님 안녕하세요! 2027년부터 정보보호 공시 제도가 달라질 예정이라는 사실, 알고 계셨나요? 이번 개정으로 정보 보호 활동을 보다 구체적으로 작성할 수 있도록 기준이 정비되고, 공시 의무 대상 기업도 확대된다고 하는데요. 따라서 이제는 공시 시점에 급하게 자료를 모으기보다, 평소부터 회사의 IT 자산과 보안 활동을 체계적으로 관리해 두는 것이 더욱 중요해진다고 해요.

8월의 소닥레터🌷에서는 2027년 정보보호 공시의 어떤 점이 달라지는지, 지금부터 어떻게 준비해야 하는지를 정리했어요. 여기에, 함께 확인해 볼 만한 IT 자산 관리 항목 6가지도 살펴보도록 할 게요!

 👀 주제 한눈에 스캔하기!

과학기술정보통신부가 주관하는 정보보호 공시란, 기업의 정보보호 투자액, 전담 인력, 인증 취득, 주요 정보보호 활동 등을 투명하게 공개하는 제도예요. 기업의 정보보호 투자를 유도하고 이용자 보호를 강화하기 위한 목적으로 도입됐고요.

그런데, 이 제도가 2027년부터 새롭게 개편될 예정이어서 많은 기업의 관심이 집중되고 있어요. 특히 공시 의무 대상 기업이 확대되면서, 기존에 공시 대상에서 제외됐던 금융·공공기관 역시 정보보호 공시에 참여하는 방향으로 개정이 추진되고 있어요.

이에 대비하기 위해, 최근 금융권을 비롯한 여러 산업에서 서버와 IT 자산을 신속하고 정확하게 식별·관리할 수 있는 시스템에 대한 요구가 증가하고 있다고 해요.

👀 정보보호 공시 제도, 어떻게 바뀔까?

작년 12월, 과학기술정보통신부는 「정보보호 공시에 관한 고시」 일부 개정안을 행정예고 했어요. 이는 제도의 실효성을 높이기 위해 공시 작성 기준과 양식을 정비하는 내용으로, 특히 ‘정보보호 현황의 투자·활동을 세분화’하는 것에 초점을 맞추었는데요.

쉽게 말해, 단순 총액이나 전체적인 현황을 기재하던 기존 방식에서 벗어나 정보보호 투자와 활동을 더욱 구체적으로 구분해서 작성하는 방향으로 나아간 거죠.

다만 기업의 준비 부담 완화와 안정적인 공시 이행을 지원하기 위하여, 해당 개정 사항은 2027년 공시부터 적용할 예정이라고 밝혔고요.

🏢 점점 확대되는 공시 대상 기업?

또한, 2027년부터 정보보호 공시 의무 대상 기업도 크게 확대될 예정이에요. 올해 1월 과학기술정보통신부는 정보보호 공시 의무 대상자를 확대하는 내용의 개정안을 입법 예고했어요.

• 매출액 기준 삭제💸: 기존에는 상장기업 가운데 매출액 3,000억 원 이상인 기업이 주요 대상이었지만, 개정안에서는 해당 매출액 기준을 삭제하고 코스피·코스닥 상장 법인 전체로 공시 의무를 확대하는 내용이 담겼어요.

• 예외 조항 삭제📝: ISMS 인증 의무 기업을 새롭게 포함하고, 기존에 예외로 두었던 공공기관·금융회사·소기업·전자금융업자 등에 대한 예외 조항도 삭제하는 방향이 제시되었어요.

이제는 정보보호 공시가 일부 대기업만의 의무가 아니라, 더 많은 기업이 준비하는 흐름으로 넘어가고 있는 걸 확인할 수 있는 부분이에요.

정보보호 공시의 핵심은 ‘보안 활동을 했느냐’가 아니라, 보안 활동을 ‘명확한 자료로 설명할 수 있느냐’에 달려있어요. 따라서 공시 시점에 자료를 급히 취합하기보다, 평소 우리 회사가 어떤 IT 자산과 시스템을 운영하고 있는지, 각 자산은 어떤 용도로 사용되는지, 누가 관리하고 있는지 등을 체계적으로 파악해 두어야 하죠.

그렇다면 공시 대상이 되기 전, 기업은 어떤 준비를 해두는 것이 좋을까요? 정보보호 공시가 IT 자산 관리를 의무화한 것은 아니지만, 개정안에서 ‘IT 자산 식별 목록 및 관리’가 활동 항목으로 구체화된 만큼, 내부 관리체계의 하나로 IT자산 관리를 고려해 볼 필요가 있는데요. 기업 내부에선 아래 6가지 기준으로 점검하는 걸 추천해 드려요.👇

IT 자산관리의 출발점은 기업이 보유하거나 운영하는 모든 자산을 정확하게 파악하는 것이에요. 이때 관리 대상에는 단순히 서버와 PC만 존재하는 것이 아닌데요. 실무적으로는 위 이미지와 같이 인프라/서비스 자산으로 분류해볼 수 있어요.

