ISMS-P 인증이란? ISMS 차이·의무 대상·인증기준·심사 준비

핵심 답변: ISMS-P(정보보호 및 개인정보보호 관리체계 인증)는 기업의 정보보호·개인정보보호 활동이 정해진 인증기준에 맞는지 한국인터넷진흥원(KISA) 또는 지정 인증기관이 심사해 증명하는 제도입니다. 구매자 관점에서 먼저 확인할 것은 다섯 가지입니다.

1. 범위: ISMS는 정보보호만, ISMS-P는 정보보호와 개인정보보호를 함께 심사합니다.
2. 의무 여부: ISMS는 정보통신망법상 일정 규모 이상 사업자에게 의무이고, ISMS-P는 개정 개인정보 보호법에 따라 2027년 7월 1일부터 일부 대상에 의무화됩니다.
3. 기준: ISMS-P 인증기준은 관리체계 16개, 보호대책 64개, 개인정보 처리단계 21개로 구성됩니다.
4. 절차: 신청 → 심사 → 보완조치 → 인증위원회 → 인증서 발급 → 매년 사후심사, 3년마다 갱신심사입니다.
5. 운영 증적: 로그·접속기록 관리, 이상행위 모니터링, 침해사고 대응은 문서보다 매일의 운영 기록으로 증명해야 하는 항목입니다.

최종 업데이트: 2026년 11월

ISMS·ISMS-P란 무엇이고 어떻게 다른가요?

ISMS는 정보보호 관리체계 인증이고, ISMS-P는 여기에 개인정보보호 요구사항을 더한 통합 인증입니다. KISA는 ISMS-P를 "정보보호 및 개인정보보호를 위한 일련의 조치와 활동이 인증기준에 적합함을 인터넷진흥원 또는 인증기관이 증명하는 제도"로, ISMS를 같은 구조에서 정보보호만 다루는 제도로 설명합니다.

개인정보보호위원회에 따르면 ISMS-P는 따로 운영되던 개인정보보호 관리체계 인증(PIMS)과 정보보호 관리체계 인증(ISMS)을 하나로 합친 통합인증제도로, 2018년 11월 7일부터 시행되었습니다. 그래서 "isms p 란"이라는 질문에는 "ISMS에 개인정보 처리 단계별 요구사항을 더한 인증"이라고 답하면 가장 정확합니다.

ISMS 인증 의무 대상은 누구인가요?

ISMS는 정보통신망법 제47조와 시행령에 따라 매출액·이용자 수 등 기준을 넘는 정보통신서비스 제공자에게 의무이고, 의무대상자가 인증을 받지 않으면 과태료 대상이 됩니다. KISA 안내 기준 의무대상자는 다음과 같습니다.

• ISP·IDC: 정보통신망서비스 제공 사업자(ISP)와 집적정보통신시설 사업자(IDC)
• 매출·이용자 기준: 정보통신서비스 부문 전년도 매출액 100억원 이상 또는 전년도 일일평균 이용자 수 100만명 이상인 자
• 병원·학교: 전년도 매출액 또는 세입이 1,500억원 이상인 상급종합병원, 재학생 수 1만명 이상인 학교
• 임의 신청자: 의무 대상은 아니지만 인증을 원하는 기업

KISA는 소기업과 정보통신서비스 부문 매출액 300억원 미만 중기업 등에 대한 ISMS 인증 특례도 안내합니다. 의무대상자 미인증 시에는 3,000만원 이하 과태료가 부과된다는 법률 해설이 있으며(정보통신망법 제76조), 같은 해설은 의무대상자가 처음 해당된 해의 다음 해 8월 31일까지 인증을 받아야 한다고 설명합니다. 세부 기준과 기한은 개정될 수 있으므로 최신 고시·법령을 확인하세요.

ISMS-P는 언제부터 의무인가요?

