정부 '디지털 신뢰 회복' 추진, ISMS-P 인증 지원 방안 포함…실효성 확보가 관건

핵심 요약

- 정부가 'AI 기술이 서 말이라도 보안으로 꿰어야 보배' 슬로건 아래 '2026 디지털 신뢰 회복' 캠페인 추진 - ISMS-P 인증 지원 등 구체적 활용 방안을 포함한 정책 방향 제시 - 전문가들은 정책의 실효성 확보를 위해 세부 이행 방안의 디테일 보완이 필요하다고 강조

주요 내용

정부가 AI 기술 발전과 함께 급증하는 보안 위협에 대응하기 위해 '디지털 신뢰 회복'을 핵심 과제로 설정하고 본격적인 정책 드라이브를 걸고 있다. 지디넷코리아가 보도한 바에 따르면, 정부는 약 두 달간 '2026 디지털 트러스트 캠페인'을 전개하며 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증 지원 등 구체적인 활용 방안을 제시했다.

이번 정책의 핵심은 AI 기술의 급속한 발전이 보안 체계 없이는 오히려 위험 요소가 될 수 있다는 인식에서 출발한다. "AI 기술이 서 말이라도 보안으로 꿰어야 보배"라는 슬로건은 기술 혁신과 보안이 동시에 진행되어야 한다는 정부의 정책 방향을 상징적으로 보여준다.

정부는 QR코드 스캔을 통한 디지털 트러스트 캠페인 참여 등 대국민 인식 제고 활동과 함께, ISMS-P 인증 취득 기업에 대한 지원 방안을 마련하는 등 제도적 뒷받침을 강화할 계획이다. 이는 민간 부문의 자발적 보안 투자를 유도하고, 전사적 정보보호 관리체계 구축을 촉진하기 위한 조치로 해석된다.

다만 전문가들은 정책의 방향성에는 공감하면서도, 실제 현장에서 체감할 수 있는 실효성 확보를 위해서는 보다 구체적이고 세밀한 이행 방안이 필요하다고 지적하고 있다.

전문가 시각

ISMS-P 선임심사원으로서 30회 이상의 인증심사를 수행해온 경험에 비추어 볼 때, 이번 정부의 ISMS-P 인증 지원 방안은 매우 시의적절한 정책이다. 다만 '지원'의 구체적 내용이 무엇인지, 중소기업과 대기업 간 차등 지원은 어떻게 이루어질 것인지, 인증 취득 후 사후관리는 어떻게 할 것인지 등 디테일한 실행 계획이 명확해야 정책 실효성을 담보할 수 있다. 특히 AI 서비스를 제공하는 기업의 경우 기존 ISMS-P 인증기준만으로는 AI 특화 보안 요구사항을 충분히 다루지 못하는 한계가 있어, 별도의 가이드라인이나 보완 기준 마련이 시급하다.

현장에서 가장 중요한 것은 형식적 인증 취득이 아닌 실질적 보안 수준 향상이다. 정부 지원이 인증 취득 그 자체에만 집중될 경우, 서류상 요건만 갖추고 실제 운영은 부실한 '페이퍼 컴퍼니' 식 인증이 양산될 우려가 있다. 따라서 인증 취득 지원과 함께 정기적인 사후 점검, 실질 심사 강화, 우수 사례 공유 등 지속가능한 보안 문화 정착을 위한 종합적 접근이 필요하다. 특히 중소기업의 경우 전담 인력 부족으로 인증 유지에 어려움을 겪는 경우가 많으므로, 컨설팅 지원이나 공동 관리체계 구축 등 실질적 지원 방안이 병행되어야 한다.

ISMS-P 심사원 체크포인트

1. 정보보호 및 개인정보보호 관리체계 수립 및 운영 (인증기준 1.1.1~1.1.3)

AI 서비스 도입 시 정보보호 최고책임자(CISO)의 역할과 책임이 명확히 정의되어야 하며, AI 기술 활용에 따른 신규 위험을 식별하고 관리하는 체계가 수립되어 있는지 점검해야 한다. 특히 개인정보보호법 제29조(안전조치의무)에 따라 AI 학습 데이터 처리 과정에서의 접근 통제, 암호화, 접속기록 관리 등 기술적·관리적 보호조치가 적절히 이행되고 있는지 확인이 필요하다.

2. 개인정보 처리 단계별 보호조치 (인증기준 3.1.1~3.1.5)

AI 서비스에서 개인정보 수집·이용·제공 시 개인정보보호법 제15조(개인정보의 수집·이용), 제17조(개인정보의 제공)에 따른 동의 절차가 적법하게 이루어지는지, 특히 AI 학습 목적의 개인정보 활용 시 목적 외 이용(제18조)에 해당하지 않는지 면밀히 검토해야 한다. 프로파일링, 자동화된 의사결정 등 AI 특화 처리 활동에 대한 정보주체 고지와 동의 획득 여부가 핵심 심사 포인트다.

3. 정보보호 및 개인정보보호 교육 (인증기준 2.6.1~2.6.2)

AI 기술 도입에 따른 새로운 보안 위협과 개인정보 침해 유형에 대해 임직원 대상 정기 교육이 실시되고 있는지, 교육 내용이 최신 기술 트렌드를 반영하고 있는지 확인해야 한다. 개인정보보호법 제28조(개인정보취급자에 대한 감독)에 따라 AI 시스템 운영 담당자에 대한 별도의 전문 교육 이수 여부도 점검 대상이다.

CPPG·ISMS-P 연계 포인트

1. 위험 기반 접근법(Risk-Based Approach)
ISMS-P 인증의 핵심은 조직의 정보자산에 대한 위험을 식별·평가·대응하는 체계적 프로세스 구축이다. AI 기술 도입 시에는 데이터 편향성, 모델 탈취, 적대적 공격 등 AI 특화 위협을 위험 평가 대상에 포함해야 하며, 위험 수준에 따라 차등화된 보호조치를 적용하는 것이 CPPG 시험과 실무 모두에서 요구되는 핵심 역량이다.

2. PDCA(Plan-Do-Check-Act) 사이클
ISMS-P는 일회성 인증이 아닌 지속적 개선 체계를 요구한다. 정보보호 정책 수립(Plan) → 보호대책 구현(Do) → 준수 여부 점검·모니터링(Check) → 개선조치 이행(Act)의 순환 구조가 실제로 작동하는지가 심사의 핵심이다. 특히 AI 서비스의 경우 기술 변화 속도가 빠르므로, 정기적인 재평가와 보호대책 업데이트가 필수적이며, 이는 CPPG 개인정보 생애주기 관리 영역과 직접 연계된다.