ISMS-P 인증의 특례
IT 위키
더 많은 작업
- 상위 문서: 정보보호 및 개인정보보호관리체계 인증
인증의 특례는 인증 취득에 어려움을 겪는 중소기업의 부담을 완화하고 제도권 편입을 촉진하기 위하여, 완화된 인증기준과 절차로 ISMS 또는 ISMS-P 인증을 받을 수 있도록 한 제도이다. 「정보통신망법」 제47조의7(정보보호 관리체계 인증의 특례) 신설에 따라 2024년 7월 시행되었다.
- 의무대상자인 동시에 인증의 특례 대상에 해당하는 자는 인증의 특례에 따라 인증을 받은 경우에도 인증 의무를 이행한 것으로 본다.
「정보통신망법」 제47조의7제1항 및 같은 법 시행령 제49조의2
| 구분 | 대상 |
|---|---|
| 소기업 | 「중소기업기본법」 제2조제2항 및 같은 법 시행령 제8조제1항에 따른 소기업 |
| 중기업 | 정보통신서비스 부문 전년도 매출액이 300억 원 미만인 자 |
| 정보통신서비스 부문 전년도 매출액이 300억 원 이상이나 주요 정보통신설비를 직접 설치·운영하지 아니한 자로서, 인증을 받은 자의 호스팅 서비스 또는 클라우드컴퓨팅 서비스를 이용하는 자 |
- 다른 법인이 제공하는 웹호스팅 서비스 또는 클라우드 서비스를 이용함에 따라 별도 서버(VM, EC2 등 가상서버 포함)가 없거나, 서버 운영체제(Windows, Linux 등)·데이터베이스시스템(Oracle, MS-SQL 등)에 대한 관리 책임이 없는 경우를 의미한다.
- 시스템 기본 계정(root/administrator) 접근권한, 취약점 및 패치관리 등에 대한 책임 여부로 판단
- 외부 서비스망 연결 또는 내부 시스템 운영을 위한 정보통신설비(외부 IDC, 클라우드 서비스 등)는 주요 정보통신설비에 해당하지 않는다.
- 웹호스팅 서비스 또는 클라우드 서비스(SaaS, PaaS)를 이용하는 경우 ISMS, ISMS-P, CSAP 인증을 취득한 서비스를 이용하여야 한다.
다음은 인증의 특례 대상에서 제외한다.
- 정보통신망서비스 제공자(ISP), 집적정보통신시설 사업자(IDC)
- 상급종합병원, 대학교
- 금융회사(「전자금융거래법」 제2조제3호)
- 가상자산사업자(「특정금융정보법」 제2조제1호하목)
특례 대상에는 「정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시」의 완화된 인증기준이 적용된다.
| 별표 | 근거 | 항목 수 |
|---|---|---|
| [별표 7] | 고시 제23조 | 101개(표준 인증기준) |
| [별표 7의2] | 고시 제23조제3항 | 62개 |
| [별표 7의3] | 고시 제23조제4항 | 65개 |
- 특례 대상별로 어느 별표가 적용되는지는 고시 제23조제3항·제4항에서 정한다.
인증의 특례에 따라 인증심사를 수행하고자 하는 경우, 신청기관은 다음 서류를 함께 제출하여 스스로 인증의 특례 대상임을 증명하여야 한다.
- 중소기업 확인서
- 정보통신서비스 부문 매출액 자료
- 주요 정보통신설비 미보유 증명 자료
- ISMS-P 인증제도 안내서(2024.07), 한국인터넷진흥원