ISMS-P 인증이 과징금 감경 수단으로 악용?…개보위 국감서 제도 실효성 논란

핵심 요약

- 2026년 개인정보보호위원회 국정감사에서 강화된 제재와 실효성 없는 피해 구제 간 괴리가 드러남 - ISMS-P 인증이 과징금 감경의 주요 수단으로 활용되면서 제도 본래 취지 훼손 우려 제기 - 최은석 의원 지적으로 인증제도의 실질적 보안 수준 향상 효과에 대한 재점검 필요성 대두

주요 내용

2026년 10월 개인정보보호위원회에 대한 국정감사에서 개인정보보호 제재 체계의 구조적 문제점이 집중 조명됐다. 국민의힘 최은석 의원이 제출한 자료에 따르면, ISMS-P(정보보호 및 개인정보보호 관리체계) 인증이 과징금 감경의 핵심 통로로 활용되고 있는 것으로 나타났다. 이는 제재 금액은 대폭 강화됐지만, 정작 피해를 입은 정보주체에 대한 실질적 구제는 여전히 미흡한 현실을 보여준다.

ISMS-P 인증제도는 본래 기업의 정보보호 수준을 체계적으로 향상시키기 위해 도입됐다. 그러나 현재는 개인정보 침해사고 발생 후 과징금을 줄이기 위한 '면죄부'로 악용되는 사례가 증가하고 있다는 지적이다. 인증을 보유한 기업이라도 실제 침해사고가 발생하면, 인증 당시의 심사가 형식적이었는지, 사후 관리가 제대로 이뤄졌는지에 대한 의문이 제기될 수밖에 없다.

특히 문제가 되는 것은 과징금 부과 기준에서 ISMS-P 인증 보유 여부가 감경 사유로 명시돼 있다는 점이다. 이로 인해 일부 기업들이 실질적인 보안 수준 향상보다는 인증 취득 자체를 목표로 하는 경향이 나타나고 있다. 2026년 현재 ISMS-P 인증 기업은 지속적으로 증가하고 있지만, 대형 개인정보 유출사고는 여전히 반복되고 있어 인증제도의 실효성에 대한 근본적 재검토가 필요한 시점이다.

이번 국감에서는 피해자 구제 시스템의 공백도 함께 지적됐다. 개인정보 침해로 인한 피해액 산정이 어렵고, 집단분쟁조정 절차가 복잡해 실제 피해 회복으로 이어지는 사례가 극히 드물다는 것이다. 제재 강화만으로는 개인정보보호의 궁극적 목표인 정보주체 권리 보호를 달성할 수 없다는 비판이 제기되고 있다.

전문가 시각

30회 ISMS-P 선임심사원으로서 현장에서 목격하는 가장 큰 문제는 '인증을 위한 인증' 준비이다. 일부 기업들은 심사 통과에만 집중하고, 인증 이후 관리체계의 지속적 운영과 개선에는 소홀한 경우가 많다. 인증심사 시 요구되는 104개 인증기준을 충족하더라도, 이것이 실제 침해사고 예방으로 이어지지 않는다면 제도의 근본 취지가 퇴색될 수밖에 없다. 특히 과징금 감경 효과가 부각되면서, 기업들이 인증을 '보험' 개념으로 접근하는 경향이 강화되고 있어 우려스럽다.

이번 국감 지적을 계기로 ISMS-P 인증제도의 개선이 시급하다. 첫째, 사후관리 강화를 통해 인증 기업의 지속적 보안 수준을 모니터링해야 한다. 둘째, 과징금 감경 기준을 단순 인증 보유 여부가 아닌, 실제 관리체계의 효과성과 사고 발생 시 대응 수준으로 재설계해야 한다. 셋째, 인증심사의 형식성을 탈피하고 실질 심사를 강화하기 위한 심사원 역량 강화와 심사시간 확대가 필요하다. 제재와 인센티브의 균형을 재조정하지 않으면, ISMS-P는 실효성 없는 '종이 인증'으로 전락할 위험이 크다.

ISMS-P 심사원 체크포인트

1. 인증기준 2.1.2 (최고경영진의 참여) 및 개인정보보호법 제31조
ISMS-P 인증 기업의 과징금 감경 적격성을 판단할 때, 최고경영자의 실질적 관여와 자원 배분이 핵심이다. 심사 시 경영진 회의록, 정보보호 예산 집행 내역, CISO의 독립성과 권한을 면밀히 검토해야 한다. 형식적 승인이 아닌 실질적 의사결정 구조가 작동하는지 확인이 필수적이며, 개인정보보호법 제31조(개인정보 보호책임자의 지정)와 연계하여 책임자의 실질적 권한과 역할 수행 여부를 점검해야 한다.

2. 인증기준 2.8.1~2.8.6 (개인정보 침해사고 대응 및 관리)
과징금 감경 사유로 ISMS-P 인증이 인정받으려면, 침해사고 예방과 대응 체계가 실효성 있게 운영되었는지 입증돼야 한다. 침해사고 대응 절차, 모의훈련 이력, 사고 발생 시 72시간 내 신고 이행 여부(개인정보보호법 제34조)를 중점 심사한다. 특히 사고 발생 시 피해 최소화 조치와 정보주체 통지의 적시성·적절성이 과징금 감경의 정당성을 뒷받침하는 핵심 요소가 된다.

3. 인증기준 2.10.3 (관리체계 개선) 및 사후관리 점검
인증 유지 기간 동안 관리체계의 지속적 개선이 이뤄졌는지가 중요하다. 내부심사 결과, 시정조치 이행률, 위험평가 주기적 수행 여부를 확인해야 한다. 인증 취득 후 형식적 운영으로 퇴보하는 기업의 경우, 과징금 감경 적용이 부적절하다는 판단 근거가 될 수 있다. 사후관리 심사에서 중대한 미준수 사항이 발견될 경우 인증 취소뿐 아니라, 과거 감경받은 과징금의 재부과 가능성도 검토돼야 한다.

CPPG·ISMS-P 연계 포인트

1. 과징금 부과기준의 가중·감경 사유 (개인정보보호법 시행령 제69조)
개인정보보호법 위반 시 과징금은 위반행위의 내용·정도, 기간·횟수, 침해 규모 등을 고려하여 산정되며, ISMS-P 인증 보유는 감경 사유에 해당한다. 그러나 인증 보유에도 불구하고 중대한 침해사고가 발생한 경우, 관리체계의 실효성을 재평가하여 감경률을 조정할 수 있다. CPPG 시험에서는 과징금 산정 기준과 감경 사유의 적용 원칙을 정확히 이해하는 것이 중요하다.

2. 정보보호 및 개인정보보호 관리체계의 지속적 개선 원칙
ISMS-P는 일회성 인증이 아닌 PDCA(Plan-Do-Check-Act) 사이클에 기반한 지속적 개선 체계이다. 인증 취득 이후에도 정기적인 위험평가, 내부심사, 경영진 검토를 통해 관리체계를 개선해야 하며, 이는 인증 유효기간(3년) 동안 지속돼야 한다. 시험에서는 관리체계의 생명주기와 각 단계별 핵심 활동, 특히 사후관리와 갱신심사의 차이점을 명확히 구분할 수 있어야 한다.