대규모 개인정보 유출과 사이버 침해사고가 잇따르면서 기업·기관의 정보보호 및 개인정보보호 체계 강화가 주요 과제로 떠오르고 있다. ISMS(정보보호 관리체계) 인증 의무대상 기업의 지속적인 보안체계 구축과 함께 주요 개인정보처리자를 대상으로 ISMS-P(정보보호 및 개인정보보호 관리체계) 인증 의무화가 예정되면서 선제적인 보안 대응 필요성도 커지고 있다.
현행 ISMS 제도에 따라 일정 기준에 해당하는 기업·기관은 의무적으로 인증을 취득해야 하고, 최초 의무대상자가 된 경우 해당 연도의 다음 해 8월 31일까지 인증을 취득해야 한다. 이에 따라 의무대상 기업은 정해진 기한 내 정보보호 관리체계를 구축하고 인증을 준비해야 한다.
여기에 ISMS-P 인증 의무화 등의 내용을 담은 개정 '개인정보 보호법'이 이달 11일 시행을 앞두고 있다. 다만 ISMS-P 인증 의무화 규정은 관련 예산 확보와 준비 기간 등을 고려해 2027년 7월 1일부터 시행될 예정이다.
개인정보보호위원회가 마련한 시행령 개정안에 따르면 공공시스템운영기관 중 보호위원회가 정해 고시하는 기관과 이동통신사업자, 본인확인기관, 일정 요건을 충족하는 대규모 개인정보처리자 등이 의무화 대상이며, 2028년 12월 31일까지 ISMS-P 인증을 받아야 한다.
ISMS-P 인증 의무화가 본격화되면서 대상 기업·기관은 인증 시점에 앞서 정보보호 및 개인정보보호 관리체계를 점검하고 필요한 기술적 보호조치를 준비해야 할 것으로 보인다. 특히 중요 데이터를 암호화하는 것과 함께 암호화에 사용되는 암호키를 안전하게 생성·보관·관리하는 체계 역시 데이터 보호의 중요한 요소다. 암호화된 데이터라도 암호키가 유출되거나 부적절하게 관리될 경우 데이터 보호체계가 위협받을 수 있기 때문이다.
보안 전문기업 케이스마텍은 보안 요구에 대응해 HSM(Hardware Security Module)과 KMS(Key Management System)를 기반으로 한 암호키 관리 서비스를 제공하며 시장을 공략한다는 계획이다.
케이스마텍의 보안 서비스 'KEY4C'는 중요 암호키의 생성부터 저장, 사용, 폐기에 이르는 생명주기를 체계적으로 관리하고 안전한 키 보관 환경을 제공한다.
KEY4C는 FIPS 140-2 Level 3 인증 HSM을 기반으로 암호키를 보호하며, 기업의 시스템과 보안 환경에 따라 클라우드는 물론 온프레미스와 폐쇄망 환경에도 적용할 수 있다.
특히 ISMS-P 인증 필수 항목인 암호키 관리 항목 기준에서 알뜰통신, 클라우드, 지능형 영상보안 등 개인정보와 중요 데이터를 다루는 다양한 사업자들의 암호키 기술 적용으로 성공적인 보안인증 획득 제공 경험을 확보하고 있다.
MVNO 알뜰통신사업 분야에서는 ISMS-P 인증 획득을 위한 보안체계 구축 과정에 KEY4C를 적용해 가입자 개인정보 및 중요정보 보호를 위한 암호키 관리 체계를 구축했다. 클라우드 서비스 제공 산업 분야에서도 서비스 환경에서 생성·활용되는 암호키를 안전하게 보호·관리할 수 있도록 지원하고 있다.
정순호 케이스마텍 공동대표는 “ISMS 인증을 비롯해 ISMS-P 의무화 등 기업·기관의 정보보호 및 개인정보보호 요구가 강화되면서 관리체계를 사전에 점검하고 실제 시스템 환경에 필요한 기술적 보호조치를 준비하는 것이 중요해지고 있다”며 “알뜰통신, 클라우드, 지능형 영상보안 등 다양한 산업에서 축적한 암호키 관리 경험을 바탕으로 기업 중요 데이터와 암호키를 안전하게 보호할 수 있는 환경을 제공하겠다”고 말했다.
조호현 기자 hohyun@etnews.com