이러한 자산이 부서별 엑셀이나 개별 시스템에 흩어져 있다면, 정보 확인이 필요할 때마다 담당자를 찾아야 하죠. 반대로 IT 자산을 하나의 체계 안에서 분류하고 관리한다면, 현황을 한눈에 파악하고 필요한 정보를 빠르게 찾아볼 수 있답니다.

3️⃣ 자산별 상세 정보를 관리하고 있나요?

“서버 100대 보유” 정도의 정보만으로는 IT 자산을 효율적으로 관리하기 어려워요. 위 예시와 같이, 자산 별로 상세 정보를 함께 관리할 수 있어야 해요.

특히 제품의 EOL(End of Life)이나 버전 정보를 관리할 경우, 지원 종료가 임박한 시스템이나 오래된 장비를 사전에 파악하고 교체 및 업그레이드 계획을 세우는 데 활용할 수 있어요.

4️⃣ IT 자산의 중요도를 구분하고 있나요?

모든 IT 자산이 업무에 미치는 영향을 동일하게 가지고 있진 않죠. 서비스 영향도, 처리정보의 민감도, 외부 노출 여부 등을 기준으로 중요도는 달라질 수 있어요. 예를 들어 금융 서비스의 핵심 거래 시스템과 내부 업무용 시스템은 장애가 발생했을 때 미치는 영향이 다를 수 있는 것처럼요.

이렇게 기업 내부 기준에 따라 핵심·중요·일반 등으로 자산의 중요도를 분류해 두면, 보안 및 장애 대응 시 관리 우선순위를 다르게 둘 수 있답니다.

5️⃣ 실제 IT 환경과 관리정보가 일치하나요?

현황 파악은 IT자산 관리에서 가장 어려운 부분 중 하나예요. 처음에는 정확하게 기록했더라도, 시간이 지나면서 실제 환경과 관리 데이터 사이에 차이가 발생할 수 있기 때문이죠.

예를 들어,

• 신규 서버가 추가됐지만 자산 목록에 등록되지 않은 경우
• 담당자가 변경됐지만 이전 담당자로 기록된 경우
• 장비가 폐기됐지만 운영 자산으로 남아 있는 경우

이와 같은 차이를 줄이기 위해선 자산대장과 실제 운영 환경의 차이를 주기적으로 확인하고, 자산 도입·변경·폐기 등 주요 이벤트가 발생했을 때 정보를 업데이트할 수 있는 체계가 필요해요.

6️⃣ 사람이 얼마나 개입하고 있나요?

마지막으로 살펴볼 부분은 자동화 수준이에요. IT 자산이 많아질수록 담당자가 모든 자산을 확인해 직접 입력하는 방식에는 한계가 있죠. 특히 엑셀 중심의 자산관리는 담당자의 경험과 입력에 의존하기 때문에, 자산이 누락되거나 잘못된 정보가 입력될 가능성도 높고요.

따라서 신규 IT 자산을 자동으로 식별하고 정보를 수집하거나 변경 사항을 지속적으로 확인할 수 있는 자동화된 관리 체계를 활용한다면, 누락 가능성을 줄이고 최신 정보를 유지하는 데 도움이 될 수 있어요.

※ 본 내용은 「정보보호 공시에 관한 고시」 개정안과 관련 공개자료를 바탕으로 작성됐으며, 실제 적용 항목과     세부 작성 기준은 최종 고시 및 KISA 정보보호 공시 가이드라인을 확인해야 합니다.

※ 본문의 자산 관리 항목 분류는 정보보호공시에서 일률적으로 요구하는 목록이 아닌, IT자산 관리 시 참고할       수 있는 예시입니다.

🍑 끝맺는 말 🍑

갑작스러운 정보보호 공시는 분명 부담으로 다가올 수 있어요. 하지만, 사전에 잘 대비해 둔 기업에겐 오히려 고객에게 신뢰를 주는 기회가 될 수도 있죠.

2027년이 얼마 남지 않은 지금, 공시가 확정된 후에 급히 자료를 모으기보단 평소부터 필요한 정보를 정확히 관리할 수 있는 내부 체계를 마련해 두어야 해요. IT자산 관리는 공시 대응뿐만 아니라, 어떤 자산이 운용되고 있는지 파악하는 기본적인 관리 체계가 되어줄 거예요!