유출사고에도 과징금 130억 감경… ISMS-P, 개인정보 보호보다 과징금‘할인권’됐다

• - ISMS-P 인증기업 27곳서 유출사고 33건…ISMS 119개사·134건은 물리 인프라 제외
• - 이연희 의원 “인증이 책임을 깎는 수단 돼선 안 돼…감경·예외 심사 전면 점검해야”

개인정보 유출사고가 발생한 기업에서도 국가 보안인증이 과징금을 깎는 근거로 쓰이면서, 인증제도의 실효성을 재점검해야 한다는 지적이 나왔다. 인증을 보유한 카드사 한 곳은 과징금 약 130억원을 감경받았고, 별도로 ISMS 인증 134건은 물리적 인프라를 심사범위에서 제외한 것으로 나타났다.

국회 과학기술정보방송통신위원회 이연희 의원(더불어민주당·청주시 흥덕구)이 확인한 국정감사 자료에 따르면, 2025년 12월 기준 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증기업 263개사 중 27개사(10.3%)에서 최근 5년간 개인정보 유출사고 33건이 확인됐다.

국회예산정책처 결산 분석에는 한 카드사가 2025년 3월 26일 개인정보위 의결에서 ISMS-P 인증 보유를 이유로 1차 조정 과징금의 50%인 약 130억원을 감경받은 사례가 담겼다. 기업별 인증 감경 내역은 영업비밀을 이유로 공개되지 않아 전체 감경 규모를 검증하기 어려운 상황이다.

올해 9월 11일 개정된 고시에도 개인정보 보호 투자에 대한 기준금액의 최대 40% 감경과 인증 보유에 따른 1차 조정금액의 최대 30% 감경이 각각 남아 있다. 이 의원은 동일한 사유를 중복 반영하지 않도록 한 규정이 실제 산정에서 작동하는지, 인증의 실질적인 운영 수준을 확인하고 감경하는지 점검해야 한다고 강조했다.

인증범위의 빈틈도 확인됐다. 정보보호 관리체계(ISMS) 인증 952건 중 119개사의 134건(14.1%)에 ‘심사받지 않은 물리적 인프라 제외’ 조건이 붙었다. 삼성전자·쿠팡페이 등이 포함됐다. ISMS가 기본 보안체계를 점검하고 ISMS-P가 개인정보보호까지 함께 심사하는 만큼, 두 인증의 대상과 범위를 구분한 관리가 필요하다.

물리적 보안에는 전산실 출입통제, 서버·네트워크 장비의 물리적 보호, 전력·소방설비 관리 등이 포함된다. 이 의원은 물리적 인프라를 제외한 사유와 보완 검증 여부를 확인해야 한다고 지적했다. KISA는 관련 심의·의결서와 사유서 제출 요구에 비밀유지 등을 이유로 자료를 내지 않았다.

2021~2025년 4개 심사기관이 수납한 심사 수수료는 약 399억원이다. 같은 기간 부실심사·이해상충 의혹 등에 따른 인증심사원 자격 심의 안건 상정과 자격취소, 심사기관 업무정지·지정취소 실적은 없는 것으로 파악됐다. 이 의원은 인증기업의 사고 이력과 심사 품질관리가 연결돼야 한다고 강조했다.

이연희 의원은 “국민의 개인정보를 지키라고 만든 인증이 사고 이후 기업의 책임을 깎는 할인권이 돼서는 안 된다”며 “과기정통부와 KISA는 기업별 감경 실태와 물리적 인프라 제외 134건의 결정 근거를 점검하고, 예외 기준 개선과 재심사 방안을 종합감사 전까지 보고해야 한다”고 밝혔다.