2026 ISMS-P 인증기준 안내서 요약: 101개 항목·의무대상·결함 대비

ISMS-P 인증 의무대상·신청 절차·비용 (2026)

매년 초, 정보보호 담당자 메일함에 빠지지 않고 도착하는 질문이 있습니다. "대표님이 물어보시는데, 우리도 ISMS-P 받아야 하나요?" 그리고 이 질문에 곧바로 "네/아니오"로 답할 수 있는 담당자는 생각보다 많지 않습니다. 매출과 이용자 수, 업종 조건이 얽혀 있고, 미인증 시 3천만 원 이하 과태료뿐 아니라 대기업·공공 입찰에서 인증 미보유가 곧 계약 탈락으로 이어지기 때문입니다.

📌 이 글은 의무대상 판단·신청 절차·기간·비용과 함께, 인증기준 3개 영역의 대표 통제항목과 증적, 빈출 결함, 영역별 셀프점검, 인증 후 사후·갱신심사 관리까지 한 곳에 정리했습니다(2026-10-06 개정).

이 글은 "의무대상인지"부터 "무엇을, 언제, 얼마에 준비하는지"까지 표와 타임라인, 체크리스트로 즉답하는 것을 목표로 합니다. 표만 스캔해도 방향이 잡히도록 구성했습니다.

⚠️ CSAP와 헷갈리지 마세요

• ISMS-P: 조직의 정보보호 및 개인정보보호 관리체계를 인증 (KISA/한국인터넷진흥원)
• CSAP: 클라우드 서비스 자체의 보안 수준 인증 (공공 클라우드 이용 조건) 둘은 대상도 근거법도 다릅니다. "클라우드 쓰니까 CSAP면 되지 않나?"는 오해입니다.

📌 아래 수치는 2026년 시점 일반 기준으로 정리했으나, 정확한 적용은 **최신 고시와 KISA 안내(ISMS-P 누리집)**를 반드시 확인하세요.

1. 우리도 의무대상일까? — 판단 기준 표

정보통신망법에 따른 ISMS 인증 의무대상 조건을 정리하면 다음과 같습니다.

위 조건 중 하나라도 해당하면 ISMS 의무대상입니다. 여기서 개인정보를 처리한다면(대부분 해당) 개인정보보호 영역까지 포함한 ISMS-P 인증을 받는 것이 실무상 유리합니다.

ISMS vs ISMS-P 선택 기준

• ISMS: 정보보호 관리체계만. 의무대상 최소 요건 충족용.
• ISMS-P: 정보보호 + 개인정보 처리단계까지. 개인정보를 다량 취급하거나, 마이데이터·AI 학습데이터 등으로 개인정보 리스크가 큰 조직에 권장.

의무대상이 아니어도 자율신청이 가능하며, 입찰 가점·고객사 요구·대외 신뢰 목적으로 자율 취득하는 사례가 빠르게 늘고 있습니다.

2. 신청부터 인증서 발급까지 — 단계별 타임라인

전체 소요는 준비 기간을 포함해 최소 6개월, 보통 8~12개월로 잡는 것이 현실적입니다.

핵심은 **"운영 기간"**입니다. 정책을 문서로 만들었다고 끝이 아니라, 실제로 그 정책이 돌아간 로그·회의록·점검 기록이 최소 2~3개월 쌓여 있어야 합니다.

준비 단계별 핵심 산출물

3. 3영역 체크리스트 — 총 101개 인증기준 구조

2026년 기준 ISMS-P 인증기준은 크게 3영역으로 나뉩니다.

보호대책 요구사항이 64개로 가장 많아 준비 공수도 이 영역에 가장 많이 듭니다. 분야 구성(1.11.4, 2.12.12, 3.1~3.5)은 ISMS-P 누리집 인증기준과 개인정보보호위원회 안내에서 확인할 수 있습니다.

영역별 대표 통제항목과 준비할 증적

항목별 세부 점검 내용은 KISA가 공개하는 인증기준 안내서와 세부 점검항목을 기준으로 확인하세요. 증적은 "관리하고 있다"는 설명이 아니라 날짜가 찍힌 기록으로 보여줘야 합니다.

2026 인증기준 안내서 주요 변경점·원문 링크

2026년 10월 15일 확인 기준, KISA ISMS-P 누리집과 개인정보 포털에 게시된 최신 인증기준 안내서는 2023년 11월 개정판입니다. 2023년 9월 15일 시행된 개인정보 보호법·시행령 개정과 세부 점검항목 변경을 반영한 판이며, 이 글의 101개 인증기준 구조도 이 판을 따릅니다. 2026년판 인증기준 안내서는 아직 게시되지 않았습니다.

