교보증권, ISMS-P 인증 획득으로 금융권 정보보호 관리체계 강화

핵심 요약

- 교보증권이 2025년 12월 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증을 획득하며 통합 정보보호 관리체계 구축 완료 - 금융투자업계의 정보보호 강화 추세 속 체계적인 관리체계 운영으로 고객 정보보호 역량 제고 - ISMS-P 인증을 통해 정보보호와 개인정보보호를 통합 관리하는 선진 보안 체계 확립

주요 내용

교보증권은 2025년 12월 과학기술정보통신부와 한국인터넷진흥원(KISA)이 인증하는 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 획득했다. ISMS-P는 기존의 정보보호 관리체계(ISMS)와 개인정보보호 관리체계(PIMS)를 통합한 인증 제도로, 기업의 정보자산과 개인정보를 체계적이고 지속적으로 관리하는 종합 보안 관리체계다.

금융투자업계는 고객의 민감한 금융정보와 개인정보를 대량으로 처리하는 특성상 정보보호 관리가 필수적이다. 특히 2023년 9월부터 시행된 개인정보보호법 개정으로 전년도 매출액 또는 직전 3개월간 일평균 이용자 수가 일정 기준을 초과하는 정보통신서비스 제공자는 ISMS-P 인증이 의무화되었다. 교보증권의 이번 인증 획득은 법적 요구사항 충족을 넘어 자발적 정보보호 수준 향상을 의미한다.

ISMS-P 인증은 관리체계 수립 및 운영(16개 항목), 보호대책 요구사항(64개 항목), 개인정보 처리 단계별 요구사항(22개 항목) 등 총 102개 인증기준에 대한 엄격한 심사를 거쳐 부여된다. 교보증권은 경영진의 정보보호 의지 표명부터 위험관리, 물리적·기술적·관리적 보호조치, 개인정보 생명주기 관리까지 전 영역에서 인증기준을 충족했다.

금융당국은 2026년 현재 금융권의 디지털 전환 가속화에 따른 사이버 위협 증가에 대응하기 위해 금융회사의 정보보호 관리체계 고도화를 지속적으로 요구하고 있다. 교보증권의 ISMS-P 인증 획득은 이러한 규제 환경 변화에 선제적으로 대응한 사례로 평가된다.

전문가 시각

금융투자업계에서 ISMS-P 인증은 단순한 인증서 획득을 넘어 지속 가능한 정보보호 거버넌스 구축을 의미한다. 심사원으로서 금융기관을 심사할 때 가장 중요하게 보는 부분은 최고경영자의 정보보호 의지가 실제 조직 전반에 내재화되어 있는지, 그리고 PDCA(Plan-Do-Check-Act) 사이클이 실질적으로 작동하는지 여부다. 교보증권의 경우 인증 획득 이후에도 연 1회 이상의 사후심사를 통해 관리체계의 지속적 운영 상태를 입증해야 하며, 3년마다 갱신 심사를 받아야 한다.

특히 금융권은 자본시장법, 전자금융거래법, 신용정보법 등 다층적 규제 체계 하에서 ISMS-P 인증기준을 통합 적용해야 하는 어려움이 있다. 교보증권과 같은 증권사는 고객 투자정보, 계좌정보, 거래내역 등 민감정보를 처리하므로 개인정보 영향평가(PIA) 수행, 개인정보 국외 이전 시 안전성 확보조치, 가명정보 처리 시 안전조치 등을 더욱 철저히 이행해야 한다. 인증 유지를 위해서는 정보보호 최고책임자(CISO)의 독립성 보장, 연간 정보보호 예산 확보, 전담 조직 운영 등 실질적 자원 투입이 필수적이다.

ISMS-P 심사원 체크포인트

1. 관리체계 기반 마련 (인증기준 1.1~1.3) - 최고경영자의 정보보호 및 개인정보보호 방침 수립·공표 여부 - 정보보호 조직 구성 및 CISO의 독립성·전문성 확보 여부 - 개인정보보호법 제31조(개인정보 보호책임자의 지정)에 따른 개인정보 보호책임자(CPO) 지정 및 업무 수행 적정성 - 심사 시 경영진 인터뷰를 통해 정보보호를 경영 의사결정에 반영하는지 확인

2. 개인정보 수집·이용 단계 보호조치 (인증기준 3.1.1~3.1.4) - 개인정보 수집 시 법적 근거 확보 및 최소 수집 원칙 준수 여부 - 개인정보 처리방침 공개 및 동의 획득 절차의 적법성 - 개인정보보호법 제15조(개인정보의 수집·이용), 제17조(개인정보의 제공) 준수 여부 - 금융투자업의 경우 자본시장법상 투자자정보 처리 관련 특칙 적용 여부 점검 - 심사 시 동의서 양식, 수집·이용 내역서, 제3자 제공 현황 등 증적 확인

3. 개인정보 파기 (인증기준 3.4.4) - 개인정보 보유기간 경과 시 파기 절차 이행 여부 - 개인정보보호법 제21조(개인정보의 파기)에 따른 5일 이내 파기 원칙 준수 - 전자금융거래법 제21조의2(거래기록의 생성 및 보존)와의 정합성 확인 - 파기 대상 선정, 파기 방법(복원 불가능한 방법), 파기 완료 기록 관리 등 전 과정 문서화 여부

CPPG·ISMS-P 연계 포인트

통합 인증의 의미와 범위 ISMS-P는 2018년 11월 도입된 통합 인증 제도로, 정보보호(80개 항목)와 개인정보보호(22개 추가 항목) 요구사항을 하나의 체계로 관리한다. 기업은 정보자산 전반의 기밀성·무결성·가용성 확보(ISMS 영역)와 개인정보 생명주기별 보호조치(PIMS 영역)를 통합 운영해야 하며, 이는 CPPG(개인정보관리사) 시험의 '개인정보 관리체계' 영역과 ISMS-P 시험의 핵심 출제 범위에 해당한다.

금융권 특화 개인정보보호 의무 금융투자업자는 자본시장법 제44조(투자자 정보의 이용 및 제공), 신용정보법 제32조(개인신용정보의 제공·활용에 대한 동의) 등 특별법상 추가 의무를 부담한다. 특히 신용정보법상 '민감정보' 개념과 개인정보보호법상 '민감정보' 정의의 차이, 금융거래 정보의 보유기간(전자금융거래법 5년) 등은 CPPG 시험에서 자주 출제되는 영역으로, 실무에서는 법령 간 충돌 시 특별법 우선 원칙을 적용하여 해석해야 한다.