ISMS·ISMS-P 간편인증제 시행…"중기 인증 부담 완화"

(공정경제) 박광하 기자 = 과학기술정보통신부, 개인정보보호위원회, 한국인터넷진흥원(KISA)은 중소기업이 '정보보호 관리체계(ISMS)'나 '정보보호 및 개인정보보호 관리체계(ISMS-P)' 인증 취득 시 부담을 완화하기 위해 인증기준과 인증비용 등을 간소화한 ISMS 및 ISMS-P 인증 특례인 '간편인증' 제도를 24일부터 시행한다고 밝혔다.

현행 ISMS 및 ISMS-P 인증제도는 중견기업 이상이 인증기준을 충족 가능하도록 설계돼, 중소기업들은 인증을 취득·유지함에 있어 많은 인증항목과 높은 비용 등의 어려움을 호소해 왔다. 이에, 중소기업중앙회 등은 영세·중소기업을 대상으로 평가요소, 비용 등을 경량화한 간편인증제 도입을 건의하기도 했다.

이에 정부는 중소기업의 규모 및 특성에 따라 완화된 인증기준과 비용으로 인증을 취득할 수 있도록 특례제도를 도입하는 정보통신망법을 개정해 지난 1월 공포하고, 특례제도의 ▲적용대상 ▲인증기준 ▲수수료 등을 규정하기 위한 하위법령을 정비해 ISMS 및 ISMS-P 간편인증 도입의 제도적 기반을 마련했다.

ISMS 및 ISMS-P 간편인증 적용대상은 ▲정보통신서비스 부문 매출액이 300억 원 미만인 중소기업 ▲정보통신서비스 부문 매출액이 300억 원 이상인 중기업 중 회사 내 주요 정보통신설비를 보유하지 않은 기업이 신청할 수 있다.

주요 정보통신설비를 보유하지 않았다는 의미는, 회사 내 자체서버, 네트워크 장비, 보안솔루션 등의 설비를 보유하지 않고, 쇼핑몰 임대 사용 등의 웹호스팅서비스나 클라우드 서비스를 이용하는 경우다.

과기부는 전체 ISMS 및 ISMS-P 의무대상 중 85개 기업(약 16%)이 간편인증을 받을 수 있다고 설명했다. 이에 관한 상세 내용은 KISA 웹사이트(https://isms-p.kisa.or.kr)에서 확인할 수 있다.

다만, 간편인증 대상 요건에 해당한다고 하더라도, 국민생활에 밀접한 영향을 미치는 ▲주요 정보통신서비스 제공자 ▲집적 정보통신시설 사업자 ▲일부 상급종합병원·대학교 ▲금융회사 ▲가상자산사업자 등은 ISMS 및 ISMS-P 간편인증을 받을 수 없다.

인증기준은 기업이 실질적인 정보보호 활동을 할 수 있도록 하는 핵심적인 필수항목은 유지하되, 기업의 부담을 경감하기 위해 중소기업의 수준에서 불필요한 항목은 삭제 또는 완화해 설계했다. 이에 따라, 인증기준 항목 수가 기존 대비 36~40개 줄었다.

인증심사 수수료 또한 인증기준 간소화에 따라 종전 대비 약 40~50% 수준으로 절감된다. 인증 준비에 필요한 보안시스템 구축, 정보보호 조직 구성, 컨설팅 등 기업의 제반 비용도 감소할 것으로 기대된다.

한편, KISA는 새로 도입되는 ISMS 및 ISMS-P 간편인증 제도가 기업들에게 안착될 수 있도록 적용대상 기업 등을 대상으로 절차, 방법 등을 안내하는 온라인 설명회를 24일에 진행할 계획이다.