Select Language

Contact

회사소개

서비스

제품

미디어센터

채용

Contact

회사소개

서비스

제품

미디어센터

채용

Select Language

Contact

회사소개

서비스

제품

미디어센터

채용

Go to Top

보안 인사이트

[2026 정보보호 정책 변화 가이드] Part.1 보안 대전환, 무엇이 어떻게 바뀌는가

김인순

2026. 1. 20.

Content

2025년에 반복된 대형 사고들은 우리에게 불편한 진실을 보여줬습니다.

“의무는 다 했는데도 뚫릴 수 있다”는 현실입니다.

문제는 특정 산업만의 불운이 아니라, 오래된 취약점 관리, 권한(계정) 정리, 인증 구조 같은 기본기가 조직 곳곳에서 누적되어 있었다는 점입니다.

이런 상황에서 정부는 올해부터 보안을 ‘말’이 아니라 ‘근거’로 보이게 만드는 것, 그리고 사고 이후가 아니라 사고 이전부터 준비하도록 구조를 바꾸는 작업을 시작했습니다.

우리 보안 체계는 2000년대 초반, 인터넷이 막 커지던 시기에 만들어진 규제를 중심으로 설계됐습니다. 그 사이 세상은 클라우드, 모바일, AI, 플랫폼 경제로 완전히 바뀌었지만, 많은 조직의 보안은 여전히 ‘체크리스트 채우기’ 수준에 머물러 있었습니다. 보안 담당자는 체크리스트를 채우고, 경영진은 "의무사항은 다 했지?"라고 묻는 수준에서 안심했습니다.

이것의 밑바닥에는 "보안은 불편하고, 돈만 드는 일"이라는 정서가 깔려 있었습니다. 평소에는 눈에 잘 보이지 않기 때문에 예산과 인력에서 항상 뒷순위로 밀렸습니다. 그러다 사고가 터지면 "그때 좀 더 신경 쓸 걸"이라는 후회가 몰려왔습니다. 2025년은 바로 이 구조적인 안일함과 피로감이 어디까지 누적돼 있었는지 적나라하게 드러낸 해였습니다.

이런 배경 속에서 2026년부터 한국의 보안이 세 가지 축을 중심으로 전면적으로 바뀝니다.

정보보호 공시 의무화, 정보보호 및 개인정보보호 관리체계(ISMS·ISMS-P) 인증의 실효성 강화, 그리고 정부·공공기관 사이버보안 실태평가 지표 변화입니다.

이 세 가지는 각각 민간 기업, 인증 제도, 공공 부문을 대상으로 하지만, 공통된 메시지를 담고 있습니다.

"보안은 이제 형식이 아니라 실질이고, 말이 아니라 증거이며, 고정된 기준이 아니라 진화하는 대응입니다."

첫 번째 전환: 정보보호 공시 의무화 - "숨길 수 없는 신뢰의 시대"

첫 번째 변화는 정보보호 공시 의무 대상의 전면 확대입니다.

과학기술부는 1월 9일 [정보보호산업의 진흥에 관한 법률 시행령 일부개정령안]을 입법예고하고, 정보보호 공시 의무 대상 사업자 범위 확대 및 이용자 수 산정 기준을 변경(안 제8조 제1항)한다고 밝혔다.
기존에는 CISO 지정·신고 및 매출액 3,000억 이상인 기업만 공시 의무가 있었다. 이번 개정안에서는 이 내용을 삭제해 유가증권 시장 및 코스닥 시장 상장 법인으로 의무대상 범위 확대(제8조 제1항 제2호 개정)했다. 이용자 수 산정기준도 전년도 말 직전 3개월 평균에서 전년도 전체 평균으로 개정(제8조 제1항 제3호 개정)했다. 전년도 말 기준 정보통신망법 상 정보보호 관리체계 인증 의무 기업을 정보보호 공시 제도 의무대상자에 포함(제8조 제1항 제4호 신설) 시켰다.

지금까지는 덩치가 아주 큰 기업들(매출액 3,000억 원 이상 등)만 사이버 보안에 얼마나 투자하고 노력하는지 공개하라는 의무가 있었지만 범위가 확대된 것입니다. 공공기관, 금융사, 소기업 예외 조항도 대부분 삭제됩니다.

정부는 2027년 적용을 목표로 후속 절차를 진행하고 있습니다. 2027년, 모든 상장 기업은 '보안 성적표'를 공개해야 하는 상황이 됩니다.

이 변화의 의미는 단순히 ‘대상이 늘었다’가 아닙니다. SK텔레콤, KT, 쿠팡 사고를 보면, "대기업이니까 안전하겠지"라는 믿음이 산산조각 났습니다. 투자자와 고객은 이제 "이 회사 보안 조직은 제대로 갖춰져 있는가?", "올해 보안에 얼마나 투자했는가?", "사고가 났을 때 어떻게 대응했는가?"를 확인하려 합니다. 보안이 재무제표처럼 공개 정보가 되는 시대가 온 것입니다.

더 중요한 변화는 공시의 질입니다.

