쿠팡에서 약 3400만 건에 이르는 개인정보가 유출된 가운데 지난 4일 서울 시내 한 쿠팡 물류센터에 배송차량이 주차돼 있다. 연합뉴스

정부가 정보보호 관리체계(ISMS)와 정보보호·개인정보보호 관리체계(ISMS-P) 인증 제도의 사후관리와 심사 기준을 강화하기로 했다. 최근 쿠팡 등에서 대규모 개인정보 유출 사고가 발생한 데 따른 조치다.

개인정보보호위원회와 과학기술정보통신부는 6일 관계부처 대책회의에서 이러한 인증제 개선 방안을 논의했다고 밝혔다.

개편안에 따르면 기존에 자율 신청 방식으로 운영돼 온 ISMS-P 인증을 공공·민간 주요 개인정보처리시스템에 의무화해 상시적 안전관리체계를 갖추도록 한다. 주요 공공시스템, 통신사, 대규모 플랫폼 등이 대상이다.

심사 방식도 바뀐다. 인증 범위에 자산현황을 추가하는 한편 예비심사 단계에서 핵심 항목을 먼저 검증하고, 기술심사와 현장실증 심사 역시 강화한다. 분야별 인증위원회를 운영하고 심사원에 대한 AI 등 신기술 교육을 확대해 전문성도 높인다.

사후관리도 엄격해진다. 인증기업에서 유출 사고가 발생하면 즉시 특별 사후심사를 해 인증기준 충족 여부를 확인하고, 중대한 결함이 드러날 경우 인증위원회 심의·의결을 거쳐 인증을 취소할 수 있도록 한다. 아울러 사고기업에는 사후심사 인력과 기간을 기존보다 두 배로 투입해 사고원인과 재발 방지 조치를 집중 점검하기로 했다.