SK텔레콤, YES24도 ISMS-P 인증 받았는데...실효성 논란

SK텔레콤, YES24 등 국내기업의 해킹 사태가 이어지면서 해킹 위험에 대한 경각심이 커지고 있다.

18일 업계에 따르면 계속되는 해킹 사태에 기업 및 기관의 정보보호 개인정보보호 관리 체계를 평가하는 국가 공인제도인 ISMS-P제도에 대한 실효성과 제도 정비가 필요하다는 이야기가 나온다.

ISMS-P 제도는 정보통신망의 안정성 확보 및 개인정보 보호를 위해 조직이 수립한 일련의 조치와 활동이 인증기준에 적합함을 인증기관이 평가하여 인증을 부여하는 제도다. ISMS-P 인증에는 정보보호 중심의 ‘ISMS 인증’(과학기술정보통신부 소관)과 개인정보의 흐름과 정보보호 영역을 모두 인증하는 ‘ISMS-P 인증’(개인정보보호위원회 소관) 두 가지 유형이 있다.

인증기준에는 ‘사고 예방 및 대응’ 항목이 포함되어 있으며, 침해사고 및 개인정보 유출사고를 예방하고 사고 발생 시 신속하고 효과적으로 대응하기 위한 체계와 절차를 마련하고 있는지, 사고 인지 시 대응절차에 따라 신속한 대응 및 보고가 이루어지고 있는지, 법령에 따라 정보주체 통지 및 관계기관 신고 절차를 이행하고 있는지 등도 평가되고 있다.

이번에 해킹 공격을 받은 SK텔레콤의 경우 ISMS와 ISMS-P를 동시 취득했고 랜섬웨어 해킹 공격을 받은 YES24 역시도 ISMS-P를 취득했다.

이처럼 문제는 큰 비용과 시간을 들여 유지한 인증체계가 정작 해킹 방어와 초기 대응에는 실효성이 없다는 지적이 나온다.

국회입법조사처도 지난 ISMS-P 제도의 실효성에 대해 지적하며 보안 위협에 대한 효과적 대응수단이 될 수 있도록 인증체계 전반에 대한 개선과 인증에 대한 관리·감독 체계를 강화해야 한다고 언급한 바 있다.

인증제도의 실효성을 높이기 위해서는 강화된 인증 기준 적용, 위법행위로 인한 해킹 사고 발생 시 인증 취소 등 엄정한 제재 등이 제시된다. 여기에 현재는 서류심사 중심인 사후관리 역시 현장심사를 강화하는 등 형식적인 관리·감독에 개선이 필요하다는 이야기가 나온다.

국회에서도 ISMS-P 제도 개선 움직임이 나오는 것도 같은 이유에서다. 김상훈 국민의힘 의원은 지난 11일 정보통신망 이용촉진 및 정보보호 등에 관한 법률 개정안을 발의했다.

해당 개정안은 SK텔레콤 등 이동통신사의 해킹 예방을 위해 정보보호 인증제도의 실효성을 높이는 것을 그 목적으로 이동통신사 등 보안 관련 고위험 산업군에 대해 더 엄격한 인증 기준을 적용하고, 중대한 정보보호 관련법 위반 시 인증을 취소할 수 있도록 하는 것이 골자다.

또 서류심사 중심의 인증 사후관리에 현장심사를 병행하고, 인증 미이행 시 과징금을 부과하는 내용이 포함됐다.

[녹색경제신문 = 조아라 기자]