AI 시대 ISMS-P 인증심사 강화 대응 전략 - LES 2026 전문가 세미나 분석

핵심 요약

- 개인정보전문가협회(KAPP)와 전국정보보호정책협의회가 'LES 2026'에서 AI 시대 정보보안 대응 세미나 개최 - 김민수 김·장 법률사무소 정보보안센터장이 '강화되는 ISMS-P 실전 대응전략' 발표 - AI 기술 도입에 따른 정보보호 관리체계 강화 및 실무 대응방안 논의

주요 내용

개인정보전문가협회(회장 최경진)와 전국정보보호정책협의회(회장 김완집)가 'LES 2026' 행사에서 AI 시대에 대비한 정보보안 전략을 주제로 전문가 세미나를 개최했다. 이번 행사는 생성형 AI와 같은 신기술 도입이 가속화되면서 기업들이 직면한 정보보호 관리체계 구축 및 개인정보보호 이슈에 대한 실무적 대응방안을 모색하기 위해 마련됐다.

첫 번째 세션에서는 김민수 김·장 법률사무소 정보보안센터장이 '강화되는 ISMS-P 실전 대응전략'을 주제로 발표를 진행했다. 최근 개인정보보호위원회와 과학기술정보통신부가 ISMS-P 인증기준을 지속적으로 강화하고 있는 가운데, 기업들이 실무에서 직면하는 주요 쟁점과 효과적인 대응 방안이 집중 조명됐다.

특히 이번 세미나는 AI 기술 도입에 따른 새로운 보안 위협과 개인정보 처리 이슈를 ISMS-P 인증기준과 연계하여 다뤘다는 점에서 주목받았다. AI 서비스 개발 및 운영 과정에서 발생할 수 있는 데이터 학습, 모델 관리, 프라이버시 침해 등의 리스크를 관리체계 관점에서 접근하는 방법론이 제시된 것으로 알려졌다.

개인정보전문가협회 관계자는 "AI 시대를 맞아 기존 정보보호 관리체계만으로는 새로운 위협에 대응하기 어렵다"며 "실무 중심의 전문가 교류를 통해 선제적 대응 역량을 강화할 필요가 있다"고 강조했다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 최근 AI 기술 도입 기업들의 인증심사에서 가장 많이 발견되는 취약점은 '새로운 기술에 대한 위험 평가 미흡'과 'AI 처리 환경에 대한 통제 부재'다. 특히 생성형 AI 서비스를 도입하면서 외부 API를 통해 개인정보가 전송되는 경우, 제3자 제공 및 위탁에 대한 법적 검토와 기술적 보호조치가 제대로 수립되지 않은 사례가 빈번하다. 기업들은 AI 도입 초기 단계부터 개인정보 영향평가(PIA)를 실시하고, 데이터 라이프사이클 전반에 걸친 보호대책을 수립해야 한다.

또한 AI 모델 학습 과정에서 사용되는 개인정보의 비식별 조치, 학습 데이터의 접근 통제, 모델 결과물의 개인정보 재식별 위험 관리 등이 심사 시 중점적으로 검토되고 있다. 단순히 기술 도입에만 집중할 것이 니라, 조직의 정보보호 정책에 AI 관련 보안 요구사항을 명확히 반영하고, 임직원 대상 AI 보안 교육을 정기적으로 실시하는 등 관리적·기술적·물리적 보호조치를 통합적으로 운영하는 것이 핵심이다.

ISMS-P 심사원 체크포인트

1. 위험 관리 (2.3 위험 관리) - AI 시스템 도입 시 정보자산 식별 및 위험평가 수행 여부 확인 - 생성형 AI 서비스 이용 시 개인정보 유출, 학습 데이터 오남용 등 새로운 위협 시나리오 반영 여부 - 관련 법령: 개인정보보호법 제29조(안전조치의무), 정보통신망법 제45조(정보보호 조치) - 심사 시 AI 기술 특성을 반영한 위험평가 방법론과 결과 문서 검토

2. 개인정보 처리 단계별 보호조치 (3.1.5 개인정보 처리 단계별 보호조치) - AI 학습용 개인정보의 수집·이용·제공·파기 단계별 보호대책 수립 여부 - 외부 AI API 활용 시 개인정보 제3자 제공 동의 및 위탁 계약 적정성 검토 - 관련 법령: 개인정보보호법 제17조(제3자 제공), 제26조(위탁) - 비식별 조치 적정성, AI 모델 출력값의 개인정보 재식별 가능성 평가 실시 여부 확인

3. 개인정보 영향평가 (3.1.8 개인정보 영향평가) - AI 시스템 도입 시 개인정보 영향평가(PIA) 수행 여부 - 프로파일링, 자동화된 의사결정 등 AI 특성이 개인정보 처리에 미치는 영향 분석 - 관련 법령: 개인정보보호법 제33조(영향평가) - AI 알고리즘의 투명성, 설명 가능성, 공정성 관련 프라이버시 리스크 검토 내역 확인

CPPG·ISMS-P 연계 포인트

1. AI 시스템과 개인정보 제3자 제공 생성형 AI 서비스 이용 시 외부 API로 개인정보가 전송되는 경우 '제3자 제공'에 해당할 수 있으며, 이용자 동의를 받거나 법령상 예외 사유에 해당해야 한다. CPPG 시험에서는 제3자 제공(제17조)과 위탁(제26조)의 구별, 동의 요건, 고지 사항 등이 출제되며, ISMS-P 심사에서는 제3자 제공 내역 관리대장, 동의 절차의 적법성, API 제공자와의 계약서 검토가 이루어진다.

2. 비식별 조치와 위험 평가 AI 학습 데이터로 개인정보를 활용할 경우 가명처리 또는 익명처리를 통해 재식별 위험을 최소화해야 한다. 개인정보보호법 제28조의2(가명정보 처리 특례) 및 '개인정보 비식별 조치 가이드라인'이 적용되며, ISMS-P 인증기준 3.1.5(처리 단계별 보호조치)에서 비식별 조치의 적정성을 평가한다. 시험에서는 가명정보와 익명정보의 차이, 비식별 조치 기법(총계처리, 데이터 마스킹 등), 재식별 가능성 평가 방법 등이 빈출된다.