과기정통부는 공시 제도 실효성 제고를 위해 작성 기준과 양식 개정을 예고했습니다. 단순히 "보안에 돈을 얼마 투자했다"는 내용만 적는 게 아닙니다. 이제는 아주 구체적인 보안 활동을 정리해야 합니다.

우리 회사가 가진 컴퓨터와 서버가 몇 대인지 정확히 파악하고 관리하고 있는지 파악해야 하는 것은 기본입니다. 보안을 위해 어떤 내부 규칙을 세우고 운영하고 있는가를 공시해야 합니다. 만약 해킹이 발생하면 어떻게 대처할 것인지 구체적인 계획도 수립해야 합니다. 회사의 중요한 의사를 결정하는 이사회에서 이사회 보안 문제를 직접 챙기고 있는지도 체크할 사항입니다. 이제 기업들은 "우리 보안 잘하고 있어요"라고 말만 하는 게 아니라, 증거를 숫자로 보여줘야 합니다.

이는 공시가 ‘잘하고 있다’는 메시지를 포장하는 장이 아니라, 기업 간 비교가 가능한 데이터로 바뀐다는 것을 의미합니다.

앞으로는 "우리 회사 보안 투자 작년 대비 30% 증가, 모의해킹 4회 실시, 사고 0건 유지"라는 구체적인 숫자가 투자자에게 강력한 신뢰의 신호가 됩니다. 반대로 준비가 안 된 회사는 공시하기 부끄러운 수치를 공개해야 하고, 투자자 신뢰가 하락합니다.

두 번째 전환: ISMS·ISMS-P 실효성 강화 - "한 번 따면 끝이 아니다"

두 번째는 정보보호 및 개인정보보호 관리체계(ISMS·ISMS-P) 인증의 실효성 전면 강화입니다.

개인정보보호위원회와 과학기술정보통신부는 2025년 12월 8일 정보보호 관리체계(ISMS) 인증과 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증(정보통신망법 제47조, 개인정보보호법 제32조의2에 근거) 실효성 강화를 위한 제도 개편을 추진한다고 밝혔다.

2025년 사고가 반복되며 "인증이 현실을 못 따라간다"는 비판이 커졌기 때문입니다.

이에 따라 기존에 자율적으로 운영되던 ISMS-P 인증을 공공·민간 주요 개인정보처리시스템(주요 공공시스템, 통신사, 대규모 플랫폼 등)에 대해 의무화해 상시 개인정보 안전관리체계를 구축한다고 밝혔습니다.

또, 통신사, 대규모 플랫폼 사업자 등 국민 파급력이 큰 기업에 대해 강화된 인증기준을 마련하여 적용할 계획입니다. 개인정보보호위원회와 과기정통부는 이를 위한 개인정보 보호법과 정보통신망법 개정을 조속 추진할 방침입니다.

심사방식을 전면 강화해 예비심사 단계에서 핵심항목을 선(先)검증하고, 기술심사와 현장실증 심사를 강화합니다. 분야별 인증위원회를 운영하고 심사원 대상으로 AI 등 신기술을 교육해 인증의 전문성을 높일 방침입니다.

사후관리도 대폭 강화합니다. 인증기업의 유출사고 발생 시 적시에 특별 사후심사를 실시하여 인증기준 충족 여부를 확인합니다. 사후심사 과정에서 인증기준의 중대 결함이 발견되는 경우 인증위원회 심의·의결을 거쳐 인증을 취소합니다. 또한 사고기업에 대해서는 사후심사 투입 인력·기간을 2배로 확대하고, 사고원인과 재발방지 조치를 집중 점검한다고 밝혔습니다.

그동안 많은 기업이 "인증은 면허증처럼 한 번 따면 끝"이라고 생각했습니다. 갱신 때 서류만 잘 내면 됐습니다. 그런데 인증 받은 회사가 해킹당하는 사고가 반복되면서 "저희 ISMS 인증 받았는데요..."라는 말이 더 이상 통하지 않게 됐고, 대중과 투자자의 신뢰가 무너졌습니다.

여기에 취약점 진단과 모의침투 등 기술심사와 핵심 시스템 중심 현장 실증이 강화됩니다. 서류만으로는 통과할 수 없고, 실제로 시스템이 안전한지 직접 확인합니다. 유출 사고 발생 시 특별 사후심사를 실시합니다. 중대한 결함이 발견되면 인증을 박탈할 수 있습니다.

한마디로, 인증은 이제 ‘한 번 따면 끝’이 아니라 상시 관리와 증명의 시작이 됩니다. SK텔레콤은 8년간 취약점을 방치했지만 인증을 유지했습니다. 하지만 앞으로는 중대 사고가 나면 특별 재심사를 거쳐 인증이 취소될 수 있습니다. "한 번 따면 평생"이 아니라 "계속 증명해야 유지"되는 방식으로 바뀐 것입니다. 대외적으로는 “인증 보유” 자체보다 “인증을 유지할 만한 운영 증빙”이 더 중요해지는 시대가 열린다는 뜻입니다.

