서론: ISMS-P 인증의 딜레마

국내 대부분의 IT 기업들이 ISMS(정보보호관리체계)와 ISMS-P(정보보호 및 개인정보보호관리체계) 인증을 보안업무의 완성으로 여기고 있습니다. 하지만 이는 위험한 착각입니다. 이들 인증은 정보보호의 최소한의 기준을 제시할 뿐, 급변하는 보안 위협에 대한 완벽한 방패가 될 수는 없습니다.

더욱 심각한 문제는 ISMS-P 인증을 받은 주요 기업들조차 연이어 보안사고를 당하고 있다는 점입니다. 이는 현행 인증 제도가 갖는 근본적인 한계를 보여주는 명확한 증거입니다.

첫 번째 문제: 형식적 심사의 한계

카카오의 데이터센터 화재 사고는 ISMS-P 인증의 근본적 한계를 명확히 보여주었습니다. 카카오는 메일, 카카오톡, 광고, 검색 등 전사 서비스를 대상으로 ISMS-P 인증을 유지하고 있었음에도 불구하고, 실제 재해 상황에서는 속수무책이었습니다.

KISA 관계자도 “(카카오 ISMS-P 인증은) 심사 당시 문제가 없어 인증됐고 이슈가 되지 않았기에 넘어간 것”이라며 “인증 체계는 건강검진과 같이 당시 문제를 보는 것이지 향후 일어날 일을 예상할 수 없다”고 한계를 인정했습니다.

두 번째 문제: 실시간 위협 대응 부족

2025년 4월 발생한 SK텔레콤 유심 정보 해킹 사고는 ISMS-P 인증의 실시간 보안 대응 한계를 극명하게 드러냈습니다. SK텔레콤은 현재 ISMS 인증 2개와 ISMS-P 인증 1개를 보유한 상태였음에도 불구하고, 해커들이 3년여간 내부 시스템에 잠복하며 악성코드를 심는 것을 탐지하지 못했습니다.

더욱 문제가 되는 것은 SKT가 타 통신사(KT, LG유플러스)와 달리 유심 인증키를 암호화하지 않고 평문으로 저장했다는 점입니다. 이는 ISMS-P 인증 기준에는 위반되지 않지만, 실질적인 보안 위험을 간과한 대표적인 사례입니다.

세 번째 문제: 협력사 관리 사각지대

현행 ISMS-P 인증 제도의 또 다른 맹점은 협력사 관리의 사각지대입니다. 2021년 발생한 해피톡 해킹 사고는 이러한 문제를 단적으로 보여줍니다.

SK쉴더스의 2025년 보안 위협 전망 보고서에 따르면, “기업 본사보다는 상대적으로 보안이 취약한 서드파티, 협력사 등을 대상으로 하는 공격이 성행”하고 있다고 분석했습니다. 협력사 침해 사고 발생 시 이를 공격 통로로 활용하는 등 추가 피해가 발생할 수 있기 때문입니다.

네 번째 문제: 사후 관리 체계 미흡

쿠팡의 경우는 ISMS-P 인증 취득 이후에도 지속적인 보안사고가 발생한 대표적인 사례입니다. 2023년 3월 다크웹에 46만 건의 고객 정보가 유출된 의혹이 제기된 데 이어, 2021년부터 13만5천여 명의 쿠팡이츠 배달원 개인정보 유출 사고까지 연쇄적으로 발생했습니다.

더욱 문제가 되는 것은 2019년 11월부터 정책을 바꿔 안심번호만 전송하기로 했음에도 2021년 11월까지 실제로는 개인정보를 그대로 전송했다는 점입니다. 이는 ISMS-P 인증 취득 후에도 실제 운영에서는 보안 정책이 제대로 이행되지 않았음을 보여줍니다.

결론: 지속적인 보안 투자가 답이다

ISMS-P 인증은 보안업무의 시작점이지 종료점이 아닙니다. 최근 발생한 주요 기업들의 보안사고 사례를 통해 확인할 수 있듯이, 인증 취득 이후에도 지속적인 보안 강화 노력이 필요합니다.

특히 급변하는 사이버 위협 환경에서는 형식적인 인증보다는 실질적인 보안 역량 구축이 더욱 중요합니다. 기업들은 ISMS-P 인증을 최소한의 기준으로 인식하고, 그 이상의 보안 투자와 노력을 지속해야 합니다.

결국, 진정한 정보보호는 인증서가 아니라 지속적인 관심과 투자, 그리고 실행력에서 나온다는 것을 명심해야 할 것입니다.