ISMS-P 인증, 심사원마다 달라지는 기준에 보안 실무자들 '울상'

ISMS-P 인증 심사, '심사원 성향' 따라 난이도 천차만별?

정보보호 및 개인정보보호 관리체계 인증(ISMS-P)을 준비하는 기업 보안 담당자들 사이에서 심사 기준의 일관성 부족에 대한 불만이 제기되고 있습니다. 일부 심사원의 주관적인 판단으로 인해 인증 획득 난이도가 달라진다는 지적입니다. 금융사 보안 담당자는 "까다로운 심사원은 인증 획득 난이도가 급격히 어려워지는 반면, 여유로운 심사원은 반대의 경우가 발생한다"고 토로했습니다. IT 기업 보안 담당자 역시 "정량평가 형식이지만 심사원마다 집중하는 포인트가 달라 주관적인 평가가 이뤄진다"고 덧붙였습니다. 이는 명확한 기준 없이 심사원의 주관이 개입될 여지가 많다는 것을 보여줍니다.

 

 

 

 

결함 분류 기준의 모호성, '갱신 시점'에 뒤바뀌는 결과

ISMS-P 인증 심사 과정에서 결함 여부가 객관적인 지표가 아닌 심사원의 주관에 따라 결정되는 사례가 발생하고 있습니다. 실제로 기존 심사에서는 결함으로 분류되지 않았던 항목이 ISMS-P 인증 갱신 시점에 다른 심사원에 의해 결함으로 분류되는 황당한 경우도 겪었습니다. 예를 들어, 로그 적재량 확인 시 심사원마다 필수적으로 확인하는 로그 종류가 달랐으며, 기존 심사에서 문제가 없었던 트래픽 로그 적재량 관련 항목이 이번 심사에서는 결함으로 지적되었습니다. 이는 일관되지 않은 심사 기준으로 인해 결과마저 뒤바뀌는 상황을 초래합니다.

 

 

 

 

매출 규모에 따른 '소화기 배치' 항목 제외, 형평성 논란

ISMS-P 인증 세부 항목 중에서도 개선이 필요한 부분이 지적되었습니다. KISA는 매출액 300억 원을 기준으로 ISMS-P 간편인증제를 도입했는데, 이로 인해 매출액 300억 원 미만 기업은 간편인증 시 소화기 배치 등 보호설비 운영 항목이 제외됩니다. 화재는 기업 규모와 관계없이 발생할 수 있음에도 불구하고, 간편인증 대상 기업은 소화기 배치 여부를 확인하지 않는 역설적인 상황이 발생하고 있습니다. 이는 중소기업의 인증 획득 문턱을 낮추려는 취지는 좋으나, 필수적인 안전 조치 항목이 축소되면서 형평성 문제를 야기할 수 있습니다.

 

 

 

 

정부, 현장 목소리 반영해 ISMS-P 인증 실효성 강화 나선다

이러한 현장의 목소리를 반영하여 정부는 ISMS-P 인증의 실효성을 높이기 위한 종합 대책 마련에 착수했습니다. 최근 열린 현장 간담회에서는 인증 의무 대상 확대, 심사 방식 개편, 사후 관리 강화, 심사원 전문성 제고 등 다양한 개선 방안이 논의되었습니다. 특히, 심사원의 성향에 따라 심사 과정이 달라지는 문제를 개선하기 위해 심사의 일관성 확보를 위한 가이드라인 마련이 강조되었습니다. 정부는 간담회에서 논의된 의견을 바탕으로 '정보보호 및 개인정보보호 인증제 실효성 강화방안'을 발표할 예정입니다.

 

 

 

 

ISMS-P 인증, '일관성'과 '실효성' 확보가 핵심 과제

ISMS-P 인증 심사 기준의 일관성 부족과 일부 항목의 형평성 문제는 보안 실무자들의 큰 고충으로 작용하고 있습니다. 정부는 현장의 목소리를 반영하여 심사 방식 개편, 심사원 전문성 강화 등을 통해 인증의 실효성을 높이는 종합 대책을 추진 중입니다. 앞으로 ISMS-P 인증이 더욱 공정하고 실질적인 보안 수준을 담보할 수 있도록 지속적인 개선 노력이 필요합니다.

 

 

 

 

ISMS-P 인증, 이것이 궁금합니다

Q.ISMS-P 인증 심사 기준이 심사원마다 다른 이유는 무엇인가요?

A.ISMS-P 인증 항목이 방대하고, 일부 항목은 정량화하기 어려운 부분이 있어 심사원의 주관적인 판단이 개입될 여지가 있기 때문입니다. 이에 정부는 심사 가이드라인을 마련하여 일관성을 확보하려 노력하고 있습니다.

 

Q.ISMS-P 간편인증제에서 제외된 '소화기 배치' 항목은 왜 중요한가요?

A.소화기 배치는 화재 발생 시 피해를 최소화하는 기본적인 안전 조치입니다. 기업 규모와 관계없이 적용되어야 하지만, 간편인증제에서는 매출액 300억 원 미만 기업에 대해 제외되어 형평성 논란이 있습니다.

 

Q.정부의 ISMS-P 인증 실효성 강화 방안에는 어떤 내용이 포함되나요?

A.인증 의무 대상 확대, 심사 방식 개편(예비심사 신설 등), 인증 사후 관리 강화, 심사원 전문성 제고 등을 통해 인증의 신뢰도와 실효성을 높이는 것을 목표로 하고 있습니다.