SBS Biz

[29일 서울 종로구 정부서울청사에서 열린 개인정보보호위원회 전체회의에서 송경희 위원장이 의사봉을 두드리고 있다. (사진=연합뉴스)]

정보보호 및 개인정보보호 관리체계(ISMS-P) 인증을 받은 기업에서 침해사고나 개인정보 유출이 발생하면 전문 기술 인력이 현장에서 취약점 진단이나 모의 침투 등을 할 수 있게 됩니다.

개인정보보호위원회는 ISMS-P 인증의 실효성을 강화하기 위한 개인정보 보호법 시행령 개정안을 마련해 오늘(16일)부터 다음 달 26일까지 입법 예고한다고 밝혔습니다.

ISMS-P 인증은 주요 정보자산 유출과 피해를 예방하기 위해 기업 등이 수립·운영하는 개인정보보호 체계가 적합한지를 인증하는 제도입니다.

이번 개정안은 개인정보위가 지난 4월 발표한 '정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안'을 구체화한 것입니다.

우선 인증심사 과정에서 서면 심사와 현장 심사를 병행할 수 있다는 점을 명확히 규정합니다.

인증 유효 기간에 침해사고나 개인정보 유출이 발생한 경우에는 일정 요건을 갖춘 기술 인력이 현장에서 점검 도구를 활용해 취약점 진단과 모의 침투 등 취약점 점검을 할 수 있도록 합니다.

인증 취득 이후 매년 실시하는 사후 심사에서도 서면 심사와 현장 심사를 병행하고 취약점 점검을 할 수 있게 됩니다.

인증심사에 적용되는 기준도 정비합니다.

인증을 받으려는 기업 등의 개인정보 처리 규모와 사회적 파급력 등을 고려해 인증 기준을 차등 적용할 수 있도록 근거를 구체화합니다.

인증 의무가 있는 기업 등이 인증 취소 처분을 받은 경우에는 1년간 인증 취득 의무 위반에 따른 과태료 부과를 유예하는 조항도 신설합니다.

인증이 취소된 기업에 재발 방지 대책을 수립하고 새로운 인증을 취득할 기간을 부여하기 위한 조치입니다.

다만 거짓이나 부정한 방법으로 인증을 받아 인증이 취소된 경우에는 과태료 부과를 유예하지 않습니다.

개인정보위는 입법예고 기간 이해관계자와 관계부처 등의 의견을 수렴한 뒤 법제처 심사 등을 거쳐 개정을 추진할 계획입니다.

연내 관련 고시 개정도 추진합니다.