제조업 ISMS-P 정보보호·개인정보보호 관리체계 인증 실무 완벽 가이드 — 의무대상 통보에서 갱신심사까지 5단계 로드맵

· CONTIS

중소·중견 한국 제조사가 KISA·KCA ISMS-P 인증을 의무대상 통보부터 신청·심사·인증·사후관리·갱신까지 진짜 무사히 통과하는 5단계 로드맵. ISMS 80개·ISMS-P 102개 인증기준, 1.관리체계·2.보호대책·3.개인정보 처리단계별 요구사항, 의무대상 기준(매출/이용자/개인정보), 인증심사원 자격, 결함·권고 분류, 인증서 3년·사후심사 1·2년차, 갱신심사, 한국 ISMS-P 실무.

#ISMS-P#ISMS#KISA#정보보호관리체계#개인정보보호#한국인증#제조업

1. 왜 ISMS-P인가 — 한국 제조사의 정보보호 의무

정보통신망법 제47조에 따라 매출 1,500억 이상 또는 이용자 100만 이상 IT/통신/병원/대학 사업자는 ISMS 인증 의무대상이 된다. 제조사라도 ① 사내 IT 시스템·ERP·MES가 인터넷 노출, ② B2C 온라인 판매(매출 100억+) 또는 B2B 포털 운영, ③ 글로벌 고객사 PII(개인정보) 수탁 처리 시 의무·임의 대상이다. ISMS-P는 ISMS(정보보호 80개 기준) + 개인정보보호(22개 기준) = 102개 통합 인증기준으로, 개인정보를 다루면 ISMS-P가 적격이다.

오해 1 — “우리는 제조업이라 ISMS 의무 아니다.” 매출/이용자/PII 요건 충족 시 KISA가 매년 의무대상 통보를 우편·전자공문 발송한다. 미신청 시 정보통신망법 제76조 3천만원 과태료. 오해 2 — “ISO 27001 받았으니 ISMS 면제.” 부분 인정(중복 항목 80% 한국형 매핑)이지만 ISMS-P 102개 전부 별도 심사 필요. 오해 3 — “1년 만에 받을 수 있다.” 현실은 사전준비 612개월 + 심사 3개월 + 보완 12개월, 첫 인증 평균 12~18개월. ISMS-P 인증서 보유는 ① 공공조달 가점, ② 금융권/대기업 RFP 필수, ③ 개인정보보호위 과징금 면제 가산, ④ K-시큐리티 보험 할인.

2. 의무대상·인증기준 성숙도 5단계

단계상태의무대상 확인인증 기준 충족도결함 수인증서
Lv 1미인지의무대상 여부 미확인일부 정책만-없음
Lv 2사전준비통보 수령 후 갭분석 시작50~70%다수준비
Lv 3신청·인증KISA/KCA에 신청80~90%결함 5개 이하신규 인증
Lv 4사후심사1·2년차 사후심사 통과95%결함 3개 이하유효 (3년)
Lv 5갱신·고도화3년 갱신심사 + 지속 개선99%결함 1~2개갱신 + ISO 27001 동시

KPI — 결함 0건 갱신, 사후심사 무지적, 침해사고 0건, 개인정보 유출 0건.

3. Stage 1 — 의무대상 확인·사전 준비 (1~2개월)

의무대상 4가지 요건 (정보통신망법 제47조):

  1. 정보통신서비스 부문 매출 100억원 이상
  2. 이용자 수 일평균 100만명 이상 (전년 12월 기준)
  3. 의료법 상급종합병원
  4. 재학생 1만명 이상 대학교

예외 의무대상: ① IDC·CDN 운영사, ② 전기통신사업자, ③ 정보통신서비스 매출 1,500억 + 이용자 100만(둘 중 하나).

ISMS vs ISMS-P 선택:

  • ISMS만(80개 기준): 일반 IT 인프라 중심, 개인정보 비처리 또는 소규모
  • ISMS-P(102개 기준): 개인정보 처리, B2C 서비스, 마케팅 DB 활용 — 대부분 권장

ISMS-P 인증기준 102개 구조:

  • 1. 관리체계 수립·운영 (16개): 정책수립, 조직구성, 자산식별, 위험관리, 보호대책 구현, 사후관리
  • 2. 보호대책 요구사항 (64개): 정책·조직(5) / 외부자(4) / 물리(7) / 인증·권한(6) / 접근통제(7) / 암호화(2) / 정보시스템(13) / 시스템 운영(9) / 사고대응(8) / 재해복구(3)
  • 3. 개인정보 처리단계별 요구사항 (22개): 수집(5) / 보유·이용(5) / 제공(3) / 파기(2) / 정보주체 권리(5) / 안전성(2)

갭분석 도구: KISA 자가진단 체크리스트(공식 102개 항목), 외부 컨설팅(평균 3,000~8,000만원).

