KT스카이라이프, 롯데쇼핑 출신 유신 상무 영입…ISMS-P 인증 유지 전략 강화

핵심 요약

- KT스카이라이프가 롯데쇼핑에서 27년간 근무한 유신 상무를 정보보호 책임자로 영입 - ISMS·ISMS-P 인증 유지, 관계기관 대응, 위험관리 체계 구축을 핵심 과제로 제시 - 모회사 KT의 정보보안 정책과 연계한 통합 보안 체계 구축 예고

주요 내용

KT스카이라이프가 2026년 8월 26일 롯데쇼핑 출신 유신 상무를 신규 영입하며 정보보호 관리체계 강화에 본격 나섰다. 유 상무는 롯데쇼핑에서 27년간 재직하며 정보보호 및 보안 업무를 총괄한 경험을 보유하고 있어, KT스카이라이프의 정보보호 체계 고도화를 이끌 적임자로 평가받고 있다.

KT스카이라이프는 유 상무의 주요 임무로 ISMS(정보보호 관리체계 인증)와 ISMS-P(개인정보보호 관리체계 인증) 인증의 지속적 유지를 최우선 과제로 설정했다. 이는 방송통신 사업자로서 대규모 고객 개인정보를 처리하는 기업의 필수 요건이자, 법적 의무사항을 충족하기 위한 전략적 선택이다.

특히 관계기관 대응 업무가 핵심 과제로 부각된 점이 주목된다. 방송통신위원회, 개인정보보호위원회, 한국인터넷진흥원(KISA) 등 규제기관과의 협력 체계 구축과 각종 점검 대응이 더욱 중요해지고 있는 상황이다. 또한 위험관리 체계 구축을 통해 정보보호 사고를 사전에 예방하고, 발생 시 신속하게 대응할 수 있는 시스템 마련에 집중할 것으로 보인다.

모회사인 KT의 정보보안 정책과의 연계도 중요한 과제로 제시됐다. 그룹 차원의 통합 보안 체계 구축을 통해 일관된 정보보호 수준을 유지하고, 자원 공유를 통한 효율성 제고가 기대된다.

전문가 시각

ISMS-P 인증 유지는 단순한 인증서 갱신이 아닌, 지속적인 관리체계 운영과 개선을 의미한다. 특히 방송통신 사업자는 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조에 따라 ISMS-P 의무 인증 대상이므로, 인증 실효 시 과태료 부과는 물론 사업 운영에 치명적 영향을 받을 수 있다. 유 상무의 영입은 이러한 법적 의무 이행과 더불어 실질적인 정보보호 수준 향상을 동시에 달성하려는 전략으로 해석된다.

위험관리 체계 구축은 ISMS-P 인증기준의 핵심 요소다. 정보자산 식별, 위험분석·평가, 대응계획 수립의 전 과정이 체계적으로 문서화되고 실행되어야 한다. 특히 OTT 서비스 확대, 클라우드 전환 등 디지털 전환이 가속화되는 상황에서 신규 위험 요인을 선제적으로 파악하고 대응하는 것이 필수적이다. 관계기관 대응 역량 강화는 규제 준수를 넘어 정책 변화에 대한 선제적 대응과 업계 표준 수립에 참여할 수 있는 기회를 제공한다.

ISMS-P 심사원 체크포인트

1. 2.1.1 최고경영자의 지정 (관리체계 수립 및 운영)
정보보호 및 개인정보보호 책임자(CPO/CISO)의 적격성과 권한이 핵심 심사 항목이다. 유 상무의 27년 경력과 같은 전문성, 조직 내 위상, 독립적 의사결정 권한이 명확히 보장되어야 한다. 개인정보보호법 제31조(개인정보 보호책임자의 지정)에 따라 개인정보 처리에 관한 업무를 총괄하고 정보주체 권리보호를 위한 실질적 권한을 보유해야 하며, 심사 시 임명장, 조직도, 업무분장 등을 통해 검증한다.

2. 2.4.1 위험 관리 (위험 평가 및 대응)
위험관리 체계가 문서화되고 정기적으로 실행되는지 확인한다. 정보자산 목록, 위험분석 결과, 위험처리 계획, 이행 현황이 연계되어 관리되어야 한다. 특히 방송통신 서비스 특성상 고객 시청 이력, 결제정보 등 민감정보 처리 위험이 적절히 식별되고 대응되는지 점검한다. 연 1회 이상 전사 위험평가 수행, 신규 서비스 도입 시 위험분석, 중요 정보자산 변경 시 재평가가 이행되는지 증적 검토가 필수다.

3. 3.1.2 관계 법령 식별 및 준수 (법적 요구사항 준수)
정보통신망법, 개인정보보호법, 전기통신사업법 등 방송통신 사업자에 적용되는 법령을 식별하고 준수 여부를 모니터링하는 체계가 필요하다. 관계기관(방통위, 개보위, KISA) 권고사항과 가이드라인 이행 현황, 법령 개정 모니터링 절차, 위반 시 조치 프로세스가 수립되어야 한다. 심사 시 법령 목록, 준수 점검표, 교육 이력, 관계기관 제출 보고서 등을 확인한다.

CPPG·ISMS-P 연계 포인트

정보보호 거버넌스 구조
최고경영자의 의지 표명, 전담 조직 및 책임자 지정, 권한과 책임 명확화, 정기적 보고 체계가 효과적인 정보보호 관리체계의 기반이다. CPO/CISO의 독립성과 전문성은 CPPG·ISMS-P 시험에서 조직 관리 영역의 핵심 개념으로, 실무에서는 임원급 보임, 충분한 예산·인력 배정, 이사회 보고 권한 등으로 구현된다.

위험 기반 접근법(Risk-based Approach)
모든 정보보호 활동은 위험 식별→분석→평가→대응→모니터링의 순환 구조를 따른다. ISMS-P 인증의 핵심 철학으로, 자산 중요도와 위협 가능성을 고려한 차등적 보호대책 적용이 원칙이다. 시험에서는 위험평가 방법론(정성적/정량적), 위험처리 옵션(수용/완화/회피/전가), 잔여위험 관리 개념이 자주 출제되며, 실무에서는 연간 위험관리 계획 수립과 이행이 필수 심사 항목이다.