< DT 발언대> ISMS 인증기준

퓨쳐시스템 김유진 전문컨설턴트

영국의 정보보호관리체계(이하 ISMS : Information Security Management Systems) 인증기준인 ‘BS7799 Part 1’이 ISO 17799로 제정됨에 따라 BS7799 인증제도의 위상이 높아졌다. 그럼에도 국가안보와 직결되는 정보보호 분야의 특수성으로 인해 세계 여러 나라는 BS7799 인증 대신 자국의 실정에 맞는 ISMS 인증제도를 제정하여 시행하고 있다. 우리나라에서도 한국정보보호진흥원이 지난해부터 BS7799 인증기준을 바탕으로 국가 ISMS 인증기준을 개발 중이며, 올해부터 인증제도를 시행할 예정이다.

그러나 우리나라 기업들이 정보보호 관리의 중요성을 인식하기 시작한 지 채 2년도 되지 않았고, 또 인식했다 하더라도 ISMS를 구축하여 운영하고 있는 기업들이 소수인 현 시점에서 국가 ISMS 인증제도가 기업ISMS의 적합성 보증이라는 목적을 달성하기 위해서는 다음 두 가지 사항을 고려하여 인증기준을 개발해 시행해야 할 것이다.

첫째, 우리나라 기업들의 현실을 고려한 인증기준을 개발해야 한다. 선진국들의 정보보호관리체계라 해서 반드시 우리 현싱에 맞을 수는 없다. 따라서 인증기준 항목들을 개발할 때 단순히 선진국의 방식을 그대로 적용하기 보다는 우리나라 기업들이 구축해 운영할 수 있는 항목들인가를 먼저 고려해야 한다. 그래야 우리 실정에 맞는 ISMS인증기준이라는 본래의 국가 ISMS 인증제도 목적을 달성할 수 있다.

둘째, 문서 중심이 아닌 실제 내용을 심사할 수 있는 심사기준과 방법을 개발하여야 한다. 얼마 전 국내에 불어닥친 ISO 9000 품질 인증은 표준 및 운영기록 등 문서 중심의 심사방법으로 인해, 기업들이 실제적인 품질향상 노력보다는 인증획득에 필요한 문서 작성에 치중하게 되어 ’ISO 9000 인증 획득은 문서화만 잘하면 된다’라는 잘못된 인식이 확산되는 폐단을 낳았다. 따라서 기업들이 ISMS인증서 한 장에 의미를 두기보다는 인증을 획득하기 위해 한단계씩 준비하고 배우는 과정에서 실제로 도움을 받을 수 있도록 심사기준 및 방법을 개발해야 한다. 그래야 만이 ISMS의 적합성을 보증하는 제도로서 국가 ISMS 인증제도가 자리 잡을 수 있을 것이다.