KT 사태 후 소형 기지국도 ISMS-P 인증 범위 포함…핵심 통신설비 재정의

핵심 요약

- KT는 2025년 12월 31일부터 2026년 1월 13일까지 2주간 면제 조치를 시행하며 기존 고객뿐 아니라 확대된 범위에 적용 - 사고 이후 소형 기지국(Small Cell)이 핵심 통신설비로 새롭게 분류되며 ISMS-P 인증 범위에 포함 - 그동안 관리 사각지대에 있던 통신 인프라에 대한 보안 통제 강화가 본격화

주요 내용

2025년 발생한 KT 개인정보 유출 사고는 통신업계의 보안 관리 체계를 근본적으로 재검토하는 계기가 됐다. KT는 사고 수습 과정에서 2025년 12월 31일부터 2026년 1월 13일까지 2주간 면제 조치를 시행했으며, 이는 단순히 남아 있는 고객에 국한되지 않고 보다 광범위한 대상을 포함했다.

이번 사태의 핵심 변화 중 하나는 소형 기지국(Small Cell)에 대한 보안 관리 강화다. 5G 네트워크 구축 과정에서 도심 곳곳에 설치된 소형 기지국은 그동안 핵심 통신설비로 분류되지 않아 상대적으로 느슨한 보안 통제를 받아왔다. 그러나 KT 사고 조사 과정에서 이러한 설비가 개인정보 유출의 경로가 될 수 있다는 점이 확인되면서, 개인정보보호위원회와 과학기술정보통신부는 소형 기지국을 핵심 통신설비로 재분류하는 조치를 취했다.

이에 따라 통신사업자들은 ISMS-P 인증 범위를 확대해야 하는 상황에 직면했다. 기존에는 중앙 교환기와 대형 기지국 등 주요 설비에 집중됐던 인증 범위가 이제는 수만 개에 달하는 소형 기지국까지 포함하게 된 것이다. 업계에서는 "KT의 수습 과정과 실질적인 보안 강화 조치를 지켜봐야 한다"는 신중한 반응을 보이고 있다.

ISMS-P 인증 범위 확대는 단순한 행정적 절차 변경이 아니라, 실질적인 보안 투자 증가와 관리 체계 재편을 의미한다. 통신사업자들은 물리적 보안, 접근 통제, 로그 관리, 취약점 점검 등 전방위적인 보호조치를 소형 기지국에도 적용해야 하는 과제를 안게 됐다.

전문가 시각

ISMS-P 선임심사원으로서 이번 조치는 늦었지만 필요한 변화라고 평가한다. 통신 인프라의 분산화와 소형화가 진행되면서 보안 관리의 패러다임도 함께 변화해야 했지만, 제도는 이를 따라가지 못했다. 소형 기지국은 물리적 접근이 상대적으로 용이하고, 관리 인력의 정기적인 점검이 어려우며, 펌웨어 업데이트나 보안패치가 지연되기 쉬운 취약점이 있다. 이러한 설비가 핵심 통신설비로 분류되지 않았다는 것은 명백한 관리 공백이었다.

다만 실무적으로는 적지 않은 도전 과제가 있다. 수만 개의 소형 기지국에 대해 물리적 보안 통제를 강화하고, 접근 로그를 중앙에서 관리하며, 정기적인 취약점 점검을 수행하는 것은 상당한 자원과 시스템 투자를 요구한다. 통신사업자들은 자동화된 모니터링 체계 구축, 원격 관리 시스템 강화, 이상 징후 탐지 솔루션 도입 등을 통해 효율적인 관리 방안을 마련해야 한다. 특히 ISMS-P 재인증 과정에서 이러한 확대된 범위에 대한 충분한 준비가 필요하다.

ISMS-P 심사원 체크포인트

1. 인증범위의 적정성 (ISMS-P 인증기준 1.2.1 인증범위 정의)
- 개인정보를 처리하는 모든 정보시스템과 물리적 설비가 인증범위에 포함되어야 함
- 소형 기지국이 개인정보 전송 경로에 포함되는 경우 반드시 인증범위에 포함
- 심사 시 네트워크 토폴로지와 실제 설비 목록을 대조하여 누락된 자산이 없는지 확인
- 관련 법령: 「정보통신망법」 제45조의3(정보보호 관리체계 인증), 「개인정보보호법」 제29조(안전조치의무)

2. 물리적 접근통제 (ISMS-P 인증기준 2.6.1 보호구역 지정)
- 소형 기지국 설치 장소에 대한 물리적 보호조치 수립 및 이행
- 무단 접근 방지를 위한 잠금장치, CCTV, 접근 로그 기록 등 통제 수단 마련
- 외부 설치 기지국의 경우 파손·변조 방지 대책 및 정기 점검 체계 구축
- 심사 시 샘플링을 통한 현장 실사로 통제 실효성 검증

3. 핵심 정보자산 식별 및 보호 (ISMS-P 인증기준 2.5.2 핵심 자산 식별 및 관리)
- 개인정보 및 중요정보를 처리하는 모든 통신설비를 핵심 자산으로 분류
- 자산별 보안등급 부여 및 차등화된 보호조치 적용
- 소형 기지국에 대한 펌웨어 업데이트, 취약점 패치, 보안설정 점검 절차 수립
- 관련 법령: 「정보통신기반 보호법」 제8조(취약점 분석·평가), 제9조(보호조치)

CPPG·ISMS-P 연계 포인트

인증범위 결정의 원칙
ISMS-P 인증범위는 개인정보를 처리하는 모든 업무, 조직, 물리적 설비, 정보시스템을 포괄해야 한다. "개인정보 처리 단계"(수집→저장→이용→제공→파기)를 기준으로 관련된 모든 자산을 식별하는 것이 핵심이다. 소형 기지국처럼 간접적으로 개인정보 전송에 관여하는 설비도 인증범위에서 제외할 수 없다. 시험에서는 인증범위 누락 사례를 식별하는 문제가 자주 출제된다.

핵심 정보자산의 보호
정보자산 분류 시 중요도와 개인정보 포함 여부에 따라 등급을 부여하고, 등급별 차등화된 보호조치를 적용해야 한다. 통신설비의 경우 물리적 보안(접근통제, 환경 통제), 기술적 보안(암호화, 접근권한, 로그 관리), 관리적 보안(정기점검, 변경관리)이 통합적으로 적용되어야 한다. CPPG 시험에서는 안전조치 기준 고시에 따른 물리적 안전조치 세부 요구사항을 숙지해야 한다.