“공인” 인증 강박의 추억 떠올리는 정보보호관리체계(ISMS) 인증

- ‘NH농협’, ‘아시아나 항공’ 등 개인정보유출기업 다수가 ISMS 인증 받아 실효성도 의문

 

2015년 12월 개정되어 올해 6월 2일부터 시행중인 “개정 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 ‘정보통신망법’)”은 ISMS 인증 의무 대상을 의료기관, 학교 등 비영리기관으로 확대하고 과태료 규정을 강화했다. 하지만 ISMS 인증은 전자금융거래법 개정으로 폐지된 공인인증서 강제 사례처럼 정부가 인증한다는 “공인”이라는 꼬리표를 달고 있어 이른바 관치 보안의 폐해를 반복할 우려가 크다. 공인인증서 사용 강제의 폐해를 반면교사로 삼아 정부가 주도하여 인증 자체에 직접 관여하는 정책을 전면 수정해야 한다.

2001년 도입되어 2013년 의무화된 정보보호 관리체계(ISMS, Information Security Management System) 인증 제도는 기업(조직)이 각종 위협으로부터 주요 정보자산을 보호하기 위해 수립ㆍ관리ㆍ운영하는 종합적인 체계의 적합성에 대해 인증을 부여하는 제도로서 한국인터넷진흥원(KISA)이 관리하고 있다. 그동안은 정보통신망서비스 제공사업자(ISP), 집적정보통신시설 사업자(IDC), 그리고 정보통신서비스 제공자 등 주로ICT 기업 중에서 일정 규모(전년도 매출액 100억원 이상 또는 3개월간 일일평균 이용자 수 100만명 이상) 이상의 기업이 의무 대상이었는데, 작년 12월 정보통신망법 개정으로 세입이 1,500억 이상인 의료법상 상급종합병원 및 고등교육법상 재학생수 1만명 이상인 학교로 ISMS 인증 의무 대상이 확대된 것이다. 또한 의무 대상자 중 미인증 사업자에 대한 과태료도 현행 1000만원에서 3000만원으로 상향되었다.

관치 보안의 문제는 이미 오픈넷이 오랫동안 비판해 온 공인인증서 사례에서 여실히 드러났다. 즉, 정부가 “공인”한다는 정부 주도 인증 문제의 핵심은 민간 전문가들이 주도하는 기술이나 인증 제도의 발전을 저해한다는 점이고, 이는 실제 인증되는 내용이나 실질과 무관하게 국가가 인증한다는 취지의 “공인”이라는 어휘 자체에서 그대로 드러난다.

우선 정부가 고도의 전문성이 요구되는 ISMS 인증 제도를 제대로 운영할 수 있는지부터 의문이다. 실제로 2014년 국정감사에서 ISMS 인증을 받은 254개의 기업 중 정보유출 사고가 무려 30개 기업에서 발생하였다는 점이 드러난 바 있고, 여기에는 사회적 파장이 큰 NH농협이나 KT 등 개인정보나 개인신용정보가 다수 집적된 기업이 포함되어 있다. 불과 며칠 전에는 ISMS 인증을 받은 아시아나 항공의 웹사이트에서 이용자들의 개인정보가 무방비로 노출될 수 있는 시스템 오류가 발견되기도 했다. 날로 발전하는 정보통신 환경에서 정보보호체계 내지 보안시스템의 구축은 그 어느 때보다도 중요하지만, ISMS 인증처럼 정부가 최종 인증 권한 자체를 보유하고 운용하는 제도는 부작용이 훨씬 크다. 급변하는 보안 시장과 하루가 다르게 발전하는 기술을 정부와 보수적인 규제가 따라가거나 앞서가기를 바랄 수 없기 때문이다.

한편 금융사가 이용자에게 공인인증서 등의 사용을 강제한 경우 금융사고 발생시 금융사 면책을 용이하게 하는 문제가 있었다. 이와 같이 ISMS 인증을 받았음에도 보안 사고가 발생한 경우, 반대로 정부의 “공인”된 인증을 받았다는 사실만으로 쉽게 면책을 받게 된다면 그 피해가 고스란히 이용자에게 전가될 우려가 있다. 또한 공인인증서 커넥션 처럼 ISMS인증이 ”공인” 인증 체제를 유지하는 이상 담당 부처와 심사기관을 중심으로 하는 카르텔이 형성되어 제도를 더욱 공고히 할 우려도 지우기 어렵다.

이처럼 정부가 최종 인증 권한을 보유하고 내용 심사를 주도하는 이른바 “공인” 인증의 강제는 우리나라에만 존재하는 갈라파고스 규제로, 스타트업이나 중소기업에게는 진입장벽이 될 뿐만 아니라 국내 기업에게만 이중, 삼중의 부담을 안겨 역차별을 초래한다. 미국, 캐나다 등 IT 선진국 중에 국가가 주도하여 보안 인증을 강제하는 나라는 찾기 어려우며, 이들 국가에서는 민간 전문가들이 참여하여 국제적으로 공신력을 획득한 ISO 27001, PCI-DSS 등의 인증을 이용한다. 물론 현 정보통신망법에서 ‘국제표준 정보보호 인증’, 즉 ISO 27001을 받은 경우에는 인증 심사의 “일부”를 생략할 수 있다고 하여 부담을 덜어준 것 같아 보이나, ISMS 인증의 대체를 인정한 게 아니기 때문에 결과적으론 달라진 게 없다. 정부가 주도하는 ISMS 인증이 ISO 27001 보다 특별히 더 우수하다는 점도 밝혀진 바 없으며, 오히려 인증의 품질에 대해 지적하는 목소리도 있다.