2026년 3월 10일 공포된 개정 개인정보 보호법은 2026년 9월 11일부터 시행되었고, 이 중 ISMS-P 인증 의무화 규정은 예산 확보 기간을 고려해 2027년 7월 1일부터 시행됩니다. 개인정보보호위원회는 2026년 9월 브리핑에서 의무화 대상 범위를 시행령 개정으로 2027년 상반기까지 확장할 계획이며, 대상 기업·기관은 2028년 12월 31일까지 ISMS-P 인증을 취득해야 한다고 밝혔습니다.

정부가 2026년 4월 발표한 인증제 실효성 강화방안은 주요 공공시스템 운영기관, 이동통신사업자, 본인확인기관, 매출액과 개인정보 처리 규모를 고려한 대규모 개인정보처리자를 의무화 대상으로 제시했습니다. 다만 최종 대상 기준은 시행령 확정 내용에 따르므로, 우리 회사가 해당하는지는 개인정보보호위원회의 최신 공지로 확인하세요.

ISMS 예비인증이란 무엇인가요?

KISA가 안내하는 ISMS 예비인증은 특정금융정보법 시행 후 새로 가상자산사업자 신고를 하려는 사업자를 위한 제도로, 시범 운영 환경에서 보호대책이 기준에 맞는지 확인합니다. 일반 기업을 위한 ISMS-P 예비인증은 KISA 안내에서 확인되지 않았습니다. 2026년 4월 강화방안에 포함된 "예비심사"는 본심사 전에 핵심 인증기준을 먼저 점검해 본심사 진행 여부를 정하는 심사 단계로, 예비인증과는 다른 개념입니다.

ISMS-P 인증기준은 어떻게 구성되나요?

ISMS-P 인증기준은 3개 영역, 총 101개 항목이며 ISMS는 이 중 1·2 영역 80개 항목을 심사합니다. 개인정보보호위원회 안내 기준 구성은 다음과 같습니다.

• 1. 관리체계 수립 및 운영(16개): 경영진 참여, 범위 설정, 위험관리, 관리체계 점검과 개선
• 2. 보호대책 요구사항(64개): 인적 보안, 접근통제, 암호화, 시스템 및 서비스 운영관리, 사고 예방 및 대응 등
• 3. 개인정보 처리단계별 요구사항(21개): 수집, 보유·이용, 제공, 파기, 정보주체 권리보호

2026년 4월 강화방안은 국민 생활에 파급력이 큰 기업에 적용할 강화인증을 신설하고, 기존 101개 기준에 강화기준 20개를 더하는 방향을 제시했습니다. 인증 체계도 강화·표준·간편 3단계로 재편하는 것이 목표이며, 의무화·차등 적용·강화기준은 2027년부터 시행을 추진합니다. 확정된 기준 원문은 고시와 인증기준 안내서로 확인하세요.

ISMS-P 인증 절차와 심사는 어떻게 진행되나요?

ISMS-P 인증은 관리체계를 구축해 일정 기간 운영한 뒤 신청하고, 심사와 보완조치를 거쳐 인증위원회 의결로 취득합니다. 법률 해설에 따르면 관리체계를 구축해 2개월 이상 운영한 뒤 신청할 수 있습니다.

KISA ISMS-P 포털은 최초심사로 인증을 취득하면 3년의 유효기간이 부여되고, 사후심사는 유효기간 중 매년 1회 이상 시행한다고 안내합니다. 법률 해설은 유효기간 만료 3개월 전까지 갱신심사를 신청해야 한다고 설명합니다.

심사도 엄격해지는 방향입니다. 개인정보보호위원회가 2026년 9월 입법예고한 개인정보 보호법 시행령 개정안은 인증 유효기간 중 침해사고나 유출이 발생하면 기술 인력이 현장에서 취약점 진단과 모의침투 등을 할 수 있도록 하는 내용을 담았습니다. 2026년 4월 강화방안은 보안 패치 미적용, 로그 미보관 같은 중대 결함을 보완하지 않으면 인증을 취소할 수 있게 하는 방향을 제시했습니다. 즉 앞으로는 "로그를 남기고 있다"는 문서가 아니라 실제로 남아 있는 로그가 인증 유지의 조건이 됩니다.

