'보안(ISMS) 인증' 꿈쩍않는 대학…중심 못 잡는 정부

[아이뉴스24 김국배 기자] 대학의 정보보호관리체계(ISMS) 인증 도입 거부 사태가 길어지면서 잡음이 커지고 있다.

대학이 ISMS 인증 의무화 대상으로 지정된 지 벌써 1년 반이 넘었지만 인증 신청 대학은 여전히 단 한 곳에 불과한 상태다.

이같은 대학의 집단행동에 따른 비판에 더해 입법 취지에도 불구하고 정부가 과태료 부과를 주저하는 등 대학 반발에 밀려 제대로 관리감독하지 못하고 있다는 지적이 나온다.

ISMS 인증은 기업이 주요 정보자산 보호를 위해 수립·관리·운영하는 정보보호 관리체계가 인증 기준에 적합한지 심사하는 제도다.

20일 과학기술정보통신부 산하기관인 한국인터넷진흥원(KISA)에 따르면 이날까지 ISMS 인증을 신청한 대학은 순천향대학교 1 곳에 그치고 있다.

대학은 종합병원과 함께 지난 2016년 6월 2일 시행된 '정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법)' 개정에 따라 ISMS 인증 의무 대상에 포함됐다. 운영수입 1천500억 원 이상, 학부 재학생 1만명 이상의 대학교(37곳)가 해당된다.

그러나 순차적으로 ISMS 인증을 받고 있는 병원과 달리 대학들은 '현실적인 여건을 감안하지 않은 조치'라며 인증을 거부해왔다. 예산, 인력 등 ISMS 인증을 받을 능력이 안 된다는 것. 특히 지방 소재의 대학은 상황이 더 어렵다는 주장이다.

반면 보안업계에서는 대학이 전체 시스템이 아닌 학사관리시스템 등 중요 시스템에 한해서라도 우선 인증을 받아야 한다고 지적하고 있다.

이런 가운데 과기정통부가 나서 대학정보화 담당자들이 모인 대학정보화협의회(이하 대정협) 등을 상대로 설득 작업을 벌여왔지만 표면적인 변화는 나타나지 않고 있다.

지난해 8월 순천향대가 신청한 뒤 더 이상 신청 대학은 늘어나지 않은 채 속절없이 시간만 흘러가는 모양새다.

더욱이 대학은 결국 인증 기한을 넘겼으나, 과기정통부는 과태료 부과 등 후속 절차조차 밟지 않고 있다. 원래대로라면 지난해까지 인증을 받지 않은 대학에는 최대 3천만 원의 과태료를 부과해야 한다. 이조차 대학 상황을 고려해 1년 유예한 기한이다.

상황이 이렇다보니 똑같이 인증 대상이 된 병원 업계에서는 "형평성에 어긋난다"며 불만이 터져 나오고 있다. 이제라도 정부가 입법 취지에 맞게 과태료 부과 등 현실적 조치와 관리감독을 통해 제도 정착을 이끌어야 한다는 목소리가 나오는 이유다.

정부 관계자는 "법이 이미 시행된 만큼 행정부처는 엄격히 집행해야 할 책임이 있다"며 "그럼에도 행정기관이 오히려 법 취지 자체를 임의로 판단해 (조치를)늦추는 상황"이라고 지적했다.

이에 대해 김기홍 과기정통부 사이버침해대응과 사무관은 "일부 대학에서 (인증 획득을) 준비하고 있다"면서도 "아직 협의중인 사안이어서 구체적인 내용을 밝힐 순 없다"고 말을 아꼈다.

특히 과태료 부과에 대해서는 "과태료 부과 처분은 검토중이며, 아직 방향이 정해지지 않았다"고 답했다.

다만 대학들도 과태료 부과를 염두에 두고 대응에 나설 움직임이어서 변화를 보일 지 주목된다. 대정협은 2월 내 ISMS 인증과 관련한 입장을 표명한다는 방침이다.

차재혁 대정협 회장은 "대정협 내 구성한 태스크포스(TF)에서 나온 의견을 바탕으로 과기정통부와 논의를 계속하고 있다"며 "이달 중에는 입장을 밝힐 수 있을 것"이라고 말했다.