‘일률적’ 정보보호 인증 의무화에 스타트업 ‘속앓이’

국내 스타트업들이 의무화된 정보보호관리체계(ISMS) 인증으로 인해 ‘속앓이’를 하고 있다. 컨설팅 비용만 많게는 1억 원 이상 부담해야 하는 만큼 스타트업들에는 부담스러울 수밖에 없다. 때문에 ISMS 인증 의무화 대상 기준을 기업 규모나 수익성에 맞춰 차등화해야 한다는 지적이 나온다.

4일 관련 업계에 따르면 최근 ISMS 인증 취득을 준비하고 있는 스타트업들이 늘고 있다. 모바일·온라인을 기반으로 하는 대다수 스타트업들이 지난해부터 ISMS 인증 의무화 대상에 포함됐기 때문이다.

ISMS는 기업이 주요 정보자산을 보호하기 위해 수립·운영하는 정보보호 관리체계에 대한 인증이다. 정보통신망법에 근거해 매출액 100억 원 이상, 직전 3개월 일일평균 이용자 100만 명 이상일 경우 인증을 의무적으로 받아야 한다. 기간 내 인증을 받지 않을 경우 1000만 원의 과태료를 내야 한다.

의무화 대상이 된 스타트업들의 표정은 밝지 않다. 인증 과정에서 드는 비용이 만만치 않은 만큼, 수익구조가 취약한 업체에게는 큰 부담이기 때문이다. 스타트업 대부분은 아직 적자이거나, 이제 막 영업이익을 내고 있는 업체들이다.

올해 인증 취득을 목표로 최근 컨설팅 업체들과 협의를 시작한 배달 온·오프라인연계(O2O) 스타트업 요기요도 인증 비용 문제를 걱정하고 있다. 업계에 따르면 보통 ISMS 인증과 관련된 컨설팅 비용은 대략 5000만~1억 원 수준이다. 여기에 ISMS 인증을 위한 관련 인력과 보안솔루션을 구입하게 되면 비용은 더 늘어난다. 요기요는 올 상반기까지 적자를 기록 중이다.

숙박 O2O 스타트업 야놀자는 올 초 ISMS 인증을 획득했다. 이 업체는 인증을 받는데만 1억 원 이상의 비용이 들었다. 김진중 야놀자 R&D그룹장은 “우리의 경우 인증이 필요하다고 생각해 적극적으로 임했다”면서도 “다만, 기준 자체가 스타트업 수준의 기업들이 감당하기엔 크게 부담스럽다”고 말했다.

인증 비용도 부담이지만, 인증 요구 사항이 실정에 맞지 않는다는 불만도 있다. 현재 인증을 진행 중인 큐레이션 스타트업 피키캐스트 관계자는 “부담이 되지만 정보보호 차원에서 해야 하는 것이기 때문에 진행하고 있다”면서 “서버 환경, 리소스 등 회사마다 다 환경이 달라, 인증 요구사항이 현실적으로 맞지 않는 경우가 많다”고 언급했다.

스타트업들은 ISMS 인증 의무화 기준을 차등화해야 한다는 목소리를 내고 있다. 대기업과 동일한 기준을 적용 받기보다는, 정책적인 배려가 필요하다는 주장이다. ISMS 인증을 주관하는 한국인터넷진흥원(KISA) 지상호 관리체계인증 팀장은 “온라인 상거래 규모를 따지기 위해 매출로 기준을 잡았지만, 의무 대상 기업들 중 간혹 적자에 허덕이는 곳들도 있다”면서 “안타깝지만 근거 법이 개정되지 않는 이상 예외를 둘 수 없는 게 현실”이라고 말했다.