인증범위 확대 — 외부 인터넷 접점 자산의 필수 포함 쟁점

핵심 판단

인증범위를 "우리가 인증받고자 하는 서비스"로 좁게 선언해 온 관행이 더 이상 통하지 않는다. 외부 인터넷과 연결되어 공격 경로로 활용될 가능성이 있는 자산은 범위에 반드시 포함하는 방향으로 제도가 바뀌고 있으며, 선언한 범위와 실제 인터넷 노출 자산 사이의 차이 자체가 쟁점이 된다.

배경

2026년 4월 과기정통부·개인정보위가 발표한 「인증제 실효성 강화방안」은 인증기업에서 침해사고가 반복된 원인 중 하나로 범위 산정의 공백을 지목했다. 방안은 다음 두 가지를 함께 제시한다.

• 인증대상 서비스와 관련된 장비·시설을 누락 없이 포함하고, 외부 인터넷과 연결되는 접점 자산은 인증범위 내 반드시 포함되도록 인증범위를 단계적으로 확대
• 본심사 전 예비심사 단계에서 "개인정보 처리·외부 인터넷 접점 자산 식별"을 핵심항목으로 선검증

두 조항은 짝을 이룬다. 범위를 넓히라는 요구와, 넓혔는지를 본심사 전에 확인하겠다는 절차가 함께 온다.

인증범위 확대는 고시 개정 사항으로 '27년 시행 예정이며, 예비심사 핵심항목은 발표 시점에 **'핵심항목(안)'**으로 표기되어 있다. 확정 요건은 개정 고시·안내서 원문으로 확인해야 한다.

주요 쟁점 및 심사 포인트

• 선언한 인증범위와 실제 인터넷에 노출된 자산 목록이 일치하는가
• 관리 주체가 불명확한 자산(방치된 테스트 도메인, 협력사가 띄운 VM, 만료 직전 서브도메인, 이관 후 남은 구 시스템)이 범위 밖으로 새고 있지 않은가
• 클라우드 계정·리전·SaaS가 자산목록에 자동으로 반영되는가, 수기 대장에 의존하는가
• 범위 제외를 결정했다면 그 근거와 승인이 남아 있는가 — 특히 외부 접점 자산의 제외
• 자산목록이 "있는 것"을 적은 것인지, 스캔으로 "찾은 것"을 적은 것인지

관련 인증기준

ISMS-P 인증기준(2023) 기준. 기준번호·항목명은 관리대장 인증기준 101개 원본으로 확인함.

• 1.1.4 범위 설정
• 1.2.1 정보자산 식별
• 1.2.2 현황 및 흐름분석
• 2.6.1 네트워크 접근
• 2.11.2 취약점 점검 및 조치

관련 법령·가이드

조문 번호·명칭은 개정으로 달라질 수 있어, 실제 심사·인용 시 국가법령정보센터(law.go.kr) 최신본 재확인을 권장한다.

• 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조(정보보호 관리체계의 인증)
• 「개인정보 보호법」 제32조의2(개인정보 보호 인증)

참고 자료

• 「정보보호 및 개인정보보호 관리체계 인증제 실효성 강화방안」(2026.4, 과기정통부·개인정보위) — Ⅱ.1 인증범위 확대, Ⅱ.2 인증심사 절차 강화(핵심항목 선검증)

심사 시 확인사항 (증적)

• 인증범위 정의서와 범위 제외 항목의 승인 문서
• 자산목록과 외부 노출 자산 스캔 결과의 대사 기록
• 도메인·서브도메인 대장, 공인 IP 할당 현황, 클라우드 계정·리전 목록
• 자산목록 갱신 주기와 신규 자산 등록 트리거(클라우드 계정 생성, SaaS 도입 등)의 작동 증적
• 외부 접점 자산에 대한 취약점 점검 수행 범위와 조치 이력

주요 결함 사례

운영 서비스만 인증범위로 선언하고, 같은 도메인 아래에서 운영되던 이벤트 페이지와 만료되지 않은 테스트 서브도메인이 자산목록·취약점 점검 대상에서 모두 누락됨.

보완 대책

1. 자산목록을 수기 대장이 아니라 외부 노출 관점의 탐지 결과와 대사하는 절차로 전환