4. Stage 2 — 정책·조직·자산식별 (2~3개월)

최고책임자(CISO/CPO) 지정 (정보통신망법 제45조의3, 개인정보보호법 제31조):

  • 자산 1조원·종업원 1,000명 이상: CISO 단독, 다른 직책 겸직 금지
  • 일반 사업자: CISO 겸직 가능 (CIO 등)
  • 별도 신고 의무 (관할 과학기술정보통신부 또는 KISA)

정보보호위원회: CEO 또는 CISO 위원장, 분기 1회 정기 회의, 의사록 보관.

자산 식별 (1.2.1):

  • 정보자산 분류: 정보(DB·문서) / 시스템(서버·NW·SW) / 인력 / 시설 / 외주
  • 자산 책임자·중요도(3~5등급)·기밀성·무결성·가용성(CIA) 평가
  • 자산 목록 분기 1회 갱신

위험관리 (1.2.2~1.2.4):

  • 자산×위협×취약점 → 위험도 평가 (정성/정량)
  • 수용 가능 수준(DoA: Degree of Assurance) 정의
  • 대응 방안: 회피·전가(보험)·완화·수용

5. Stage 3 — 보호대책 구현·운영 (3~6개월)

물리적 보안 (2.4): 전산실 출입통제(지문/카드), CCTV 30일+ 보관, 항온항습 24/7, 소화설비(가스식), 비상발전기/UPS 30분+.

인증·접근통제 (2.5, 2.6):

  • 사용자 인증: ID/PW 복잡도(8자+ 영숫특), 90일 변경, 5회 실패 시 잠금
  • 2차 인증 의무: 개인정보 취급자, 외부 접근(VPN), 시스템 관리자 — OTP/공인인증서/생체
  • 최소권한·직무분리·접근권한 분기 1회 검토
  • 외부 접속: VPN + IP 화이트리스트 + Session Timeout 30분

암호화 (2.7):

  • 저장 시 암호화 의무 (개인정보보호법 시행령 제30조): 주민번호·계좌·여권·신용카드·바이오·비밀번호
  • 전송 시 암호화 의무: 인터넷 구간 모든 개인정보 (TLS 1.2+)
  • 알고리즘: AES-256(KISA 권고), SHA-256, RSA-2048
  • 암호키 관리: KMS 또는 HSM, 분기 1회 키 회전

정보시스템 (2.8): 보안패치 30일 이내, OS·DB·미들웨어 보안설정 (CIS Benchmark 권장), 개발-운영 분리, 소스코드 보안 검토.

사고대응 (2.10):

  • CSIRT/CERT 구성 (24/7 대응)
  • 침해사고 단계: 탐지 → 분석 → 봉쇄 → 박멸 → 복구 → 사후
  • 신고 의무: 개인정보 유출 24시간(개인정보보호위/KISA), 1,000명+ 시 정보주체 통지
  • 모의 침해 훈련 연 1회+

6. Stage 4 — 인증 신청·심사·결함 보완 (3~4개월)

인증기관 선택:

  • KISA (한국인터넷진흥원): 국가 인증기관, 대형 기업·민감 도메인
  • KCA (한국지능정보사회진흥원): 일반 사업자, 신속 처리
  • 양 기관 모두 KAB 인정, 인증서 효력 동일

심사 절차:

  1. 신청 — 인증신청서·자가점검표·범위 정의·운영명세서 제출, 수수료 납부(매출 규모별 2,000만~1억원)
  2. 예비심사 — 서류 검토·범위 확정 (1~2주)
  3. 본심사 — 현장심사 37일, 심사원 35명, 102개 기준 전수 점검
  4. 결함 통보 — 중결함·경결함·권고 분류
  5. 보완조치 — 30~60일 내, 보완보고서 제출
  6. 인증위원회 — KISA 인증위원회 의결
  7. 인증서 발급 — 유효기간 3년

결함 분류:

  • 중결함: 인증기준 미충족, 보완 필수 (예: 암호화 미적용, CISO 미신고)
  • 경결함: 일부 미흡, 보완 권장
  • 권고사항: 개선 기회
  • 중결함 1개라도 있으면 보완 후 재심사

자주 발생하는 결함 TOP 10: ① 자산 목록 누락, ② 위험관리 형식적 운영, ③ 협력업체 보안점검 미실시, ④ 2차 인증 일부 미적용, ⑤ 로그 보관 1년 미만, ⑥ 개인정보 처리방침 누락 항목, ⑦ 동의 철회 절차 미흡, ⑧ 안전조치 정기점검 미실시, ⑨ 침해사고 모의훈련 미실시, ⑩ 백업 복구 테스트 미실시.

