과학기술정보통신부, 개인정보보호위원회는 ’25.12.29일 한국인터넷진흥원, 금융보안원 등 인증 기관 및 민간 전문가들로 구성된 인증위원회와 함께 ‘정보보호 및 개인정보보호 관리체계 인증 취소 관계기관 대책회의’를 개최한다고 밝혔다. - 최근ISMS-P 인증기업의 사이버침해, 유출사고 빈발로 사후관리의 엄격성을 높여야 한다는 목소리를 반영하여 관계기관은 긴밀한 협력체계를 구축해 왔으며, 이번 대책회의를 통해 그간 논의해 온 인증취소 기준 구체화 방안을 최종 심의·확정하고 즉각 시행할 계획임. - 과기정통부와 개인정보위는 11월부터 운영 중인 관계기관 합동 제도개선 TF를 통해 최근 사이버침해 및 개인정보 유출사고의 주요 원인을 면밀히 분석하고 핵심항목이 되는 인증기준을 도출해 왔음. 이번 대책회의에서는 이를 취소기준에 반영하는 방안을 논의하고, 향후 인증취소를 엄격히 적용할 계획임. - 주요 논의 사항은 다음과 같음. 먼저, 그간 TF에서 논의된 외부 인터넷 접점 자산 식별, 접근권한 관리, 패치관리 등 실제 사고와 밀접하게 연관된 핵심항목을 인증기업이 연 1회 받는 사후심사에서 집중 점검함. - 또한 인증기업이 개인정보 보호법 위반으로 과징금 등의 처분을 받은 경우 위반행위의 중대성을 따져 인증을 취소함. 특히 1천만명 이상의 피해 발생, 반복적 법 위반, 고의·중과실 위반행위로 사회적 영향이 큰 경우에는 원칙적으로 인증을 취소한다는 방침임. - 인증 취소 이후의 관리 방안도 마련함. 의무대상 기업에 대해서는 취소 이후 1년간 재신청 유예기간을 두어 실질적인 보안 개선이 이루어지도록 유도하고, 해당 기간에는 인증의무 미이행 과태료를 면제하여 기업의 불필요한 부담을 방지함. - 과기정통부 관계자는 인증 사후심사시 기준을 미달하는 등 인증받은 기업이 정보보호관리체계의 수준을 지속 유지하지 않는 경우 인증취소를 적극 실시하여 정부 인증제의 제도의 실효성을 높이겠다고 하였으며, 개인정보위 관계자는 앞으로도 지속적협력을 통해 인증기준에 미달하거나 중대한 위반이 있는 기업은 인증을 유지할 수 없도록 엄격히 관리하여 인증제도의 신뢰성을 회복해 나가겠다고 밝힘.
첨부파일(1)
