동양생명, ISMS-P 신규 인증 획득…보험업계 정보보호 강화 추세

핵심 요약

- 동양생명이 2025년 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증을 신규 취득 - CCM(소비자중심경영) 인증과 함께 취득하며 통합 컴플라이언스 체계 구축 - 금융권 특히 보험업계의 ISMS-P 인증 확대 추세 가속화

주요 내용

동양생명이 지난해 ISMS-P 인증을 신규로 취득하며 정보보호 관리체계 강화에 나섰다. ISMS-P는 과학기술정보통신부와 한국인터넷진흥원이 주관하는 국내 대표 정보보호 인증제도로, 조직의 정보자산과 개인정보를 체계적으로 보호하는 관리체계를 평가한다.

보험업계는 대량의 민감정보를 취급하는 특성상 개인정보보호법상 ISMS-P 의무인증 대상에 해당한다. 정보통신서비스 제공자 중 전년도 매출액 또는 전년도 말 기준 직전 3개월간 일일평균 이용자 수가 일정 규모 이상인 경우 인증이 강제되며, 생명보험사는 대부분 이 기준에 포함된다.

동양생명의 이번 신규 인증 취득은 단순한 법적 의무 이행을 넘어 고객 신뢰 확보와 디지털 전환 가속화에 대응하기 위한 전략적 선택으로 분석된다. 특히 CCM 인증과 동시 취득함으로써 고객중심 경영과 정보보호를 통합 관리하는 체계를 마련했다는 점에서 의미가 크다.

금융권 전반적으로 ISMS-P 인증이 확대되는 추세다. 2026년 현재 주요 생명보험사와 손해보험사 대부분이 인증을 보유하고 있으며, 갱신 주기(3년)에 맞춰 지속적인 관리체계 개선이 이루어지고 있다.

전문가 시각

보험업계의 ISMS-P 인증 확대는 단순 컴플라이언스 차원을 넘어 디지털 금융 생태계에서의 생존 전략으로 자리잡고 있다. 심사원 입장에서 볼 때, 최근 보험사들은 인증 취득 자체보다 실질적인 관리체계 내재화에 주력하는 모습을 보인다. 특히 마이데이터, 보험다모아 등 금융데이터 개방 정책과 맞물리면서 개인정보 처리 전 과정에 대한 통제 수준이 크게 향상되었다.

다만 신규 인증 취득 기관의 경우 초기 1-2년간은 형식적 문서화에 치중하다가 실제 운영과 괴리가 발생하는 사례가 빈번하다. 동양생명과 같이 신규 인증을 취득한 기관은 최초 인증 후 첫 사후심사(1년 후)까지의 기간 동안 관리체계의 실효성을 입증할 수 있는 운영 기록 확보에 집중해야 한다. 특히 개인정보 영향평가, 개인정보 파기, 제3자 제공 관리 등 보험업 특성상 빈번하게 발생하는 개인정보 처리 활동에 대한 모니터링 체계를 정교화할 필요가 있다.

ISMS-P 심사원 체크포인트

1. 개인정보 수집·이용 및 제3자 제공 관리 (ISMS-P 인증기준 3.1.2, 3.1.3) 보험업은 보험계약 체결, 보험금 지급, 재보험 등 다양한 업무에서 민감정보를 포함한 개인정보를 제3자에게 제공한다. 심사 시 ①동의서 양식의 적법성(개인정보보호법 제15조, 제17조, 제22조), ②위탁계약서의 ISMS-P 요구사항 반영 여부, ③제3자 제공 현황 관리대장 운영 실태를 중점 점검한다. 특히 보험사기 방지를 위한 보험개발원 등과의 정보 공유 시 법적 근거(보험업법 제176조의2) 명확화 여부를 확인한다.

2. 개인정보 영향평가 수행 (ISMS-P 인증기준 3.1.5 / 개인정보보호법 제33조) 보험사는 개인정보 영향평가 의무 대상기관(고유식별정보 또는 민감정보를 연간 100만 명 이상 처리)에 해당한다. 심사 시 ①영향평가 전문기관을 통한 평가 수행 여부, ②평가 대상 시스템 선정의 적정성, ③평가 결과 개선과제의 이행 현황, ④매년 정기평가 수행 여부를 확인한다. 신규 인증기관의 경우 최초 인증 전 영향평가 이행 여부가 필수 점검사항이다.

3. 고객정보 열람·정정 요구 처리 절차 (ISMS-P 인증기준 3.2.4 / 개인정보보호법 제4조, 제35조~36조) 보험계약자의 개인정보 열람·정정·삭제·처리정지 요구에 대한 처리 절차와 이력 관리 체계를 점검한다. ①온·오프라인 청구 채널의 명확성, ②10일 이내 처리 원칙 준수 여부, ③거부 시 법적 근거 제시 및 이의제기 안내, ④처리 이력 기록 보관을 확인한다. 디지털 채널 확대로 인해 모바일 앱, 웹사이트를 통한 개인정보 관리 기능의 실효성도 중요한 심사 포인트다.

CPPG·ISMS-P 연계 포인트

의무인증 대상 기준 (ISMS-P 제2조, 개인정보보호법 제32조의2) 정보통신서비스 제공자 중 ①전년도 매출액 1,500억 원 이상 또는 ②직전 3개월간 일일평균 이용자 100만 명 이상인 경우 ISMS-P 의무인증 대상이다. 생명보험사는 대부분 매출액 기준으로 의무인증에 해당하며, 최초 인증 후 유효기간 3년, 사후심사는 매년 실시된다. 미이행 시 과태료 최대 5천만 원 부과 가능하다.

CCM과 ISMS-P의 통합 관리 효과 CCM(소비자중심경영) 인증은 공정거래위원회가 주관하며 소비자 관점의 경영체계를 평가하고, ISMS-P는 정보보호·개인정보보호 관리체계를 평가한다. 두 인증 모두 개인정보 처리 투명성, 고객 권리 보장, 민원 처리 체계를 요구하므로 통합 관리 시 ①중복 문서 최소화, ②고객정보 처리 프로세스 일원화, ③내부심사 효율화 등 시너지 효과를 얻을 수 있다.