7. Stage 5 — 사후·갱신·고도화·통합 인증 (지속)

사후심사 (인증서 발급 후 매년):

  • 1년차·2년차 사후심사 (3년 주기 내 2회)
  • 본심사 대비 50% 수준 (1~3일 현장)
  • 결함 발견 시 보완 필수
  • 미실시 시 인증 취소

갱신심사 (3년 만료 3개월 전):

  • 본심사 수준 전체 점검
  • 갱신 누락 시 인증 자동 만료

중대변경 통보 (60일 이내): 인증범위 변경(시스템/서비스/지역 추가·축소), CEO·CISO 변경, M&A.

ISMS-P × ISO 27001 통합: 동시 운영 시 70%+ 항목 매핑, 외부심사 통합 가능 → 비용 30~40% 절감.

ISMS-P × NIS2/CRA: EU 진출 제조사는 ISMS-P + NIS2 + CRA Cybersecurity by Design 동시 충족 → 글로벌 신뢰도.

8. 비용·ROI

항목비용 (연간)
CISO/CPO 인건비1억~3억 (전담)
정보보호 조직(3~10명)2억~10억
보안 솔루션(SIEM·EDR·DLP·VPN)1억~5억
외부 컨설팅(첫해)3,000만~1.5억
인증 수수료2,000만~1억
모의해킹·취약점진단(연 1~2회)3,000만~1억
합계 (중견 제조사)5억~15억

ROI 정량화:

  • 침해사고 1건 평균 손실(IBM 2024 Cost of a Data Breach Report): 한국 평균 38억원 → 사고 1건 예방 = 5~10년치 인증 운영비
  • 개인정보 유출 과징금: 매출 3% 또는 5억 중 大 → 1,000억 매출사 30억원 잠재 노출
  • 공공조달 가점: 평균 5점 → 100500억 사업 수주 가능성 23배
  • 사이버보험 할인: ISMS-P 보유 시 20~30%

9. 한국 표준과의 차이·통합

  • ISMS-P vs ISO 27001: ISMS-P가 더 구체적 통제(102개 vs 114개), 한국법 반영, 현장심사 강제. ISO 27001은 글로벌·자율점검 가능.
  • ISMS-P vs PIMS: PIMS는 2016년 ISMS-P로 통합·폐지.
  • ISMS-P vs CSAP: CSAP는 공공 클라우드 전용(KISA 인증), ISMS-P + 추가 통제.

10. 자가 점검 — 우리 사이트는 ISMS-P 적격인가

  • 의무대상 여부 확인(매출/이용자/PII 4요건)
  • CISO·CPO 신고
  • 정보보호위원회 분기 운영
  • 102개 인증기준 자가진단 80%+
  • 정보자산 목록·중요도 평가
  • 위험관리 결과 보고서
  • 2차 인증 적용(개인정보 취급자/외부 접속)
  • 저장·전송 암호화(주민번호 등)
  • 보안패치 30일 이내
  • 개인정보 처리방침 게시
  • 개인정보 동의서 양식
  • CSIRT 구성·모의훈련 연 1회
  • 개인정보 유출 신고 절차 24시간
  • 백업·재해복구 분기 테스트
  • 외주·협력업체 보안점검 연 1회
  • 로그 1년 이상 보관
  • 사후심사 매년 준수
  • 갱신심사 3년 주기 준비

11. 마무리 — 한국 사업의 필수 인증

ISMS-P는 한국에서 사업하는 회사의 법적·관행적 필수다. ① 매출/PII 요건 점검, ② 102개 기준 갭분석, ③ 6~12개월 사전준비, ④ 신청·심사·보완, ⑤ 3년 인증 + 사후·갱신 — 이 5단계를 한국 보안 거버넌스의 기본 운영체로 만들면 침해사고·과징금·사업기회 손실을 모두 차단할 수 있다.

통합 사이클