개인정보위, ISMS-P 심사 강화…개인정보보호법 시행령 개정안 입법예고

개인정보보호위원회(이하 개인정보위)는 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증 심사에서 서면심사와 현장심사를 병행하고, 침해사고 발생 시 전문 기술인력이 취약점 진단과 모의침투를 수행할 수 있도록 개인정보 보호법 시행령 개정안을 마련했다고 16일 밝혔다. 개정안은 이날부터 10월26일까지 입법예고한다.

ISMS-P는 기업 등이 수립·운영하는 정보보호와 개인정보보호 관리체계가 인증기준에 적합한지 심사하는 제도다. 이번 개정안은 지난 4월 발표한 ‘정보보호·개인정보보호 관리체계 인증제 실효성 강화방안’을 구체화했다.

개정안은 인증심사 때 서면심사와 현장심사를 함께 할 수 있도록 규정을 명확히 한다. 인증 유효기간 중 침해사고나 개인정보 유출이 발생하면 일정 자격을 갖춘 기술인력이 현장에서 점검도구를 활용해 취약점 진단과 모의침투를 수행할 수 있도록 했다. 인증 취득 후 매년 실시하는 사후심사에도 같은 방식을 적용할 수 있다.

기술인력은 정보보호산업의 진흥에 관한 법률 시행규칙에 따른 중급 이상 자격을 갖춰야 한다. 인증기준도 개인정보 처리규모와 사회적 파급력 등에 따라 차등 적용할 수 있도록 근거를 구체화한다.

ISMS-P 인증 의무 기업이 인증 취소 처분을 받은 경우에는 인증 취득 의무 위반에 따른 과태료 부과를 1년 동안 유예한다. 취소 원인에 대한 재발방지 대책을 세우고 인증을 다시 취득할 시간을 주기 위한 조치다. 다만 거짓이나 부정한 방법으로 인증을 받아 취소된 경우에는 유예하지 않는다.

개인정보위는 입법예고 기간 의견을 수렴한 뒤 법제처 심사 등을 거쳐 시행령 개정을 추진한다. 관련 고시도 연내 개정할 계획이다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network