대학이 정보보호관리체계인증(ISMS) 의무 대상에 포함되면서 국내 대학들의 불만이 팽배해지고 있다. 현실과 맞지 않는 정보보안 정책일 뿐만 아니라 절차상에도 큰 문제가 있다는 지적이 나온다. 천문학적인 설비 교체 비용과 유지보수 비용이 필요해 학생들의 부담이 커질 수 밖에 없다는 것이다.


ISMS 의무 대상에 대학이 포함되면서 이를 개정해 달라는 취지의 토론회가 개최됐다. / 유진상 기자
ISMS 의무 대상에 대학이 포함되면서 이를 개정해 달라는 취지의 토론회가 개최됐다. / 유진상 기자
전국 133개 대학교 및 대학의 정보화 책임자 모임인 한국대학정보화협의회는 8일 서울 중구 프레스센터에서 'ISMS 인증의 실효성과 대학 의무인증의 문제'를 주제로 토론회를 개최하고 대학교를 인증 의무 대상에서 제외해 줄 것을 촉구했다.

ISMS(Information Security Management System)은 기업(조직)이 각종 위협으로부터 주요 정보자산을 보호하기 위해 수립·관리·운영하는 종합적인 체계(정보보호관리체계)의 적합성에 대해 인증을 부여하는 제도다.

정부는 6월 2일 '정보통신 이용촉진 및 정보보호 등에 관한 법률(정보통신망법)'의 시행령 및 시행 규칙을 개정하면서 ISMS의 인증 의무 대상을 의료와 교육 분야로 확대했다. 이에 따라 연간 매출액 또는 세입이 1500억 이상인 상급병원과 재학생수 1만명 이상인 학교는 ISMS 인증을 받아야 한다. 만약 요건이 되는 대학이 ISMS 의무기관 인증을 받지 않으면 개정 법규에 따라 3000만원 이하의 과태료를 내야 한다.

이날 토론에 패널로 참석한 이정태 아주대학교 중앙전산원 원장은 ISMS 인증 대상에 대학을 포함한 법 개정이 과잉규제·중복규제·이중처벌·절차적 하자·기본재산권 침해 등 5가지 문제점을 갖고 있다고 밝혔다.

이 원장은 "개정된 법의 시행령은 법률 효과에 대한 과학적이고 객관적인 근거가 불충분한 상황에서 추진됐다"며 "피규제자인 대학이 충분한 의견을 제시할 수 있는 기회를 부여하지 않았을 뿐만 아니라 법이 개정된 후에야 대학들은 해당 사항에 대해 통지 받았다"고 절차상의 문제를 지적했다.

그는 이어 "평가 항목의 규모나 난이도는 'ISMS > PIA(개인정보영향평가) > 교육부개인정보 수준진단' 순인데, 모두 다 중복된다"며 "ISMS의 점검 항목은 ISO 27001에서 시작했기 때문에 상당히 유사성이 있고 대학의 경우 이미 교육부에서 매년 개인정보 수준진단을 실시해 결과를 제출하고 있다"고 설명했다.

김가연 오픈넷 변호사는 ISMS의 강제가 이뤄져선 안된다고 주장했다. 정부가 특정 서비스나 기술을 편파적으로 강제화하는 것은 다양한 기술과 서비스의 공정한 경쟁을 가로막는 원인이 된다는 것이다. 그는 그 예로 공인인증서를 들었다. 공인인증서는 15년 이상된 기술로써 정부가 이를 강제하면서 기술중립성 위반, 금융기관 책임회피용 등으로 활용되는 문제가 지적되고 있다.

김 변호사는 "ISMS 인증은 기술중립적 규제이어야 하고, 자율규제로 시행되어야 한다"며 "공인인증서 사용 강제로 인한 폐해를 이미 겪은 바를 알고 있는 만큼 ISMS 인증은 강제되선 안된다"고 주장했다.

새로운 정보보안체계를 대학에 적용할 때 발생하는 비용도 문제로 지적됐다. 104개의 ISMS 인증을 모두 받으려면, 한 대학 당 최초 인증을 위한 설비 교체에 약 93억원, 연간 유지비 25억원이 발생한다.

협의회 측은 "현재 인증 대상인 38개 대학이 전체적으로 최초 인증을 받기 위해선 2400억원의 서버 교체 비용과 650억원의 유지비용이 소요된다"며 "이는 학생 한 명 당 ISMS 공인인증서를 이용하기 위해 가입비 25만원과 매년 이용료 5만원을 내는 것과 같다"고 강조했다.

이와 관련해 미래부 측은 절차상 어떠한 문제도 없었을 뿐만 아니라 대학들의 정보유출 사고가 빈번하기 때문에 정보보호 체계 강화가 필요했다는 입장을 고수했다.

김기홍 미래부 사무관은 "국무조정실 사전 검토, 규제개혁위원회 등 법 개정에 필요한 절차는 모두 제대로 밟아 처리가 이뤄진 것이다"라며 "대학은 보유정보의 중요성과 보안수준, 사고 발생 빈도 등을 고려했을 때 반드시 의무화해야 하는 대상이 맞다"고 말했다.