김앤장·개인정보전문가협회, 2026 강화되는 ISMS-P 실전 대응전략 세미나 개최

핵심 요약

- 개인정보전문가협회(최경진 회장)와 전국정보보호정책협의회(김완집 회장)가 26일 2026 'Law Expo' 세미나 공동 개최 - 김앤장 법률사무소 정보보안센터 김민수 센터장이 "강화되는 ISMS-P 실전 대응전략" 주제 발표 - 최근 강화된 ISMS-P 인증기준에 대한 실무 대응 방안 제시 예정

주요 내용

개인정보 보호 및 정보보안 분야의 양대 전문기관인 개인정보전문가협회와 전국정보보호정책협의회가 오는 26일 2026 'Law Expo' 세미나를 공동으로 개최한다. 이번 세미나는 최근 지속적으로 강화되고 있는 개인정보보호 및 정보보호 규제 환경에 대한 실무적 대응 방안을 논의하는 자리로 마련됐다.

첫 번째 세션에서는 김앤장 법률사무소 정보보안센터의 김민수 센터장이 "강화되는 ISMS-P 실전 대응전략"을 주제로 발표한다. 김 센터장은 법률적 관점과 기술적 관점을 융합하여 기업들이 직면한 ISMS-P 인증 및 갱신 과정에서의 실질적 애로사항과 해결 방안을 제시할 예정이다.

ISMS-P(개인정보보호 관리체계 인증)는 정보통신망법과 개인정보보호법에 따라 일정 규모 이상의 정보통신서비스 제공자 등에게 의무화된 인증제도다. 최근 과학기술정보통신부와 한국인터넷진흥원(KISA)은 클라우드, AI, 빅데이터 등 신기술 환경을 반영하여 인증기준을 지속적으로 개정하고 있으며, 심사 강도 역시 강화되는 추세다.

이번 세미나는 ISMS-P 인증 의무 대상 기업뿐만 아니라 자발적 인증을 추진하는 기업, 개인정보 보호 담당자, 정보보호 전문가들에게 실무 지침을 제공하는 중요한 기회가 될 전망이다.

전문가 시각

ISMS-P 인증기준은 2018년 ISMS와 PIMS가 통합된 이후 매년 개정을 거듭하며 요구사항이 구체화·강화되고 있다. 특히 2023년 개정에서는 클라우드 환경, 원격근무 보안, 제3자 제공 및 위탁 관리 등이 대폭 강화됐으며, 2024년부터는 AI 기반 개인정보 처리에 대한 통제 항목이 추가되는 등 기술 변화에 민첩하게 대응하고 있다. 기업들은 단순히 인증 취득을 목표로 하기보다는, 실질적인 관리체계 구축과 운영 성숙도 향상에 초점을 맞춰야 한다.

실무 현장에서는 최고경영진의 리더십, 전담조직 구성, 자산 및 위험 관리의 체계화, 그리고 무엇보다 지속적인 모니터링과 개선 활동이 핵심이다. 특히 갱신 심사에서는 초회 인증 이후 개선 이행 실적과 실제 운영 증적이 면밀히 검토되므로, 형식적 대응이 아닌 내재화된 관리체계 운영이 필수적이다. 이번 세미나를 통해 법률 전문가의 시각에서 제시되는 실전 대응전략은 많은 실무자들에게 유익한 가이드가 될 것으로 기대된다.

ISMS-P 심사원 체크포인트

1. 관리체계 기반 마련 (1.1 ~ 1.4) - 인증기준 1.1.1(경영진 책임 및 역할): 최고경영자의 개인정보보호 및 정보보호 의지 표명, 정책 승인, 자원 배분 등 리더십 활동 증적 확인 - 인증기준 1.2.1(조직 구성): CISO·CPO 임명, 전담조직 구성 및 역할·책임 명확화 여부 점검 - 개인정보보호법 제31조(개인정보 보호책임자 지정), 정보통신망법 제45조의3(정보보호 최고책임자 지정) 준수 여부 확인

2. 위험 관리 (2.1 ~ 2.6) - 인증기준 2.2.1(정보자산 식별 및 관리): 개인정보 포함 정보자산 목록 작성, 중요도 분류, 책임자 지정 여부 - 인증기준 2.3.1(위험 평가): 정기적 위험 평가 수행, 위험 수준 산정, 대응 계획 수립 등 증적 점검 - 위험 평가 결과에 따른 실질적 보호대책 이행 여부가 핵심 심사 포인트

3. 개인정보 처리 단계별 보호조치 (3.1 ~ 3.6) - 인증기준 3.1.3(개인정보 수집 시 동의): 법정 고지사항 포함, 선택·필수 구분, 동의 철회 방법 제공 등 - 인증기준 3.3.1(개인정보 제공 및 위탁 관리): 제3자 제공·위탁 시 법적 요건 준수, 수탁자 관리·감독 실시 - 개인정보보호법 제15조(수집·이용), 제17조(제3자 제공), 제26조(업무위탁) 준수 여부 종합 점검

CPPG·ISMS-P 연계 포인트

1. 관리체계 수립 및 운영 (Plan-Do-Check-Act) ISMS-P는 PDCA 사이클 기반의 지속적 개선 체계를 요구한다. 정책 수립(Plan), 보호대책 구현(Do), 점검 및 모니터링(Check), 개선 조치(Act)의 순환 구조를 이해하고, 각 단계별 증적 관리가 인증 및 자격시험의 핵심 개념이다. 특히 갱신 심사에서는 Check-Act 단계의 실효성이 집중 평가된다.

2. 개인정보 생명주기별 보호조치 개인정보의 수집·이용·제공·위탁·파기에 이르는 전 생명주기에 걸쳐 법적 요건과 기술적·관리적 보호조치를 통합 적용해야 한다. CPPG 시험에서는 각 단계별 법적 근거(개인정보보호법 조항)와 ISMS-P 인증기준의 구체적 통제 항목을 연계하여 이해하는 것이 중요하며, 실무에서도 이를 문서화·증적화하는 능력이 요구된다.