과기정통부·방통위 "보안강화"
PIMS, ISMS에 흡수방식 유력
인증항목 중복 예산낭비 지적
내년 PIMS 예산 심의서 삭감
PIMS, ISMS에 흡수방식 유력
인증항목 중복 예산낭비 지적
내년 PIMS 예산 심의서 삭감
그동안 중복논란을 빚어 온 ISMS(정보보호관리체계)와 PIMS(개인정보보호 관리체계) 통합방안이 연말 마무리돼 이르면 내년부터 기업과 기관들이 일원화된 국가 공인 보안인증을 받게 된다.
3일 정부 고위 관계자에 따르면 정부는 과학기술정보통신부가 주관해온 ISMS와 방송통신위원회가 운영해온 PIMS를 통합하기로 했다. PIMS가 ISMS에 흡수되는 형태로, 이에 따라 방통위의 내년 PIMS 예산은 국회 예산심의 과정에서 삭감키로 결정됐다. 과기정통부와 방통위는 정기국회가 끝나는 이달 10일까지 관련 협의를 마무리할 예정이다.
ISMS와 PIMS는 정부 보안인증제도로, 과기정통부와 방통위가 각각 운영해 왔다. ISMS와 PIMS 모두 정보통신망법에 따라 조직의 정보보호 관리체계와 개인정보보호를 평가해 적합성에 따른 인정서를 부여한다. ISMS가 일정 기준 조직에 대한 필수인증이라면 PIMS는 자율인증이다. ISMS는 정보보호라는 거시적 관점에서 심사한다면 PIMS는 개인정보보호 조치가 얼마나 적절한지에 초점을 맞춘다.
그러나 두 제도가 상당 부분 중복되다 보니 기업들의 부담이 크다는 문제가 지속적으로 불거졌다. ISMS, PIMS의 심사항목 중 74%가 유사·중복인데도 불구하고 두 기관이 각각 인증심사원을 양성하면서 예산낭비가 크다는 지적도 제기돼 왔다. 실제 지난 10월 국정감사 당시 김성태 자유한국당 의원은 "ISMS와 PIMS 인증 항목이 중복돼 기업에 재정적 부담을 주고, 혈세 낭비로 이어진다"며 "법률로 강제해 ISMS와 PIMS를 통합해야 한다"고 지적했다.
실제 행정안전부가 과거 도입한 PIPL(개인정보보호인증제)도 중복성 논란으로 작년부터 PIMS로 통합된 바 있다. 방통위는 올해 5월까지만 하더라도 통합에 부정적이었다. 그러나 지난 6월부터 과기정통부와 마라톤 협의를 진행해 결국 두 체계를 통합하는 방향으로 가닥을 잡았다. 방통위 관계자는 "현재 두 제도를 통합하는 방향으로 과기정통부와의 논의가 마무리 단계"라며 "PIMS 인증 기업의 기준 조정 문제나 고시 개정 등 일정을 감안할 경우 이르면 내년, 늦어도 2019년 통합 인증체계가 시작될 것"이라고 말했다. 과기정통부 관계자는 "기존 PIMS 인증 대상 기업들의 기준을 어떻게 둘지에 대한 협의가 아직 남아있지만, 정보보안 강화라는 전체적 관점에서 방통위와 충분한 공감대를 이뤘다"고 말했다.
학계와 업계는 이 같은 변화가 바람직하다고 밝혔다. 김태성 충북대 경영정보학과 교수는 "ISMS와 PIMS뿐 아니라 국가 보안인증 체계가 난립해 그동안 기업들에 부담을 주고 심지어 관련 전문가들조차 혼란스러워한다"며 "보안인증 체계의 신뢰성을 위해서라도 복잡한 인증제도는 지양하고 하나로 통합해야 할 것"이라고 말했다. 일각에선 우려의 시선도 존재한다. 업계 한 관계자는 "EU에서 내년 GDPR 시행을 계기로 개인정보보호에만 초점을 맞춘 새로운 인증체계 개발을 시작했고 세계적으로도 이 같은 방향으로 진행될 것으로 보이는데 한국이 역행하는 것은 아닌지 우려스럽다"며 "개인정보보호와 관련한 PIMS 고유의 목적과 강점을 최대한 살리도록 신경써야 할 것"이라고 말했다.
