정보보호 공시 의무 확대, 2027년부터 전체 상장사로

오늘의 핵심

정보보호산업법 시행령 개정으로 2027년부터 코스피·코스닥 전체 상장사와 ISMS 인증 의무대상 등의 정보보호 공시 의무가 확대된다. 신규 대상 기업은 투자액·전담 인력·보안 활동 자료의 산정 기준과 관리 체계를 미리 정비해야 한다.

확인된 사실

• 정보보호산업법 시행령 개정안이 국무회의를 통과했으며, 개정 시행령은 2027년 1월 1일부터 시행된다. 근거 [1] [2]
• 매출액 기준과 관계없이 코스피·코스닥 전체 상장법인이 정보보호 공시 의무 대상에 포함된다. 근거 [1] [2]
• ISMS 인증 의무대상과 기존 예외 대상이던 공공기관·금융회사·전자금융업자 등도 요건에 따라 공시 대상에 포함되며, 소기업에는 2029년 1월 1일부터 적용된다. 근거 [1] [2]
• 공시 대상 판단에 쓰이는 이용자 수 산정기간은 전년도 말 직전 3개월에서 전년도 전체 기간으로 변경된다. 근거 [2]
• 공시 항목에는 정보보호 투자액, 전담 인력, 관련 인증·평가·점검과 보안 활동 현황 등이 포함된다. 근거 [2]

왜 중요한가

• 상장 여부뿐 아니라 ISMS 인증 의무 여부와 이용자 수 기준 때문에 비상장 웹·앱 사업자도 새 공시 대상이 될 수 있다.
• 공시 수치는 재무·인사·보안·서비스 운영 데이터가 함께 필요하므로 담당 조직과 산정 기준을 늦게 정하면 검증과 승인 과정이 병목이 될 수 있다.
• 외부에 공개되는 보안 투자와 인력 현황은 고객사 실사, 제휴 검토, 조달 평가에서 기업의 보안 거버넌스를 판단하는 자료로 활용될 가능성이 있다.

inxight의 관점

• 이번 변화는 보안팀만의 문서 업무가 아니라 제품·운영 조직이 생성하는 자산, 이용자, 인력, 투자 데이터를 하나의 증적 체계로 연결하는 과제다.
• 공시 수치의 신뢰성을 높이려면 서비스별 인프라 비용과 보안 비용의 구분 원칙, 겸직 인력 산정 방식, 인증·점검 이력의 관리 책임자를 먼저 정해야 한다.
• 의무 대상이 아니더라도 같은 형식의 내부 지표를 운영하면 보안 예산의 우선순위와 고객사 보안 질의 대응력을 함께 개선할 수 있다.

실무 체크리스트

• 법무·보안 담당자가 상장 여부, ISMS 인증 의무, 이용자 수 등 개정 기준에 따른 적용 가능성을 확인한다.
• 재무·인사·개발·인프라 조직이 보유한 보안 투자액, 전담 인력, 인증·평가·점검 자료의 위치와 책임자를 목록화한다.
• 전년도 전체 기간을 기준으로 이용자 수를 재산정할 수 있도록 분석 쿼리, 데이터 보존 범위와 검증 절차를 점검한다.
• 공시 초안을 작성하고 원장·계약서·인사자료·인증서 등 근거 자료와 수치가 일치하는지 내부 검토 일정을 마련한다.