ISMS 인증 — 인증기준 80개, 의무대상과 절차
ISMS는 정보통신망법이 정한 법정 인증 의무의 기본형입니다. 인증기준 80개가 어떻게 구성되는지, 우리 회사가 의무대상인지, ISMS와 ISMS-P 중 무엇을 받아야 하는지를 판단할 수 있도록 정리했습니다.
ISMS 인증
ISMS(Information Security Management System)는 정보보호 관리체계 인증입니다. 조직이 정보 자산을 보호하기 위한 관리체계를 수립·운영하고 있는지를 국가가 정한 인증기준 80개로 심사하여 증명하는 제도로, 정보통신망법 제47조에 근거합니다. 과학기술정보통신부가 관장하고 한국인터넷진흥원(KISA)과 금융보안원(금융 분야)이 인증기관을 맡습니다.
같은 고시 아래에 개인정보 보호 영역까지 확장한 ISMS-P(인증기준 101개)가 있으며, 법령상 의무대상은 둘 중 어느 쪽을 취득해도 의무를 이행한 것으로 인정됩니다. 두 제도의 관계는 아래 선택 가이드에서 다룹니다.
근거: 정보통신망법 제47조, 「정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시」인증기준 80개는 어떻게 구성되는가
| 영역 | 개수 | 다루는 내용 |
|---|---|---|
| 1. 관리체계 수립 및 운영 | 16 | 경영진 참여, 조직·자원 구성, 위험 평가, 내부 점검 등 관리체계의 순환 구조 |
| 2. 보호대책 요구사항 | 64 | 정책·인적 보안, 접근통제, 암호화, 개발 보안, 운영 보안, 재해 복구 등 기술적·관리적 보호조치 |
ISMS-P의 101개에서 개인정보 처리 단계별 요구사항 21개를 제외한 구성입니다. 심사는 각 기준 아래 세부 점검항목 단위로 진행되며, 결함은 대부분 문서(정책·지침)와 실제 운영(증적)이 어긋나는 지점에서 나옵니다. 80개 기준을 읽는 일보다 증적을 기준에 맞게 쌓는 일이 준비의 대부분을 차지합니다.
누가 받아야 하는가
정보통신망법 제47조제2항과 시행령 제49조는 다음 다섯 유형을 의무대상으로 정하고 있습니다.
- 주요정보통신서비스 제공자 (알뜰폰 사업자 포함 — 2025.11.4 시행령 개정)
- 집적정보통신시설(IDC) 사업자
- 연 매출·세입 1,500억원 이상인 상급종합병원, 재학생 1만명 이상 학교
- 정보통신서비스 부문 전년도 매출액 100억원 이상 (금융회사 제외)
- 전년도 일일평균 이용자 100만명 이상 (금융회사 제외)
취득 기한은 최초 해당된 해의 다음 해 8월 31일까지(인증서 발급 기준)이며, 미취득 시 3천만원 이하 과태료가 부과됩니다. 각 기준의 세부 판단(모호한 경계 사례 포함)은 ISMS 인증 의무대상 판단 기준에서 조문 근거와 함께 다룹니다. 5문항 이내로 확인하는 의무대상 자가진단도 준비되어 있습니다.
의무대상이 아니어도 자발적으로 취득하는 조직이 있습니다. 거래처·발주사의 보안 요구, 공공 입찰 가점, 대외 신뢰 확보가 주된 이유이며, 이 경우 인증 범위를 핵심 서비스로 좁혀 부담을 조절하는 전략이 일반적입니다.
절차와 기간 — 핵심만
절차는 ISMS-P와 동일한 구조입니다: 관리체계 구축·운영(신청 전 최소 2개월) → 신청 → 심사 계약 → 서면·현장 심사 → 보완조치 → 인증위원회 → 발급. 유효기간 3년, 사후심사 연 1회, 갱신심사 3년 주기도 같습니다. 단계별 상세는 ISMS-P 인증의 절차 항목을 참고하십시오.
ISMS로 받을까, ISMS-P로 받을까
의무대상은 어느 쪽이든 인정되므로, 판단 기준은 조직의 개인정보 처리 실태입니다.
| 상황 | 권장 방향 |
|---|---|
| 개인정보 처리가 서비스의 핵심 (회원제, 커머스, 플랫폼) | ISMS-P — 심사 범위가 어차피 개인정보 흐름과 겹치므로 처음부터 통합 기준으로 준비하는 편이 중복이 적음 |
| 개인정보 처리 비중이 낮음 (B2B 인프라, 처리 위탁 구조) | ISMS — 21개 기준만큼 준비·심사 부담이 가벼움 |
| 「중소기업기본법」상 소기업 등 완화 요건 해당 | 간편인증 검토 — 완화된 기준 적용. 대상과 제외 사유는 간편인증 해설 참고 |
| 글로벌 고객·해외 진출 요구가 함께 있음 | 국내 의무는 ISMS(-P)로 이행하고 ISO 27001 병행 검토 — ISO 27001 해설 참고 |
한 가지 주의할 점: ISMS로 시작했다가 개인정보 영역이 커져 ISMS-P로 전환하는 경우, 추가 21개 기준에 대한 증적을 처음부터 다시 쌓아야 합니다. 지금의 처리 실태가 아니라 인증 유효기간 3년 동안의 사업 방향을 기준으로 선택하는 것이 재작업을 줄입니다.