### 인증만으로는 막을 수 없다…'안전조치 의무' 강제 추진

ISMS-P 인증 기업들의 잇따른 대규모 침해사고와 2026년 10월부터 시행되는 해킹 과징금 제도가 동시에 터지며, 단순 인증 취득에서 실질적 보안 이행으로의 전환을 촉구하고 있다. 정보보호 패러다임이 '사후 처벌'에서 '사전 의무'로 근본적으로 재편되려는 신호다.

---

인증의 허상, 사건으로 드러나다

ISMS-P 인증은 통과권이 아니다.

카카오골프예약의 3만4천명 개인정보 유출, 교원그룹의 침해사실 9개월 방치, 신한은행의 대규모 사고—이들 기업·기관의 공통점은 모두 국가 정보보안 인증(ISMS-P)을 보유했다는 사실이다. 그럼에도 침해사고를 당했고, 그 과정에서 법정 신고의무를 위반했다.

특히 교원그룹 사건은 상징적이다. 침해사실 발생 후 9개월을 방치한 것은 단순한 '관리 부실'이 아니라 개인정보보호법 제35조(침해 통지 의무)의 명시적 위반이다. 인증 마크 뒤에 숨어 법적 의무를 외면한 모양새다.

기업들이 ISMS-P 인증을 '보험증권'처럼 여기는 사이, 실제 보안은 공동화(空洞化)되고 있다. 인증 유효기간 3년 동안 정기감시만으로는 보안 수준의 실시간 변화를 따라잡을 수 없다는 구조적 한계가 노출됐다.

2026년, 새로운 징벌 체계의 시작

안전조치 미이행이 '과징금의 핵심 근거'가 된다.

10월 1일부터 시행되는 해킹 과징금 제도는 2008년 옥션 1,800만 건 유출 사건 이후 18년 만에 개인정보 침해의 법적 책임 체계를 근본적으로 바꾼다.

기존 체계에서는 침해사고 자체에 대한 행정처분이 미흡했다. 과태료와 형사 처벌에만 집중했고, 기업의 '보안 불성실'을 정량적으로 제재하기 어려웠다. 하지만 새 제도는 다르다. 안전조치 의무 이행 수준을 기업별로 평가해 과징금 부과 여부와 규모를 결정한다.

이는 역으로 말해 기업의 안전조치 의무가 지금보다 훨씬 엄격해진다는 뜻이다. 단순히 '보안팀이 있다' '인증을 받았다'라는 형식적 충족으로는 부족하다. 침해 발생 시 어떤 기술적·조직적 통제를 했는가, 침해 후 얼마나 신속하게 대응했는가가 모두 심사 대상이 된다.

공통된 실패 패턴, 세 가지

1. 인증과 실행의 괴리
- ISMS-P 심사는 연1-2회 정기감시로 진행
- 침해 발생 시점에서 실제 보안 수준이 얼마나 유지됐는지 검증 불가
- 카카오골프, 신한은행: 인증 취득 후에도 침해

2. 법정 신고의무 회피
- 교원그룹: 침해 인지 후 9개월 방치
- 개인정보보호법 규정상 '지체 없이' 신고해야 하는데, 기업의 자의적 판단으로 지연
- 2026년 과징금 제도에서 '신고 지연'도 감경 요인이 될 수 있어 향후 엄격히 심사될 예정

3. 보안 투자의 형식화
- 예산은 들이되, 실질적 거버넌스 부재
- 정보보호 책임자의 실권 부족
- CEO 레벨의 의무적 참여 미흡

기업·기관이 취해야 할 조치

1단계: 안전조치 의무의 재정의
- ISMS-P 인증 범위를 넘어서는 자체 보안기준 수립
- 법정 안전조치(암호화, 접근제어, 모니터링 등)의 '최소 이행 기준' 명문화

2단계: 침해 대응 프로토콜 강화
- 침해 인지 → 즉시 신고까지의 의사결정 시간 단축(목표 7일 이내)
- CEO·법무·정보보호팀의 사전 협력체계 구축
- 신고 지연 시 조직적 책임 추적 체계

3단계: 정보보호 거버넌스 고도화
- 이사회 차원의 정보보호 위원회 설치
- CISO(Chief Information Security Officer)의 독립적 권한 보장
- 보안 감사 결과의 공개 및 개선 이행 추적

---

📌 CPPG·ISMS-P 시험 연계 포인트

[기출 단골] 안전조치 의무의 법적 성격 변화

항목	기존 체계	2026년 이후
제재 방식	과태료, 형사 처벌 중심	행정처분(과징금) 통합
판단 기준	침해 사실 여부	보안 이행 수준 평가
기업 부담	사후 대응	사전 의무 강화

• CPPG 출제 포인트: "개인정보 유출 해킹 과징금 제도 시행의 핵심 원리는?"
→ 정답: 안전조치 의무 미이행을 행정제재의 주요 근거로