ISMS-P 인증 기준/개정

ISMS-P 인증 기준/개정은 ISMS-P 인증 기준이 2018년 11월 통합 이후 어떻게 개정되어 왔는지를 판별로 정리한 문서이다. 인증심사·사후관리 등 제도의 변화는 다루지 않는다.

개요

ISMS-P 인증기준은 「정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시」 [별표 7]에 정해져 있다. 한국인터넷진흥원은 이를 바탕으로 기준별 주요 확인사항을 담은 '세부점검항목'과 세부 설명, 증거자료 예시, 결함사례를 담은 '인증기준 안내서'를 펴낸다. 고시가 바뀌면 세부점검항목과 안내서가 뒤따라 개정된다.

판	근거	인증기준 수	주요 확인사항 수
2019년 1월(세부점검항목 1월 17일, 안내서 1월 18일)	2018년 11월 7일 전부개정 고시	102개	325개
2022년 4월 22일(세부점검항목, 안내서)	개인정보보호위원회고시 제2020-13호	102개	322개
2023년 10월 31일(세부점검항목), 11월 23일(안내서)	개인정보보호위원회고시 제2023-8호(2023년 10월 5일)	101개	328개
2024년 7월 24일(간편인증 세부점검항목)	2024년 7월 24일 개정 고시 [별표 7의2]·[별표 7의3]	62개 / 65개	232개 / 222개

근거 고시 번호는 2023년판 안내서의 제·개정 이력과 국가법령정보센터의 고시 부칙에 따랐다. 확인사항 수는 각 판 세부점검항목 파일의 실제 행을 센 값이다.

장별 규모는 다음과 같다.

판	인증기준 수			주요 확인사항 수
	1장	2장	3장	1장	2장	3장
2019.1	16	64	22	42	192	91
2022.4	16	64	22	42	192	88
2023.10	16	64	21	42	195	91

• 1장은 관리체계 수립 및 운영, 2장은 보호대책 요구사항, 3장은 개인정보 처리단계별 요구사항이다. 세 장을 모두 적용하면 ISMS-P, 1장과 2장만 적용하면 ISMS다.
• 2022년판 파일의 3장 머리글은 여전히 '세부항목(91개)'로 적혀 있지만 실제 확인사항은 88개다.

2018년 통합

2018년 11월 7일 PIMS와 ISMS를 하나로 묶은 고시가 시행되면서 ISMS-P 인증기준이 만들어졌다. ISMS 104개와 PIMS 86개 인증기준 가운데 같거나 비슷한 항목(ISMS 쪽 82개, PIMS 쪽 58개)을 합쳐 80개로 만들고, PIMS의 생명주기 영역을 개인정보 특화항목 22개로 따로 떼었다.

구분	인증기준 수	구성
ISMS(통합 전)	104개	관리과정 12, 정보보호 대책 92
PIMS(통합 전)	86개	관리과정 16, 보호대책 50, 생명주기 20(유형별 차등 적용)
ISMS-P(통합 후)	102개	관리체계 수립 및 운영 16, 보호대책 요구사항 64, 개인정보 처리단계별 요구사항 22
ISMS(통합 후)	80개	관리체계 수립 및 운영 16, 보호대책 요구사항 64

출처: 한국인터넷진흥원, 「인증제도 통합에 따른 고시 개정사항 안내」

ISMS 쪽 변화(104개 → 80개)

• 신설 3개: 1.2.2 현황 및 흐름분석, 2.3.1 외부자 현황 관리, 2.10.2 클라우드 보안
• 기존 기준 2~6개를 하나로 합친 기준 18개: 1.1.3 조직 구성, 1.1.5 정책 수립, 1.2.3 위험 평가, 2.1.1 정책의 유지관리, 2.1.3 정보자산 관리, 2.2.4 인식제고 및 교육훈련, 2.3.2 외부자 계약 시 보안, 2.3.3 외부자 보안 이행 관리, 2.4.3 정보시스템 보호, 2.4.7 업무환경 보안, 2.5.4 비밀번호 관리, 2.6.6 원격접근 통제, 2.8.1 보안 요구사항 정의, 2.8.2 보안 요구사항 검토 및 시험, 2.9.2 성능 및 장애관리, 2.11.1 사고 예방 및 대응체계 구축, 2.11.5 사고 대응 및 복구
• 예를 들어 2.2.4 인식제고 및 교육훈련은 종전 ISMS의 5.1.1 교육계획, 5.1.2 교육대상, 5.1.3 교육내용 및 방법, 5.2.1 교육시행 및 평가 4개를 합친 것이다.
• 삭제된 기준은 없고 3개가 분리되었다. 한국인터넷진흥원은 "인증기준의 개수는 줄었으나 실질적인 인증의 내용이 약화된 것은 아님"이라고 설명했다.

