무엇이 우리에게 해당되는가
제도 이름은 익숙한데 우리 회사가 어디에 걸리는지는 애매하실 겁니다. 그래서 국내 정보보호 제도를 근거 법령과 대상, 주기로 나란히 놓고 정리했습니다. 다만 수치와 해석은 원문으로 최종 확인하시는 편이 안전합니다.
제도 비교
| 제도 | 성격 | 주요 대상 | 주기 | 심사 주체 |
|---|---|---|---|---|
| ISMS | 법정 인증 (요건 충족 시 의무) |
정보통신서비스 제공자 등 법령이 정한 기준 충족 사업자 | 최초 인증 후 연 1회 사후심사, 3년마다 갱신심사 | 인증기관 · 심사기관 |
| ISMS-P | 법정 인증 (개인정보 영역 포함) |
ISMS 대상 중 개인정보 처리 영역까지 인증받으려는 조직 | ISMS와 동일 | 인증기관 · 심사기관 |
| 개인정보 안전성 확보조치 | 법령상 상시 의무 (인증 아님) |
개인정보처리자 전반 | 상시 이행 · 정기 점검 권고 | 자체 이행 (감독기관 조사 대상) |
| 개인정보 영향평가(PIA) | 법정 평가 | 일정 규모 이상의 개인정보파일을 구축·운용하는 공공기관 등 | 구축·변경 시 | 지정 평가기관 |
| 주요정보통신기반시설 취약점 분석·평가 |
법정 점검 | 기반시설로 지정된 시설의 관리기관 | 정기(연 단위) | 정보보호 전문서비스기업 등 법령이 정한 주체 |
| CSAP (클라우드 보안인증) |
공공 조달 전제 인증 | 공공기관에 클라우드 서비스를 제공하려는 사업자 | 최초 인증 후 사후관리 | 인증기관 |
| ISO/IEC 27001 | 국제 표준 인증 (자율) |
해외 고객·파트너 요구가 있는 조직 | 연 1회 사후심사, 3년 갱신 | 인증기관(민간) |
의무 대상인지 아닌지는 매출액과 이용자 수, 업종과 기관 유형을 따져 봐야 갈립니다. 위 표는 제도의 성격을 나란히 놓고 보기 위한 것입니다. 우리 회사에 실제로 걸리는지는 원문으로 확인하셔야 합니다.
ISMS-P 인증기준의 구조
인증기준은 세 영역으로 나뉘고, 어느 인증을 받느냐에 따라 적용 범위가 갈립니다. ISMS는 앞의 두 영역까지, ISMS-P는 세 영역 전부가 대상입니다.
| 영역 | 다루는 것 | ISMS | ISMS-P |
|---|---|---|---|
| 1. 관리체계 수립 및 운영 | 경영진이 참여하고 조직과 자원을 붙인 뒤, 위험관리와 운영·점검·개선이 한 바퀴 도는 구조 | 적용 | 적용 |
| 2. 보호대책 요구사항 | 정책과 인적·자산 관리부터 접근통제와 암호화, 물리·운영 보안, 사고대응과 재해복구까지 묶은 통제 항목 | 적용 | 적용 |
| 3. 개인정보 처리단계별 요구사항 | 수집·보유에서 이용·제공을 거쳐 파기까지, 단계마다 지켜야 할 요건과 정보주체 권리보장 | — | 적용 |
수행 자격이
제한된 업무
발주하려는 업무가 어떤 유형이냐에 따라 맡길 수 있는 업체가 달라집니다. 법령이 수행 주체를 직접 정해 둔 업무가 따로 있기 때문입니다. 발주 전에 이 구분만 확인해 두셔도 업체 선정이 한결 수월해집니다.
법령이 수행 주체를 이름으로 못 박은 업무여서, 일반 컨설팅사가 수주하는 것 자체가 문제가 됩니다.
- 주요정보통신기반시설 취약점 분석·평가
- 개인정보 영향평가(PIA) 수행
- ISMS-P 인증 심사
- CSAP 인증 심사
심사와 평가 자체는 지정 기관이 수행합니다. 컨설팅사가 맡는 부분은 그 심사를 받는 쪽의 준비입니다. 자료를 정비하고 미비점을 미리 찾아내는 일이 여기 들어갑니다.
- 인증 취득 준비 · 심사 대응
- 영향평가 대응 자료 정비
- CSAP 요건 정리 · 사전 점검
- 기반시설 점검 항목을 참고한 자체 진단
여기서는 자격 요건보다 수행 역량이 결과를 좌우합니다. 업체를 고르실 때는 방법론과 산출물 견본을 나란히 놓고 비교해 보시길 권합니다.
- 모의해킹 · 침투테스트
- 자체 취약점 진단
- 클라우드 구성 진단
- 개인정보 컴플라이언스 점검
- 보안 정책 수립 · 교육
우리가 대상인지부터
확인해 드립니다
매출 규모와 이용자 수, 업종, 처리하시는 개인정보 종류만 알려 주시면 됩니다. 어떤 제도가 걸리는지 근거 조문을 붙여 답을 드립니다. 이 확인에는 비용을 청구하지 않습니다.