심사에서 기업이 가장 어려워하는 운영 항목은 무엇인가요?

정책 문서는 한 번 만들면 되지만, 로그·접속기록 관리, 이상행위 모니터링, 침해사고 대응은 1년 내내 운영한 기록이 있어야 해서 심사 때 결함이 나오기 쉽습니다. 인증기준의 보호대책 요구사항 중 다음 항목이 여기에 해당합니다.

• 2.9.4 로그 및 접속기록 관리: 서버, 응용프로그램, 보안시스템, 네트워크시스템 등의 로그 유형, 보존기간, 보존방법을 정하고 위·변조, 도난, 분실되지 않도록 보관
• 2.9.5 로그 및 접속기록 점검: 비인가 접속, 과다 조회 같은 오·남용을 막기 위해 로그 검토기준을 세우고 주기적으로 점검하며, 문제가 생기면 사후조치
• 2.11.3 이상행위 분석 및 모니터링: 내·외부 침해시도, 개인정보 유출 시도, 부정행위를 빠르게 탐지·대응하도록 네트워크와 데이터 흐름을 수집·분석하고 결과에 따라 조치
• 2.11 사고 예방 및 대응: 침해사고 대응 절차를 갖추고 실제 사고 시 절차대로 대응·보고·복구

개인정보처리시스템 접속기록의 보관 기간과 점검 주기는 개인정보의 안전성 확보조치 기준에서 따로 정하고 있습니다. 구체적인 보관·점검 기준은 ISMS-P 의무화 대상과 접속기록 관리 체크리스트에서 정리했습니다.

운영 항목에서 결함이 생기는 전형적인 모습

아래는 특정 사례가 아니라, 운영 증적이 부족할 때 나타나기 쉬운 일반적인 형태입니다. 준비 단계에서 스스로 점검해 보세요.

• 로그는 있지만 범위가 빠짐: 웹 서버 로그는 남기지만 DB 접근, 관리자 콘솔, 클라우드 계정 활동 로그는 수집하지 않는 경우
• 보존은 하지만 보호가 안 됨: 로그가 해당 서버 안에만 있어 관리자가 지우거나 고칠 수 있는 경우
• 점검 기준은 있지만 기록이 없음: 정기 점검을 한다고 정책에 적었지만 점검 결과 보고서나 이상 건 소명 기록이 없는 경우
• 경보는 울리지만 처리 이력이 없음: 보안 장비 경보가 메일로만 쌓이고 누가 언제 확인해 어떻게 조치했는지 남지 않는 경우
• 절차서는 있지만 훈련이 없음: 침해사고 대응 절차서가 연락처와 담당자가 바뀐 채 갱신되지 않고, 모의훈련 기록도 없는 경우

이 다섯 가지는 문서를 고쳐서 해결되지 않고, 수집 범위를 넓히고 매일 확인하는 운영 체계를 갖춰야 해결됩니다. 2026년 4월 강화방안이 로그 미보관을 인증 취소 사유가 될 수 있는 중대 결함으로 예로 든 만큼, 사후심사 때도 같은 기준으로 확인된다고 보고 준비하는 것이 안전합니다.

보안관제·MDR은 ISMS-P 준비에 어떻게 도움이 되나요?

보안관제·MDR은 인증을 대신 받아 주는 서비스가 아니라, 로그 수집·모니터링·침해사고 대응 같은 운영 요구사항을 매일 수행하고 그 기록을 증적으로 남기는 데 도움이 됩니다. 인증 심사와 발급은 KISA와 지정 인증기관이 하고, 인증 범위 설정이나 문서 체계는 기업 내부 담당자나 별도 컨설팅이 맡습니다.