2026년에 바뀐 것은 안내서가 아니라 제도 개편 계획입니다. 개인정보보호위원회와 과학기술정보통신부는 2026년 4월 10일 「정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안」을 발표했습니다.

구체적인 의무대상 범위와 새 인증기준은 시행령·고시 개정으로 확정됩니다. 지금 준비하는 조직은 현행 101개 기준으로 준비하되, 새 고시와 안내서가 게시되면 차이를 다시 확인하세요.

원문 링크

• KISA ISMS-P 누리집 자료실: 인증기준 안내서(2023.11), 세부 점검항목, 인증제도 안내서(2024.07)
• 개인정보 포털: ISMS-P 인증기준 안내서(2023.11 개정)
• 개인정보보호위원회 보도자료: 인증제 실효성 강화방안(2026.4.10)

4. 실심사 단골 결함 TOP — 원인과 대비법 1:1 매칭

"왜 이게 결함이 되는가?"를 알면 대비가 쉽습니다.

클라우드를 쓴다면: 책임 분담을 문서로

"클라우드 사업자가 인증을 받았으니 우리 범위는 끝"이 아닙니다. 물리 보안·하이퍼바이저 같은 기반 인프라는 클라우드 사업자 책임이지만, 계정·권한(IAM), 네트워크 접근 설정, 암호화 설정, 로그 수집처럼 이용 기업이 직접 설정하는 영역은 이용 기업의 관리체계 범위입니다.

• 인증범위를 정할 때 클라우드 사업자 책임과 자사 책임을 표(RACI 등)로 나눠 둡니다.
• 클라우드 사업자의 인증서·보고서(ISMS, ISO/IEC 27001·27017 등)를 외부자(위탁) 관리 증적으로 확보합니다.
• 자사 책임 영역은 설정 화면, 정책, 로그 보관 설정으로 증빙합니다.

5. 기간·비용 추정과 자체 준비 vs 컨설팅

심사 수수료는 인증범위 규모에 따라 정해지는 심사 일수(투입 인원×일수)를 기준으로 산정됩니다. 산정 방식은 KISA가 공개하는 「인증수수료 산정내역서」와 관련 고시에서 확인하고, 정확한 금액은 신청 전 견적으로 받으세요. 컨설팅·솔루션 비용은 조직의 현재 성숙도와 범위에 따라 편차가 커서 이 글에서는 금액을 제시하지 않습니다. 견적을 비교할 때는 내부 담당자 투입 시간도 비용에 넣어 계산하세요.

컨설팅 필요성 자가진단 (2개 이상 Yes면 컨설팅 권장)

• 정보보호 전담 인력이 1명 이하다
• ISMS/ISMS-P 인증 경험이 조직에 없다
• 개인정보 처리 흐름도를 그려본 적이 없다
• 위험평가 방법론을 자체적으로 수립하기 어렵다

💬 준비 팁: 첫 인증을 컨설팅으로 준비하더라도, 심사에서는 담당자가 자사 관리체계를 직접 설명해야 합니다. 문서 작성은 외부 도움을 받더라도 운영과 설명은 내부 담당자가 맡을 수 있게 준비하세요. 문서는 위탁해도, 운영은 내재화해야 합니다.

6. 기존 ISMS 보유 시 — ISMS-P 확장 절차

이미 ISMS를 보유했다면 처음부터 다시 할 필요가 없습니다.

• 개인정보 처리단계(21개 인증기준) 영역만 추가 심사하여 ISMS-P로 확장 가능
• 재심사·갱신 시점에 맞춰 확장 심사를 진행하면 심사 부담과 비용 절감
• 유효기간은 동일하게 3년, 연 1회 사후심사로 유지 관리
• 사후심사에서 이전 결함의 지속 조치 여부를 확인하므로, 결함 이력 관리가 핵심

2026년에는 개인정보보호법 개정과 마이데이터 확산으로 3영역 심사가 강화되는 추세라, ISMS만 보유한 조직도 P 확장을 미리 검토해두는 것이 좋습니다.

7. 인증 이후: 사후심사·갱신심사와 연간 증적 캘린더

인증서 유효기간은 3년이고, 그 사이 매년 사후심사를, 만료 전에 갱신심사를 받습니다. 사후심사에서는 이전 결함의 조치가 유지되는지와 관리체계가 계속 운영되는지를 봅니다. 운영 기록을 심사 직전에 몰아서 만들면 작성일과 내용이 실제 운영 주기와 맞지 않아 드러나기 쉬우므로, 평소 주기대로 쌓이게 만드는 것이 핵심입니다.

