> For the complete documentation index, see [llms.txt](https://op.skill.or.kr/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://op.skill.or.kr/wiki/wiki/isms-isms-p.md).

# ISMS/ISMS-P 인증

## 1. ISMS/ISMS-P 인증이란?

> 정보보호 및 개인정보보호 관리체계인증(Personal Information & Information Security Management system)은 정보통신망의 안정성 확보 및 개인정보 보호를 위해 조직이 수립한 일련의 조치와 활동이 인증기준에 적합함을 인증기관이 평가하여 인증을 부여하는 제도이다. 

## 2. 제도소개

### 2.1 ISMS-P 인증의 개요

* **정보보호 및 개인정보보호 관리체계 인증**
  * [x] 정보보호 및 개인정보보호를 위한 일련의 조치와 활동이 인증기준에 적합함을 인터넷진흥원 또는 인증기관이 증명하는 제도
* **정보보호 관리체계 인증**
  * [x] 정보보호를 위한 일련의 조치와 활동이 인증기준에 적합함을 인터넷진흥원 또는 인증기관이 증명하는 제도

### 2.2 ISMS-P 법적근거

<figure><img src="/files/1fRgvwRYmyoYCbRR5FhE" alt=""><figcaption><p>ISMS/ISMS-P 법적 근거 </p></figcaption></figure>

* 정보통신망 이용촉진 및 정보보호에 관한 법률 제47조
* 정보통신망 이용촉진 및 정보보호에 관한 법률 시행령 제47조\~제54조
* 정보통신망 이용촉진 및 정보보호에 관한 법률 시행규칙 제3조
* 개인정보보호법 제32조의2
* 개인정보보호법 시행령 제34조의2\~제34조의8
* 정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시

### 2.3 인증체계

<figure><img src="/files/Ar8f7qYlhetYutvB861A" alt=""><figcaption><p>ISMS/ISMS-P 인증체계 </p></figcaption></figure>

### 2.4 인증기준

<figure><img src="/files/lmrfVEfLuiw4sCbuhDUk" alt=""><figcaption><p>ISMS/ISMS-P 인증기준 </p></figcaption></figure>

<table><thead><tr><th width="105">구분</th><th width="109">구분(세분)</th><th width="238">통합인증</th><th>분야(인증기준 개수)</th></tr></thead><tbody><tr><td></td><td>ISMS</td><td>1.관리체계 수립 및 운영(16)</td><td><p>1.1 관리체계 기반 마련(6)</p><p>1.2 위험관리(4)<br>1.3 관리체계 운영(3)<br>1.4 관리체계 점검 및 개선(3)</p></td></tr><tr><td>ISMS-P</td><td>ISMS</td><td>2.보호대책 요구사항(64)<br></td><td><p>2.1 정책, 조직, 자산 관리(3)</p><p>2.2 인적보안(6)<br>2.3 외부자 보안(4)</p><p>2.4 물리보안(7)<br>2.5 인증 및 권한 관리(6)</p><p>2.6 접근통제(7)<br>2.7 암호화 적용(2)</p><p>2.8 정보시스템 도입 및 개발 보안(6)<br>2.9 시스템 및 서비스 운영관리(7)</p><p>2.10 시스템 및 서비스 보안관리(9)<br>2.11 사고 예방 및 대응(5)<br>2.12 재해복구(2)</p></td></tr><tr><td></td><td>-</td><td>3.개인정보 처리단계별<br>  요구사항(22)</td><td><p>3.1 개인정보 수집 시 보호조치(7)</p><p>3.2 개인정보 보유 및 이용 시 보호조치(5)<br>3.3 개인정보 제공 시 보호조치(3)</p><p>3.4 개인정보 파기 시 보호조치(4)<br>3.5 정보주체 권리보호(3)</p></td></tr></tbody></table>

## 3. 신청절차&#x20;

### 3.1 ISMS-P 인증심사 절차&#x20;

<figure><img src="/files/cs9J8I1CMANfy6ZBHMxP" alt=""><figcaption><p>ISMS-P 인증심사 절차 </p></figcaption></figure>

* 신청 단계 : 신청공문 + 인증신청서, 관리체계운영명세서, 법인/개인 사업자 등록증
* 계약 단계 : 수수료 산정 > 계약 > 수수료 납부
* 심사 단계 : 인증심사 > 결함보고서 > 보완조치내역서
* 인증 단계 : 최초/갱신심사 심의 의결(인증위원회), 유지(인증기관)

### 3.2 인증신청 방법

> **인증심사 신청 시 다음의 서류들을 준비하여 인증 또는 심사기관에 제출한다.**
>
> * · 인증 신청 공문 1부
> * 인증 신청서 1부
> * 인증 명세서 1부
> * 법인/개인 사업자 등록증 1부
>   * [x] 신청서 및 명세서 양식은 홈페이지 자료실에서 다운로드 가능