이경탁기자 kt87@
3일 정부 고위 관계자에 따르면 정부는 과학기술정보통신부가 주관해온 ISMS와 방송통신위원회가 운영해온 PIMS를 통합하기로 했다. PIMS가 ISMS에 흡수되는 형태로, 이에 따라 방통위의 내년 PIMS 예산은 국회 예산심의 과정에서 삭감키로 결정됐다. 과기정통부와 방통위는 정기국회가 끝나는 이달 10일까지 관련 협의를 마무리할 예정이다.
ISMS와 PIMS는 정부 보안인증제도로, 과기정통부와 방통위가 각각 운영해 왔다. ISMS와 PIMS 모두 정보통신망법에 따라 조직의 정보보호 관리체계와 개인정보보호를 평가해 적합성에 따른 인정서를 부여한다. ISMS가 일정 기준 조직에 대한 필수인증이라면 PIMS는 자율인증이다. ISMS는 정보보호라는 거시적 관점에서 심사한다면 PIMS는 개인정보보호 조치가 얼마나 적절한지에 초점을 맞춘다.
그러나 두 제도가 상당 부분 중복되다 보니 기업들의 부담이 크다는 문제가 지속적으로 불거졌다. ISMS, PIMS의 심사항목 중 74%가 유사·중복인데도 불구하고 두 기관이 각각 인증심사원을 양성하면서 예산낭비가 크다는 지적도 제기돼 왔다. 실제 지난 10월 국정감사 당시 김성태 자유한국당 의원은 "ISMS와 PIMS 인증 항목이 중복돼 기업에 재정적 부담을 주고, 혈세 낭비로 이어진다"며 "법률로 강제해 ISMS와 PIMS를 통합해야 한다"고 지적했다.
실제 행정안전부가 과거 도입한 PIPL(개인정보보호인증제)도 중복성 논란으로 작년부터 PIMS로 통합된 바 있다. 방통위는 올해 5월까지만 하더라도 통합에 부정적이었다. 그러나 지난 6월부터 과기정통부와 마라톤 협의를 진행해 결국 두 체계를 통합하는 방향으로 가닥을 잡았다. 방통위 관계자는 "현재 두 제도를 통합하는 방향으로 과기정통부와의 논의가 마무리 단계"라며 "PIMS 인증 기업의 기준 조정 문제나 고시 개정 등 일정을 감안할 경우 이르면 내년, 늦어도 2019년 통합 인증체계가 시작될 것"이라고 말했다. 과기정통부 관계자는 "기존 PIMS 인증 대상 기업들의 기준을 어떻게 둘지에 대한 협의가 아직 남아있지만, 정보보안 강화라는 전체적 관점에서 방통위와 충분한 공감대를 이뤘다"고 말했다.
학계와 업계는 이 같은 변화가 바람직하다고 밝혔다. 김태성 충북대 경영정보학과 교수는 "ISMS와 PIMS뿐 아니라 국가 보안인증 체계가 난립해 그동안 기업들에 부담을 주고 심지어 관련 전문가들조차 혼란스러워한다"며 "보안인증 체계의 신뢰성을 위해서라도 복잡한 인증제도는 지양하고 하나로 통합해야 할 것"이라고 말했다. 일각에선 우려의 시선도 존재한다. 업계 한 관계자는 "EU에서 내년 GDPR 시행을 계기로 개인정보보호에만 초점을 맞춘 새로운 인증체계 개발을 시작했고 세계적으로도 이 같은 방향으로 진행될 것으로 보이는데 한국이 역행하는 것은 아닌지 우려스럽다"며 "개인정보보호와 관련한 PIMS 고유의 목적과 강점을 최대한 살리도록 신경써야 할 것"이라고 말했다.
이경탁기자 kt87@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