주기는 예시입니다. 실제 주기는 자사 정책·지침에 정한 대로 운영하고, 정책에 적은 주기와 실제 기록이 일치하는지가 심사에서 확인됩니다.

2026년 제도 개편 동향: 개인정보보호위원회와 과학기술정보통신부는 2026-04-10 「정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안」을 발표했습니다(개인정보보호위원회 보도자료). 주요 내용은 ▲주요 공공시스템운영기관·이동통신사업자·본인확인기관·대규모 개인정보처리자 등에 대한 ISMS-P 의무화(단계적 확대), ▲강화·표준·간편 3단계 인증체계, ▲예비심사 단계의 핵심항목 사전 점검(CISO·CPO의 정책 관리 권한, 개인정보 처리·외부 인터넷 접점 자산 식별, 비밀번호·암호화 적용, 취약점·패치관리 등)과 취약점 진단·모의침투 기술심사 도입, ▲주기별 점검양식 표준화와 사후심사 집중 점검, 중대 결함을 기한 내 보완하지 않으면 인증취소입니다. 시행 시기와 세부 기준은 후속 법령·고시 개정으로 정해지므로, 신청 전에 최신 공지를 확인하세요.

착수 체크리스트

• 정보통신서비스 부문 매출·이용자 수로 의무대상 판단
• ISMS vs ISMS-P 결정 (개인정보 처리량 고려)
• 인증범위·CISO/CPO 지정·신고 확인
• 갭분석 후 부족 통제항목 도출
• 운영 증적 2~3개월 누적 계획 수립
• 컨설팅 자가진단으로 자체/외주 결정
• 클라우드를 쓴다면 책임 분담표와 클라우드 사업자 인증서 확보
• 연간 증적 캘린더를 업무 일정에 등록

영역별 셀프점검 (증적이 있으면 체크)

[관리체계 수립 및 운영]

• 정보보호위원회 등 경영진이 참여한 의사결정 기록이 있다 (1.1)
• 정보자산 목록이 최신 상태다 (1.2.1)
• 위험평가 결과, DoA, 보호대책 이행계획이 서로 연결돼 있다 (1.2)
• 연 1회 이상 관리체계 점검을 실질적으로 수행했다 (1.4)

[보호대책 요구사항]

• 수탁사·외부자 계약에 보안 조항이 있고 점검 기록이 있다 (2.3)
• 접근권한 신청·승인·정기 검토 기록이 있다 (2.5)
• 비밀번호·암호화 정책이 실제 시스템에 적용돼 있다 (2.7)
• 접속기록을 정해진 기간 보관하고 정기 점검한다 (2.9)

[개인정보 처리단계별 요구사항]

• 수집·이용 동의 양식과 실제 처리 현황이 일치한다 (3.1)
• 제3자 제공·위탁 현황이 처리방침에 반영돼 있다 (3.3·3.5)
• 파기 대장·확인서로 파기를 증명할 수 있다 (3.4)

자주 묻는 질문 (FAQ)

Q. ISMS-P 준비, 실제로 얼마나 걸리나요? A. 관리체계 구축과 최소 23개월 운영 증적 확보가 필요해 준비만 36개월, 심사·보완·인증위원회까지 포함하면 총 8~12개월로 보는 것이 현실적입니다.

Q. ISMS만 있으면 개인정보는 인증 안 되나요? A. 네. ISMS는 정보보호 관리체계만 다룹니다. 개인정보 수집·이용·제공·파기 등 처리단계까지 인증받으려면 개인정보 영역 21개 기준을 추가한 ISMS-P가 필요하며, 기존 ISMS 보유 시 확장 심사로 전환할 수 있습니다.

Q. 클라우드를 쓰면 CSAP만 받으면 되나요? A. 아닙니다. CSAP는 클라우드 서비스 자체 인증이고, ISMS-P는 조직의 정보보호·개인정보보호 관리체계 인증으로 목적과 대상이 다릅니다. 의무대상이라면 클라우드 사용 여부와 무관하게 ISMS-P(또는 ISMS)를 받아야 합니다.

출처 · 확인일 2026-10-06

• ISMS-P 누리집, 인증기준 — 관리체계 수립 및 운영 16개(1.11.4), 보호대책 요구사항 64개(2.12.12), 개인정보 처리단계 요구사항 21개(3.1~3.5)
• 개인정보보호위원회, ISMS-P 인증제도 안내 — 분야별 인증기준 개수
• 개인정보보호위원회 보도자료, 정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안 (2026-04-10) — ISMS-P 의무화 대상, 3단계 인증체계, 예비심사 핵심항목·기술심사, 사후관리·인증취소 강화