 기간 운영한 후에 KISA에 인증 신청을 하면 된다. 사전 심사 후 심사 계약을 체결하고 심사팀이 구성되어 심사를 진행한다. 심사를 받은 기업은 심사시 지적된 결함을 일정 기간내에 보완하여 그 내역을 KISA에 제출하면 된다.

최종적으로 심사 결과는 정보보호 전문가들로 구성된 인증위원회에서 검토하여 인증서를 발급하게 된다. 보다 상세한 내용은 ISMS 홈페이지(isms.kisa.or.kr)를 참고하기 바란다.

ISMS 인증 제도 혜택

ISMS 인증을 취득하면 기업의 정보보호 활동을 체계적으로 수행할 수 있어 정보보호 사고를 예방하고 피해를 최소화할 수 있다.

또한 객관적인 심사를 거쳤기 때문에 신뢰성을 확보하여 기업의 브랜드 가치를 높일 수 있다.

이외에도 정보보호 안전진단 대상 기관의 경우, 안전진단 수검을 1년간 면제받을 수 있으며 정보보호 관련 보험 가입 시 할인 등 다양한 혜택을 받을 수 있다.

<글 : 정태인 수석연구원 | 한국인터넷진흥원 기업보안관리팀 (tijung@kisa.or.kr)>

[월간 정보보호21c 통권 제113호(info@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)