ISMS-P 인증 의무대상·신청절차·비용 총정리 (2026)
매년 초, 정보보호 담당자 메일함에 빠지지 않고 도착하는 질문이 있습니다. "대표님이 물어보시는데, 우리도 ISMS-P 받아야 하나요?" 그리고 이 질문에 곧바로 "네/아니오"로 답할 수 있는 담당자는 생각보다 많지 않습니다. 매출과 이용자 수, 업종 조건이 얽혀 있고, 미인증 시 3천만 원 이하 과태료뿐 아니라 대기업·공공 입찰에서 인증 미보유가 곧 계약 탈락으로 이어지기 때문입니다.
📌 인증기준 102개 항목별 상세 점검·증적·빈출 결함 대응은 ISMS-P 102개 항목 실무 체크리스트에서 다룹니다. 이 글은 의무대상 판단·신청 절차·기간·비용에 초점을 맞춥니다.
이 글은 "의무대상인지"부터 "무엇을, 언제, 얼마에 준비하는지"까지 표와 타임라인, 체크리스트로 즉답하는 것을 목표로 합니다. 표만 스캔해도 방향이 잡히도록 구성했습니다.
⚠️ CSAP와 헷갈리지 마세요
- ISMS-P: 조직의 정보보호 및 개인정보보호 관리체계를 인증 (KISA/한국인터넷진흥원)
- CSAP: 클라우드 서비스 자체의 보안 수준 인증 (공공 클라우드 이용 조건) 둘은 대상도 근거법도 다릅니다. "클라우드 쓰니까 CSAP면 되지 않나?"는 오해입니다.
📌 아래 수치는 2026년 시점 일반 기준으로 정리했으나, 정확한 적용은 **최신 고시와 KISA 안내(isms.kisa.or.kr)**를 반드시 확인하세요.
1. 우리도 의무대상일까? — 판단 기준 표
정보통신망법에 따른 ISMS 인증 의무대상 조건을 정리하면 다음과 같습니다.
| 구분 | 의무대상 조건 | 판단 포인트 |
|---|---|---|
| ISP | 전기통신사업법상 정보통신망서비스 제공자(회선설비 보유) | 서울 및 모든 광역시에서 서비스 제공 |
| IDC | 집적정보통신시설(데이터센터) 사업자 | 타인의 정보통신서비스 제공을 위한 시설 운영 |
| 매출액 기준 | 정보통신서비스 부문 전년도 매출액 100억 원 이상 | 전체 매출이 아닌 '정보통신서비스 부문' 매출 |
| 이용자 기준 | 전년도 말 기준 직전 3개월간 일일평균 이용자 100만 명 이상 | DAU 기준, 순 방문자 산정 방식 확인 필요 |
| 병원 | 연매출 1,500억 원 이상 상급종합병원 | 의료기관 특례 |
| 대학 | 재학생 1만 명 이상 대학 | 「고등교육법」상 학교 |
위 조건 중 하나라도 해당하면 ISMS 의무대상입니다. 여기서 개인정보를 처리한다면(대부분 해당) 개인정보보호 영역까지 포함한 ISMS-P 인증을 받는 것이 실무상 유리합니다.
ISMS vs ISMS-P 선택 기준
- ISMS: 정보보호 관리체계만. 의무대상 최소 요건 충족용.
- ISMS-P: 정보보호 + 개인정보 처리단계까지. 개인정보를 다량 취급하거나, 마이데이터·AI 학습데이터 등으로 개인정보 리스크가 큰 조직에 권장.
의무대상이 아니어도 자율신청이 가능하며, 입찰 가점·고객사 요구·대외 신뢰 목적으로 자율 취득하는 사례가 빠르게 늘고 있습니다.
