코인제스트·코인빗·캐셔레스트, ISMS 마감 시한 D-71

코로나19 여파로 두 달 연기 영향｜지닥(피어테크)은 2019년 ISMS 의무 대상자 제외돼

---

 
국내에서 영업 중인 암호화폐 거래소 중 코인제스트와 코인빗, 캐셔레스트 등 3곳은 '2019년 ISMS 인증의무 대상자'로 10월 31일까지 무조건 정보보호관리체계(ISMS, Information Security Management System) 인증을 받아야 한다. 

올해 상반기 인증을 받은 펄어비스(ISMS-KISA-2020-112)처럼 KISA의 심사를 통과한 'ISMS-KISA-2020-XXX'라는 인증번호를 받지 않으면 3천 만 원 이하의 과태료가 부과된다.

지난 6월부터 <본지> 트래킹 팀은 최근 3년간 ISMS 인증 현황 기업을 전수 조사하면서 '암호화폐 거래소 ISMS 인증 현황과 사후 관리' 부문에서 미흡한 점을 토대로 KISA와 과학기술정보통신부에 확인하는 교차 검증을 진행 중이다.

21일 <본지>가 KISA에 '2019년 ISMS 인증의무 대상자'의 기준과 마감 시한' 확인 결과 KISA와 과기부는 코인제스트·코인빗·캐셔레스트는 2019년 의무대상으로 판단하고 있다. 또 지닥은 지난해 제외 검토를 통해 올해 2월에 의무대상에서 제외했다.

KISA는 2019년 의무대상자는 2020년 10월 31일까지 인증서를 발급받아야 한다고 설명했다. / 이미지=KISA 알림마당 갈무리

<본지>는 지난해 9월 바른미래당 신용현 의원이 공개한 '가상통화 취급업소 ISMS 인증의무 대상자 인증 현황' 리스트를 토대로 사실 확인을 거쳤으며, 지닥을 제외한 3곳의 거래소는 10월 31일이 ISMS 인증 마감 시한이다. 

당초 8월 31일이었지만, 코로나19 이슈로 이행기간을 2개월 연장해 10월 31일로 확정된 것. 

KISA 측은 코로나19 예방 및 확산 방지를 위하여 인증 이행기한이 2020년 12월 이내인 경우 이행기한을 2개월 연장하도록 했으며, 2019년 의무대상자의 경우 2020년 10월 31일까지 인증서를 발급받으면 된다고 설명했다. 

참고로 인증이행기간은 최초심사 대상자의 경우는 인증심사를 받고, 인증위원회 상정하여 인증서 취득을 완료하는 기한을 의미한다. 거래소 3곳은 갱신이 아닌 최초심사 대상이다.

코인제스트·코인빗·캐셔레스트 등 3곳 거래소와 관련해 KISA 측은 <본지>에 3개 기업에서 '2019년 의무대상자가 아니다'라는 내용으로 연락이 온 적은 현재까지 없으며, "의무대상이 아니다"라는 메일을 보낸 적도 없다"고 답했다.

대신 KISA는 올해 3, 4월 초 '정보보호관리체계' 홈페이지의 알림마당을 통해 <코로나19 예방 및 확산방지를 위한 정보보호 관리체계(ISMS) 인증심사 연기 안내> 공지와 별도로 신청기관에 이메일을 통해 안내했다. 

결국 코로나19 여파로 8월 31일에서 2개월 연장된 것에 불과할 뿐 이들이 인증번호를 받아야하는 의무는 여전하다.

정보보호 관리체계 인증 2회 연속으로 획득한 서울성모병원 / 사진=서울성모병원

이와 별도로 ISMS 인증을 2회 연속으로 획득한 서울성모병원(ISMS-KISA-2020-120)은 최초심사 대상이 아님에도 코로나19 이슈와 인증범위를 고려하더라도 심사 연기 이후 ▲내·외부 전문컨설팅 등 6개월 준비 및 운영기간을 거쳐 ▲ISMS 전문평가단 방문 평가, 5월 11일~15일 ▲7월 29일 최종 보고서를 통해 2차 인증 획득이 확정됐다.

서울성모병원 측은 의료정보시스템(EMR, OCS) 및 홈페이지 서비스 운영’의 전 범위를 대상으로 ISMS 인증기준 항목에 대한 문서검토, 안전조치, 자산관리, 관련 부서 인터뷰 및 현장 실사 등 다양한 방법으로 평가가 진행됐다고 설명했다.

이를 토대로 서울성모병원은 적어도 지난해 10월부터 ISMS 인증을 준비했으며, 3월에 예정됐던 방문 심사는 5월에 진행해 2개월 뒤에 인증을 통과했다는 산술적인 계산이 나온다. 또 거래소가 아닌 IT 업계에서 '2019년 의무대상자'로 지정된 A 업체는 최초심사 대상자로 7월에 인증번호를 받았다.

유독 국내 암호화폐 거래소 업계가 ISMS 인증 준비를 위해 언론플레이로 시간 끌기를 하고 있다는 지적이 나오는 이유다.