[디지털데일리 최민지 기자] 정보보호관리체계인증(이하 'ISMS') 의무 대상에 포함된 국내 대학들이 반기를 들고 있다.

앞서 지난 6월 미래창조과학부는 ISMS 의무 대상을 확대하면서 학부 재학생 1만명 이상의 대학교를 추가했다. 만약 요건이되는 대학이 ISMS 의무기관 인증을 받지 않으면 개정 법규에 따라 3000만원 이하의 과태료가 부과된다.

그러나 대학들은 이러한 정부 방침이 현실과 맞지 않는 정보보안 정책이며 천문학적 규모의 설비 교체 및 유지비용만 초래한다고 강하게 반발하고 있다.

8일, 전국 133개 대학교 및 대학의 정보화 책임자 모임인 한국대학정보화협의회(이하 협의회)는 서울 중구 프레스센터에서 ‘ISMS 인증의 실효성과 대학 의무인증의 문제’를 주제로 전문가 토론회를 열고, 대학교를 인증 의무 대상에서 제외시킬 것을 촉구했다.

협의회 측은 “새로운 정보보안체계를 대학에 적용할 때 가장 큰 문제는 무조건 기존의 설비를 교체해야 하는 것”이라며 천문학적인 비용이 소요될 것을 우려했다.

이어 “새 정보보안체계는 현재 홈쇼핑 거래에서 액티브X 이상으로 대학의 정보기술 발전에 장애물이 될 수 있으며, 훗날 이를 제거하는데 또 다시 많은 비용과 노력이 들 가능성이 높다”며 오히려 또 다른 규제로 자리잡을 수 있음을 지적했다.

실제로 이날 협의회가 밝힌 자료에 따르면, ISMS 인증을 모두 받으려면 한 대학 당 최초 인증을 위한 설비 교체에 약 93억원, 연간유지비로 25억원이 투입된다.

현재 인증 대상인 38개 대학 전체적으로 최초 인증에 2400억원, 매년 유지비로 650억원이 필요하다는 계산이 나온다.

이와관련 협의회 측은 “이는 학생 한 명 당 ISMS 공인인증서를 이용하기 위해 가입비 25만원과 매년 이용료 5만원을 내는 것과 같다”며 “앞으로 학생이 학교전산망을 쓰기 위해서 현재 통용되고 있는 개인 범용인증서 사용료 연 4400원의 56배를 초기 구매비로, 11배를 사용료로 각각 지출해야 한다”고 말했다.

협의회측은 이어 “최초 심사 후 매년 사후심사를 받아야 하며 3년째에는 다시 최초 심사를 받아야 한다”며 “3만명 규모의 대학이 ISMS 인증을 완전히 받을 경우 2억원가량의 컨설팅 비용, 1600만원 가량의 인증 심사비용, 91억원 가량의 체계 구축비용이 드는 것으로 추산되며 보안인증에 필요한 인건비 등을 살펴보면 매년 25억원 가량의 유지비가 들어가는 것”이라고 덧붙였다.

따라서 협의회측은 ISMS는 고객 정보보호가 필요한 기업에 더 적합한 방식으로, 현재 대상에서 제외된 금융기관과 중앙행정기관·공공기관·지자체 등에 우선 적용돼야 한다고 주장했다. 지식교류와 공유를 목표로 하는 대학 입장에서 새 정보보안체계는 지나치게 과도한 보안 수준을 요구하고 있다는 것이다.

한편 협의회는 미래창조과학부에 수차례 절차상의 문제를 지적하고 의견을 전달했으나, 원활한 소통이 이뤄지지 않았다고 강조했다.

입법예고안에 포함되지 않았던 대학을 ISMS 의무인증 대상에 포함한 시행령 발표 때 어떠한 공식적 연락을 받지 못했고, 교육부 및 대학 당사자 모르게 진행됐다고 주장했다. 발표 이후에도 새로운 정보보안 체계 도입에 대한 안내와 설명회가 충분히 이뤄지지 않았다는 지적도 나왔다.

협의회는 대학은 이미 정보보호 수준진단을 매년 실시하고 교육부와 행정자치부의 실태 점검을 받고 있으며, 그 결과를 정보공시하고 대학평가에 반영하고 있다고 설명했다.

또, 공공기관으로 분류돼 대학에도 의무를 부과한 ‘개인정보 영향평가’에 따라 학생정보를 처리하는 학사행정시스템 등에 관한 개인정보 보호도 이행하고 있다고 부연했다.

협의회 측은 “대학 본부와 학내 관계자들은 교육부, 행정자치부와 협조해 대학에 맞는 보안체계를 개발 및 적용하고 있으며, 앞으로도 대학 현장에 맞는 체계를 발전시킬 계획”이라며 “전문가 토론회가 시행령 개정의 필요성에 대해 공감하고 대학의 현실에 맞는 정보보안 정책으로 탈바꿈하는 계기가 되기를 바란다”고 촉구했다.

<최민지 기자>cmj@ddaily.co.kr