기업 입장에서는 부담이 커질 수 있지만, 반대로 말하면 진짜로 잘하는 회사가 신뢰를 얻을 수 있는 룰이 만들어지는 셈입니다.

세 번째 전환: 정부·공공기관 사이버보안 실태평가 지표 변화 - "망을 나눴는지가 아니라 제대로 지키는지"

세 번째 변화는 정부·공공기관을 대상으로 한 사이버보안 실태평가 지표의 근본적 전환입니다. 국정원은 2025년 말 공공기관 사이버보안 실태평가 지표를 개편했습니다. 이번 개편은 단순한 점수 조정이 아니라, 사이버보안을 바라보는 기준 자체가 달라졌다는 신호입니다.

방향은 “점검표 채우기”에서 “예산·훈련·복구·정책 전환”처럼 운영 역량을 실제로 끌어올리는 항목에 점수를 더 주는 쪽입니다. 또, "망을 분리했는가?"가 아니라 "AI·클라우드 시대에 맞게, 실제로 안전하게 운영하고 있는가?"입니다.

이번 지표 개편의 가장 큰 특징은 신기술 도입을 명확히 유도한다는 점입니다. AI 기반 보안관제 시스템을 도입하거나, 국가 망 보안체계(N2SF, National Network Security Framework)를 구축한 기관에는 가산점이 부여됩니다.

새 기술을 써도 괜찮다는 메시지를 넘어, "이제는 안 쓰면 점수에서 불리하다"는 분명한 방향 제시입니다. 특히 AI는 더 이상 업무 자동화에만 쓰는 기술이 아닙니다. 보안에서도 로그 분석, 이상 징후 탐지, 대응 우선순위 판단 등 사람이 놓치기 쉬운 영역을 보완하는 핵심 도구로 자리 잡고 있습니다. 2026년 평가는 이런 변화를 제대로 따라가고 있는지를 묻습니다.

또, 사고를 막는 것을 넘어 ‘버티고 복구하는 힘’을 봅니다. 2025년을 거치며 사이버공격이나 화재 등 시스템이 멈추면 국민 서비스가 즉시 중단되는 것을 경험했습니다. 정부는 재난과 사고 대응관련 항목의 배점을 올렸습니다. 이제는 “계획이 있다”는 말만으로는 부족합니다. 실제로 사이버보안 훈련을 했는지, 예산을 확보했는지, 복구할 수 있는 준비가 되어 있는지가 점수로 직결됩니다.보안은 선언이 아니라, 준비·훈련·투자의 결과입니다.

2026년 사이버보안 실태평가는 더 이상 ‘체크리스트’가 아닙니다. 실제로 작동하는 보안 체계, 그리고 운영 역량을 평가하는 시험대입니다.

👉 관련 링크 https://www.nis.go.kr/CM/1_4/view.do?seq=387

세 가지 전환이 말하는 것

2026년부터 시작되는 이 세 가지 변화는 서로 다른 영역을 대상으로 하지만, 하나의 일관된 메시지를 담고 있습니다.

"보안은 이제 '잘하고 있다'고 말하는 영역이 아니라, 공개하고 증명해야 하는 영역입니다."

정보보호 공시는 민간 기업에게 보안 현황을 투명하게 드러내라고 요구하고, ISMS 인증 강화는 한 번의 검증이 아니라 지속적인 증명을 요구하며, 실태평가 지표 변화는 공공 부문에게 형식적 기준이 아니라 실질적 통제 능력을 갖추라고 요구합니다.

전체적으로 보안의 무게중심이 "형식적 준수"에서 "실질적 운영"으로 완전히 옮겨가고 있습니다.

준비가 안 된 조직은 공시하기 부끄러운 수치를 공개해야 하고, 인증 받기 어려워지며, 평가에서 낮은 점수를 받습니다. 하지만 진짜 잘하는 조직에게는 보안이 신뢰의 척도가 되고, 차별화된 경쟁력이 되며, 대외적으로 "믿을 만한 조직"이라는 강력한 신호를 보냅니다. 2026년은 단순한 규제 변화가 아니라, 보안에 대한 사회 전체의 인식이 바뀌는 원년이 될 것입니다.

김인순

가천대 스타트업 컬리지 겸임교수

전자신문 ICT융합부 데스크 출신으로 20년간 사이버 보안 취재 및 커뮤니케이션 전문가로 활동 중이다.

게임 모드 설치 파일로 위장한 Windows용 EtherRAT 악성코드

위협 인텔리전스

게임 모드 설치 파일로 위장한 Windows용 EtherRAT 악성코드

위협 인텔리전스

게임 모드 설치 파일로 위장한 Windows용 EtherRAT 악성코드

보안 인사이트

[2026 정보보호 정책 변화 가이드] Part.2 어떻게 대응할 것인가

보안 인사이트

[2026 정보보호 정책 변화 가이드] Part.2 어떻게 대응할 것인가

보안 인사이트

[2026 정보보호 정책 변화 가이드] Part.2 어떻게 대응할 것인가

보안 인사이트