송경희 개인정보보호위원장


퇴사자와 외주 인력의 계정이 퇴사 이후에도 남아 있고 서비스는 중단됐는데 졸업증명서와 이력서가 서버 어딘가에 쌓여 있는 모습이 낯설지 않다. 성별처럼 굳이 받지 않아도 되는 정보가 수집되고 부서마다 제각각 개인정보를 처리하다 보니 조직 차원에서 무엇을, 어디까지 보호해야 하는지조차 보이지 않는 경우도 많다. 정보보호 및 개인정보 보호 관리체계인 ‘ISMS-P 인증’을 준비하는 과정에서 이런 문제들이 하나씩 드러난다. 퇴사자와 불필요한 계정을 정리하고 수집 목적이 끝난 개인정보를 제때 파기하는 절차를 마련하며 필요 없는 릴게임모바일 정보는 받지 않도록 설계를 바꾸는 일들이 시작된다. 흩어져 있던 개인정보의 흐름을 전담 조직과 내부 포털을 통해 중앙에서 관리하기도 한다. ‘어디부터 손대야 할지 모르겠다’던 막연함이 구체적인 기준 앞에서 행동으로 바뀐다. 그럼에도 인증을 받은 기업에서 사고가 발생하는 현실은 무겁다. 서면 위주의 심사와 특정 시점을 찍어서 보는 평가는 일상적인 운영에서 생 온라인골드몽 겨나는 느슨함과 우회로를 모두 포착하지 못한다. ‘인증을 받았는데 왜 사고가 났는가’라는 질문 앞에서 우리는 인증제도에 무엇을 기대해야 하는지를 되묻게 된다. 인증제도는 산업사회에서 정보 비대칭을 줄이기 위해 등장했다. 대량생산과 복잡한 서비스가 일상이 되면서 이용자는 기업의 내부 설계와 운영을 직접 확인할 수 없게 됐다. 그 공백을 메우기 위해 제3자가 릴게임오션파라다이스 기준과 절차를 마련해 일정 수준 이상의 안전과 신뢰를 확인해 주는 장치가 필요했고, 그 역할을 맡아온 것이 각종 인증제도다. 인증은 완전무결함을 보장하는 것이 아니라 사회가 요구하는 신뢰의 최소 기준을 정하고 확인하는 절차다. ISMS-P 인증 역시 이 흐름 위에서 만들어졌다. 국제표준화기구(ISO)/IEC 27001과 27701 등 국제표준을 기반으로 하 모바일바다이야기하는법 되 우리 법과 정보통신 환경을 반영해 통제 기준을 강화한 한국형 통합 인증이다. 유럽은 ISO와 유럽연합(EU) 사이버보안 인증을, 미국은 ISO와 SOC 2를 활용한다. 어느 나라에서나 인증은 ‘한 번의 심사’와 ‘지속적인 운영’ 사이의 간극이라는 구조적 문제를 갖고 있다. 한 번의 심사로 상태를 찍어 보는 스냅샷 방식에서, 일정 기간 실제 운영을 추적하 릴게임하는법 고 개선을 요구하는 방식으로 가야 한다는 것이 세계적 흐름이다. 정부도 ISMS-P 인증을 개선하고 있다. 예비심사로 준비 수준을 미리 점검하고 현장에서 문서가 아닌 실제 시스템과 업무 흐름을 확인한다. 인증 이후에도 사후 심사와 수시 점검을 통해 기준이 실제로 작동하는지를 살핀다. 중대한 사고가 발생하면 특별심사와 인증 취소도 가능하다. 인증을 취득하면 끝이 아니라 일정 수준 이상의 보호조치를 지속적으로 유지·개선하고 있다는 사회적 약속이 지켜지도록 하기 위한 조치다. 기업은 인증을 계기로 관리체계를 점검·개선하는 주체가 돼야 한다. 정부는 제도가 형식에 머물지 않도록 계속 다듬어야 한다. ISMS-P의 가치는 ‘있다, 없다’를 판정하는 표지에 있지 않다. 이 제도가 우리 사회 전체의 데이터 보호 수준을 실질적으로 끌어올리는 인프라로 작동하느냐가 관건이다. 인증은 신뢰의 최소 기준일 뿐이다. 그 위에 각 조직의 책임과 정부의 지속적 개선이 더해질 때 제도의 의미는 지속된다. 여론독자부 opinion2@sedaily.com