삼일PwC, ISMS-P·ISO 27001 인증 자동화 스타트업 발굴…총 1억원 지원

핵심 요약

- 삼일PwC, '오픈 이노베이션 2026' 프로그램 개최로 총 1억원 사업화 자금 지원 - 보안 부문에서 ISMS-P, ISO 27001 등 정보보호 인증 대응 자동화 솔루션 발굴 - AI 기반 취약점 진단 및 보안관제, OT 보안 등 혁신 기술 보유 스타트업 모집, 9월 11일까지 온라인 접수

주요 내용

삼일PwC컨설팅이 2026년 '오픈 이노베이션(Open Innovation) 2026' 프로그램을 개최하며, 정보보호 인증 자동화 분야의 혁신 스타트업 발굴에 나섰다. 이번 프로그램은 오는 9월 11일까지 온라인을 통해 참가 신청을 받으며, 선정된 기업에는 총 1억원 규모의 사업화 자금이 지원될 예정이다.

특히 보안(Security) 부문에서는 ISMS-P(정보보호 및 개인정보보호 관리체계), ISO 27001 등 정보보호 인증 대응 자동화 솔루션에 주목하고 있다. 현재 기업들이 인증 심사 대응 과정에서 겪는 문서 작성, 증적 관리, 통제항목 이행 점검 등의 반복적 업무를 자동화할 수 있는 기술을 보유한 스타트업을 우선 발굴한다는 방침이다.

이와 함께 AI 기반 취약점 진단 및 보안관제, OT(운영기술) 보안 등 차세대 보안 기술 분야도 지원 대상에 포함된다. 삼일PwC는 Big4 회계법인 계열 컨설팅사로서 다수의 ISMS-P 인증심사 및 컨설팅 경험을 보유하고 있어, 선정된 스타트업에게는 실질적인 시장 검증 기회와 고객 네트워크 연결이 제공될 것으로 기대된다.

이번 프로그램은 단순한 자금 지원을 넘어 PwC 글로벌 네트워크와의 협업, 개념증명(PoC) 기회 제공, 멘토링 등 종합적인 성장 지원 체계를 갖춘 것이 특징이다. 정보보호 인증 시장의 디지털 전환을 가속화하고, 인증 프로세스의 효율성을 획기적으로 개선할 수 있는 기술 혁신이 기대된다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 인증 대응 자동화는 단순히 업무 효율성 향상을 넘어 인증 품질 제고에도 기여할 수 있는 중요한 영역이다. 현재 많은 기업들이 인증 준비 과정에서 133개(ISMS-P 기준) 통제항목의 증적 수집, 정책 문서화, 이행 현황 추적 등에 상당한 시간과 인력을 투입하고 있으나, 이러한 프로세스가 체계적으로 관리되지 않아 심사 시 미흡점이 발견되는 경우가 빈번하다. 자동화 솔루션은 통제항목별 요구사항 매핑, 증적 관리의 일관성 확보, 지속적 모니터링 체계 구축 등을 통해 인증 준비도를 실질적으로 높일 수 있다.

다만 기업들은 자동화 도구 도입 시 반드시 유의해야 할 점이 있다. 도구가 인증기준의 형식적 충족에만 집중하고 실질적인 보안 수준 향상으로 이어지지 않는다면, 이는 심사원의 심층 인터뷰나 현장 점검 과정에서 '형식적 대응'으로 판단될 수 있다. 따라서 자동화 솔루션은 단순 문서 생성 도구가 아닌, 실제 보안 통제의 이행 수준을 높이고 지속적 개선을 지원하는 방향으로 설계되어야 한다. ISMS-P 인증의 본질은 '관리체계의 실효성'에 있으며, 기술은 이를 뒷받침하는 수단이라는 점을 명심해야 한다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.1.2 (정보보호 및 개인정보보호 정책 수립) 연계
- 자동화 도구를 활용한 정책 문서 생성 시, 조직의 실제 업무 프로세스와 정책 내용의 정합성 점검
- 템플릿 기반 정책이 조직 특성을 반영하지 못한 '복사-붙여넣기' 수준인지 확인
- 개인정보보호법 제30조(개인정보 처리방침 수립·공개)의 실질적 요구사항 반영 여부 심사

2. 인증기준 2.9.1 (정보보호 및 개인정보보호 대책 이행 점검) 관점
- 자동화 솔루션의 통제항목 이행 모니터링 기능이 실시간성과 정확성을 확보하고 있는지 검증
- 자동 수집된 증적의 신뢰성 확보 방안(위변조 방지, 타임스탬프 등) 점검
- 개인정보보호법 제29조(안전조치의무) 이행을 자동화 도구가 실질적으로 지원하는지 평가

3. 인증기준 2.5.3 (정보자산 및 개인정보 현황 관리) 적용
- AI 기반 자동화 도구가 정보자산 및 개인정보 현황을 식별·분류하는 경우, 그 정확도와 완전성 확인
- 자산 변경 시 자동 갱신 메커니즘의 작동 여부 및 승인 프로세스 연계 점검
- 개인정보 영향평가(개인정보보호법 제33조) 대상 식별의 자동화 신뢰성 검토

CPPG·ISMS-P 연계 포인트

1. 관리체계의 지속적 개선(Plan-Do-Check-Act)
ISMS-P는 일회성 인증이 아닌 지속적 개선 체계 구축을 요구한다. 자동화 솔루션은 Check(점검) 단계에서 통제 이행 현황을 실시간 모니터링하고, Act(조치) 단계에서 미흡점 개선을 추적함으로써 PDCA 사이클을 효과적으로 지원할 수 있다. CPPG 시험에서는 관리체계 운영의 연속성과 개선 활동의 문서화가 핵심 출제 영역이다.

2. 위험 기반 접근법(Risk-based Approach)
ISMS-P 인증기준 2.2.1(위험 관리)은 정보자산별 위험 평가 및 대응을 요구한다. AI 기반 취약점 진단 도구는 자산별 위험도를 자동 산정하고 우선순위 기반 대응을 지원함으로써, 제한된 자원으로 효과적인 보안 투자를 가능하게 한다. 개인정보보호법 제29조의 안전조치의무도 위험도에 비례한 차등 적용이 원칙이므로, 자동화된 위험 평가는 법적 컴플라이언스 효율성을 높인다.