여기어때, ISO 42001 인증 획득…ISMS-P·PCI-DSS 유지하며 정보보호 체계 강화

핵심 요약

- 여기어때, 2026년 6월 인공지능 경영시스템 국제표준 ISO 42001 신규 획득 - ISMS-P, PCI-DSS 레벨1, ISO 27001·27017 등 다층 정보보호 인증 체계 유지 - 영업이익률 26% 달성하며 실적과 보안 투자 병행, 플랫폼 신뢰성 강화

주요 내용

여기어때는 2026년 6월 인공지능 경영시스템에 대한 국제표준 ISO 42001 인증을 새롭게 획득하며 AI 기반 서비스의 안전성과 책임성을 제고했다. ISO 42001은 AI 시스템의 개발, 운영, 관리 전반에 걸친 거버넌스 체계를 요구하는 국제 표준으로, AI 기술을 활용한 맞춤형 추천 서비스와 고객 응대 시스템을 운영하는 플랫폼 기업에게 필수적인 인증이다.

여기어때는 이미 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증과 PCI-DSS(결제카드산업 데이터보안표준) 레벨1 인증을 유지하고 있다. 특히 PCI-DSS 레벨1은 연간 600만 건 이상의 카드 거래를 처리하는 대규모 사업자에게 요구되는 최고 수준의 결제보안 인증으로, 숙박 플랫폼의 특성상 대량의 결제 정보를 처리하는 여기어때의 보안 역량을 입증한다.

또한 ISO 27001(정보보안경영시스템)과 ISO 27017(클라우드 서비스 정보보안) 인증도 보유하고 있어, 클라우드 기반 서비스 환경에서의 정보보호 체계를 종합적으로 갖춘 것으로 평가된다. 이는 단순한 인증 수집이 아니라, 플랫폼 비즈니스의 핵심 자산인 고객 신뢰를 확보하기 위한 전략적 투자로 해석된다.

영업이익률 26%라는 높은 수익성을 달성하면서도 다층 보안 인증 체계를 유지하는 것은, 정보보호 투자가 비용이 아닌 경쟁력의 원천임을 보여주는 사례다. 다만 원문에서 지적한 'ESG 보고서의 목표 부재' 문제는 정량적 보안 목표 설정과 성과 측정 체계 강화가 필요함을 시사한다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 여기어때의 다층 인증 전략은 매우 효과적이다. ISMS-P가 국내 법적 요구사항과 전반적 관리체계를 커버한다면, PCI-DSS는 결제 보안의 국제적 신뢰성을, ISO 42001은 AI 시스템의 윤리성과 투명성을 담보한다. 특히 ISO 42001 획득은 2026년 현재 AI 규제가 강화되는 글로벌 추세를 선제적으로 대응한 것으로 평가할 수 있다.

다만 실무적으로 주의해야 할 점은 복수 인증 체계의 통합 관리다. 각 인증이 요구하는 문서, 절차, 모니터링 체계가 상이하므로, 통합 거버넌스 프레임워크 없이 개별적으로 운영할 경우 관리 부담이 가중되고 실효성이 저하될 수 있다. ISMS-P를 상위 통합 체계로 설정하고, 각 전문 인증을 세부 통제 영역으로 매핑하는 방식의 통합 관리 체계 구축을 권고한다. 또한 ESG 보고서에 정보보호 투자 ROI, 보안사고 제로데이 유지율, AI 편향성 모니터링 결과 등 정량적 목표와 성과를 명시하여 투명성을 높일 필요가 있다.

ISMS-P 심사원 체크포인트

1. 2.9.1 암호화 적용 (개인정보보호법 제24조의2, 제29조)
- PCI-DSS 레벨1 유지 여부 확인 시 결제정보의 전송·저장 단계 암호화 적용 실태 점검
- 카드번호, CVV 등 민감정보에 대한 AES-256 이상 암호화, TLS 1.2 이상 적용 여부
- 암호키 관리 체계(생성·보관·갱신·폐기) 및 접근통제 정책의 문서화·이행 확인

2. 2.10.1 개인정보 수집 시 동의 (개인정보보호법 제15조, 제22조)
- AI 기반 맞춤형 추천 서비스 제공을 위한 개인정보 수집 시 ISO 42001 요구사항(AI 시스템의 투명성, 설명가능성) 반영 여부
- 프로파일링, 자동화된 의사결정에 대한 정보주체 고지 및 별도 동의 절차 이행 확인
- AI 학습 데이터로 활용되는 개인정보의 수집 목적 명시 및 제3자 제공 동의 적정성 검토

3. 2.8.2 접근권한 검토 (개인정보보호법 제29조)
- 다층 인증 체계 운영에 따른 시스템 접근권한 관리의 일관성 점검
- ISO 27001, PCI-DSS, ISMS-P 각 요구사항에 따른 역할 기반 접근통제(RBAC) 정책의 통합 운영 여부
- 특히 PCI-DSS 카드데이터 환경(CDE)과 일반 개인정보 처리 시스템 간 접근권한 분리 및 정기 검토(최소 연 1회) 실시 확인

CPPG·ISMS-P 연계 포인트

ISO/IEC 27001과 ISMS-P의 관계
ISO 27001은 정보보안경영시스템에 대한 국제표준이며, ISMS-P는 이를 기반으로 국내 개인정보보호법 요구사항을 추가 반영한 인증이다. ISMS-P 인증 시 ISO 27001의 위험평가 방법론, PDCA 사이클, 통제 항목(Annex A)을 준용하되, 개인정보 생명주기 보호, 정보주체 권리 보장 등 추가 요구사항을 충족해야 한다. 두 인증을 동시 운영할 경우 통합 심사를 통해 효율성을 높일 수 있다.

PCI-DSS와 개인정보보호법상 안전성 확보조치
PCI-DSS는 결제카드정보 보호를 위한 12개 요구사항(네트워크 보안, 암호화, 접근통제 등)을 규정하며, 개인정보보호법 제29조(안전조치의무) 및 시행령 제30조의 기술적·관리적·물리적 조치와 상당 부분 중복된다. 특히 신용카드번호는 고유식별정보에 준하는 민감정보로, PCI-DSS 준수 여부가 안전성 확보조치 이행의 핵심 증빙자료가 된다. CPPG 시험에서는 두 기준의 차이(PCI-DSS는 결제정보 특화, 안전조치는 모든 개인정보 대상)를 정확히 구분해야 한다.