### 3.3 인증범위

<table><thead><tr><th width="135.33333333333331">ISMS/ISMS-P</th><th width="212">구분</th><th>내용</th></tr></thead><tbody><tr><td>ISMS-P</td><td>정보보호 및 개인정보보호 관리체계 인증</td><td>· 정보서비스의 운영 및 보호에 필요한 조직, 물리적 위치, 정보자산<br>· 개인정보 처리를 위한 수집, 보유, 이용, 제공, 파기에 관여하는 개인정보처리 시스템, 취급자를 포함</td></tr><tr><td>ISMS</td><td>정보보호 관리체계 인증</td><td>· 정보서비스의 운영 및 보호에 필요한 조직, 물리적 위치, 정보자산을 포함</td></tr></tbody></table>

* 세부 내용은 인증제도 안내서 참고

### 3.4 심사종류&#x20;

<figure><img src="/files/4Y2A6hHCB0iku2sofQB1" alt=""><figcaption><p>심사종류 </p></figcaption></figure>

<table><thead><tr><th width="128">구분</th><th>설명</th></tr></thead><tbody><tr><td>최초심사</td><td>인증을 처음으로 취득할 때 진행하는 심사이며, 인증의 범위에 중요한 변경이 있어 다시 인증을 신청할 때에도 실시한다. 최초심사를 통해 인증을 취득하면 3년의 유효기간이 부여</td></tr><tr><td>사후심사</td><td>사후심사는 인증을 취득한 이후 정보보호 관리체계가 지속적으로 유지되고 있는지 확인하는 것을 목적으로 인증 유효기간 중 매년 1회 이상 시행하는 심사이다.</td></tr><tr><td>갱신심사</td><td>갱신심사는 정보보호 관리체계 인증 유효기간 연장을 목적으로 심사를 말한다.</td></tr></tbody></table>

### 3.5 인증의 홍보

* 인증 표시를 사용하는 경우 인증의 범위와 유효기간을 함께 표시하여야 하며, 고시에 지정된 색상 등 사용 방법을 준수해야 한다.
* 인증 받은 내용을 거짓으로 표시하거나 홍보한 자는 과태료 부과&#x20;
  * [x] 정보통신망법 : 1천만원, 개인정보보호법 : 3천만원

## 4. 인증대상&#x20;

### 4.1 자율신청자

> 의무대상자 기준에 해당하지 않으나 자발적으로 정보보호 및 개인정보보호 관리체계를 구축·운영하는 기업·기관은 임의신청자로 분류되며, 임의신청자가 인증 취득을 희망할 경우 자율적으로 신청하여 인증심사를 받을 수 있다.

### 4.2 ISMS인증 의무대상자(정보통신망법 제47조 2항)

> 인증 의무대상자는 「전기통신사업법」 제2조제8호에 따른 전기통신사업자와 전기통신사업자의 전기통신역무를 이용하여 정보를 제공하거나 정보의 제공을 매개하는 자로서 표에서 기술한 의무대상자 기준에 하나라도 해당되는 자이다.

<table><thead><tr><th width="212">구분</th><th>의무대상자 기준</th></tr></thead><tbody><tr><td><strong>ISP</strong></td><td>「전기통신사업법」 제6조제1항에 따른 허가를 받은 자로서 서울특별시 및 모든 광역시에서 정보통신망서비스를 제공하는 자</td></tr><tr><td><strong>IDC</strong></td><td>정보통신망법 제46조에 따른 집적정보통신시설 사업자</td></tr><tr><td>다음의 조건 중<br>하나라도 해당하는 자</td><td>연간 매출액 또는 세입이 1,500억원 이상인 자 중에서 다음에 해당되는 경우<br>- 「의료법」 제3조의4에 따른 상급종합병원<br>- 직전연도 12월 31일 기준으로 재학생 수가 1만명 이상인 「고등교육법」 제2조에 따른 학교</td></tr><tr><td></td><td>정보통신서비스 부문 전년도(법인인 경우에는 전 사업연도를 말한다) 매출액이 100억원 이상인 자</td></tr><tr><td></td><td>전년도 직전 3개월간 정보통신서비스 일일평균 이용자 수가 100만명 이상인 자</td></tr></tbody></table>

### 4.3 의무대상자 신청

* 의무대상자는 ISMS, ISMS-P 인증 중 선택 가능
* 의무대상자가 되어 인증을 최초로 신청하는 경우 다음 해 8월 31일까지 인증 취득
  * [x] 이미 인증을 취득한 기업의 경우 해당없음

## 5. 연락처 및 문의사항

* 인증제도 문의 : <isms-p@kisa.or.kr>

## 출처 : [ISMS/ISMS-P 홈페이지](https://isms.kisa.or.kr/)&#x20;

&#x20;               [![](https://ads-partners.coupang.com/banners/768697?subId=\&traceId=V0-301-f5c692db558def48-I768697\&w=300\&h=250)](https://link.coupang.com/a/bvPl62) [![](https://ads-partners.coupang.com/banners/45962?subId=\&traceId=V0-301-879dd1202e5c73b2-I45962\&w=300\&h=250)](https://link.coupang.com/a/bvPlik)

{% embed url="<https://doc.skill.or.kr>" %}
NHN Cloud 정보 사이트
{% endembed %}

{% embed url="<https://ssv.skill.or.kr>" %}
취약점 진단 분석 평가 방법 사이트
{% endembed %}

{% embed url="<https://sul.skill.or.kr>" %}
보안 업데이트 정보 사이트
{% endembed %}