PIMS 쪽 변화(86개 → 102개)

• 신설 16개(법적 요구사항과 개인정보처리시스템 보호에 필요한 사항)
  • 보호대책 요구사항 12개: 2.3.1 외부자 현황 관리, 2.3.4 외부자 계약 변경 및 만료 시 보안, 2.4.3 정보시스템 보호, 2.6.5 무선 네트워크 접근, 2.9.1 변경관리, 2.9.2 성능 및 장애관리, 2.10.2 클라우드 보안, 2.10.4 전자거래 및 핀테크 보안, 2.10.5 정보전송 보안, 2.11.2 취약점 점검 및 조치, 2.12.1 재해, 재난 대비 안전조치, 2.12.2 재해 복구 시험 및 개선
  • 개인정보 처리단계별 요구사항 4개: 3.1.7 홍보 및 마케팅 목적 활용 시 조치, 3.2.4 이용자 단말기 접근 보호, 3.4.2 처리목적 달성 후 보유 시 조치, 3.4.3 휴면 이용자 관리
• 기존 기준을 합친 기준 15개
  • 관리체계 수립 및 운영 2개: 1.1.5 정책 수립, 1.2.3 위험 평가
  • 보호대책 요구사항 7개: 2.3.2 외부자 계약 시 보안, 2.4.7 업무환경 보안, 2.5.1 사용자 계정 관리, 2.5.6 접근권한 검토, 2.7.1 암호정책 적용, 2.8.2 보안 요구사항 검토 및 시험, 2.9.4 로그 및 접속기록 관리
  • 개인정보 처리단계별 요구사항 6개: 3.1.2 개인정보의 수집 동의, 3.1.3 주민등록번호 처리 제한, 3.1.6 영상정보처리기기 설치·운영, 3.2.3 개인정보 표시제한 및 이용 시 보호조치, 3.4.1 개인정보의 파기, 3.5.2 정보주체 권리보장
• 삭제된 기준은 없고 7개가 분리되었다.
• 슬라이드 원문에는 '정보시스템 보호'가 2.4.5로 적혀 있으나, 인증기준 번호로는 2.4.3이다.

경과조치

고시 시행 후 6개월(2019년 5월 7일)까지는 개정 전 인증기준으로 최초심사와 갱신심사를 받을 수 있었다.

2019년 1월판

통합 고시에 맞춰 2019년 1월 17일 세부점검항목 수정판이, 1월 18일 인증기준 안내서가 처음 나왔다. 안내서는 인증기준마다 주요 확인사항, 관련 법규, 세부 설명, 증거자료 예시, 결함사례를 싣는 형식을 갖췄고, 이후 판도 이 형식을 이어 간다.

2022년 4월 개정

2022년 4월 22일 세부점검항목과 인증기준 안내서가 함께 개정되었다. 2023년판 안내서의 제·개정 이력은 이 판을 "개인정보보호위원회고시 제2020-13호 기준 개정"으로 적고 있다. 인증기준의 수와 이름은 그대로였고, 주요 확인사항이 바뀐 곳은 다음과 같다.

