ISMS/ISMS-P가 뭐예요?
ISMS/ISMS-P를 나라가 보낸 검사관이 성 전체를 돌아보고 거는 인증 현판 이야기로 풀어봤어요.
성주가 "우리 성 안전해요!"라고 말만 해요.증거는 없고, 성주 혼자만의 말이에요.
이웃 성은 성주 말만 듣고는 못 믿어요.증거가 없으면 이웃은 거래를 망설여요.
ISMS-P는 나라의 검사관이 성 전체를 다 돌아보고 거는 현판이에요.검사관은 문 하나가 아니라 관리체계부터 손님정보 창고까지 전부 봐요.
점검표는 관리체계, 보호대책, 개인정보 처리단계의 세 영역이에요.ISMS는 1·2만, ISMS-P는 3까지 봐요 — 개인정보 보호까지 인증받으려는 성은 3번까지 필요해요.
현판이 있어도 도둑은 와요.현판은 "기준을 지켰다"는 뜻이지 "안전 보장"은 아니에요. 성을 실제로 지키는 건 규칙 두루마리와 평소 단속이에요.
ISMS/ISMS-P = 나라의 검사관이 성 전체의 관리체계와 보호대책을 보고 거는 인증 현판. ISMS-P는 개인정보 처리 전 과정까지 더 봐요.
ISMS(정보보호 관리체계)와 ISMS-P(정보보호 및 개인정보보호 관리체계)는 한국인터넷진흥원(KISA)·금융보안원 등 인증기관이 심사해 주는 법정 인증 제도예요. 주요 통신·데이터센터 사업자와 매출·이용자 수가 기준을 넘는 사업자는 정보통신망법에 따라 ISMS를 의무적으로 받아야 하고, 인증은 3년간 유효하며 그동안 매년 사후심사를 받아요. ISMS는 보안 관리체계 전반을, ISMS-P는 개인정보 수집부터 파기까지의 처리 단계별 요구사항까지 추가로 심사해요. 2026년 3월 10일 공포된 개인정보 보호법 개정으로 매출액·처리 규모 기준에 해당하는 개인정보처리자는 ISMS-P 인증을 받아야 하고, 이 의무 조항은 2027년 7월 1일부터 시행돼요. 대상 기준은 대통령령으로 정하는데, 2026년 6월 입법예고안에 있던 기준이 9월 11일 시행된 시행령에서는 빠져 2026년 11월 현재 아직 정해지지 않았어요.
어른들은 이렇게 불러요
- ISMS
ISMS - 보안 관리체계 인증. 관리체계 수립·운영과 보호대책 요구사항을 심사해요.
- ISMS-P
ISMS-P - ISMS + 개인정보 처리단계. 손님정보를 모으고, 쓰고, 없애는 전 과정까지 추가로 봐요.
- 인증기관
Certification body (KISA 등) - 검사관을 보내는 곳. 한국인터넷진흥원(KISA) 등이 심사해요.
- 관리체계 수립·운영
ISMS management process - 정책·조직·위험평가. 성 전체의 규칙과 담당자를 정하는 일. → 성의 규칙 두루마리
- 보호대책 요구사항
Protection requirements - 문단속 각 항목. 접근 통제, 암호화 같은 구체적 항목이에요.
- 사후관리
Follow-up review - 매년 다시 검사. 최초 인증으로 끝이 아니라 해마다 다시 봐요.
- 법적 의무대상
Mandatory scope - 규모가 일정 기준을 넘으면 ISMS는 의무. 주요 통신·데이터센터 사업자와 매출·이용자 수 기준을 넘는 사업자는 ISMS를 꼭 받아야 해요.
- 규정 준수
Compliance - 검사관이 증거를 봐요. ISMS-P도 기준을 지켰음을 결국 증거로 증명해요. → 이웃 나라 규칙 검사관