ISMS-P란 무엇인가? 중소기업 경영진이 알아야 할 핵심 개념
"우리 회사는 작으니까 해킹 타깃이 되지 않겠지."
많은 중소기업 경영진이 이렇게 생각합니다. 그런데 2023년 개인정보보호위원회가 부과한 과징금·과태료 처분 건수를 보면, 전체의 절반 이상이 중소 규모 사업자에게 집중됐습니다. 규모가 작아서 안전한 게 아니라, 규모가 작아서 보안이 허술한 경우가 많기 때문입니다.
ISMS-P는 이런 상황을 바꾸기 위해 정부가 운영하는 공식 인증 제도입니다. 이름이 낯설게 느껴질 수 있지만, 구조 자체는 단순합니다.
ISMS-P, 이름부터 풀어보겠습니다
ISMS는 Information Security Management System의 약자로, 한국어로는 정보보호 관리체계입니다. 여기에 P(Privacy, 개인정보보호)가 붙으면 ISMS-P, 즉 정보보호와 개인정보보호를 함께 다루는 통합 인증이 됩니다.
쉽게 비유하면 이렇습니다. 공장에 ISO 품질 인증이 있듯이, IT 시스템과 고객 정보를 다루는 기업에는 ISMS-P라는 "디지털 안전 인증"이 있다고 생각하시면 됩니다.
한국인터넷진흥원(KISA)과 개인정보보호위원회가 공동으로 운영하며, 과학기술정보통신부 고시(정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시)에 법적 근거를 두고 있습니다.
인증 기준은 몇 개나 될까요?
ISMS-P 인증기준은 총 101개 항목, 328개 세부 점검항목으로 구성됩니다. 크게 세 영역으로 나뉩니다.
- 1영역 관리체계 수립 및 운영 (16개 항목): 경영진 의지, 위험관리 계획, 내부 심사 등
- 2영역 보호대책 요구사항 (64개 항목): 접근통제, 암호화, 물리 보안, 사고 대응 등
- 3영역 개인정보 처리 단계별 요구사항 (21개 항목): 개인정보 수집·이용·파기까지 전 생애주기
중소기업이 처음 이 목록을 보면 압도되는 게 당연합니다. 하지만 경영진이 모든 항목의 기술 세부사항을 이해할 필요는 없습니다. 어떤 항목이 우리 사업에 영향을 미치는지 구분하는 것이 경영진의 역할입니다.
우리 회사가 의무 대상인지 어떻게 알까요?
정보통신망법 제47조에 따라 다음 중 하나에 해당하면 ISMS 인증을 의무적으로 취득해야 합니다.
- 연간 매출액 또는 세입이 1,500억 원 이상인 정보통신서비스 제공자
- 정보통신서비스 부문 전년도 매출액이 100억 원 이상인 사업자
- 전년도 말 기준 일평균 이용자 수 100만 명 이상인 사업자
- 의료법상 상급종합병원, 또는 재학생 수 1만 명 이상 대학
이 기준에 해당하지 않는 중소기업은 의무 대상이 아닙니다. 그렇다면 왜 자발적으로 준비하는 기업이 늘고 있을까요?
의무가 아닌데도 준비하는 이유
크게 세 가지입니다.
거래 조건이 되고 있습니다. 대기업·공공기관과 B2B 계약을 맺을 때, 협력사에게 ISMS 또는 ISMS-P 인증을 요구하는 사례가 늘고 있습니다. 인증이 없으면 입찰 자체가 막히는 상황이 실제로 발생합니다.
개인정보 보호법 제29조 위반 리스크를 낮춥니다. 개인정보 보호법 제29조는 개인정보 처리자에게 안전조치 의무를 부과합니다. ISMS-P 인증 준비 과정에서 이 의무를 체계적으로 이행했음을 입증할 수 있는 문서와 절차가 자연스럽게 갖춰집니다.
사고 발생 시 과징금 경감 근거가 됩니다. 개인정보가 유출되더라도, 사전에 안전조치를 성실히 이행한 사실이 확인되면 제재 수위가 달라질 수 있습니다.
중소기업은 어떻게 접근해야 할까요?
101개 항목을 한꺼번에 구축하려 하면 비용과 시간이 과도하게 들 수 있습니다. 실제로 소기업(매출 300억 미만 중기업 포함)은 **간편인증 7의2 방식(62개 항목)**으로 간소화된 절차를 밟을 수 있고, 매출 300억 이상 주요 정보통신설비 미보유 중기업은 **간편인증 7의3 방식(65개 항목)**이 적용됩니다.
경영진이 해야 할 일은 담당자에게 모든 것을 맡기는 것이 아니라, 인증 범위와 예산을 결정하고 내부 추진 의지를 명확히 선언하는 것입니다. ISMS-P 인증기준 1.1.2는 경영진의 명시적 참여를 직접 요구합니다. 경영진의 서명이 들어간 정보보호 정책서 없이는 심사를 통과할 수 없습니다.
3줄 요약
- ISMS-P는 정보보호와 개인정보보호를 통합한 국가 공인 인증으로, 101개 항목·328개 세부 점검항목으로 구성됩니다.
- 매출·이용자 수 기준 의무 대상이 아니더라도, B2B 거래 조건과 법적 리스크 관리를 위해 자발적 취득이 늘고 있습니다.
- 중소기업은 간편인증 방식(62~65개 항목)으로 진입 부담을 줄일 수 있으며, 경영진의 공식적 참여가 인증의 출발점입니다.
어디서부터 시작해야 할지 모른다면, ComplixShield의 ISMS-P 갭 분석 기능으로 현재 우리 회사의 준비 수준을 먼저 확인해보시기 바랍니다. 101개 항목 중 어떤 항목이 이미 충족됐고, 어떤 항목이 보완이 필요한지를 빠르게 파악하는 것이 현실적인 첫 걸음입니다.