ISMS-P 의무화 대상 기업 확인하기 — 우리 회사도 해당될까?
ISMS-P(정보보호 및 개인정보보호 관리체계 인증)는 모든 기업이 받아야 하는 건 아닙니다. 하지만 특정 조건을 충족하면 의무화되며, 미인증 시 최대 3,000만 원 과태료가 부과됩니다. 우리 회사가 해당되는지 지금 바로 확인해보세요.
ISMS-P란 무엇인가?
ISMS-P는 두 가지를 합친 인증입니다.
- ISMS (정보보호 관리체계): 정보 자산 보호 체계
- ISMS-P (개인정보보호 포함): ISMS + 개인정보 처리 전 단계 보호
개인정보를 대규모로 처리하는 기업이라면 ISMS보다 한 단계 높은 ISMS-P가 더 적합합니다.
ISMS-P 의무 대상 기준
1. 정보통신서비스 제공자 (ISP)
아래 두 가지 조건 중 하나라도 해당하면 의무 대상입니다.
| 기준 | 조건 | |------|------| | 이용자 수 | 전년도 말 기준 일평균 100만 명 이상 | | 매출액 | 전년도 정보통신서비스 매출 1,500억 원 이상 |
예시: 월 활성 사용자(MAU) 300만 명인 SaaS → 의무 대상 가능성 높음
2. 집적정보통신시설 사업자 (IDC)
데이터센터, 클라우드 서버 호스팅 업체는 규모와 무관하게 의무 대상입니다.
3. 의료기관
병원정보시스템을 운영하는 의료기관 중 일정 규모 이상은 의무 적용됩니다.
4. 교육기관
원격교육 서비스를 제공하는 대학교 및 이러닝 플랫폼 중 일정 규모 이상 해당합니다.
중소기업은 보통 의무 대상이 아닙니다
솔직히 말하면: 대부분의 스타트업과 중소기업은 ISMS-P 의무 대상이 아닙니다.
일평균 100만 이용자나 1,500억 매출은 대기업 기준에 가깝습니다. 하지만 두 가지 이유에서 중소기업도 관심을 가져야 합니다.
- 자발적 인증 수요: B2B 계약 시 파트너사가 ISMS-P 요구하는 경우 증가
- 개인정보보호법(PIPA) 준수 의무는 별도: 이용자 수 관계없이 개인정보를 처리하면 PIPA를 지켜야 함
ISMS-P 미인증 시 제재
의무 대상인데 인증받지 않으면:
- 과태료: 최대 3,000만 원 (정보통신망법 제76조)
- 행정처분: 서비스 개선 명령
- 반복 위반 시: 더 높은 과태료 및 영업정지
우리 회사 해당 여부 빠른 체크
✅ 체크리스트
□ 정보통신서비스를 제공하는 사업자인가?
□ 전년도 일평균 이용자가 100만 명 이상인가?
□ 전년도 정보통신서비스 매출이 1,500억 원 이상인가?
□ 데이터센터 또는 클라우드 호스팅 서비스를 제공하는가?
→ 하나라도 "예"면 ISMS(-P) 의무 대상 가능성 있음
ISMS-P 대신 PIPA 준수부터
ISMS-P 의무 대상이 아니더라도, 개인정보처리방침 수립 + 안전조치 의무는 모든 기업에 적용됩니다. 이 기본기가 흔들리면 나중에 더 큰 비용이 발생합니다.
pipaguard는 의무 대상 여부와 무관하게 PIPA 준수 여부를 빠르게 진단해드립니다.
정리
| 기업 유형 | 의무 여부 | |-----------|-----------| | 일평균 이용자 100만+ | 의무 | | 매출 1,500억+ ISP | 의무 | | IDC·클라우드 사업자 | 의무 | | 스타트업·중소기업 (소규모) | 비의무 (PIPA는 별도 적용) | | 의료·교육기관 (대규모) | 의무 |
ISMS-P는 거대 기업의 영역이지만, 개인정보 보호 의무는 모두의 숙제입니다.