ISMS-P 인증 — 인증기준 101개, 절차와 기간
ISMS-P는 조직의 정보보호 체계와 개인정보 보호 체계를 하나의 기준으로 심사하는 국내 대표 인증입니다. 인증기준이 몇 개로 구성되는지, ISMS와 무엇이 다른지, 신청부터 발급까지 실제로 얼마나 걸리는지를 근거와 함께 정리했습니다.
ISMS-P 인증
ISMS-P(Personal Information & Information Security Management System)는 정보보호 및 개인정보보호 관리체계 인증입니다. 조직이 정보자산과 개인정보를 보호하기 위한 관리체계를 수립·운영하고 있는지를 국가가 정한 인증기준으로 심사하여 증명하는 제도로, 2018년 정보보호 인증(ISMS)과 개인정보보호 인증(PIMS)이 하나로 통합되면서 만들어졌습니다.
제도는 과학기술정보통신부와 개인정보보호위원회가 공동으로 관장하며, 한국인터넷진흥원(KISA)과 금융보안원(금융 분야)이 인증기관을 맡습니다. 심사는 인증기관과 지정 심사기관(한국정보통신진흥협회, 한국정보통신기술협회, 개인정보보호협회 등)이 수행합니다.
근거: 정보통신망법 제47조, 개인정보 보호법 제32조의2, 「정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시」ISMS와 ISMS-P의 차이
두 인증은 같은 고시 아래 운영되는 한 가족입니다. 차이는 개인정보 처리 단계별 요구사항 21개의 포함 여부입니다.
| 구분 | ISMS | ISMS-P |
|---|---|---|
| 명칭 | 정보보호 관리체계 인증 | 정보보호 및 개인정보보호 관리체계 인증 |
| 인증기준 | 80개 (관리체계 16 + 보호대책 64) | 101개 (ISMS 80 + 개인정보 처리 단계별 21) |
| 보호 대상 | 정보서비스의 기밀성·무결성·가용성 | 정보서비스 + 개인정보 흐름 전 단계 |
| 적합한 조직 | 개인정보 처리 비중이 낮거나 별도 체계로 관리하는 조직 | 개인정보 처리가 서비스의 핵심인 조직 |
법령상 의무대상은 둘 중 어느 쪽을 취득해도 의무를 이행한 것으로 인정됩니다. 다만 회원 기반 서비스처럼 개인정보 처리가 사업의 중심이라면, 심사 범위가 어차피 개인정보 흐름과 겹치므로 처음부터 ISMS-P로 준비하는 편이 중복 부담이 적습니다.
인증기준 101개는 어떻게 구성되는가
| 영역 | 개수 | 다루는 내용 |
|---|---|---|
| 1. 관리체계 수립 및 운영 | 16 | 경영진 참여, 조직·자원 구성, 위험 평가, 내부 점검 등 관리체계의 순환 구조 |
| 2. 보호대책 요구사항 | 64 | 정책·인적 보안, 접근통제, 암호화, 개발 보안, 운영 보안, 재해 복구 등 기술적·관리적 보호조치 |
| 3. 개인정보 처리 단계별 요구사항 | 21 | 수집·보유·이용·제공·파기 각 단계의 보호조치와 정보주체 권리 보장 (ISMS-P에만 적용) |
숫자만 보면 101개이지만, 실제 심사는 각 기준 아래의 세부 점검항목 단위로 이루어집니다. 결함은 대부분 문서(정책·지침)와 실제 운영(증적)이 어긋나는 지점에서 나옵니다. 기준을 읽는 일보다 증적을 기준에 맞게 쌓는 일이 준비의 대부분을 차지합니다.
인증 절차 — 신청부터 발급까지 7단계
- 관리체계 구축·운영 — 인증기준에 맞게 정책·조직·보호대책을 수립하고 운영합니다. 신청 전 최소 2개월 이상 운영 실적이 필요합니다.
- 인증 신청 — 인증기관에 신청서를 제출합니다. 심사 일정은 기관 사정에 따라 대기가 발생하므로 희망 시점보다 여유를 두고 신청해야 합니다.
- 심사 계약 — 인증 범위를 확정하고 수수료를 산정하여 계약합니다.
- 서면·현장 심사 — 심사원이 문서 심사와 현장 확인으로 기준 이행 여부를 점검합니다.
- 결함 보완조치 — 발견된 결함은 통보 후 원칙 40일 이내에 보완을 완료하고 확인을 받습니다.
- 인증위원회 심의·의결 — 심사 결과를 인증위원회가 심의합니다.
- 인증서 발급 — 유효기간은 3년입니다.
| 심사 종류 | 목적 | 주기 |
|---|---|---|
| 최초심사 | 인증 신규 취득 | 취득 시 1회 |
| 사후심사 | 관리체계가 유지되고 있는지 확인 | 연 1회 이상 |
| 갱신심사 | 유효기간 만료 전 재심사 | 3년 주기 |
인증은 취득으로 끝나지 않습니다. 매년 사후심사를 통과해야 유지되므로, 증적 관리를 일상 업무로 정착시키는 것이 취득 이후의 과제입니다.
준비 기간 — 무엇이 얼마나 걸리는가
전체 기간은 성격이 다른 두 구간으로 나뉩니다.
| 구간 | 내용 | 기간 |
|---|---|---|
| 준비 (조직 역량) | 관리체계 수립, 정책·지침 정비, 위험평가, 증적 확보, 2개월 이상 운영 | 조직 규모·방식에 따라 수개월, ATHENAi 활용 시 컨설팅 준비 최단 4주 |
| 행정 (고정 절차) | 심사 신청·대기, 서면·현장 심사, 보완조치, 인증위원회, 발급 | 통상 7개월 이상 — 도구나 컨설팅 방식과 무관하게 소요 |
비용 구조
비용도 두 갈래로 나눠 보아야 합니다.
- 심사 수수료 — 고시가 정한 산정 기준(심사원 수 × 심사 일수)에 따라 인증 범위와 조직 규모로 결정됩니다. 인증기관 견적으로 확정됩니다.
- 준비 비용 — 컨설팅, 솔루션 도입, 보호대책 구축, 보완조치 비용 등. 준비 방식에 따라 편차가 가장 큰 항목입니다.
소기업이라면 완화된 기준을 적용받는 간편인증 대상인지 먼저 확인할 필요가 있습니다. 대상과 제외 사유는 ISMS·ISMS-P 간편인증 대상과 제외 사유에 정리되어 있습니다.
우리 회사는 의무대상인가
의무 여부는 두 법률을 각각 확인해야 합니다. 서로 별개 제도이기 때문입니다.
- 정보통신망법 제47조제2항 (ISMS 의무) — 매출·이용자 수 등 5개 기준 중 하나에 해당하면 의무대상이며, ISMS와 ISMS-P 중 선택하여 취득할 수 있습니다. 판단 기준은 ISMS 인증 의무대상 판단 기준을 참고하십시오.
- 개인정보 보호법 제32조의2 (ISMS-P 의무) — 2026년 9월 시행되는 신설 제도로, 대상 기준은 시행령 입법예고 단계입니다. 확정된 것과 미확정인 것의 층위는 2027년 ISMS-P 인증 의무화 총정리에서 구분해 정리했습니다.