더욱이 ISMS 인증은 통상 준비부터 인증까지 약 6개월 이상이 소요되고, 인증 신청을 위해서도 최소 2개월 이상의 운영 기간이 필요하다. 게다가 ISMS 인증 비용만으로도 최소 수천만원에서 수억원이 들어간다. 그런데 해외진출을 꿈꾸는 ICT 기업들은 국내에서만 인정되는 ISMS 인증 보다는 국제적인 보안 인증을 선호할 수밖에 없고, 결국 중복적으로 인증을 받아야 하는 것이 현실이다.

정부 주도의 “공인” 인증 강박의 추억은 공인인증서 사례에서 이미 충분히 경험하지 않았는가? 정부는 인증 권한을 민간 전문가에게 양보하고 사후적 관리자의 역할만 수행하는 민간 주도의 보안 인증 제도로의 개선을 촉구한다.

 

2016년 7월 19일

 

사단법인 오픈넷

 * 관련 논평: 개정 전자금융거래법 국회 본회의 통과를 환영하며 금융당국의 기술중립, 사후규제 원칙 구현을 촉구한다.

 

문의: 오픈넷 사무국 02-581-1643, master@opennet.or.kr

제주 해군기지에 이어 공군기지까지 추진하나? ‘탐색구조’는 도민 반대여론 무마하려는 감언이설에 불과 제주도를 대중국 복합 군사기지로 전락시킬 재앙의 씨앗...

  ○ 19일 개최된 124차 국립공원위원회가 10시간 파행 끝에 결론을 내지 못한 채 정회를 선언했다. 회의가 개최되는 약 10시간 동안 위원들의 정상적인 안건 상정 요구가 전혀 받아들여지지 않았으며, 각종 폭력과 기행으로 얼룩졌다. 우리는 박천규 차관의 국립공원위원회 파행 운영을 강력히 규탄한다. ○ 국립공원위원회 당연직 위원장인 박천규 차관은 시종일관 회의 자체를 연기시키기 위해 노력했다. 회의를 하루 앞둔 18일 국토교통부의 일방적인 연기 요구를 민간위원들이 거부하고 공식 안건 심의를 요구하자, 이를 상정하지 않은 채 지난 회의와 토론회 내용 검토로 시간을 끌며 파행적으로 회의를 진행했다. 또한 박우량 신안군수의 난입과 위원장 감금, 사무관 폭행사태 등에 대해 적절한 제재 조치를 취하지 않는 등 위원장으로서 회의 진행할 책임에도 불구하고 오히려 회의 진행 방해에 가까울 정도로 위원들의 표결안건 상정 요구를 묵살한 것으로 알려졌다. ○ 박 차관 등 정부 측 위원들이 회의 보류를 강력하게 요구한 것은 사실상 정부가 흑산공항 사업자인 국토부 서울지방항공청과 신안군의 편에 서있음을 선언한 것에 가깝다. 국립공원위원회는 지난 7월 20일 123차 회의에서 흑산공항 계속심의를 결정했고, 두 달여의 기간 동안 환경/안전/경제성 분야별 검토회의와 지역주민 의견 청취회의, 종합토론회 등을 진행해왔다. 이토록 지난한 과정을 거치면서 국립공원위원들은 의사결정이 가능한 정도로 여러 쟁점이 정리된 것으로 인식할 수준이 되었다고 판단했기에 표결을 요구한 것이다. 이미 117차 회의에서 조건부 보류 결정을 내린 바 있으며, 계획에 대한 보완기회를 두 번이나 결정했다. 이렇듯 여러 차례 보완기회를 주고 세심한 검토회의를 거쳐서 개최된 회의를 또 다시 보류하는 것을 납득하기 어렵다. ○ 정부 측 당연직 위원들이 일사분란하게 보류를 요구하는 배후에는 누가 있는가. 위원들의 표결요구가 강력해지자 박 차관은 정회를 선언했고, 밤 9시가 넘어 국방부와 해양수산부 등 당일 불참했던 정부측 위원들에게 회의장 출석을 요구했던 것으로 알려졌다. 그간 한 차례도 국립공원위원회에 참여한 적이 없는 부처들이 표결에 대비하거나 혹은 민간위원들을 압박하기 위해 참여한 것이다. 환경부 차관이 각 부처에 이토록 영향력을 행사한 것이라고 보기에는 정부 측의 ‘군기’는 대단했다. 이낙연 총리가 신경쓰고 있는 지역 개발사업인데다가 앞서서 흑산공항 사업에 반대해온 장차관이 개각 대상에 오르는 것을 학습한 결과가 아니겠는가. ○ 이번 흑산도 공항 건설에 대한 정부 측의 대응 양상은 앞으로 벌어질 각종 개발현안이 어떻게 전개될 지를 보여주는 중요한 바로미터다. 환경부가 이번에도 개발사업자의 요구를 관철시키기 위해 나선다면 지난 정권에서 4대강사업과 설악산케이블카 등으로 지탄받아온 행태에서 한발도 나아가지 못했음을 스스로 증명하게 될 것이다. 또한 이번 장차관 교체가 총리의 개발현안을 위한 일이었음을 반증하는 것이기도 할 것이다. 우리는 박 차관에게 환경을 지키라는 대단한 요구를 하는 것이 아니다. 최소한 위원장으로서 납득할만한 수준의 절차를 보여야 할 것이다.  

2018년 9월 20일

광주환경운동연합/광주전남불교환경연대/전남환경운동연합/천주교창조보전연대/한국환경회의