고도화되는 사이버 위협, 인증도 달라져야 〈1160호〉

지난 8월, 온라인 플랫폼 29CM에서 고객과 파트너사의 개인정보 약 16만 건이 유출됐다. 29CM를 운영하는 무신사가 정보보호 관리체계(ISMS) 인증을 받은 지 불과 두 달 만에 발생한 사고다. 최근 3년간 ISMS 또는 ISMS-P 인증을 받은 기업 1,283곳 가운데 179곳에서 침해사고가 발생했다. 인증기업에서도 사고가 반복되면서 인증제도의 실효성에 의문이 제기되고 있다.

ISMS는 위험 관리와 접근 통제, 사고 대응 등 기업의 정보보호 체계를 심사하는 제도로, ISMS-P는 개인정보보호 기준까지 포함한다. 인증기업은 매년 사후심사를 받지만, 인증 당시의 보안 수준이 이후에도 유지된다고 단정할 수는 없다. 해킹 수법이 고도화되는 데다 기업의 서비스와 정보 처리 환경도 끊임없이 변화하기 때문이다. 따라서 정해진 기준을 충족했는지 확인하는 데 그치지 않고, 새롭게 발생한 취약점과 공격에 대한 대응 능력까지 면밀히 검증해야 한다.

정부도 제도 개선에 나섰다. 개인정보보호위원회는 지난달 ISMS-P 심사 방식을 강화하는 개정안을 입법예고했다. 개정안에는 전문 기술인력의 취약점 점검을 강화하고, 개인정보 처리 규모 등에 따라 심사 기준을 차등 적용하는 내용이 담겼다. 기업별 위험 수준을 고려해 실제 보안 역량에 대한 검증을 강화하려는 취지다.

그러나 심사 기준을 강화하는 것만으로 실효성이 확보되지는 않는다. 중요한 것은 인증 이후 달라진 위험이 심사에 충분히 반영되는지다. 새로운 취약점이 발견되거나 기업의 서비스 환경이 변화했다면 사후심사에서도 이를 중점적으로 점검해야 한다. 또한 인증기업에서 침해사고가 발생했을 때에는 기업의 관리 책임뿐 아니라 기존 심사에서 해당 위험을 발견할 수 있었는지도 검토해야 한다. 그 결과를 이후 인증 기준과 심사 방식에 반영해야 유사한 사고를 예방하는 데 도움이 될 수 있다.

인증은 일정한 기준을 충족했다는 증명일 뿐, 안전을 보장하지는 못한다. 따라서 인증제도는 기업의 정보보호 수준을 일회성으로 평가하는 데 머물러서는 안 된다. 사이버 위협이 변화하는 만큼 검증 기준도 지속적으로 보완돼야 한다. 인증이 단순한 기준 충족의 증표를 넘어 실질적인 보안 역량을 유지하고 개선하도록 이끄는 제도로 자리 잡아야 할 것이다.