○정보보호 최고 책임자(CISO) 지정/신고제
개인정보 보호를 강화하겠다는 취지로 일정 요건에 해당하는 정보통신서비스 제공자는 임원급 CISO를 의무적으로 지정/신고하는 제도예요. 2014년도에 처음 국내에 도입된 이 제도는, 2019년 정보통신망법 개정에 따라 CISO/CPO 겸직금지, CISO 자격요건(임원급 이상 지정), 과태료 부과 등의 내용으로 최근까지도 큰 이슈가 있었죠. 현재는 신고 의무대상, 과태료, 신고기한 연장 등 지정요건을 완화한 시행령을 따르고 있어요.

○ 정보보호 제품 평가(CC인증) (국내)
정보보호 제품 등이 보호프로파일 또는 인증정책 등에 부합하는지 등을 조사해 결과를 제공하는 제도에요. 사용자가 자신의 보안 요구를 충족하는 정보보호 제품을 선택하는데 도움을 주기 위해 지난 2001년 최초 도입됐어요. 정부나 공공기관은 정보보호 제품 도입 시 CC인증을 완료한 제품만 도입할 수 있었는데요. CC평가 인증기간이 오래 걸리거나, 인증 유효기간, 재평가 기준 등의 문제로 기업들의 불만이 지속적으로 제기되면서 조금씩 개선 작업을 거치고 있어요. 

○ 정보보호 전문서비스 기업 지정제도/보안관제 전문기업 지정제도
두 제도는 국가/사회적으로 중요한 정보통신시설을 보호하기 위한 전문기업을 지정하는 제도에요. 정보보호 전문서비스 기업은 정보보호 컨설팅 업무를 보완관제 전문기업은 보안관제 업무를 하는 것으로 구분하고 있어요. 기술인력, 자본금, 보안설비 보유, 정보보호 관리 규정 준수, 업무수행능력심사 등의 심사기준을 충족해야 지정될 수 있고, 지정된 기업으느 매년 사후관리 심사를 받아야 해요.

오늘은 국내 주요 정보보호 의무제도 동향을 서비스, 제품 및 전문 업체로 구분해서 설명드렸어요. 앞으로도 정보보호를 위해 다양한 의무제도가 생성되거나 개선될 예정이라고 하니, 많은 정보보호 담당자분들의 지속적인 관심이 필요할 것 같아요.