GDAC 0409 2부, ISMS 갱신심사 이후가 관건

바스프 전용 최초 심사 전환 앞두고 KISA '심기불편'

---

피어테크가 올해 12월 만료되는 ISMS의 갱신심사를 두고 난항이 예상된다. 

최근 불미스러운 이슈로 수습에 총력을 다하고 있지만, 10월부터 진행될 ISMS 갱신심사 또는 바스프 전용 최초 심사 중 양자택일을 할 수밖에 없다. 특히 기존 ISMS 일련번호로 해킹 신고가 접수, 무형의 불이익과 심사 과정에서 이전보다 강화된 기준에 따라 살펴보는 게 자연스럽다는 게 보안업계 관계자들의 의견이다.

12일 과기부, KISA 등에 따르면 피어테크는 '클라우드 기반의 거래소 및 지갑관리 시스템 운영(심사받지 않은 물리적 인프라 제외)'로 2020년 12월 2일부터 2023년 12월 1일까지 유효한 인증번호(ISMS-KISA-2020-210)를 부여받았다.

정보통신망법에 따라 ▲최초 심사, 2020년 12월 1일 ▲사후심사 1차, 2021년 12월 1일 ▲사후심사 2차, 2022년 12월 2일 ▲갱신심사, 2023년 12월 1일이지만, 기존 ISMS 갱신심사 과정에서 9월(갱신심사는 인증번호 만료 90일 전부터 진행)이 운명의 달이다.

비록 해킹 사고에 따른 신고 절차와 사후 수습 등은 해결할 수 있지만, 신고 과정에서 발생한 '수사기관 최초 신고, KISA 2순위 신고'로 귀결된 앙금이 남아있기 때문이다. 일반적인 웹사이트를 운영하는 사업자는 해킹, 디도스, 랜섬, 개인정보 유출 등은 KISA와 과기부에 신고 내용을 공유해야 하고, 특히 ISMS와 관련해 KISA의 상급 기관은 과기부다.

KISA도 과기부에서 ISMS 인증 심사기관으로 일정 기간에 따라 권한을 위임받아 진행, KISA가 발급한 ISMS 일련번호를 부여받은 사업자의 사고 내역은 고스란히 KISA에 부정적인 이미지가 누적된다. 

금융보안원이 금융업계를 대상으로 진행하는 'ISMS‑P‑FSI‑XXXX-XXX' 심사보다 특금법에 따라 바프스 전용 ISMS와 예비 인증까지 마련해준 KISA의 간소화 절차가 빛이 바랬다는 평가가 나온다.

KISA 관계자는 "가상자산 사업자 전용 ISMS는 절차에 따라 진행된다"며 "특정 업체에서 발생한 사고와 별도로 갱신심사와 최초심사는 비공개로 진행되므로 확인해 드리기 어렵다"고 말했다.