인증기준	변경 내용
3.2.3 개인정보 표시제한 및 이용 시 보호조치	'비식별 조치'와 '재식별 가능성 모니터링'을 묻던 확인사항 2개를 가명처리 확인사항 2개로 바꿨다. 가명처리의 적정성 평가, 다른 개인정보처리자 간 가명정보 결합 시 국가가 지정한 전문기관 경유, 추가 정보의 삭제 또는 분리 보관, 처리 기록 작성·보관을 묻는다.
3.3.2 업무 위탁에 따른 정보주체 고지	확인사항을 5개에서 2개로 줄였다. 위탁 동의, 수탁자나 위탁 업무가 바뀔 때의 고지·동의, 재위탁 시 위탁자의 사전 동의를 묻던 확인사항 3개가 빠졌다.
3.3.4 개인정보의 국외이전	국외 처리위탁·보관 시 "동의에 갈음하여 관련 사항을 이용자에게 알리고 있는가"를 "이전되는 개인정보 항목, 이전되는 국가 등 필요한 사항을 모두 이용자에게 알리고 있는가"로 구체화했다.
2.2.1 주요 직무자 지정 및 관리	개인정보취급자 목록을 "최신으로" 관리하는지 묻도록 바꿨다.
1.1.5 정책 수립, 1.1.6 자원 할당, 1.4.3 관리체계 개선, 2.3.1 외부자 현황 관리	"수립하였는가"를 "수립하고 있는가"로 바꾸는 등 문장 어미를 정비했다.

가명처리로의 교체는 2020년 「개인정보 보호법」 개정(데이터 3법)으로 가명정보 제도가 생긴 것과 맞물린다.

2023년 개정

2023년 10월 5일 고시 개정에 이어 10월 31일 세부점검항목, 11월 23일 인증기준 안내서가 개정되었다. 2023년 3월 개정되어 9월 15일 시행된 「개인정보 보호법」을 반영한 판으로, 3장이 크게 바뀌어 인증기준이 102개에서 101개로 줄었다. 확인사항 문장별 신구 대조는 ISMS-P 인증 기준 세부점검항목 개정(23.10.31) 문서에 있다.

1장 관리체계 수립 및 운영

1장은 인증기준과 주요 확인사항 문장이 바뀌지 않았다. 안내서 쪽에서는 다음이 달라졌다.

• 1.1.2 최고책임자의 지정: 정보보호 최고책임자 지정요건과 개인정보 보호책임자의 업무가 개정 법령에 맞춰 정리되었다.
• 1.1.5 정책 수립: 내부 관리계획 수립에 "1만명 미만의 정보주체에 관하여 개인정보를 처리하는 소상공인·개인·단체의 경우에는 생략 가능"하다는 단서가 들어갔다.

2장 보호대책 요구사항

인증기준	변경 내용
2.3.3 외부자 보안 이행 관리	재위탁 시 위탁자의 "승인"을 받는지 묻던 것을 "동의"로 바꿨다.
2.4.7 업무환경 보안	개인정보가 포함된 종이 인쇄물 등 출력·복사물의 보호조치를 묻는 확인사항이 추가되었다(종전 3.2.3에서 옮김). 확인사항 3개 → 4개
2.5.4 비밀번호 관리	첫 확인사항의 대상을 '정보시스템 및 개인정보처리시스템'에서 '정보시스템'으로 좁히고, 개인정보취급자와 정보주체의 인증수단을 안전하게 적용·관리하는지 묻는 확인사항을 추가했다. 확인사항 2개 → 3개. 안내서의 비밀번호 변경주기 예시도 "반기별 1회 이상"에서 "주기적 변경 여부 및 변경주기는 위험평가 결과 등을 고려하여 자체적으로 결정"으로 바뀌었다.
2.6.3 응용프로그램 접근	개인정보 및 중요정보의 표시제한 보호조치에 일관된 기준을 두는지 묻는 확인사항이 추가되었다(종전 3.2.3에서 옮김). 노출 최소화 확인사항의 대상도 '중요정보'에서 '개인정보 및 중요정보'로 넓혔다. 확인사항 4개 → 5개
2.6.6 원격접근 통제	관리용 단말기 지정 대상을 개인정보처리시스템에 "직접 접속하는" 단말기에서 "접속하는" 단말기로 넓혔다.
2.6.7 인터넷 접속 통제	"인터넷 망분리 의무"를 "인터넷망 차단 의무"로 바꿨다. 안내서 본문에서 '망분리'는 18번에서 2번으로 줄고 '인터넷망 차단'이 19번 쓰였다.
2.7.1 암호정책 적용	암호화 대상 표기를 "개인정보 및 중요 정보"에서 "개인정보 및 주요정보"로 바꿨다.
2.9.4 로그 및 접속기록 관리	로그기록을 "별도 저장장치를 통해 백업"하는지에서 "위·변조 및 도난, 분실되지 않도록 안전하게 보관"하는지로 바꿨다.
2.11.5 사고 대응 및 복구	안내서에 개인정보 유출 등을 알게 된 때부터 72시간 이내에 통지·신고하는 기준이 들어갔다.
2.12.1 재해·재난 대비 안전조치	이름의 쉼표를 가운뎃점으로 바꿨다(재해, 재난 → 재해·재난).

