아토머스, ISO/IEC 27001 정보보호경영시스템 국제표준 인증 획득...AI 멘탈케어 플랫폼 보안 강화

핵심 요약

- AI 멘탈케어 솔루션 운영 기업 아토머스, ISO/IEC 27001 정보보호경영시스템 국제표준 인증 획득 - 700여 개 기관 대상 심리검사·비대면 상담 플랫폼의 정보보호 정책, 위험관리, 접근통제 체계 공식 인정 - 민감정보 처리 AI 서비스 특성상 개인정보 보호 및 보안 사고 대응 체계 구축 필수

주요 내용

아토머스가 2026년 7월 정보보호경영시스템 국제표준인 ISO/IEC 27001 인증을 획득했다. ISO/IEC 27001은 정보보호 정책, 위험관리, 접근통제, 개인정보 보호, 보안 사고 대응 등 기업의 전사적 정보보호 관리체계를 평가하는 국제 표준이다.

아토머스는 AI 기반 멘탈케어 플랫폼을 통해 심리검사, 비대면 상담 서비스를 제공하며, 현재 700여 개 기관과 연계해 운영 중이다. 특히 심리상담 데이터는 「개인정보 보호법」상 민감정보에 해당하며, 건강 관련 정보 역시 고도의 보호가 요구되는 정보 유형이다.

AI 멘탈케어 서비스는 상담 내용 분석, 감정 인식, 심리 상태 평가 등 개인의 내밀한 정보를 처리하는 특성상 정보 유출 시 회복 불가능한 피해가 발생할 수 있다. 이번 ISO/IEC 27001 인증은 아토머스가 민감정보 처리 전 과정에서 국제 수준의 보안 통제를 적용하고 있음을 의미한다.

ISO/IEC 27001은 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증의 국제 버전으로, 정보자산 식별, 위험 평가, 통제 목표 설정, 지속적 개선 프로세스를 요구한다. 아토머스는 이번 인증을 통해 국내외 공공·민간 기관과의 협력 확대 시 신뢰성을 확보할 수 있게 됐다.

전문가 시각

AI 멘탈케어 플랫폼은 「개인정보 보호법」 제23조 민감정보(사상·신념, 건강 등) 처리에 해당하며, 별도 동의와 함께 기술적·관리적 보호조치가 강화돼야 한다. 특히 AI 모델 학습 과정에서 상담 데이터가 활용될 경우 가명·익명 처리, 학습 데이터 최소화, 모델 역추적 공격 방지 등 추가 안전조치가 필요하다. ISO/IEC 27001 인증은 기본적인 정보보호 체계를 입증하지만, AI 서비스 특성상 「AI기본법」(2024년 제정) 및 향후 AI 안전성 평가 체계 준수도 병행해야 한다.

실무적으로는 상담사-이용자 간 통신 구간 암호화(TLS 1.3 이상), 상담 기록 저장 시 암호화(AES-256), 접근 권한 최소화 원칙 적용이 핵심이다. 또한 AI 모델이 자동 생성하는 상담 응답의 적절성 검증, 편향성 모니터링, 위기 상황 감지 시 인간 상담사 개입 프로세스 등 AI 거버넌스 체계 구축이 요구된다. 700여 개 기관 연계 운영 중이라면 공급망(Supply Chain) 보안 관리, 제3자 제공 시 개인정보 처리 위탁 계약 명확화도 반드시 점검해야 한다.

CPPG·ISMS-P 연계 포인트

1. 민감정보 처리 안전조치 (「개인정보 보호법」 제23조, 제29조)
건강·심리 상담 정보는 민감정보로서 별도 동의가 필요하며, 암호화·접근통제·감사기록 등 강화된 안전조치 의무가 적용된다. ISMS-P 인증 심사 시 민감정보 처리 현황, 암호화 적용 여부, 접근 권한 관리 대장이 중점 점검 항목이다.

2. ISO/IEC 27001과 ISMS-P 연계 (정보보호 및 개인정보보호 관리체계)
ISO/IEC 27001은 정보보호 중심, ISMS-P는 정보보호+개인정보보호 통합 인증이다. 두 체계 모두 위험 기반 접근(Risk-Based Approach), PDCA 사이클(Plan-Do-Check-Act), 최고경영자 책임, 지속적 개선을 요구한다. 국제 사업 확장 시 ISO/IEC 27001, 국내 법적 요구사항 충족 시 ISMS-P 인증을 병행 취득하는 것이 일반적이다.