LG유플러스의 '정보보호 및 개인정보보호 관리체계(ISMS-P)' 인증 갱신 심사가 1년 넘게 이어지고 있습니다. ISMS 인증은 통신사가 사업을 위해 의무적으로 취득해야 하는 인증입니다. 기존 인증서의 유효기간은 지난해 12월 끝났지만, 현재까지 갱신 여부가 결정되지 않았습니다.
한국인터넷진흥원(KISA)은 심사가 진행 중이라면서도 지연 사유는 공개하기 어렵다는 입장입니다. 업계에서는 지난해 불거진 LG유플러스 해킹 의혹에 대한 행정조사와 경찰 수사가 인증 심사에 영향을 미친 것으로 보고 있습니다.
◇ 지난해 7월 갱신 신청… 1년 넘도록 심사 중
11일 통신업계에 따르면 LG유플러스의 ISMS-P 인증서 유효기간은 2022년 12월 27일부터 2025년 12월 26일까지였습니다. LG유플러스는 지난해 7월 갱신을 신청했지만 아직 결과를 통보받지 못했습니다. LG유플러스 개인정보보호센터 홈페이지에도 유효기간이 지난 기존 인증서가 최신 자료로 공개돼 있습니다.
ISMS는 기업이 해킹과 정보 유출에 대응할 조직과 인력, 접근통제 체계, 사고 대응 절차 등을 갖췄는지 평가하는 제도입니다. ISMS-P는 여기에 개인정보의 수집·이용·제공·보관·파기 전 과정을 평가하는 개인정보보호 영역을 추가한 인증입니다.
LG유플러스와 같은 ISMS 의무 대상 기업이 ISMS-P를 취득하면 정보보호 부문 인증 의무를 충족한 것으로 인정됩니다. 인증 심사 업무는 KISA가 맡고 있으며 과학기술정보통신부와 개인정보보호위원회가 제도를 공동으로 관할합니다.
업계에서는 LG유플러스의 인증 갱신이 늦어지는 배경으로 해킹 관련 행정조사와 경찰 수사의 장기화를 꼽습니다. 앞서 지난해 LG유플러스의 내부 서버 접근제어 시스템(APPM)이 해킹돼 서버 8938대와 계정 4만2256개의 정보가 유출됐다는 의혹이 제기되자 개인정보보호위원회는 행정조사에 착수했습니다. 이후 LG유플러스가 해킹 정황을 파악하고도 제때 신고하지 않았다는 의혹까지 불거지면서 경찰 수사로 확대됐습니다.
보안업계에서는 해킹 조사와 ISMS-P 인증 심사의 점검 대상이 상당 부분 겹치는 만큼 조사 결과가 나오기 전에는 인증 여부를 판단하기 어려울 수 있다고 설명합니다. 장항배 중앙대 산업보안학과 교수는 "해킹 조사 과정에서 관리체계의 문제점이 드러날 수 있는데, 조사 결과가 나오기 전에 인증을 갱신하면 두 판단이 충돌할 가능성이 있어 인증기관에도 부담이 될 것"이라고 말했습니다.
KISA 관계자는 "현재 심사 절차가 진행 중"이라면서도 "심사가 늦어지는 구체적인 이유는 답하기 어렵다"고 했습니다.
◇ 서비스에는 당장 영향 없어… 수주 불확실성은 부담
인증서의 유효기간이 지났더라도 LG유플러스가 당장 이동통신 서비스를 중단하거나 기존 계약을 해지해야 하는 것은 아닙니다. 다만 일부 공공·금융기관과 대기업이 ISMS 또는 ISMS-P 인증 보유 여부를 입찰 조건이나 평가 항목으로 활용한다는 점에서 심사 장기화가 부담으로 작용할 수 있습니다.
현재 공개된 인증서에는 이미 지난 유효기간이 적혀 있습니다. 이에 따라 LG유플러스가 입찰이나 기업 고객의 보안 평가 과정에서 갱신 심사가 진행 중이라는 사실과 현재 인증 상태를 별도로 소명해야 하는 상황이 생길 수 있습니다. 물론 갱신 심사가 진행 중이라는 이유만으로 모든 사업 참여가 제한되는 것은 아닙니다. 그러나 결론이 늦어질수록 신규 사업 수주와 기존 계약 갱신 과정에서 불확실성이 커질 수 있습니다.
LG유플러스가 최종적으로 갱신 인증을 받지 못하고 별도의 ISMS 인증도 확보하지 못하면 법정 인증 의무 위반 문제가 불거질 수 있습니다. ISMS 인증 의무를 이행하지 않은 사업자에게는 3000만원 이하의 과태료가 부과될 수 있으며, 인증 보유가 필수 조건인 신규 사업에도 참여하기 어려워질 수 있습니다.
현재 쟁점은 이동통신 서비스의 즉각적인 중단 가능성보다 심사 장기화가 불러올 사업상 불확실성에 있습니다. KISA가 구체적인 지연 사유를 밝히지 않는 가운데 LG유플러스의 인증 심사가 언제, 어떤 결론으로 마무리될지 주목됩니다.