송경희 개인정보보호위원장 'ISMS-P 차등 적용' 방침 발표...위험도 기반 인증 체계 개편 예고

핵심 요약

- 송경희 개인정보보호위원회 위원장이 2026년 5월 14일 국회 정무위원회에서 ISMS-P 인증제도의 위험도 기반 차등 적용 방침을 공식 발표 - 민간 기업의 자발적 개인정보 보호 유도를 위해 현행 획일적 ISMS-P 인증 체계를 개편할 계획 - 기업 규모와 개인정보 처리 위험도에 따른 맞춤형 인증 체계 도입으로 중소기업 부담 완화 및 고위험 사업자 관리 강화 예상

주요 내용

송경희 개인정보보호위원회 위원장은 2026년 5월 14일 국회 정무위원회 전체회의에 출석해 ISMS-P(개인정보보호 관리체계) 인증제도의 대대적 개편 방향을 제시했다. 위원장은 "민간은 자발적으로 개인정보 보호를 유도할 수 있는 장치가 필요하다"며 "그간 ISMS-P 제도가 그 역할을 해왔다"고 평가하면서도, "앞으로는 위험도에 따라 ISMS-P 체계를 차등 적용할 것"이라고 밝혔다.

현행 ISMS-P 인증제도는 정보통신서비스 제공자 중 전년도 말 기준 정보통신서비스 부문 전년도 매출액이 100억원 이상이거나, 전년도 말 기준 직전 3개월간 일일평균 이용자 수가 100만명 이상인 사업자에게 의무적으로 적용되고 있다. 그러나 기업 규모나 처리하는 개인정보의 민감도와 관계없이 동일한 인증기준을 적용함에 따라 중소기업의 과도한 부담과 고위험 사업자에 대한 실질적 관리 미흡이 지적되어 왔다.

송 위원장의 이번 발언은 위험기반접근법(Risk-Based Approach)을 ISMS-P 인증제도에 본격 도입하겠다는 의지로 해석된다. 유럽연합의 GDPR이나 미국의 프라이버시 프레임워크가 개인정보 처리의 위험도에 따라 차등적인 보호조치를 요구하는 것과 같은 맥락이다. 개인정보보호위원회는 하반기 중 구체적인 개편안을 마련해 관련 법령 개정을 추진할 것으로 예상된다.

이번 정책 방향은 2026년 현재 약 1,200여개 기업이 인증을 유지하고 있는 ISMS-P 제도의 패러다임 전환을 의미한다. 금융, 의료, 통신 등 고위험 개인정보를 대량으로 처리하는 사업자는 더욱 강화된 인증기준을 적용받게 될 가능성이 높으며, 상대적으로 위험도가 낮은 사업자는 간소화된 절차로 인증을 취득할 수 있게 될 전망이다.

전문가 시각

30회 ISMS-P 선임심사원으로서 이번 정책 방향은 그동안 심사 현장에서 체감해온 제도적 한계를 정면으로 다루는 중대한 전환점이라고 평가한다. 실제 심사 과정에서 연매출 100억원의 소규모 전자상거래 사업자와 수천만 명의 민감정보를 처리하는 대형 플랫폼 사업자가 동일한 104개 인증기준으로 평가받는 불합리함을 자주 목격해왔다. 위험도 기반 차등 적용은 제한된 심사 자원을 실제 위험이 큰 영역에 집중시킬 수 있다는 점에서 매우 환영할 만한 방향이다.

다만 기업 입장에서는 자사가 어느 위험 등급에 분류될지, 그에 따라 어떤 인증기준이 적용될지에 대한 불확실성이 당분간 지속될 것이다. 개인정보보호위원회가 구체적인 위험도 평가 기준을 공개하기 전까지는 현행 인증기준을 충실히 준수하면서도, 개인정보 영향평가(PIA)를 통해 자사의 위험도를 선제적으로 파악하고 관리하는 것이 필요하다. 특히 인증 유효기간 갱신을 앞둔 기업들은 2027년 이후 적용될 가능성이 높은 새로운 기준에 대비해 위험관리 체계를 더욱 정교하게 구축해야 할 것이다.