2. 신청부터 인증서 발급까지 — 단계별 타임라인
전체 소요는 준비 기간을 포함해 최소 6개월, 보통 8~12개월로 잡는 것이 현실적입니다.
| 주차(누적) | 단계 | 실무자가 할 일 |
|---|---|---|
| 0~12주 | 갭분석·관리체계 구축 | 정책·지침 정비, 위험평가 수행, 통제항목별 증적 확보 |
| 12~20주 | 운영 및 증적 축적 | 최소 2개월 이상 실제 운영 로그·기록 누적(형식만 갖추면 결함) |
| 20주 | 심사 신청서 접수 | 인증범위 확정, 신청 공문·수수료 납부 |
| 21~22주 | 예비점검 | 심사팀이 준비 상태 확인, 미비점 사전 피드백 |
| 23~24주 | 심사팀 구성·최초심사(서면·현장) | 담당자 인터뷰, 시스템 시연, 현장 실사 대응 |
| 25~29주 | 결함 보완조치(최대 100일) | 결함보고서 기준 조치 후 조치내역서 제출 |
| 30~33주 | 인증위원회 심의 | 추가 소명자료 준비 |
| 34주~ | 인증서 발급 | 유효기간 3년 개시, 사후심사 일정 등록 |
핵심은 **"운영 기간"**입니다. 정책을 문서로 만들었다고 끝이 아니라, 실제로 그 정책이 돌아간 로그·회의록·점검 기록이 최소 2~3개월 쌓여 있어야 합니다.
3. 3영역 체크리스트 — 총 101개 인증기준 구조
2026년 기준 ISMS-P 인증기준은 크게 3영역으로 나뉩니다.
| 영역 | 통제항목 수 | 핵심 점검항목 |
|---|---|---|
| 1. 관리체계 수립 및 운영 | 16개 | 정책 수립, 최고책임자(CISO/CPO) 지정, 위험관리, 내부점검·개선 |
| 2. 보호대책 요구사항 | 64개 | 접근통제, 암호화, 인증·권한관리, 물리보안, 사고대응, 백업, 취약점 점검 |
| 3. 개인정보 처리단계별 요구사항 | 21개 | 수집·이용·제공·위탁·파기, 정보주체 권리보장 |
| 합계 | 101개 | ISMS는 1·2영역(80개), ISMS-P는 3영역까지 전부 |
담당자 팁: 64개가 몰려 있는 보호대책 요구사항이 실제 결함의 대부분을 차지합니다. 준비 리소스를 여기에 집중 배분하세요.
4. 실심사 단골 결함 TOP — 원인과 대비법 1:1 매칭
"왜 이게 결함이 되는가?"를 알면 대비가 쉽습니다.
| 단골 결함 | 왜 결함인가 | 사전 대비법 |
|---|---|---|
| 접근권한 검토 미흡 | 퇴사자 계정·과도한 권한 방치 | 분기 1회 권한 재검토 기록 남기기 |
| 로그 검토 미이행 | 로그는 쌓지만 '검토'한 증적 없음 | 주기적 로그 리뷰 회의록·점검표 작성 |
| 개인정보 파기 미이행 | 보유기간 경과 데이터 미삭제 | 파기 대상 목록·파기 확인서 관리 |
| 위험평가 형식적 수행 | 매년 같은 자산·같은 위험 복붙 | 실제 자산 변경 반영, DoA 근거 기록 |
| CISO/CPO 지정·신고 누락 | 법정 신고 의무 미이행 | 지정 후 관할기관 신고 완료 확인 |
| 외부자·수탁사 관리 미흡 | 위탁계약서에 보안 조항 부재, 점검 미실시 | 수탁사 실태점검 연 1회, 재위탁 통제 |
| 취약점 조치 미이행 | 점검은 했는데 조치 안 함 | 점검→조치→재점검 폐루프 증적화 |
특히 클라우드 전환기에는 위탁·수탁 관리 결함이 급증하고 있습니다. 인프라를 AWS·Azure에 올렸다고 책임이 넘어가는 게 아니라, 위탁 관리 책임은 여전히 우리 조직에 있다는 점을 심사관은 반드시 봅니다.
