이러한 내용을 담은 정보통신망법 개정안은 지난 6월2일부터 시행 중이다. 개정안에 따르면 연 매출액이나 세입이 1500억원 이상인 상급종합병원과 재학생이 1만명 이상인 고등교육기관은 6개월 이내에 정보보호 관리체계 인증을 받아야 한다. 정보통신기술 기업뿐 아니라 민감한 정보를 다루는 기관이나 법인까지 의무인증 범위를 확대하겠다는 의미다.

의무인증 기업이 인증을 받지 않았을 때 과태료 상한선은 1000만원에서 3000만원으로 상향했다. 미래부 송정수 정보보호정책관은 “정보보호 사각지대를 해소하고, 인증 의무 위반자에 대한 행정처분을 강화해 제도의 실효성을 확보할 수 있을 것”이라고 설명했다.

◇대규모 쇼핑몰·포털·게임사, 정보보호 의무인증=정보보호 관리체계(ISMS, Information Security Management System)는 기업의 정보보호 관리체계 적합성을 인증하는 제도다. 2001년 자율인증으로 도입했다가 지난 2013년부터는 의무인증 기업을 지정해 강제하고 있다. 

의무인증 대상은 이동통신사, 인터넷전화 사업자, 서버컴퓨터를 대신 관리해주는 코로케이션 사업자, 인터넷쇼핑몰·포털·온라인게임 등 정보통신서비스 제공자다. 정보통신서비스 제공자는 정보통신서비스 부문 매출이 100억원 이상이거나 이용자가 100만명 이상일 경우에만 의무다. 

의무대상이 아니라도 인증 취득을 희망하면 자율적으로 받을 수 있다. 입찰 희망기업, 외부평가 대상 기업, 고객정보 아웃소싱 기업, 중요자산 취급 기업 등이 인증을 받을 경우 서비스 공신력을 높일 수 있다. 한국인터넷진흥원에 따르면 지난해 정보보호 관리체계 인증을 받은 기업은 415개였는데 이중 297개가 의무인증, 118개가 임의인증이었다.

◇정보자산별로 보안등급 매기고 관리해야=인증기관은 정보보호 정책과 조직, 외부자 보안, 정보보호 교육, 인적 보안, 물리적 보안, 암호통제, 접근통제, 침해사고 관리 등 104개 인증기준을 두고 적합성 여부를 평가한다.

해당 기준에 따르면 보안시스템 운영 부문에서는 보안 유형별로 관리자를 지정하고 최신 정책을 갱신해야 한다. 관리자페이지를 외부에서도 접근할 수 있게 허용하거나 접속 IP를 무제한 허용해서는 안 된다. 고객정보 등의 정보자산은 기밀성·가용성을 기준으로 중요도에 따라 보안등급을 매기고 관리해야 한다.

인증 대상은 서비스 제공을 위해 필요한 서버, 네트워크, 시설이다. 불특정 다수나 권한을 가진 이용자가 인터넷으로 접근할 수 있는 모든 서비스가 심사 대상이다. 모바일에도 같은 기준을 적용한다. 그룹웨어 등 기업내부에서만 사용하는 시스템은 인증 범위에서 빠진다.

인증 기업에 대한 인센티브도 있다. 미래창조과학부와 인터넷진흥원은 일부 지원사업에서 정보보호 관리체계 인증기업에 가점을 준다. 인증 기업이 개인정보 배상책임 관련 보험에 가입할 경우 보험사들은 보험료를 할인해준다.

◇유효기간 3년, 中企 인증수수료 30% 감면=인증기간은 3년이다. 1년에 한번 이상 사후심사를 하고 3년 후에 갱신심사를 한다.

인증을 받으려면 심사원들의 인건비와 기술료를 부담해야 한다. 인건비는 엔지니어링산업진흥법에 따른 엔지니어링 사업대가와 소프트웨어산업협회가 제공하는 정보보안 컨설팅비 기준을 따른다. 현행 기준에 따르면 심사비는 1일 기준 140만원이다. 기술료는 1일치 인건비의 120%로 계산한다. 연간 매출액이 100억원 이하인 경우 중소기업으로 인정해 수수료를 30% 감면해준다. 

인증비용은 직원 수와 서버급 컴퓨터 수에 따라 다르다. 예를 들어 직원 30명, 서버급 컴퓨터가 5대인 중소기업을 심사하는데는 통상 6일이 걸린다. 이런 경우 인건비 기준액인 140만원에 6일을 곱한 840만원이 총 인건비고, 기술료는 1일 인건비의 120%인 168만원이다. 중소기업 수수료 할인을 적용하면 예상 심사수수료는 756만원이다. 

정보보호 관리체계 인증 홈페이지(isms.kisa.or.kr)에 접속하면 기업 규모에 따른 예상 수수료를 가늠해볼 수 있다. 인증 신청도 해당 페이지에서 할 수 있다.