이제이엠컴퍼니, 정비사업 플랫폼으로 ISMS-P 인증 획득... 부동산 디지털 전환 보안 모델 제시

핵심 요약

- 이제이엠컴퍼니, 정비사업 디지털 플랫폼에 ISMS-P 인증 및 GS 1등급 획득으로 보안성 입증 - 금융위 등 14개 부처 합동 2026년 제2차 혁신 프리미어 선정, 실증특례 3건·특허 15건 확보 - 부동산·재개발 분야 민감정보 처리 플랫폼의 정보보호 관리체계 구축 사례로 평가

주요 내용

이제이엠컴퍼니가 2026년 국토교통부 주관 '혁신 프리미어'에 선정되며 정비사업 디지털 전환 분야에서 기술력과 보안성을 동시에 인정받았다. 금융위원회를 비롯한 산업통상자원부, 중소벤처기업부, 과학기술정보통신부 등 14개 부처가 공동으로 진행한 이번 선정에서 동사는 실증특례 3건과 기술 특허 15건을 확보한 혁신성을 인정받았다.

특히 주목할 점은 이제이엠컴퍼니의 플랫폼이 GS(Good Software) 1등급과 함께 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증을 동시에 취득했다는 사실이다. 정비사업 분야는 조합원의 주민등록번호, 부동산 소유 정보, 금융거래 내역 등 민감한 개인정보를 대량으로 처리하는 특성상 높은 수준의 정보보호 체계가 필수적이다.

재개발·재건축 등 정비사업은 전통적으로 오프라인 중심의 업무 처리로 인한 정보 유출 위험이 상존해왔다. 이제이엠컴퍼니는 이러한 영역에 디지털 플랫폼을 도입하면서도 ISMS-P 인증을 통해 개인정보 생명주기 전반의 보호 체계를 구축함으로써, 부동산 핀테크 분야의 보안 표준 모델을 제시했다는 평가를 받고 있다.

이번 인증 사례는 PropTech(부동산 기술) 산업의 성장과 함께 증가하는 개인정보 처리 리스크에 대응하는 실무적 접근법으로서, 유사 플랫폼 사업자들의 벤치마킹 대상이 될 전망이다.

전문가 시각

정비사업 플랫폼의 ISMS-P 인증 취득은 단순한 인증서 확보 이상의 의미를 갖는다. 정비사업은 조합 설립부터 준공까지 평균 7~10년이 소요되며, 이 기간 동안 수백에서 수천 명의 조합원 개인정보가 지속적으로 처리된다. 특히 분양권 전매, 청산금 정산, 대출 연계 등 금융정보와 결합되는 특성상 개인정보 영향평가(PIA) 대상이 될 가능성이 높으며, 정보 주체의 권리 보장 체계가 매우 중요하다.

실무 관점에서 볼 때, 이제이엠컴퍼니가 GS 1등급과 ISMS-P를 동시 취득한 점은 소프트웨어 품질과 정보보호 관리체계의 통합 운영 능력을 입증한 것으로 평가된다. 다만 정비사업의 특성상 조합 해산 후 개인정보 파기, 장기 보관 정보의 암호화 및 접근통제, 외부 협력사(시공사, 금융기관 등)와의 정보 제3자 제공 관리 등이 지속적인 관리 포인트가 될 것이다. 유사 플랫폼 사업자들은 초기 시스템 설계 단계부터 Privacy by Design 원칙을 적용하고, 정기적인 위험 평가를 통해 인증 유효성을 유지하는 것이 필수적이다.

ISMS-P 심사원 체크포인트

1. 2.8.2 개인정보 수집 및 제공 (개인정보보호법 제15조, 제17조) 정비사업 플랫폼은 조합원 가입 시 주민등록번호, 부동산 등기정보, 금융계좌 등 민감정보를 수집한다. 심사 시 ① 수집 목적의 명확성 및 최소 수집 원칙 준수 여부 ② 동의서 양식의 적법성(선택 정보 분리, 동의 거부권 고지) ③ 제3자 제공 시 별도 동의 및 제공 내역 기록 관리 ④ 고유식별정보 처리 근거(법령 또는 별도 동의) 확보 여부를 중점 점검한다. 특히 시공사, 금융기관 등 다수 외부 기관과 정보를 공유하는 구조에서 제공 목적·항목·보유기간이 명확히 고지되고 있는지 확인이 필수적이다.

2. 2.9.3 개인정보 파기 (개인정보보호법 제21조) 정비사업은 조합 해산 후에도 회계 장부, 청산 내역 등 일부 정보의 보관 의무가 발생할 수 있다. 심사 시 ① 보유기간 경과 후 자동 파기 프로세스 구현 여부 ② 파기 대상 정보의 주기적 검토 및 파기 이력 관리 ③ 장기 보관 정보의 별도 분리 보관 및 암호화 ④ 재생 불가능한 방법으로의 완전 파기(DB 삭제, 백업 매체 포함) 여부를 확인한다. 특히 SaaS 형태 플랫폼의 경우 멀티 테넌시 환경에서 타 조합 정보와의 논리적 분리 및 파기 검증이 중요한 심사 포인트다.

3. 2.6.3 암호화 적용 (개인정보보호법 제24조의2, 제29조) 주민등록번호, 계좌정보 등 민감정보를 처리하므로 ① 개인정보의 안전한 저장을 위한 DB 암호화(컬럼 단위 또는 TDE) ② 전송 구간 암호화(TLS 1.2 이상) ③ 암호키 관리 체계(키 분리 보관, 접근 통제, 주기적 갱신) ④ 업무용 PC 및 모바일 기기에서의 개인정보 다운로드 시 암호화 조치를 점검한다. GS 1등급 취득 시 코드 보안 취약점 점검이 이루어졌을 것으로 추정되나, ISMS-P에서는 실제 운영 환경에서의 암호화 적용 현황과 키 관리 실효성을 현장 확인한다.

CPPG·ISMS-P 연계 포인트

개인정보 영향평가(Privacy Impact Assessment, PIA) 개인정보보호법 제33조에 따라 5만 명 이상의 민감정보 또는 100만 명 이상의 개인정보를 처리하는 시스템 구축·변경 시 의무적으로 수행해야 하는 사전 평가 제도다. 정비사업 플랫폼처럼 주민등록번호, 부동산 소유정보 등을 처리하는 경우 대상 여부를 판단하고, 해당 시 개인정보보호위원회 지정 전문기관을 통해 평가를 받아야 한다. ISMS-P 인증심사에서도 PIA 수행 의무 대상 여부 및 이행 현황을 확인한다.

Privacy by Design(설계 단계부터의 개인정보보호) 시스템 기획·설계 단계부터 개인정보보호 원칙을 내재화하는 접근법으로, 사후 보완이 아닌 사전 예방적 보호 체계 구축을 의미한다. 주요 원칙은 ① 사전 예방(Proactive) ② 기본 설정으로서의 프라이버시(Privacy as Default) ③ 전체 생명주기 보호 ④ 최소 수집 등이다. GS 1등급과 ISMS-P 동시 취득은 개발 품질과 보안이 통합 설계되었음을 시사하며, 이는 Privacy by Design의 실무 적용 사례로 평가할 수 있다.