5. 기간·비용 추정과 자체 준비 vs 컨설팅
심사수수료는 인증기준 규모와 심사인일(투입 인력×일수)로 산정됩니다. 조직 규모에 따라 대략 수백만 원~수천만 원 범위이며, KISA 심사수수료 산정 기준에 따릅니다. 여기에 컨설팅을 붙이면 통상 수천만 원대가 추가됩니다.
컨설팅 필요성 자가진단 (2개 이상 Yes면 컨설팅 권장)
- 정보보호 전담 인력이 1명 이하다
- ISMS/ISMS-P 인증 경험이 조직에 없다
- 개인정보 처리 흐름도를 그려본 적이 없다
- 위험평가 방법론을 자체적으로 수립하기 어렵다
💬 실무 경험 한마디: 첫 인증은 컨설팅을 쓰되, 사후심사부터는 내부 역량으로 전환하는 게 비용 대비 효율이 좋습니다. 컨설팅에 전부 맡기면 정작 심사장에서 담당자가 자사 체계를 설명하지 못해 결함을 받는 경우를 여러 번 봤습니다. 문서는 위탁해도, 운영은 내재화해야 합니다.
6. 기존 ISMS 보유 시 — ISMS-P 확장 절차
이미 ISMS를 보유했다면 처음부터 다시 할 필요가 없습니다.
- 개인정보 처리단계(21개 인증기준) 영역만 추가 심사하여 ISMS-P로 확장 가능
- 재심사·갱신 시점에 맞춰 확장 심사를 진행하면 심사 부담과 비용 절감
- 유효기간은 동일하게 3년, 연 1회 사후심사로 유지 관리
- 사후심사에서 이전 결함의 지속 조치 여부를 확인하므로, 결함 이력 관리가 핵심
2026년에는 개인정보보호법 개정과 마이데이터 확산으로 3영역 심사가 강화되는 추세라, ISMS만 보유한 조직도 P 확장을 미리 검토해두는 것이 좋습니다.
착수 체크리스트
- 정보통신서비스 부문 매출·이용자 수로 의무대상 판단
- ISMS vs ISMS-P 결정 (개인정보 처리량 고려)
- 인증범위·CISO/CPO 지정·신고 확인
- 갭분석 후 부족 통제항목 도출
- 운영 증적 2~3개월 누적 계획 수립
- 컨설팅 자가진단으로 자체/외주 결정
자주 묻는 질문 (FAQ)
Q. ISMS-P 준비, 실제로 얼마나 걸리나요?
A. 관리체계 구축과 최소 23개월 운영 증적 확보가 필요해 준비만 36개월, 심사·보완·인증위원회까지 포함하면 총 8~12개월로 보는 것이 현실적입니다.
Q. ISMS만 있으면 개인정보는 인증 안 되나요? A. 네. ISMS는 정보보호 관리체계만 다룹니다. 개인정보 수집·이용·제공·파기 등 처리단계까지 인증받으려면 개인정보 영역 21개 기준을 추가한 ISMS-P가 필요하며, 기존 ISMS 보유 시 확장 심사로 전환할 수 있습니다.
Q. 클라우드를 쓰면 CSAP만 받으면 되나요? A. 아닙니다. CSAP는 클라우드 서비스 자체 인증이고, ISMS-P는 조직의 정보보호·개인정보보호 관리체계 인증으로 목적과 대상이 다릅니다. 의무대상이라면 클라우드 사용 여부와 무관하게 ISMS-P(또는 ISMS)를 받아야 합니다.
이 글은 AI 에이전트가 자료 조사와 1차 초안 작성을 담당하고, 사람 편집자가 사실관계·출처·톤과 맥락을 검토한 뒤 발행했습니다. 환경(OS·버전)에 따라 결과가 다를 수 있으니 적용 전 공식 문서를 함께 확인하세요. 오류를 발견하시면 이메일로 제보해 주세요 — 확인 후 신속히 정정합니다.
댓글
첫 번째 댓글을 남겨보세요.