3장 개인정보 처리단계별 요구사항

번호가 바뀐 기준이 있어 2022년판과 2023년판을 내용으로 짝지었다.

2022년판	2023년판	변경 내용
3.1.2 개인정보의 수집 동의	3.1.1 개인정보 수집·이용	수집·이용 전반을 다루는 기준으로 바뀌어 1번이 되었다. 동의뿐 아니라 법령상 의무준수, 계약 체결·이행 등 적법 요건에 따라 수집하는지, 만 14세 미만 아동에게 이해하기 쉬운 양식과 언어로 알리는지, 동의 없이 처리하는 개인정보의 항목과 법적 근거를 구분해 공개하는지, 동의 없는 추가적 이용의 판단기준을 세워 공개하는지를 묻는다. 확인사항 6개 → 9개
3.1.1 개인정보 수집 제한	3.1.2 개인정보 수집 제한	2번으로 옮겼다. 최소한의 정보 외의 수집에는 동의하지 않을 수 있다는 사실을 구체적으로 알리는지 묻는다.
3.1.3 주민등록번호 처리 제한	3.1.3 주민등록번호 처리 제한	아이핀, 휴대폰 인증 등 대체수단 제공을 묻던 것을 "인터넷 홈페이지를 통하여 회원으로 가입하는 단계에서는 주민등록번호를 사용하지 아니하고도 회원으로 가입할 수 있는 방법"을 제공하는지로 바꿨다.
3.1.4 민감정보 및 고유식별정보의 처리 제한	3.1.4 민감정보 및 고유식별정보의 처리 제한	재화·서비스 제공 과정에서 공개되는 정보에 민감정보가 들어가 사생활 침해 위험이 있으면 공개 가능성과 비공개 선택 방법을 미리 알리는지 묻는 확인사항이 추가되었다. 확인사항 2개 → 3개
3.1.5 간접수집 보호조치	3.1.5 개인정보 간접수집	이름이 바뀌었다. 확인사항은 '정보주체(이용자)'를 '정보주체'로 바꾸는 등 표현을 정비했다.
3.1.6 영상정보처리기기 설치·운영	3.1.6 영상정보처리기기 설치·운영	고정형과 이동형 영상정보처리기기로 나누었다. 업무 목적으로 공개된 장소에서 이동형 기기를 운영할 때의 법적 허용 요건과, 불빛·소리·안내판 등으로 촬영 사실을 표시하는지 묻는 확인사항이 추가되었다. 확인사항 6개 → 8개
3.1.7 홍보 및 마케팅 목적 활용 시 조치	3.1.7 마케팅 목적의 개인정보 수집·이용	이름이 바뀌었다.
3.2.2 개인정보 품질보장	3.2.2 개인정보 품질보장	개인정보를 최신 상태로 정확하게 유지하기 위한 절차와 방안을 수립·이행하는지 묻도록 바뀌었다.
3.2.3 개인정보 표시제한 및 이용 시 보호조치	(해체)	표시제한 기준의 일관성은 2.6.3으로, 출력·복사물 보호는 2.4.7로, 가명처리는 3.2.5로 옮겼다. 조회·출력 시 용도에 따른 출력항목 최소화와 일치검색 등 검색조건을 묻던 확인사항은 빠지고, 그 내용은 2.6.3의 안내서 세부 설명으로 옮겨졌다.
3.2.4 이용자 단말기 접근 보호	3.2.3 이용자 단말기 접근 보호	번호만 당겨졌다.
3.2.5 개인정보 목적 외 이용 및 제공	3.2.4 개인정보 목적 외 이용 및 제공	번호가 당겨졌다. 다른 개인정보처리자로부터 제공받은 개인정보를 제공받은 목적의 범위에서만 쓰는지 묻는 확인사항이 추가되었다. 확인사항 5개 → 6개
