미래창조과학부는 기업의 정보보호 수준에 따라 등급을 부여하는 `정보보호 관리등급 제도'를 내년부터 본격 시행한다.
미래부는 정보보호 관리등급 제도의 등급 심사기준 및 방법, 절차 등 제도 시행에 필요한 구체적인 사항을 정해 29일자로 고시한다고 28일 밝혔다.
미래부는 이미 `정보보호 관리 인증체계'(ISMS)를 운영하고 있다.
정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 정보통신망법)에 의거, 기업들이 `최소한'으로 지켜야 할 정보보호 의무를 규정해 `인증'받도록 한 것이다.
등급제는 ISMS를 받고 난 이후에도 기업이 자발적으로 정보보호에 추가 투자해 수준높은 정보보호 체계를 구축하면 정부가 등급을 부여하는 제도다.
이를 통해 자발적인 보안 투자를 장려하려는 의도다.
미래부가 고시한 정보보호 관리 등급을 부여받으려면 △ISMS 인증 3년 연속 유지 △정보보호 책임자의 경영 의사결정 참여 확대 △임직원 정보보호 교육 의무화 △인사 평가시 정보보호 관련 사항 등의 규정을 지켜야 한다.
특히 기업이 신규 시스템 도입이나 서비스를 개발하는 경우 초기 설계 단계부터 정보보호를 고려하고, 위탁이나 용역 등 외주 업체에 대한 보안도 철저히 관리해야 한다.
기업내 침해사고 대응 조직을 의무적으로 구성해 주기적인 모의 훈련을 실시하고, 피해 발생시 신속한 복구가 이루어질 수 있도록 체계적인 대응책을 마련하라는 조항도 포함돼 있다.
오승곤 미래부 정보보호정책과장은 "법적 규제는 `최소한' 지켜야 할 의무 사항이고, 등급제는 의무사항이 아니다.
하지만 정보보호 관련 규제를 마련하면 기업들은 이 최소한의 의무만 다하고 그 이상의 보안 투자에 소홀해지는 경향을 보인다"고 지적했다.
이어 그는 "등급제는 보안을 `투자'가 아닌 기업 경쟁력의 또 다른 지표로 활용할 수 있도록 경쟁을 유도할 수 있어 최소 의무 규정 외에도 기업이 자발적으로 보안 투자를 확대해 나가는 효과를 낼 것"이라고 밝혔다.
미래부는 정보보호 관리등급 제도 설명회를 12월에 개최할 예정이다.
강은성기자 esther@
미래부는 정보보호 관리등급 제도의 등급 심사기준 및 방법, 절차 등 제도 시행에 필요한 구체적인 사항을 정해 29일자로 고시한다고 28일 밝혔다.
미래부는 이미 `정보보호 관리 인증체계'(ISMS)를 운영하고 있다.
정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 정보통신망법)에 의거, 기업들이 `최소한'으로 지켜야 할 정보보호 의무를 규정해 `인증'받도록 한 것이다.
등급제는 ISMS를 받고 난 이후에도 기업이 자발적으로 정보보호에 추가 투자해 수준높은 정보보호 체계를 구축하면 정부가 등급을 부여하는 제도다.
이를 통해 자발적인 보안 투자를 장려하려는 의도다.
미래부가 고시한 정보보호 관리 등급을 부여받으려면 △ISMS 인증 3년 연속 유지 △정보보호 책임자의 경영 의사결정 참여 확대 △임직원 정보보호 교육 의무화 △인사 평가시 정보보호 관련 사항 등의 규정을 지켜야 한다.
특히 기업이 신규 시스템 도입이나 서비스를 개발하는 경우 초기 설계 단계부터 정보보호를 고려하고, 위탁이나 용역 등 외주 업체에 대한 보안도 철저히 관리해야 한다.
기업내 침해사고 대응 조직을 의무적으로 구성해 주기적인 모의 훈련을 실시하고, 피해 발생시 신속한 복구가 이루어질 수 있도록 체계적인 대응책을 마련하라는 조항도 포함돼 있다.
오승곤 미래부 정보보호정책과장은 "법적 규제는 `최소한' 지켜야 할 의무 사항이고, 등급제는 의무사항이 아니다.
하지만 정보보호 관련 규제를 마련하면 기업들은 이 최소한의 의무만 다하고 그 이상의 보안 투자에 소홀해지는 경향을 보인다"고 지적했다.
이어 그는 "등급제는 보안을 `투자'가 아닌 기업 경쟁력의 또 다른 지표로 활용할 수 있도록 경쟁을 유도할 수 있어 최소 의무 규정 외에도 기업이 자발적으로 보안 투자를 확대해 나가는 효과를 낼 것"이라고 밝혔다.
미래부는 정보보호 관리등급 제도 설명회를 12월에 개최할 예정이다.
강은성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
