'정보보호 관리체계'(ISMS)와 '개인정보보호 관리체계'(ISMS-P) 인증을 취득하려는 중소기업의 부담을 덜어주기 위해 인증기준이 간소화되고 관련 비용도 줄어든다. 과학기술정보통신부, 개인정보보호위원회, 한국인터넷진흥원(KISA)은 'ISMS 및 ISMS-P 간편인증' 특례 제도가 24일부터 시행한다고 23일 밝혔다.
ISMS 인증은 정보자산을 안전하게 관리하기 위한 정보보호 정책 수립, 사고 대응, 사후 점검 등의 80개 기준을 통과한 기업에 부여한다.
ISMS-P 인증은 ISMS 인증에 더해 개인정보보호 요구사항 21개가 추가된 101개 기준을 통과한 기업에 부여한다. ISMS 인증 의무 대상은 ▲ 주요 정보통신서비스 제공자 ▲ 집적 정보통신시설사업자 ▲ 정보통신서비스 매출액 100억원 이상의 자 ▲ 일평균 이용자 수 100만명 이상의 자 ▲ 일부 상급종합병원ㆍ대학 등이다.
현재 ISMS 및 ISMS-P 인증제도는 중견기업 이상이 인증기준을 충족할 수 있도록 설계된 탓에 중소기업들은 인증을 취득하거나 유지하는 데 어려움을 호소해 왔다.
이에 정부는 중소기업의 규모 및 특성에 따라 완화된 인증기준을 통해 보다 저렴한 비용으로 인증을 취득할 수 있도록 정보통신망법을 개정해 특례제도를 도입하고 특례 적용 대상과 수수료 등을 규정한 하위 법령을 정비했다. ISMS 및 ISMS-P 간편인증 적용 대상은 정보통신서비스 부문 매출액이 300억원 미만인 중소기업과 정보통신서비스 부문 매출액이 300억원 이상인 중기업 가운데 회사 내 주요 정보통신설비를 보유하지 않은 기업이다.
정부는 전체 의무 대상의 16%에 해당하는 85개 기업이 이 기준에 적용받을 수 있을 것으로 예상했다.
다만 이 기준에 해당한다고 하더라도 국민 생활에 밀접한 영향을 미치는 주요 정보통신서비스 제공자, 집적 정보통신시설 사업자, 일부 상급종합병원 및 대학교, 금융회사, 가상자산사업자는 여기서 제외된다. 인증심사 수수료의 경우 ISMS는 800만∼1천400만원에서 400만∼700만원으로, ISMS-P는 1천만∼1천800만원에서 600만∼1천100만원으로 약 40∼50% 절감된다.
보안시스템 구축이나 정보보호 조직 구성, 컨설팅기업 등 인증 준비에 필요한 제반 비용도 감소할 것으로 기대된다.
KISA는 24일 유튜브 채널에서 이번 제도의 절차와 방법을 안내하는 설명회를 진행한다.
정창림 과기정통부 정보네트워크정책관은 "기업 혁신을 저해하는 불필요한 부담 경감 등 제도 개선에 더욱 힘쓰겠다"고 말했다. 양청삼 개인정보위 개인정보정책국장은 "개인정보보호 관리체계의 수준을 높이려는 기업의 자율적인 개인정보 보호 노력이 강화될 수 있는 계기가 되길 바란다"고 밝혔다.