(없음)	3.2.5 가명정보 처리	신설. 가명처리의 적정성, 가명정보 결합 시 결합전문기관 경유, 추가 정보 분리 보관, 처리기간과 파기, 익명처리의 적정성 등을 묻는다.
3.3.1 개인정보 제3자 제공	3.3.1 개인정보 제3자 제공	제공의 적법 요건을 명확히 식별해 지키는지, 다른 동의사항과 구분해 동의를 받는지, 동의 없는 추가적 제공의 판단기준을 세워 공개하는지 묻는 확인사항이 추가되었다. 확인사항 5개 → 7개
3.3.2 업무 위탁에 따른 정보주체 고지	3.3.2 개인정보 처리 업무 위탁	이름이 바뀌고, 위탁 업무와 수탁자를 공개할 때 "재위탁 포함"이라는 문구가 들어갔다.
3.3.3 영업의 양수 등에 따른 개인정보의 이전	3.3.3 영업의 양도 등에 따른 개인정보 이전	이름이 바뀌었다(양수 → 양도). 통지 주체를 '영업양수자 등'에서 '개인정보를 이전받는 자'로 바꿨다.
3.3.4 개인정보의 국외이전	3.3.4 개인정보 국외이전	별도 동의 외에 "인증 또는 인정 등 적법 요건"을 갖춘 국외 이전도 확인하도록 바뀌었다. 국외 처리위탁·보관 고지는 정보주체와의 계약 체결·이행을 위한 경우로 고쳐 썼다.
3.4.1 개인정보의 파기	3.4.1 개인정보 파기	이름의 조사가 빠졌다(개인정보의 파기 → 개인정보 파기).
3.4.3 휴면 이용자 관리	(삭제)	법 개정으로 정보통신서비스 제공자의 개인정보 유효기간제(구 제39조의6 개인정보의 파기에 대한 특례)가 없어지면서 기준이 삭제되었다.
3.5.1 개인정보처리방침 공개	3.5.1 개인정보 처리방침 공개	법령에서 요구하는 내용을 "알기 쉬운 용어로 구체적이고 명확하게" 작성했는지 묻도록 바뀌었다.
3.5.2 정보주체 권리보장	3.5.2 정보주체 권리보장	열람, 정정·삭제, 처리정지 요구를 따로 묻던 확인사항을 '열람등요구'로 묶었다. 확인사항 8개 → 6개. 안내서의 관련 법규와 세부 설명에는 개인정보 전송 요구와 자동화된 결정에 대한 정보주체의 권리가 새로 들어갔다.
3.5.3 이용내역 통지	3.5.3 정보주체에 대한 통지	이름이 바뀌었다. 통지 대상을 '이용내역'에서 '이용·제공 내역 또는 그 내역을 확인할 수 있는 정보시스템에 접속하는 방법'으로 넓혔다.

3.2.1 개인정보 현황관리와 3.4.2 처리목적 달성 후 보유 시 조치는 바뀌지 않았다.

법령 근거와 용어 정비

2023년 9월 15일 「개인정보의 기술적·관리적 보호조치 기준」이 폐지되고 「개인정보의 안전성 확보조치 기준」으로 일원화되면서, 2022년판 안내서에 43번 나오던 「개인정보의 기술적·관리적 보호조치 기준」은 2023년판에서 모두 빠졌다. 정보통신서비스 제공자 특례가 일반 규정으로 합쳐진 것에 맞춰 '정보주체(이용자)'라는 표기도 141번에서 12번으로 줄었다. 안내서에서 '증적'으로 쓰던 말은 '증거자료'로 바뀌었다(20번에서 1번).