ISMS-P 심사원 체크포인트

1. 2.1.2 위험 관리 (개인정보보호법 제29조 안전조치의무) 현행 ISMS-P 인증기준 2.1.2항은 "개인정보의 처리에 따른 위험을 식별·평가하고 이를 관리하는 체계"를 요구한다. 차등 적용 체계 도입 시 이 항목의 중요성이 더욱 커질 것이다. 심사 시에는 ①위험 식별 시 개인정보의 종류(일반/민감/고유식별), 처리 규모, 처리 목적의 민감도를 종합적으로 평가하는지 ②위험도에 비례하는 보호조치(암호화 강도, 접근통제 수준, 모니터링 주기 등)가 실제 적용되는지 ③최고경영자에게 위험평가 결과가 정기적으로 보고되는지를 중점 점검한다. 개인정보보호법 제29조는 안전성 확보조치를 "개인정보의 분실·도난·유출·위조·변조 또는 훼손을 방지하기 위하여" 취하도록 규정하고 있으며, 시행령 제30조는 위험도 분석을 안전조치의 기초로 명시하고 있다.

2. 1.2.2 경영진 책임 및 2.9.1 개인정보 영향평가 차등 인증 체계에서는 경영진의 위험 인식과 의사결정이 더욱 중요해진다. 심사 시 ①이사회 또는 경영진 회의에서 개인정보 처리 위험에 대한 논의가 정기적으로 이루어지는지 ②신규 서비스 도입 시 개인정보 영향평가(PIA)를 통해 위험도를 사전 평가하고 경영진이 승인하는지 ③고위험으로 분류된 처리활동에 대한 추가 보호조치 결정 근거가 문서화되어 있는지를 확인한다. 개인정보보호법 제33조는 500만명 이상 정보주체에 관한 개인정보를 처리하거나 민감정보·고유식별정보를 처리하는 경우 영향평가를 의무화하고 있어, 이미 위험기반 접근의 법적 근거가 마련되어 있다.

3. 2.3.1 개인정보 수집 시 동의 및 2.5.1 개인정보 처리업무 위탁 위험도 차등 적용 시 고위험 개인정보(민감정보, 아동 정보, 대규모 프로파일링 정보)의 수집과 위탁은 더욱 엄격한 기준이 적용될 것이다. 심사 시 ①개인정보 유형별로 차별화된 동의 절차(명시적 동의, 별도 동의 등)가 마련되어 있는지 ②고위험 개인정보 처리를 위탁하는 경우 수탁자의 보안 수준에 대한 정기 평가와 현장 점검이 이루어지는지 ③위험도에 따른 암호화 기준(전송 구간, 저장 구간, 알고리즘 강도)이 차등 적용되는지를 중점 확인한다. 개인정보보호법 제15조(일반 개인정보)와 제23조(민감정보)가 수집 근거를 구분하고 있어, 이미 정보 유형별 차등 규제의 틀이 존재한다.

CPPG·ISMS-P 연계 포인트

위험기반접근법(Risk-Based Approach): 개인정보 처리의 위험 수준(정보 유형의 민감도, 처리 규모, 침해 시 영향도 등)을 평가하고 그에 비례하는 보호조치를 적용하는 방법론이다. GDPR Article 32(Security of processing)와 ISO/IEC 27005(정보보안 위험관리)가 대표적이며, ISMS-P 인증기준 2.1.2 위험관리 항목의 핵심 개념이다. CPPG 시험에서는 위험평가 방법론(자산식별→위협분석→취약점평가→위험도산정→대응방안수립)의 단계별 활동 내용이 출제된다.

개인정보 영향평가(Privacy Impact Assessment, PIA): 개인정보를 활용하는 새로운 정보시스템 구축·운영이나 기존 시스템의 중요 변경 시, 개인정보 침해 위험요인을 사전에 분석·평가하고 적절한 보호대책을 마련하는 절차이다. 개인정보보호법 제33조에 법적 근거가 있으며 ISMS-P 인증기준 2.9.1에서 요구한다. 평가 항목에는 ①개인정보 수집·이용·제공의 적법성 ②개인정보 흐름 분석 ③위험도 평가 ④보호대책 수립이 포함되며, CPPG 시험에서는 영향평가 대상과 평가 절차, 보호위원회 등록 의무가 자주 출제된다.