상담 데이터 ISMS-P 인증, 기관 도입 전 확인할 보안 기준

상담 데이터 ISMS-P 인증은 기관이 외부 상담 도구를 검토할 때 가장 먼저 묻는 보안 질문 중 하나입니다. 회기 녹음, 축어록, 사례 기록처럼 민감한 개인정보를 다루는 시스템이 검증된 관리체계를 갖췄는지 확인하는 기준이기 때문입니다. 이 글에서는 ISMS-P 인증의 구조, 상담 데이터가 심사에서 특히 까다로운 이유, 그리고 기관 보안 담당자가 도구 도입 전 점검해야 할 항목을 동료 실무자 관점에서 정리했습니다.

ISMS-P 인증이란 무엇인가

ISMS-P(정보보호 및 개인정보보호 관리체계, Information Security & Personal Information Management System)는 한국인터넷진흥원(KISA)이 운영하는 국가 인증 제도입니다. 기존 정보보호 관리체계(ISMS)에 개인정보 처리 단계의 보호 활동을 더한 통합 인증으로, 과학기술정보통신부·개인정보보호위원회·방송통신위원회가 공동으로 고시합니다.

인증 기준은 크게 세 영역으로 나뉩니다.

• 관리체계 수립 및 운영: 정책, 위험 평가, 내부 점검 등 조직 차원의 운영 체계
• 보호대책 요구사항: 접근 통제, 암호화, 물리 보안 등 기술·물리적 통제
• 개인정보 처리 단계별 요구사항: 수집·이용·제공·파기까지 생애주기별 보호 활동

상담 데이터를 다루는 서비스에서 이 인증이 의미를 갖는 이유는, 단순히 암호화 기술을 적용했는지가 아니라 조직이 보안을 운영하는 체계 전체를 외부 심사로 확인하기 때문입니다.

상담 데이터가 심사에서 특히 민감한 이유

상담 기록은 개인정보보호법상 민감정보에 해당하는 내용을 포함하는 경우가 많습니다. 정신건강 상태, 병력, 가족 관계처럼 노출 시 회복이 어려운 정보가 회기마다 축적됩니다. 일반 개인정보와 달리 민감정보는 별도의 동의와 한층 강화된 보호 조치를 요구합니다(개인정보보호법 제23조).

특히 음성 녹음과 축어록은 식별 가능성이 높습니다. 목소리 자체가 식별자가 될 수 있고, 대화 내용에 지역·직업·가족 구성 같은 단서가 섞이기 때문입니다. 그래서 상담 데이터 ISMS-P 인증 심사에서는 이런 데이터가 어떻게 저장되고, 누가 접근하며, 언제 파기되는지를 일반 서비스보다 엄격하게 들여다보는 경향이 있습니다.

상담 데이터 ISMS-P 인증 심사는 무엇을 점검하나

기관 담당자 입장에서 인증 심사의 점검 지점을 알아 두면, 도구를 검토할 때 같은 질문을 그대로 던질 수 있습니다. 심사에서 자주 다루어지는 항목은 다음과 같습니다.

1. 저장 데이터 암호화: 회기 음성·텍스트가 저장 시점부터 암호화되는지, 키 관리가 분리되어 있는지
2. 접근 권한 분리: 운영자·개발자가 실제 상담 내용을 평문으로 열람할 수 있는 구조인지
3. 전송 구간 보안: 업로드·다운로드 과정의 통신 암호화 적용 여부
4. 파기 정책: 분석이 끝난 원본 파일의 보관 기간과 파기 절차가 문서화되어 있는지
5. 처리 위탁 관리: 클라우드·외부 인프라에 위탁하는 경우 위탁 계약과 리전 관리가 적절한지

이 항목들은 인증 보유 여부와 무관하게, 상담 데이터를 다루는 모든 도구가 답할 수 있어야 하는 최소 기준이기도 합니다.

기관이 외부 도구 도입 시 확인할 보안 체크리스트

실제 도입 검토 단계에서 보안팀이나 법무 담당자가 점검하면 좋은 항목을 정리하면 다음과 같습니다.

• 인증서의 인증 범위(scope) 가 실제 사용하는 서비스·시스템을 포함하는지
• 데이터가 국내 리전에 저장되는지, 해외 이전이 있다면 동의·고지 절차가 있는지
• 상담 데이터가 AI 모델 학습에 사용되지 않는다는 점이 약관·정책에 명시되어 있는지
• 개인정보 처리방침과 위탁 계약서에 보관 기간·파기·재위탁 조건이 구체적으로 적혀 있는지
• 보안 사고 발생 시 통지 절차와 책임 범위가 계약에 규정되어 있는지

인증 마크 자체보다, 위 항목에 대한 문서화된 답변을 받아 두는 편이 도입 후 분쟁을 줄이는 데 실질적으로 도움이 됩니다.

인증 보유 여부를 확인하는 방법

ISMS-P 인증은 KISA 인증 정보 공개 페이지에서 기업명·인증 범위·유효기간을 직접 조회할 수 있습니다. 도구 업체가 "보안 인증을 받았다"고 안내하더라도, 인증의 종류(ISMS인지 ISMS-P인지)와 인증 범위, 갱신 여부를 확인하시는 것을 권합니다. 인증은 통상 3년 유효이며 매년 사후 심사를 받기 때문에, 유효기간이 지난 인증을 그대로 표기하는 경우도 있습니다.

마음토스는 상담 데이터를 다루는 도구로서 저장 전 암호화·접근 권한 분리, 내담자 데이터의 모델 학습 미사용, 분석 후 원본 오디오 자동 파기 옵션 같은 보호 정책을 운영하고 있습니다. 기관 도입을 검토하신다면 현재 적용 중인 인증 현황과 보안 구성은 보안 페이지에서 확인하시고, 위 체크리스트 항목을 그대로 질의해 보시기를 권합니다. 도구의 보안 수준은 결국 기관이 던지는 질문의 정밀도만큼 검증됩니다.

마무리

상담 데이터 ISMS-P 인증은 한 장의 마크가 아니라, 데이터가 수집·저장·파기되는 전 과정을 조직이 관리하고 있다는 신호입니다. 기관 담당자라면 인증 보유 여부와 함께 인증 범위·리전·파기·학습 미사용을 함께 확인하는 습관이, 도입 이후의 책임 부담을 가장 크게 줄여 줍니다.