ISMS 의무화 두고 업계는 '기대 반 우려 반'

[김국배기자] 정보통신망법 개정안에 따른 정보보호관리체계(ISMS) 의무화 시행에 대해 보안업계의 반응은 기대 반 우려 반이다.

법적 의무화로 ISMS 인증을 획득해야 하는 대상 기업이 확대되면서 보안업계의 수혜가 기대되기는 하나 새로운 문제점들이 불거질 수도 있다는 우려에서다.

지난 18일 정보통신망법 개정안이 시행되면서 기존의 안전진단 제도가 폐지되고 정보보호 인증제도(ISMS)가 도입됐다. 지금까지 권고사항이었던 ISMS는 연말까지 반드시 받아야 하는 의무사항이 됐다.

가장 직접적인 수혜가 예상되는 보안컨설팅 업계는 이에 대해 기대가 크다. 약 350개의 대상기업이 대부분 컨설팅을 의뢰한다고 가정하면 기존 영역 외 신규 보안 컨설팅 매출 확대가 가능하기 때문이다.

한 보안컨설팅 업계 관계자는 "인증 업무 수행은 경험과 노하우가 필요한 일"이라며 "기업들이 스스로 자체 인력을 형성해 획득하기에는 어려움이 따를 것"이라고 예측했다.

보안 솔루션 업체로의 파급효과도 점쳐지고 있다. 컨설팅을 수행하다 보면 기업 내부에 갖추지 못한 정보보안 솔루션은 무엇인지 등을 파악하게 되고 이로 인해 필요한 솔루션이 추가되는 효과가 발생할 수 있어서다.

또 일부에서는 관제 및 시스템통합(SI) 사업과 융합된 형태의 서비스도 발생할 것으로 예상하고 있다.

이에 따른 보안업계의 대응 움직임도 감지된다.

롯데정보통신은 ISMS인증 컨설팅의 품질을 높이기 위해 인증컨설팅 산출물 표준화 작업을 완료했다.품질관리를 강화해 인증심사 시 결함을 줄이고 소요되는 시간도 줄이겠다는 것이다. 인포섹도 해당 기업을 대상으로 ISMS 인증 획득에 필요한 사항을 안내하고자 'ISMS 인증 의무화 관련 전문가 무료상담'을 제공 중이다.

◆연말 컨설팅 '수요 대란' 우려

그러나 일각에서는 우려의 목소리도 높다.

과거 안전진단 제도의 경우 수행기관이 정해져 있던 데 반해 ISMS를 위한 사전 컨설팅 기업에는 제약이 없어 경쟁이 심화될 수 있다는 지적이다.

한 보안컨설팅 업체 관계자는 "업체 난립으로 가격 경쟁이 일어나지 않을까 하는 우려도 나오는 상황"이라고 설명했다.

특히 컨설팅 수요가 고르게 분포되지 못하고 막바지에 몰릴 수 있다는 점도 업체들로서는 걱정스러운 부분이다. 기업들이 비용과 업무량 증가로 ISMS 실시에 대해 부정적이거나 소극적인 반응을 보일 수 있기 때문이다. 여전히 낮은 보안의식과 비용 부담도 ISMS 인증을 뒤로 미루는 요소다.

중견 보안 컨설팅 관계자는 "ISMS 인증 의무화 첫 해이다보니 시작을 머뭇거리는 기관이 많아 연말에 컨설팅사업이 대거 몰릴 수 있을 것"이라고 관측했다.

수요가 집중적으로 몰릴 경우 보안 컨설팅 업체들도 감당하기 힘들 것이라는 우려도 나온다. 인증 획득에 걸리는 시간이 훨씬 더 길기 때문이다.

인증획득에 걸리는 시간은 인증 범위에 따라 시간과 비용이 다양할 수 있으나 일반적으로 컨설팅 수행과 이행 기간, 인증 심사 및 수여 기간을 포함하면 최소 6개월에서 9개월이 필요하다는 업계의 공통된 목소리다. 기존 안전진단 진단의 경우 1개월 정도의 기간이 소요됐다.

인증 컨설팅을 수행해야 하는 컨설팅 인력과 인증심사를 수행해야 하는 인증심사원은 절대적으로 부족한 상황이라는 점도 위험을 가중시키는 요인이다.

이에 대해 한 보안컨설팅 업계 관계자는 "각 기업의 인증 컨설팅의 수요에 대응할 수 있는 컨설팅과 심사가 시의적절하게 진행되지 않는 경우가 발생할 것"이라며 "이로 인해 2013년도에 인증 획득을 원하는 모든 기업의 요구를 수용 못해 인증 획득을 하지 못하는 기업이 발생할 수도 있다"고 경고했다.

다른 보안컨설팅 관계자는 "안전진단의 경우 기존 19개의 수행기관에서 진단 후 필증 발급의 절차까지 모두 진행했으나 ISMS는 컨설팅을 수행한 후, 인증 심사를 한국인터넷진흥원(KISA)에서 진행하는 구조"라며 "KISA의 업무 적체 등으로 인해 고객사가 제 때 인증을 받는 것이 불투명하다는 것도 하나의 문제"라고 지적했다.