정보보호 관리체계(ISMS)와 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 받고도 기업에서 침해사고가 잇따르고 있다. 한국인터넷진흥원(KISA)은 인증이 사고 발생 시 신속한 대응·복구를 위한 관리체계를 검증하는 제도라고 설명했지만, 실제 사고 이후 대응·복구 효과를 평가할 자료는 확보하지 않은 것으로 드러났다.

인증이 피해를 줄이는 데 얼마나 기여했는지 검증할 자료가 없는 상황에서 ISMS-P 인증 기업에는 과징금 감경 혜택도 주어져 사후관리를 강화해야 한다는 지적이 나온다.

13일 국회 과학기술정보방송통신위원회 소속 이훈기 더불어민주당 의원이 KISA와 개인정보보호위원회, 과학기술정보통신부로부터 제출받은 자료에 따르면 ISMS·ISMS-P 인증 기업에서 신고된 침해사고는 2021년부터 올해 상반기까지 총 531건으로 집계됐다.

ISMS는 기업이 구축·운영하는 정보보호 관리체계가 인증기준에 적합한지를 심사하는 국가 인증제도다. ISMS-P는 ISMS의 정보보호 기준에 개인정보보호 기준을 더한 인증이다. 인증 유효기간은 3년이며 최초 인증 이후 매년 사후심사를 받는다.

인증 기업의 침해사고 신고 건수는 2021년 21건, 2022년 25건에서 2023년 101건으로 증가했다. 이어 2024년 96건, 2025년 178건, 올해 상반기 110건을 기록했다. 이 가운데 ISMS-P 인증 기업에서 신고된 침해사고는 115건이었다.

KISA는 ISMS 제도의 취지에 대해 "건강검진을 통해 암을 완전히 예방하는 것이 불가능한 것처럼 어떠한 조직도 침해사고 발생 가능성을 완전히 배제할 수 없다"고 설명했다.

이어 "인증제도는 침해사고를 원천 차단하는 것이 아니라 사고가 발생하더라도 피해 최소화를 위해 빠르게 대응·복구할 수 있는 관리 체계를 갖추었는지 검증하는 제도"라고 밝혔다.

그러나 KISA는 인증 이후 침해사고가 발생한 기업들의 대응·복구 경과와 대응 속도, 인증제도의 실효성을 평가할 수 있는 자료는 없다고 답변했다.

매년 사후심사를 통해 인증기준 충족 여부를 점검하고 있지만, 사고가 발생했을 때 해당 관리체계가 대응 시간을 단축하거나 피해를 줄이는 데 얼마나 효과가 있었는지 확인할 자료는 없는 셈이다.

개인정보 보호법에 따른 과징금 부과기준상 ISMS-P는 개인정보 보호를 위해 개인정보보호위원회가 인정하는 인증에 해당한다. 해당 인증을 취득한 기업은 개인정보 유출 사고로 과징금을 부과받을 경우 일정 요건에 따라 1차 조정을 거친 과징금의 최대 30%를 감경받을 수 있다.

이에 따라 인증 이후 사고 대응의 실효성이 충분히 검증되지 않은 상황에서 과징금 감경 혜택을 부여하는 것이 적절한지를 둘러싼 지적이 나온다.

이훈기 의원은 "건강검진에 비유하려면 검진을 받은 기업에서 사고가 얼마나 발생했고 사고 피해가 얼마나 줄었으며 사후관리가 제대로 작동했는지까지 확인해야 한다"며 "인증서만 발급하고 사고 이후에는 나 몰라라 하는 방식으로는 제도의 실효성을 입증할 수 없다"고 비판했다.

이어 "인증을 내주고 관리도 안 하면서 ISMS-P 인증을 받으면 과징금을 감경해주는 건 무분별한 30% 개인정보 유출 할인쿠폰"이라며 "국가 보증이 돼야 할 인증마크가 남발되고 있다"고 지적했다.

이 의원은 "침해사고 발생 기업의 탐지·대응·복구 시간과 피해 규모, 재발 여부를 의무적으로 추적하고 그 결과를 인증 유지·갱신 심사에 반영하는 사후관리 체계가 필요하다"고 강조했다.

smk5031@news1.kr