KT 보안투자 1276억 홍보 뒤 핵심 이동통신망 ISMS-P 인증 공백 논란

핵심 요약

- KT가 2026년 7월 '보안투자 1276억 원' 홍보 21일 만에 핵심 이동통신망의 ISMS-P 인증 공백 문제 노출 - 2026년 반기 재무제표에서 과징금 회계처리 방식(충당부채/비용 vs 우발부채)이 주요 관전 포인트 - 이동통신망 ISMS-P 인증 확대 및 통신설비 취약점 점검 등 사후 대응 본격화 예정

주요 내용

KT가 2026년 7월 중순 대규모 보안투자를 홍보한 지 불과 21일 만에 핵심 이동통신망의 ISMS-P 인증 공백이 드러나면서 논란이 일고 있다. 통신 인프라의 중추를 담당하는 이동통신망이 개인정보보호 및 정보보호 관리체계 인증을 받지 못한 상태로 운영돼 온 것으로 확인됐다.

업계에 따르면 KT는 2026년 반기 재무제표 작성 과정에서 과징금 관련 회계처리 방식을 결정해야 하는 상황에 직면했다. 과징금을 즉시 충당부채나 비용으로 인식할지, 아니면 불복 절차 등을 고려해 우발부채로 공시하는 방안을 택할지가 투자자와 규제당국의 주요 관심사로 떠올랐다.

KT는 향후 고객 보상 프로그램 운영과 함께 통신설비 전반에 대한 취약점 점검을 실시할 계획이다. 특히 그동안 인증을 받지 못했던 이동통신망 영역에 대한 ISMS-P 인증 확대 작업에 본격 착수할 것으로 알려졌다.

이번 사태는 대규모 보안투자 홍보와 실제 인증 현황 간의 괴리를 드러냈다는 점에서 통신업계 전반의 정보보호 관리체계 운영 실태에 대한 재점검 필요성을 제기하고 있다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 이동통신망은 개인정보 처리 규모와 중요도를 고려할 때 최우선 인증 대상 자산이어야 한다. 특히 이동통신사업자는 개인정보보호법상 대규모 개인정보처리자로서 의무 인증 대상인데, 핵심 인프라인 이동통신망이 인증 범위에서 누락됐다는 것은 인증 범위 설정의 적절성(ISMS-P 인증기준 1.1.2)에 심각한 문제가 있음을 시사한다.

기업들은 이번 사례를 통해 '형식적 인증'과 '실질적 보안'의 간극을 메우는 것이 얼마나 중요한지 재인식해야 한다. ISMS-P 인증은 단순히 인증서를 취득하는 것이 목적이 아니라, 실제 개인정보와 중요 정보자산이 처리되는 모든 영역을 포괄하는 관리체계를 구축하는 것이 핵심이다. 특히 매출이나 투자 규모를 홍보할 때는 인증 범위와 실효성이 함께 검증되어야 대외 신뢰도를 유지할 수 있다.

ISMS-P 심사원 체크포인트

1. 인증범위의 적절성 (ISMS-P 인증기준 1.1.2 정보보호 및 개인정보보호 범위 설정)
- 심사 시 조직의 핵심 업무 프로세스와 주요 정보자산이 인증 범위에 모두 포함되어 있는지 확인
- 이동통신망처럼 개인정보가 대량 처리되는 핵심 인프라가 인증 범위에서 제외된 경우, 제외 사유의 합리성과 별도 보안대책 존재 여부 점검
- 개인정보보호법 제32조의2(개인정보 안전성 확보 조치 기준)에 따른 기술적·관리적·물리적 안전조치가 전체 시스템에 적용되는지 확인 필요

2. 정보자산 식별 및 분류 (ISMS-P 인증기준 2.2.1)
- 이동통신망과 같은 핵심 네트워크 인프라가 정보자산 목록에 정확히 식별·등재되어 있는지 검토
- 자산의 중요도 분류 기준이 실제 개인정보 처리 규모와 업무 중요도를 반영하고 있는지 확인
- 개인정보보호법 제29조(안전조치의무) 및 정보통신망법 제45조의3(정보보호 최고책임자 지정)에 따른 책임자의 자산 관리·감독 이행 여부 점검

3. 충당부채 및 우발부채 공시 관련 내부통제 (ISMS-P 인증기준 1.3.4 법적 요구사항 준수)
- 과징금, 손해배상 등 법적 리스크 발생 시 재무보고 프로세스와 정보보호 관리체계 간 연계 여부 확인
- 중대한 보안사고나 개인정보 유출 사고 발생 시 회계처리 및 공시 절차가 내부 규정에 명확히 정의되어 있는지 심사
- 전자금융거래법, 자본시장법 등 관련 법규의 공시 의무 이행 여부와 ISMS-P 관리체계 내 통제 절차 정합성 점검

CPPG·ISMS-P 연계 포인트

인증범위 설정의 적절성과 개인정보 처리 단계
ISMS-P 인증 시 조직의 모든 개인정보 처리 단계(수집·이용·제공·보관·파기)를 포괄하는 정보시스템과 네트워크가 인증 범위에 포함되어야 한다. CPPG 시험에서는 개인정보 생애주기 전반에 대한 안전조치 의무를 문제로 자주 출제하며, 특히 대규모 개인정보처리자의 의무 인증 범위 설정 적절성이 핵심 개념이다.

충당부채와 우발부채의 개인정보보호 리스크 관리
과징금이나 손해배상금을 충당부채로 인식하는 것은 발생 가능성이 높고 금액 추정이 가능한 경우이며, 우발부채는 발생이 불확실한 경우에 해당한다. ISMS-P에서는 개인정보 유출 등 보안사고 발생 시 재무적 영향을 포함한 리스크 평가와 경영진 보고 체계 구축이 요구되며, 이는 CPPG 시험의 '개인정보 영향평가' 및 '손해배상 책임' 영역과 직접 연계된다.