기업, 정보보호 수준 따라 등급 나뉜다

미래부, 내년부터 정보보호 관리등급 제도 본격 시행

[보안뉴스 김지언] 미래창조과학부(장관 최문기, 이하 미래부)는 기업의 정보보호 수준에 따라 등급을 부여하는 ‘정보보호 관리등급 제도’를 내년부터 본격 시행한다고 밝혔다.

이에 따라 미래부는 29일 등급 심사기준 및 방법·절차 등 제도 시행에 필요한 구체적인 사항을 정해 ‘정보보호 관리등급 부여에 관한 고시’를 발표할 계획이다.

정보보호 관리등급 제도는 정보보호 수준에 따라 우수와 최우수 등급을 부여해 기업의 통합적 정보보호 관리 수준을 제고하고 이용자로부터 서비스에 대한 신뢰를 확보하기 위해 도입됐다.

기업이 정보보호 관리등급을 부여받기 위해서는 별도의 정보보호 관리체계를 갖추고 독립적인 의사결정이 가능한 사업 조직을 구축해야 하며, 정보통신망법 제47조에 따른 정보보호 관리체계(ISMS) 인증을 3년 연속 유지해야 한다.

또한, 정보보호 예산과 인력을 정보기술(IT)부문과 대비해 일정 기준(우수 등급 : 인력 5% 예산 7%, 최우수 등급 : 인력 7% 예산 10%) 이상 확보하고, 정보보호 현황을 홈페이지에 공개해야 한다.

더불어 기업의 정보보호에 대한 관심과 투자를 유도하기 위해 주요 의사결정 과정에 정보보호 최고책임자의 참여를 확대하고, 임직원의 정보보호 교육을 의무적으로 시행해 인사 평가 시 정보보호관련 사항을 반영해야 한다.

기업이 신규 시스템 도입이나 서비스를 개발하는 경우 초기 설계 단계부터 정보보호를 고려하고, 자사뿐만 아니라 위탁이나 용역 등 외주 업체에 대한 보안 관리도 철저히 이뤄져야 한다.

특히, 의무적으로 기업 내 침해사고 대응팀을 구성하여 주기적으로 모의훈련을 실시하고, 피해 발생시 신속한 복구가 이루어질 수 있도록 체계적인 대응책을 마련해야 한다.

미래부는 12월, 새로운 제도 시행에 따른 혼란을 방지하고 기업 정보보호 관계자의 이해를 돕기 위한 정보보호 관리등급 제도설명회를 개최할 예정이며, 심사원 양성 및 안내서 개발 등 이번 제도가 차질 없이 추진될 수 있도록 적극 지원할 계획이다.

오승곤 미래부 정보보호정책과장은 “이번 고시 제정을 통하여 기업의 정보보호 수준을 측정·평가할 수 있는 객관적인 기준을 마련하게 되었다”면서 “내년부터 이 제도가 본격 시행되면 기업간 경쟁을 통해 자발적인 정보보호 투자를 유도하여 기업 정보보호 수준이 크게 향상될 것으로 기대한다”고 밝혔다.

[김지언 기자(boan4@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)