LG헬로비전, ISMS-P 인증 획득...AI 혁신과 정보보호 체계 동시 구축

핵심 요약

- LG헬로비전, 2025-2026 지속가능경영보고서 발간과 함께 ISMS-P 인증 획득 공식화 - AI 혁신 기반 서비스 확대와 정보보호·개인정보보호 관리체계 통합 인증 완료 - ISO45001 안전보건경영시스템 인증 유지와 함께 정보보호 경영체계 다각화 추진

주요 내용

LG헬로비전이 2026년 7월 지속가능경영보고서를 통해 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증을 공식 획득했다고 밝혔다. 이는 방송통신 서비스 사업자로서 AI 기반 서비스 혁신을 추진하는 과정에서 정보보호와 개인정보보호를 동시에 체계화했다는 점에서 의미가 크다.

ISMS-P는 기존 정보보호관리체계(ISMS)와 개인정보보호관리체계(PIMS)를 통합한 인증제도로, 2018년 개인정보보호법 개정으로 도입되었다. 특히 방송통신사업자는 정보통신망법 제47조에 따라 ISMS-P 의무인증 대상에 해당하며, LG헬로비전은 이를 성공적으로 이행한 것으로 평가된다.

LG헬로비전은 AI 혁신을 통한 고객 맞춤형 서비스 제공을 강화하면서도, 개인정보 처리 과정의 투명성과 안정성을 확보하기 위해 관리체계를 정비했다. 이는 단순한 규제 준수를 넘어 지속가능경영의 핵심 요소로 정보보호를 위치시킨 전략적 접근으로 볼 수 있다.

또한 ISO45001 안전보건경영시스템 인증을 지속 유지하면서 ISMS-P 인증까지 확보함으로써, 조직의 종합적인 리스크 관리 역량을 대외적으로 입증했다. 이는 ESG 경영에서 거버넌스(G) 영역의 핵심 지표로 활용될 수 있다.

전문가 시각

방송통신 사업자의 ISMS-P 인증은 단순한 인증서 획득이 아니라, 실질적인 정보보호 체계 운영 능력을 의미한다. 특히 LG헬로비전처럼 AI 기반 서비스를 확대하는 기업의 경우, 개인정보 처리량 증가와 함께 자동화된 의사결정 과정에서의 개인정보 처리 투명성 확보가 핵심 과제다. ISMS-P 인증은 이러한 프로세스를 체계적으로 문서화하고 지속적으로 개선할 수 있는 프레임워크를 제공한다.

실무 관점에서 중요한 것은 인증 획득 이후의 지속적인 관리체계 운영이다. 연간 사후심사와 3년 주기 갱신심사를 대비하여 정보보호 및 개인정보보호 조직, 정책, 프로세스를 일상적으로 운영해야 한다. 특히 AI 서비스 도입 시 개인정보 영향평가(PIA), 처리방침 갱신, 제3자 제공 및 위탁 관리 등을 실시간으로 반영하는 것이 중요하다. LG헬로비전의 사례는 디지털 전환을 추진하는 기업들에게 정보보호 체계를 사전에 구축하는 것이 경쟁력 확보의 필수 요소임을 보여준다.

ISMS-P 심사원 체크포인트

1. 2.2.1 정보보호 및 개인정보보호 조직 (통제항목) AI 기반 서비스를 운영하는 조직의 경우, 정보보호와 개인정보보호 전담조직의 독립성과 권한이 핵심 심사 포인트다. 심사 시 최고경영자 직속의 정보보호 총괄책임자(CISO) 및 개인정보보호책임자(CPO) 임명 현황, 조직도상 독립성, 정보보호위원회 운영 실적을 확인한다. 정보통신망법 제45조의3(정보보호 최고책임자의 지정 등) 및 개인정보보호법 제31조(개인정보 보호책임자의 지정)의 법적 요구사항 충족 여부를 점검한다.

2. 3.1.2 개인정보 수집 시 공개 및 동의 (통제항목) 방송통신 서비스 제공 과정에서 AI 추천 서비스 등을 위한 개인정보 수집 시, 수집·이용 목적, 수집 항목, 보유 기간을 명확히 고지하고 동의를 받았는지 확인한다. 특히 선택적 동의 항목과 필수 동의 항목의 구분, 만 14세 미만 아동의 법정대리인 동의 절차가 적절한지 점검한다. 개인정보보호법 제15조(개인정보의 수집·이용), 제22조(동의를 받는 방법)의 준수 여부가 핵심이다.

3. 2.8.5 정보시스템 및 개인정보 처리 현황 관리 (통제항목) AI 서비스 플랫폼을 포함한 정보시스템 목록과 개인정보 흐름도(Data Flow)가 최신 상태로 관리되는지 심사한다. 특히 클라우드 기반 서비스의 경우 국내외 서버 위치, 제3자 제공 현황, 처리위탁 관계가 명확히 문서화되어 있는지 확인한다. 개인정보 라이프사이클(수집→저장→이용→제공→파기) 전 단계의 보호조치 적정성을 평가한다.

CPPG·ISMS-P 연계 포인트

통합 관리체계 인증의 의의 ISMS-P는 2018년 정보통신망법과 개인정보보호법 개정으로 ISMS와 PIMS를 통합한 인증제도다. 정보보호(기밀성·무결성·가용성)와 개인정보보호(개인정보 처리 전 생명주기 보호)를 단일 체계로 관리하며, 총 102개 통제항목(16개 인증기준, 80개 통제항목, 22개 개인정보 특화 항목)으로 구성된다. CPPG 시험에서는 ISMS-P 의무인증 대상(정보통신서비스 부문 전년도 매출액 100억 이상 또는 전년도 말 기준 이용자 수 100만명 이상)과 인증 유효기간(3년)을 반드시 숙지해야 한다.

지속가능경영과 정보보호의 통합 ESG 경영에서 정보보호와 개인정보보호는 거버넌스(G) 영역의 핵심 요소다. 지속가능경영보고서에 ISMS-P 인증 현황을 공시하는 것은 이해관계자에게 정보보호 리스크 관리 역량을 입증하는 수단이 된다. ISMS-P 인증기준 2.1.2(경영진 책임 및 참여)는 최고경영진의 정보보호 의지와 자원 할당을 요구하며, 이는 ESG 보고서의 지배구조 부문과 직접 연계된다. 실무에서는 정보보호 투자, 개인정보 침해사고 대응 실적 등이 ESG 평가 지표로 활용된다.