개인정보보호위원회는 다음달 26일까지 정보보호 및 개인정보보호 관리체계 인증(ISMS-P) 심사를 강화하는 내용의 개인정보 보호법 시행령 개정안을 입법예고한다고 16일 밝혔다.
ISMS-P는 기업이나 기관이 구축·운영하는 정보보호 및 개인정보보호 관리체계가 인증기준에 적합한지 점검해 인증하는 제도다. 최근 통신사와 이커머스 등 ISMS-P 인증기업에서 해킹과 개인정보 유출 사고가 잇따르면서 정부는 서면 중심 심사의 한계를 보완하기 위해 인증제도 강화에 나섰다.
개정안은 ISMS-P 인증심사에서 서면심사와 현장심사를 병행할 수 있도록 했다. 인증 유효기간 중 침해사고나 개인정보 유출이 발생하면 일정 자격을 갖춘 기술인력이 현장에서 취약점 진단과 모의침투를 수행할 수 있도록 한다.
매년 실시하는 사후심사에도 서면·현장심사와 취약점 점검을 적용할 수 있다. 개인정보 처리 규모와 사회적 파급력 등을 고려해 인증기준을 차등 적용할 수 있는 근거도 마련한다.
인증 의무대상 기업이 인증 취소 처분을 받은 경우에는 인증 취득 의무 위반에 따른 과태료 부과를 1년간 유예한다. 재발방지 대책을 마련하고 인증을 다시 취득할 기간을 주기 위한 조치다. 다만 거짓이나 부정한 방법으로 인증을 받아 취소된 경우에는 유예하지 않는다.
개인정보위는 입법예고 기간 의견수렴과 법제처 심사 등을 거쳐 개정을 추진할 계획이다.
박진형 기자 jin@etnews.com
