정보보호 공시 확대, 점검과 대응 이력을 관리할 때

정보보호 공시 의무 대상을 확대하는 정보보호산업법 시행령 개정안이 10월 20일 국무회의를 통과했습니다. 매출액 기준을 폐지해 유가증권시장·코스닥시장 상장법인으로 대상을 확대하고, 정보보호관리체계(ISMS) 인증 의무대상자도 포함하는 내용입니다. 기업인수목적회사는 제외됩니다.

개정 시행령은 2027년 1월 1일부터 시행되며, 소기업은 2029년 1월 1일부터 적용됩니다. 정보보호 투자와 인력, 인증·점검 및 활동 현황을 공개하는 범위가 넓어지는 만큼, 기업은 자사 적용 여부를 확인하고 관련 자료를 지속적으로 관리할 필요가 있습니다.

정보보호 공시를 준비하려면 보안 솔루션 도입 현황뿐 아니라 투자와 인력, 점검 및 활동 내역 등 필요한 자료가 어디에서 관리되는지 파악해야 합니다. 관련 정보가 여러 부서에 흩어져 있으면 자료 취합과 확인에 시간이 걸릴 수 있습니다.

공시 항목에 맞춰 담당 부서와 자료의 출처, 관리 기준을 정리할 필요가 있습니다. 취약점 점검과 개선 결과도 다른 정보보호 활동 자료와 함께 확인할 수 있도록 관리하면 준비 과정의 누락과 중복을 줄이는 데 도움이 됩니다.

취약점 점검을 실시했다는 사실과 발견된 문제를 개선했다는 사실은 구분해 관리해야 합니다. 점검 결과만 보관하면 어떤 문제가 남아 있는지, 실제 조치가 완료됐는지 확인하기 어려울 수 있습니다.

영향받는 서비스와 구성요소를 파악하고, 위험도와 운영 영향을 고려해 조치 순서를 정할 필요가 있습니다. 조치 방법과 처리 결과, 재점검 내용을 함께 남기면 보안 활동을 설명하는 자료로 활용하고 후속 대응을 진행하기 쉬워집니다.

코드 배포와 서버 설정 변경, 오픈소스 업데이트가 이뤄지면 서비스의 보안 상태도 달라질 수 있습니다. 공시 준비 시점에만 자료를 모으기보다 일상적인 운영 과정에서 점검과 변경 이력을 관리하는 방식이 필요합니다.

서버·서비스 현황과 취약점 점검 결과를 함께 확인하고, 담당자가 조치 내역을 이어서 관리할 수 있어야 합니다. 정보보호 공시 확대를 계기로 기업은 현재의 보안 활동이 실제 운영 개선으로 이어지고 있는지 살펴볼 필요가 있습니다.