보안 담당자가 한두 명인 조직에서는 경보를 24시간 확인하고 매달 점검 보고서를 남기는 일이 가장 먼저 무너집니다. 씨커스랩 MDR 보안관제 서비스는 로그 수집과 위협 탐지, 분석가 검토, 대응까지 운영하고 결과를 보고서로 제공합니다. KYRA MDR은 공개 요금제와 무료 시작을 제공하며, PRO와 CUSTOM 플랜에 ISMS-P 컴플라이언스 보고서가 포함되어 있습니다(KYRA MDR 요금제 보기). MDR과 기존 보안관제의 차이는 MDR이란? 보안관제와 차이, 비용 구조는 보안관제 서비스 비용에서 확인할 수 있습니다.

ISMS-P 심사 준비 체크리스트

심사 준비는 범위 확정, 위험평가, 운영 증적 축적, 모의 점검 순서로 진행하면 결함을 줄일 수 있습니다.

1. 우리 회사가 ISMS 의무대상인지, ISMS-P 의무화 대상에 해당할 가능성이 있는지 최신 시행령으로 확인했습니다.
2. ISMS와 ISMS-P 중 무엇을 받을지, 인증 범위(서비스·시스템·조직)를 확정했습니다.
3. 정보자산과 개인정보 흐름(수집·이용·제공·파기)을 목록과 흐름도로 정리했습니다.
4. 위험평가를 하고 보호대책 이행 계획을 세웠습니다.
5. 관리체계를 구축한 뒤 신청 전 최소 운영 기간(해설 기준 2개월 이상)의 운영 기록이 있습니다.
6. 시스템별 로그 유형과 보존기간을 정하고, 로그를 위·변조되지 않는 곳에 보관합니다.
7. 접속기록 점검 기준과 주기를 정하고, 점검 결과와 조치 내역을 남깁니다.
8. 이상행위 탐지 규칙과 경보 처리 기록이 있고, 야간·주말에도 경보를 확인하는 사람이 정해져 있습니다.
9. 침해사고 대응 절차서와 모의훈련 결과가 있습니다. 절차서 작성은 침해사고 대응 절차와 매뉴얼 작성법을 참고하세요.
10. 보안 패치 적용 이력과 취약점 점검 결과를 정리했습니다.
11. 생성형 AI 등 새 서비스로 개인정보가 흘러가는 경로를 점검했습니다. 관련 내용은 LLM 개인정보 마스킹 가이드를 참고하세요.
12. 내부 점검(모의 심사)으로 결함을 미리 찾아 보완했습니다.

한눈에 정리

• ISMS는 정보보호, ISMS-P는 정보보호와 개인정보보호를 함께 심사하는 인증입니다.
• ISMS-P 인증기준은 16개 + 64개 + 21개 = 101개이고, ISMS는 앞의 두 영역 80개입니다.
• ISMS는 정보통신망법상 의무대상자에게 의무이며, ISMS-P는 2027년 7월 1일부터 시행령이 정하는 대상에 의무화됩니다.
• 인증 유효기간은 3년이고, 매년 사후심사와 만료 전 갱신심사를 받습니다.
• 로그·접속기록 관리, 이상행위 모니터링, 침해사고 대응은 매일의 운영 기록으로 증명해야 하므로 미리 운영 체계를 갖춰야 합니다.
• 인증 심사와 발급은 KISA와 지정 인증기관이 하며, MDR은 그중 모니터링·대응 운영을 돕는 역할입니다.

자주 묻는 질문

ISMS와 ISMS-P 중 무엇을 받아야 하나요?

정보통신망법상 의무대상자라면 최소한 ISMS가 필요하고, 고객 개인정보를 많이 처리하거나 거래처·공공 입찰에서 개인정보보호 증명을 요구받는다면 ISMS-P가 적합합니다. 2027년 7월 이후 ISMS-P 의무화 대상에 해당하는지도 함께 확인하세요.

ISMS-P 인증 기간은 얼마나 걸리나요?

확인된 기준으로는 관리체계를 구축해 2개월 이상 운영한 뒤 신청할 수 있고, 이후 심사, 보완조치, 인증위원회 의결을 거칩니다. 전체 소요 기간은 인증 범위와 준비 수준에 따라 크게 달라지며, 공식 기준으로 정해진 기간은 없습니다. 확인된 최소 조건은 신청 전 관리체계를 2개월 이상 운영해야 한다는 점이므로, 전체 일정은 인증기관과 상담해 확정하세요.

