정보보호관리체계인증

정보보호관리체계인증이란 무엇인가

정보보호관리체계인증(ISMS 또는 ISMS-P)은 기업이 정보보호를 위해 수립한 관리적·기술적·물리적 보호조치가 지속적으로 운영되고 있는지를 과학기술정보통신부 산하 한국인터넷진흥원(KISA)이 심사해 부여하는 인증입니다. 개인정보 처리까지 포함해 심사하면 ISMS-P로 구분됩니다. 공공기관은 정보시스템 구축·운영·유지보수 용역을 발주할 때 입찰 참가자격이나 기술평가 항목에 정보보호관리체계인증 보유 여부를 반영하는 경우가 많아, IT 분야 조달 입찰을 준비하는 기업에게는 사실상 필수 요건으로 작용합니다.

정보보호관리체계인증 취득 절차

먼저 조직의 정보보호 정책·위험관리 체계를 수립하고 최소 2개월 이상 실제로 운영한 실적을 쌓아야 심사 신청이 가능합니다. 이후 KISA 또는 지정 심사기관에 인증 신청을 하면 서면심사와 현장심사를 거쳐 관리체계 수립·운영, 보호대책 요구사항 등 인증기준 충족 여부를 점검받습니다. 인증 유효기간은 3년이며, 매년 사후심사를 통해 유지 여부를 확인받아야 합니다.

공공조달 입찰에서의 활용

정보시스템 개발·유지보수·클라우드 서비스 등의 용역 입찰에서는 정보보호관리체계인증 보유 기업에 기술평가 가점을 부여하는 공고가 늘고 있고, 일부 공공기관은 개인정보를 다루는 사업의 경우 인증 보유를 참가자격 요건으로 명시하기도 합니다. 심사 신청부터 인증 취득까지 통상 6개월 이상 소요될 수 있으므로, 관련 입찰을 준비 중이라면 사업 계획 초기 단계부터 인증 일정을 함께 검토하는 것이 안전합니다.

인증 유지·관리 시 유의할 점

정보보호관리체계인증은 취득으로 끝나는 것이 아니라 매년 사후심사를 통과해야 유효기간 3년을 유지할 수 있습니다. 조직 개편, 정보시스템 변경, 신규 서비스 출시 등이 있을 경우 관리체계 범위를 그때그때 갱신해야 사후심사에서 지적을 받지 않습니다. 입찰 공고에서 인증 유효기간을 확인 서류로 요구하는 경우가 많으므로, 사후심사 일정을 조달 사업 일정과 겹치지 않게 미리 조율해 두는 것이 실무상 도움이 됩니다.

ISMS와 ISMS-P 중 선택 기준

개인정보를 직접 수집·처리하지 않고 단순히 정보시스템을 운영·관리하는 사업이라면 ISMS만으로도 충분한 경우가 많지만, 회원정보나 민감정보를 취급하는 서비스를 제공한다면 ISMS-P까지 함께 취득하는 것이 유리합니다. 특히 공공기관 대상 정보시스템 구축 사업 중에서도 국민 개인정보를 다루는 사업은 발주 단계부터 ISMS-P 보유를 요구하는 경우가 있어, 사업 영역을 확장할 계획이라면 처음부터 ISMS-P 범위로 관리체계를 설계해두는 것이 재심사 비용과 시간을 아끼는 방법입니다. 반대로 개인정보 처리 범위가 좁은 소규모 사업이라면 ISMS만으로 필요한 요건을 충족하면서 심사 부담을 줄이는 전략도 고려할 수 있습니다.

정보보호관리체계인증 관련 자주 묻는 질문

• ISO9001인증 안내
• ISO14001인증 안내
• GS인증 안내