자주 묻는 질문

ISMS와 ISMS-P는 무엇이 다릅니까?

ISMS는 정보보호 관리체계 인증으로 인증기준 80개로 구성됩니다. ISMS-P는 여기에 개인정보 처리 단계별 요구사항이 추가된 통합 인증으로 인증기준 101개입니다.

보호 대상 서비스가 개인정보의 수집·이용·제공·파기 흐름을 갖는 경우 ISMS-P가 적합하며, 이 경우 개인정보 흐름도·흐름표가 필수 산출물이 됩니다.

인증 의무대상자는 ISMS와 ISMS-P 중 선택하여 취득할 수 있습니다.

ISO 27001과 ISMS 중 무엇을 받아야 합니까?

두 인증은 근거와 목적이 다릅니다.

국내 의무대상에 해당한다면 ISO 27001 보유 여부와 무관하게 ISMS 또는 ISMS-P 취득이 필요합니다.

다만 인증심사의 일부를 생략받을 수 있습니다. 정보통신망법 제47조제3항은 의무대상자가 국제표준 정보보호 인증을 받았거나 정보보호 조치를 취한 경우 과학기술정보통신부장관이 인증 심사의 일부를 생략할 수 있도록 정하고 있으며, 세부 생략 범위는 고시로 정해집니다.

간편인증 제도란 무엇입니까?

중소기업의 인증 부담을 완화하기 위해 도입된 제도로, 정보통신망법 제47조의7이 신설되면서 완화된 인증기준과 절차를 적용받을 수 있게 되었습니다. 해당 조항은 2024년 1월 23일 개정되어 2024년 7월 24일 시행되었습니다.

대상은 세 가지입니다.

인증기준의 수는 적용 유형에 따라 달라집니다. 개별 기업의 해당 여부는 매출 규모, 중소기업·중기업 구분, 정보통신설비 보유 형태를 함께 확인해야 판단할 수 있습니다.

인증의 유효기간은 얼마입니까?

정보보호 관리체계 인증의 유효기간은 3년입니다. 유효기간 중에는 연 1회 이상 사후관리(사후심사)를 받아야 하며, 인증기관·심사기관은 그 결과를 과학기술정보통신부장관에게 통보합니다.

우리 회사가 ISMS 인증 의무대상인지 어떻게 확인합니까?

정보통신망법 제47조제2항 및 같은 법 시행령 제49조가 정한 다음 기준 중 하나라도 해당하면 인증 의무대상자가 됩니다.

의무대상 해당 여부는 사업자가 스스로 확인할 책임이 있습니다. 해당함에도 인증을 취득하지 않은 사실이 확인되면 과태료 부과 대상이 될 수 있습니다.

의무대상이 되면 언제까지 인증을 받아야 합니까?

의무대상에 최초로 해당된 해의 다음 해 8월 31일까지 인증을 취득해야 합니다.

예를 들어 2026년 중 의무대상 요건에 해당하게 되었다면, 2027년 8월 31일까지 인증서를 발급받아야 합니다. 이미 인증을 취득한 기업에는 적용되지 않습니다.

인증을 받지 않으면 어떻게 됩니까?

인증 의무대상자가 인증을 받지 않은 경우 3천만 원 이하의 과태료가 부과됩니다.

과태료와 별개로, 이후 개인정보 유출 사고 등 정보보호 체계와 관련한 사안이 발생한 경우 인증 의무 미이행 사실이 불리한 정황으로 작용할 수 있습니다.

알뜰폰(MVNO) 사업자도 의무대상입니까?

예. 2025년 11월 4일 공포·시행된 시행령 개정(대통령령 제35837호)으로 기간통신사업자로부터 이동통신서비스를 제공받아 재판매하는 전기통신사업자가 주요정보통신서비스 제공자에 포함되었습니다. 매출 규모나 이용자 수와 무관하게 의무대상이 됩니다.

가상자산사업자도 ISMS 인증이 필요합니까?

필요합니다. 다만 법적 성격이 다릅니다. 정보통신망법상 "의무대상"이 아니라 「특정 금융거래정보의 보고 및 이용 등에 관한 법률」상 신고 수리 요건입니다.

같은 법 제7조제3항제1호는 금융정보분석원장이 정보보호 관리체계 인증을 획득하지 못한 자에 대해 가상자산사업자의 신고를 수리하지 아니할 수 있도록 정하고 있습니다. 여기서 정보보호 관리체계 인증은 같은 법 제5조의2제1항제3호마목2)에 따라 정보통신망법 제47조 또는 개인정보 보호법 제32조의2에 따른 인증을 말합니다.

신고가 수리되지 않으면 영업이 제한되므로 실질적으로는 필수입니다. 또한 가상자산사업자는 간편인증 특례 대상에서 제외됩니다.

해외 사업자도 의무대상이 됩니까?

정보통신망법은 인증 의무대상자를 국내 사업자로 한정하고 있지 않습니다. 따라서 해외 사업자라도 법이 정한 요건에 해당하면 인증 의무가 발생합니다.

특히 사업의 성격(ISP·IDC)이 아닌 규모 기준(매출액·이용자 수)에 해당하는지를 사전에 확인할 필요가 있습니다.

인증 취득까지 전체 기간이 얼마나 걸립니까?

인증 취득까지의 기간은 두 개의 구간으로 나누어 이해해야 합니다.

ATHENAi를 이용한 준비 구간은 최단 4주를 기준으로 하며, 조직 규모·인증 범위·기존 문서화 수준에 따라 달라집니다.

인증 준비에 드는 비용은 어떻게 구성됩니까?

비용은 성격이 다른 두 가지로 나뉩니다.

