금융권 ISMS-P 인증 의무화 방안 연구 = A Study on Measures for the Mandatory Adoption of ISMS-P Certification in the Financial Sector

국문 초록 (Abstract)

최근 금융권은 모바일뱅킹, 간편결제, 마이데이터, 오픈뱅킹 등 디지털 금융서비스의 확산으로 정보시스템 의존도가 높아지고 있다. 금융회사는 개인정보, 금융거래정보, 개인신용정보 등 민감한 정보를 대규모로 처리하고 있으며, 보안사고 발생 시 금융소비자 피해와 금융시장 신뢰 저하로 이어질 수 있다. 이에 따라 금융권의 정보보호 및 개인정보보호 관리체계를 일정 수준 이상으로 확보하기 위한 제도적 장치가 필요하다.

ISMS-P 인증은 조직의 정보보호 및 개인정보보호 관리체계가 적정하게 수립·운영되고 있는지를 검증하는 대표적인 인증제도이다. 그러나 금융권에서는 자율 인증 중심으로 운영되고 있어 인증 취득 여부와 인증범위 설정에 따라 기관별 관리 수준에 차이가 발생할 수 있다. 특히 인증범위가 일부 서비스나 시스템에 한정될 경우 금융권의 주요 정보자산과 복합적인 업무 구조를 충분히 포괄하지 못하는 한계가 있다.

본 연구는 금융권 ISMS-P 인증의 자율 운영 구조와 인증범위 설정 과정에서 나타나는 한계를 분석하고, 금융산업의 특성을 반영한 ISMS-P 인증 의무화 방안을 제시하는 데 목적이 있다. 연구 결과, 금융권 ISMS-P 인증 의무화는 단순한 인증 대상 확대가 아니라 위험기반 적용 기준, 기존 금융권 정보보호 평가제도와의 연계 구조, 차등형 인증체계가 함께 설계되는 방향으로 추진될 필요가 있다. 이를 통해 금융회사의 실무 부담을 완화하면서도 기관별 규모와 위험도에 적합한 관리체계를 구축할 수 있다.

본 연구는 금융권 ISMS-P 인증 의무화를 단순한 규제 확대가 아니라 금융권 정보보호 및 개인정보보호 관리체계를 통합·표준화하기 위한 정책수단으로 보았다는 점에서 의의가 있다. 금융권에 적합한 위험기반 의무화 기준과 차등형 인증체계가 정착될 경우 ISMS-P 인증은 금융소비자 보호와 금융시장 신뢰를 강화하는 제도적 기반으로 기능할 수 있을 것이다.

다국어 초록 (Multilingual Abstract)

Recently, the financial sector has become increasingly dependent on information systems due to the expansion of digital financial services such as mobile banking, simple payment services, MyData, and open banking. Financial institutions process large volumes of sensitive information, including personal information, financial transaction information, and personal credit information. In the event of a security incident, such damage may extend beyond a single institution and lead to harm to financial consumers and a decline in trust in the financial market. Therefore, institutional measures are needed to ensure that information security and personal information protection management systems in the financial sector are maintained above a certain level.

ISMS-P certification is a representative certification system that verifies whether an organization’s information security and personal information protection management system has been properly established and operated. However, in the financial sector, ISMS-P certification is mainly operated as a voluntary certification system. As a result, differences in management levels may arise depending on whether an institution obtains certification and how the certification scope is defined. In particular, when the certification scope is limited to certain services or systems, it may fail to sufficiently cover the major information assets and complex business structures of financial institutions.

This study aims to analyze the limitations arising from the voluntary operation structure and certification scope setting of ISMS-P certification in the financial sector and to propose measures for mandating ISMS-P certification that reflect the characteristics of the financial industry. The findings suggest that mandating ISMS-P certification in the financial sector should not be pursued merely as an expansion of certification targets. Rather, it should be designed together with risk-based application criteria, a linkage structure with existing financial information security evaluation systems, and a differentiated certification framework. Through this approach, financial institutions can reduce practical burdens while establishing management systems appropriate to their size and risk level.

The significance of this study lies in its view of mandatory ISMS-P certification in the financial sector not simply as regulatory expansion, but as a policy measure to integrate and standardize information security and personal information protection management systems. If risk-based mandatory certification criteria and a differentiated certification framework suitable for the financial sector are established, ISMS-P certification can serve as an institutional foundation for strengthening financial consumer protection and trust in the financial market.

목차 (Table of Contents)

• 제1장 서 론 1
• 제1절 연구 배경 1
• 제2절 연구 목적 3
• 제3절 연구 범위 및 방법 4
• 1. 연구 범위 4
• 2. 연구 방법 5
• 제2장 ISMS-P 인증 제도 7
• 제1절 ISMS-P 인증 개요 7
• 1. KISA ISMS-P 14
• 2. 금융보안원 ISMS-P 15
• 제2절 ISMS-P 인증 절차 17
• 제3절 ISMS-P 인증 비교 19
• 제3장 금융권 ISMS-P 인증 의무화 필요성 24
• 제1절 금융권 ISMS-P 인증 기피 요인 24
• 제2절 금융권 인증 체계의 구조적 한계 31
• 1. 금융권 개인정보 처리 특성과 보안 위험 32
• 2. 선택적 인증 범위 설정에 따른 한계 35
• 제3절 금융권 ISMS-P 인증 의무화 정책 필요성 37
• 제4장 금융권 ISMS-P 인증 의무화 방안 42
• 제1절 금융권 ISMS-P 인증 의무화 정책 방향 42
• 제2절 금융권 ISMS-P 인증 연계 구조 설계 49
• 제3절 금융권 ISMS-P 인증 차등형 체계 도입 방안 62
• 제5장 결 론 69
• 참 고 문 헌 71
• ABSTRACT 74