ISMS-P 컨설팅이 꼭 필요한가요?

법적으로 컨설팅을 받아야 하는 의무는 없습니다. 내부에 인증 경험자가 있다면 직접 준비할 수 있지만, 처음 준비하는 조직은 범위 설정과 문서 체계를 위해 외부 컨설팅을 쓰는 경우가 많습니다. 컨설팅이 문서를 만들어 주더라도 로그 점검, 경보 대응 같은 운영 기록은 기업이 직접 1년 내내 쌓아야 하므로, 운영 체계는 따로 준비해야 합니다.

ISMS-P 인증은 누가 심사하고 발급하나요?

KISA 또는 지정된 인증기관이 심사하고, 인증위원회 심의·의결을 거쳐 인증서를 발급합니다. 보안관제 업체나 컨설팅 업체가 인증을 발급할 수는 없습니다.

ISMS-P를 받으면 해킹 사고가 나도 괜찮은가요?

아닙니다. 정부는 인증기업에서도 침해사고가 이어지자 2026년 4월 실효성 강화방안을 발표했고, 사고 시 현장 기술점검, 중대 결함 미보완 시 인증 취소 같은 사후관리 강화를 추진하고 있습니다. 인증은 관리체계를 갖췄다는 증명이지 사고가 나지 않는다는 보증이 아닙니다.

보안관제 서비스가 ISMS-P 심사에 어떤 증적을 남겨 주나요?

서비스마다 다르지만 일반적으로 로그 수집 대상 목록, 탐지 규칙, 경보 처리 이력, 사고 분석·대응 보고서, 정기 보고서가 남습니다. 이 기록은 2.9.4, 2.9.5, 2.11.3 같은 항목의 운영 증적으로 활용할 수 있습니다. 계약 전에 보고서 형식과 보존 기간을 확인하세요.

참고 자료

• 한국인터넷진흥원(KISA): ISMS·ISMS-P 인증 제도 안내 (정의, 법적 근거, 의무대상자, ISMS 특례, 예비인증, 심사 절차)
• KISA ISMS-P 포털: 인증 절차 안내 (유효기간 3년, 사후심사 매년 1회 이상, 갱신심사)
• 개인정보보호위원회: ISMS-P 인증 제도 (2018년 11월 7일 통합 시행, 인증기준 16·64·21개, 개인정보 보호법 제32조의2)
• 정책브리핑(2026.3.9): 개정 개인정보 보호법 3월 10일 공포·9월 11일 시행, ISMS-P 의무화 2027년 7월 1일 시행
• 정책브리핑 부처 브리핑(2026.9.10): 의무화 대상 시행령 확대 계획, 2028년 12월 31일까지 인증 취득
• 뉴시스(2026.4.10): 과기정통부·개인정보위 인증제 실효성 강화방안 (101개 기준 + 강화기준 20개, 로그 미보관 등 중대 결함 미보완 시 인증 취소)
• 법무법인 세종 뉴스레터(2026.4.14): ISMS-P 의무화 대상 방향과 시행 일정
• SBS Biz(2026.9.16): 개인정보 보호법 시행령 개정안 입법예고, 인증기업 사고 시 현장 취약점 점검
• 법률신문(2023.11.15, 법무법인 율촌): ISMS 인증 제도 소개 (과태료, 인증 기한, 2개월 운영, 갱신심사 신청 시점)
• 법률신문(2026.11.5): 개인정보 평가·인증의 새로운 의미, ISMS-P 의무화 2027년 7월 1일 시행
• IT위키: ISMS-P 인증기준 2.11.3 이상행위 분석 및 모니터링 (2.9.4·2.9.5 항목 문구 참고, 공식 안내서로 재확인 권장)
• KYRA MDR 공식 사이트: 요금제와 플랜별 ISMS-P 컴플라이언스 보고서 (2026년 11월 확인)