2024년 간편인증 기준

2024년 1월 23일 신설된 「정보통신망법 제47조의7」에 따라, 같은 해 7월 24일 고시가 개정되어 ISMS-P 인증의 특례(간편인증)용 완화된 인증기준인 [별표 7의2]와 [별표 7의3]이 생겼다. 어느 별표를 적용하는지는 고시 제23조 제3항과 제4항이 정한다.

별표	적용 대상	ISMS-P 인증기준	ISMS 인증기준
[별표 7]	일반	101개(1장 16, 2장 64, 3장 21)	80개
[별표 7의2]	소기업, 정보통신서비스 부문 매출액 300억 원 미만인 중기업	62개(1장 8, 2장 33, 3장 21)	40개(1장 중 1.1.2 제외)
[별표 7의3]	정보통신서비스 부문 매출액 300억 원 이상이고 주요 정보통신설비를 직접 운영하지 않는 중기업	65개(1장 11, 2장 33, 3장 21)	44개

간편인증 기준은 1장과 2장의 기준 수를 줄이고 3장 21개는 그대로 둔다.

향후

• 2023년판 안내서는 발간일부터 3년마다, 곧 2026년 12월 31일까지 보완·개선 여부를 검토하도록 재검토 기한을 두고 있다.
• 2026년 4월과 5월 인증 신청서 양식이 개정되었으나, 한국인터넷진흥원은 운영명세서와 인증기준은 변동이 없다고 밝혔다.
• 2026년 4월 10일 발표된 정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안은 인증기준을 3단계로 나누는 안을 내놓았다. 표준인증은 지금의 ISMS 80개·ISMS-P 101개, 간편인증은 ISMS 44개·ISMS-P 65개이고, 강화인증은 표준인증기준에 강화인증기준 20개(세부점검항목 76개, 안)를 더한다. 강화 인증기준은 사업자에게 먼저 배포해 적용을 안내한 뒤 고시에 반영해 2027년부터 의무 적용하는 계획이다. 무선 네트워크 보안, 주요정보 난독화, CISO·CPO 권한 강화 등 기존 안내서의 미비점 보완은 2026년 하반기부터 추진한다.
• 2026년 11월 현재 국가법령정보센터의 현행 고시는 2024년 7월 24일 개정판이다.

원문 자료

아래 자료는 모두 한국인터넷진흥원이 운영하는 ISMS-P 누리집에 올라 있으며, 첨부파일은 각 게시글에서 받을 수 있다(2026년 11월 7일 확인).

게시일	자료	첨부 형식
2018.11.7	정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시(전부개정 전문)	HWP
2018.11.15	ISMS-P 인증기준과 개정 전 인증기준 비교표 v1.2	PDF, XLSX
2018.11.15	인증 설명회 자료(고시 개정사항 안내, 인증기준 주요 변경사항)	PDF 2개
2018.11.29	통합 인증제도 질문과 답변 v1.0	PDF
2019.1.17	ISMS-P 인증기준 세부점검항목(2019.1.17)	XLSX
2019.1.18	ISMS-P 인증기준 안내서(2019.1.18)	PDF
2022.4.22	ISMS-P 인증기준 세부점검항목(2022.4.22)	XLSX
2022.4.22	ISMS-P 인증기준 안내서(2022.4.22)	PDF
2023.10.31	ISMS-P 인증기준 세부점검항목(2023.10.31)	XLSX
2023.11.23	ISMS-P 인증기준 안내서(2023.11.23)	PDF
2024.7.24	ISMS-P 간편인증 세부점검항목([별표 7의2, [별표 7의3])]	XLSX 2개
2026.5.12	현행 고시 [별표 7, [별표 7의2], [별표 7의3] 인증기준(신청서 양식 2.5판 게시글에 첨부)]	HWP

같이 보기

• ISMS-P 인증 기준
• ISMS-P 인증 기준 세부점검항목 개정(23.10.31)
• ISMS-P 인증기준 세부점검 목록표
• ISMS-P 인증의 특례
• 정보보호 및 개인정보보호관리체계 인증