• 준비 비용 — 컨설팅 또는 솔루션 이용료. ATHENAi는 Standard 월 900,000원 / Premium 월 1,800,000원이며, VAT 별도·12개월 약정 기준으로 월 단위 청구됩니다.
• 인증심사 수수료 — 인증기관에 납부하는 별도 비용입니다. 솔루션 이용료에 포함되지 않으며, 인증 유형과 심사 범위·규모에 따라 산정됩니다.

이 밖에 취약점 조치를 위한 설비 도입이 필요한 경우 해당 비용이 추가로 발생할 수 있습니다.

보안 전담 인력이 없는데 준비가 가능합니까?

가능합니다. 다만 인증은 문서 제출로 끝나는 절차가 아니라 관리체계의 실제 운영을 확인하는 심사이므로, 조직 내에서 정보보호 활동을 수행하고 그 기록을 남길 담당자가 지정되어 있어야 합니다.

ATHENAi는 문서 작성과 증적 정리를 자동화하여 담당자의 업무량을 줄이는 방식으로 접근하며, 전담 인력을 대체하는 것을 전제로 하지 않습니다. 컨설턴트의 직접 지원이 필요한 경우 Premium 플랜에서 1:1 매칭을 제공합니다.

기존 컨설팅과 무엇이 다릅니까?

기존 컨설팅은 프로젝트 단위로 수행되고 종료 시점에 산출물이 인도됩니다. ATHENAi는 인증 준비 과정 자체를 플랫폼에 축적하는 방식입니다.

• 현황 분석 결과가 위험평가에 자동 반영되고, 위험평가 결과가 정보보호 계획서에 자동 반영되어 동일 데이터를 다시 입력하지 않습니다
• 준비 이력이 조직에 남아, 담당자 교체나 사후심사·갱신심사 시 처음부터 다시 시작하지 않습니다
• 법령이나 KISA 가이드가 개정되면 관련 통제항목과 증적의 연결이 갱신됩니다

ATHENAi가 생성한 문서를 그대로 제출해도 됩니까?

제출 전 내용 확인은 이용 기업의 책임입니다.

ATHENAi는 조직의 실제 자산 정보와 인터뷰 결과를 반영하여 문서 초안을 생성하지만, 생성된 문서가 조직의 실제 운영 현황과 일치하는지는 담당자가 검토해야 합니다. 심사는 문서와 실제 운영의 일치 여부를 확인하는 절차이므로, 검토 없이 제출된 문서는 오히려 결함 사유가 될 수 있습니다.

입력한 데이터는 어떻게 관리됩니까?

이용 기업이 입력·생성한 자산 정보, 문서, 증적 자료 등 일체의 데이터에 관한 권리는 이용 기업에 귀속합니다. 시큐리스트(주)는 서비스 제공·유지보수·오류 대응 및 이용 지원에 필요한 범위 내에서만 접근합니다.

이용 기업의 사전 서면 동의 없이 데이터를 제3자에게 제공하거나 서비스 제공 외의 목적으로 이용하지 않습니다. 상세 사항은 서비스 이용약관 제9조에 규정되어 있습니다.

인증 심사 준비 외에 어떤 업무를 지원합니까?

• 기술적 취약점 진단 — Unix·Linux·AIX, Windows Server, DB, 사용자 단말, Web/WAS 대상 자동 스캔
• 웹·앱 모의해킹 — 시나리오 기반 침투 테스트 및 조치 결과의 증적 연동
• 개인정보 흐름도·흐름표 — 수집부터 파기까지의 처리 흐름 문서화 (ISMS-P 필수 산출물)
• 침해사고 모의훈련 — 피싱·악성메일 대응 절차 점검 및 훈련 결과의 증적화
• 정보보호 공시 — 공시 항목 정리 및 제출 자료 작성 지원

ATHENAi를 만든 곳은 어디입니까?

ATHENAi는 시큐리스트(주)(SECURIST Inc.)가 개발하고 운영합니다. 사업자등록번호는 682-87-03912입니다.

시큐리스트(주)는 정보보호 컨설팅 10년 이상의 경력을 바탕으로 누적 250개사 이상, 550건 이상의 인증 컨설팅을 수행해 왔으며, 보안 감사 수행 시 ISMS-P 인증심사원이 직접 참여합니다.

먼저 사용해 볼 수 있습니까?

상담 신청 후 협의를 거쳐 전자계약을 체결하시면, 초회 무료 제공 기간 동안 ATHENAi의 전 기능을 이용하실 수 있습니다. 무료 기간 종료 후 선택하신 플랜으로 월간 구독이 전환됩니다.

무료 제공 기간의 범위와 조건은 개별 계약 시 정합니다. 상담 과정에서 서면으로 안내해 드리며, 12개월 약정기간은 무료 기간이 아니라 유료 구독 개시일부터 기산합니다.

상담을 신청하면 어떤 절차로 진행됩니까?

1. 상담 신청서 제출
2. 신청일로부터 1~2일 내 담당자 연락 및 미팅 일정 협의
3. 온라인 또는 방문 미팅 — 인증 범위, 현재 준비 수준, 목표 일정 확인
4. 플랜 선택 및 전자계약 체결
5. 이용 시작

상담 신청 시 수집하는 개인정보의 항목과 이용 목적은 개인정보 수집·이용 동의 안내에서 확인하실 수 있습니다.

계약 기간이나 해지 조건은 어떻게 됩니까?

이용계약의 약정기간은 12개월이며, 이용요금은 약정기간 동안 월 단위로 청구됩니다. 약정기간 만료 후 별도의 종료 통지가 없으면 동일 조건으로 1개월 단위 자동 연장되고, 연장 이후에는 언제든지 해지하실 수 있습니다.

약정기간 중 해지하시는 경우, 잔여 약정기간에 해당하는 이용요금의 50%가 위약금으로 구독 종료 시점에 청구됩니다.