의료·교육기관 정보보호 관리체계(ISMS) 인증 의무화

[박영례기자] 앞으로 의료 및 교육 등 비영리 기관도 정보보호 관리체계 (ISMS) 인증을 받아야 한다. 다만 전자금융거래법 대상인 금융기관은 중복 규제 등 문제로 대상에서 제외됐다.

미래창조과학부(장관 최양희)는 이같은 내용을 담은 '정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 정보통신망법)' 개정안이 오는 2일 시행된다고 발표했다.

지난해 12월 1일 공포된 이번 정보통신망법 개정안 및 시행령에 따르면 ISMS 인증 신규 의무대상으로 세입이 1천500억 이상인 의료법상 상급종합병원 및 고등교육법상 재학생수 1만명 이상인 학교가 추가됐다.

의무대상을 기존 영리목적의 정보통신서비스 제공자에 한정하지 않고, 의료·교육 등 민감정보를 다루는 비영리기관으로 까지 확대한 것.

다만 금융회사는 대상에서 제외됐다. 규제개혁위원회에서 전자금융거래법에 따른 금융회사에 대해서는 중복규제 등의 우려로 이의 개선을 권고함에 따른 조치다.

아울러 정보보호 경영시스템 인증(ISO/IEC 27001), 개인정보보호 관리체계 인증 및 주요정보통신기반시설 취약점의 점검 분석·평가 등을 받은 경우, ISMS 심사항목 일부를 생략할 수 있도록 해 기업 부담을 완화했다.

대신 정보보호 관리체계 인증 미취득자에 대한 과태료 부과 상한을 현행 1천만원 이하에서 3천만원 이하로 상향, 관리 감독은 강화했다.

미래부 송정수 정보보호정책관은 “이번 개정으로 정보보호 사각지대 해소와 인증 의무 위반자에 대한 행정처분 강화로 제도의 실효성을 확보할 수 있게 됐다"고 설명했다.

한편, 미래부는 이달 중 이번 정보통신망법 개정에 따라 신규 의무대상으로 포함된 의료·교육기관을 대상으로 설명회를 개최할 예정이다.