정보보호 공시 조회 방법, 내가 다니는 회사·학교 보안 투자 확인하기
정보보호 공시 제도가 뭔지, 의무 대상 기준과 6월 30일 마감, 자율공시 혜택(ISMS-P 수수료 30% 할인)까지. 회사·대학의 보안 투자액을 직접 확인하는 방법을 정리했습니다.
정보보호 공시는 KISA ‘정보보호 공시 종합포털’에서 기업·기관 이름만 검색하면 누구나 무료로 투자액·전담인력·인증 현황을 볼 수 있습니다. 로그인도, 신청서도 필요 없습니다.
최근 국내 대학 중 정보보호 투자 현황을 공시한 곳이 5개(동국대·단국대·성균관대·숙명여대·숭실대)에 불과하다는 조사가 나오면서, “내가 다니는 학교나 회사는 보안에 얼마나 쓰고 있나”를 확인하려는 검색이 늘었습니다. 확인 방법과 제도의 기본 구조를 정리했습니다.
정보보호 공시가 뭔가요
정보보호산업법에 따라 기업·기관이 정보보호 투자액, 전담인력 수, 보유 인증, 정보보호 활동을 일반에 공개하는 제도입니다. 재무제표 공시가 회사의 돈 흐름을 보여준다면, 정보보호 공시는 보안에 얼마나 쓰는지를 보여준다고 이해하면 됩니다. 등록·열람 창구는 한국인터넷진흥원(KISA)이 운영하는 정보보호 공시 종합포털입니다.
누가 꼭 해야 하나 — 의무 대상 기준
| 구분 | 기준 |
|---|---|
| 사업분야 | 회선설비 보유 기간통신사업자, 집적정보통신시설(IDC) 사업자, 클라우드컴퓨팅 서비스 제공자, 상급종합병원 |
| 매출액 | 유가증권·코스닥 상장법인 중 매출액 3,000억 원 이상 |
| 이용자 수 | 정보통신서비스 일평균 이용자 100만 명 이상(전년도 말 직전 3개월 기준) |
| 제외 | 공기업·준정부기관, 「중소기업기본법」상 소기업, 은행·보험·카드 등 금융회사와 전자금융업자 |
과학기술정보통신부는 2026년 5월 8일 올해 공시의무 대상 기업 693개사를 공개했습니다. 전년보다 27개사 늘었습니다. 대학은 이 세 가지 기준 어디에도 들어가지 않아 의무 대상이 아닙니다. 앞서 언급한 5개 대학은 안 해도 되는 공시를 스스로 한 경우입니다.
언제까지, 안 하면 어떻게 되나
- 제출 기한: 매년 6월 30일까지 종합포털에 등록
- 미이행 시: 의무 대상인데 공시하지 않으면 1천만 원 이하 과태료
- 2026년분 마감은 지난 6월 30일로 종료됐고, 등록된 내용은 포털에서 열람 가능
자율공시를 하면 뭐가 좋나
의무가 없는데도 공시하는 이유는 실익이 있기 때문입니다.
| 혜택 | 내용 |
|---|---|
| 인증 수수료 할인 | ISMS·ISMS-P 인증심사 수수료 30% 할인 |
| 표창·선정 | 정보보호 공시 우수기업 표창 등 |
| 사업 가점 | KISA 발주 일부 지원 사업에서 가점 |
| 대외 신뢰 | 학부모·고객·투자자 대상 신뢰도 제고 |
ISMS-P는 ‘정보보호 및 개인정보보호 관리체계 인증’으로, 보안 관리 수준을 국가가 심사해 부여하는 인증입니다. 심사 수수료가 적지 않아 30% 할인은 실질적인 유인이 됩니다. 할인은 공시 이행 시점 이후 일정 기간 내에 받는 심사에 적용되는 등 세부 조건이 있고 해마다 운영이 달라질 수 있어, 신청 전 KISA 공지 확인이 필요합니다.
앞으로 달라지는 것
과기정통부는 2026년 1월 정보보호산업법 시행령 개정안을 입법예고했습니다. 핵심은 공시 의무 대상을 코스피·코스닥 상장법인 전체로 확대하는 것으로, 상장법인에 적용되던 매출액 3,000억 원 요건을 삭제하는 내용입니다. ISMS 인증 의무 기업을 공시 의무 대상에 새로 포함하고, 공공기관·금융회사·소기업·전자금융업자에 대한 예외 조항을 삭제하는 방안도 함께 담겼습니다. 적용 시점은 2027년 공시 대상자부터로 추진되고 있습니다.
다만 입법예고 단계의 개정안은 의견 수렴·관계부처 협의·법제처 심사를 거치며 내용이 바뀔 수 있습니다. 대상 여부는 반드시 최종 공포된 시행령과 과기정통부 공지로 확인하세요.
확인할 때 흔히 놓치는 것
- 금액만 보고 판단 — 규모가 큰 조직은 절대액도 큽니다. 매출·예산 대비 비중과 전년 대비 증감을 함께 보세요.
- 공시 = 안전 보증으로 오해 — 공시는 현황 공개일 뿐, 사고가 안 난다는 뜻이 아닙니다.
- 미공시 = 보안 부실로 단정 — 의무 대상이 아니면 안 하는 게 기본값입니다.
- 연도 확인 누락 — 공시 자료는 전년도 실적 기준입니다. 조회 시 어느 회계연도인지 확인하세요.
정리 — 체크리스트
- KISA 정보보호 공시 종합포털 접속 → 기관·기업명 검색(로그인 불필요)
- 투자액·전담인력·인증 보유 항목을 전년도와 나란히 비교
- 우리 회사가 의무 대상인지 세 가지 기준(사업분야·매출 3,000억·이용자 100만)으로 자가 점검
- 의무 대상이면 매년 6월 30일 마감 일정 캘린더 등록
- 자율공시를 검토한다면 ISMS·ISMS-P 인증 일정과 묶어 수수료 할인 활용
- 상장사라면 시행령 개정 진행 상황을 과기정통부 공지로 주기적 확인
정보보호 공시는 아직 참여 폭이 넓지 않아 정보 자체가 희소합니다. 그만큼 공시한 조직은 보안을 관리 지표로 다루겠다는 신호를 낸 것으로 읽을 수 있습니다.
자주 묻는 질문
우리 회사가 정보보호 공시를 안 했으면 문제가 있는 건가요?
의무 대상이 아니라면 문제가 아닙니다. 매출액 3,000억 원 이상 상장법인, 일평균 이용자 100만 명 이상 정보통신서비스 제공자, 그리고 기간통신사업자·IDC·클라우드 서비스 제공자·상급종합병원 등 특정 사업분야만 의무 대상입니다. 그 밖의 기업·기관은 자율공시 영역이라 안 해도 제재가 없습니다.
대학은 왜 공시 의무가 없나요?
정보보호산업법 시행령이 정한 의무 대상 유형에 대학이 들어 있지 않기 때문입니다. 다만 대학도 학사·연구·개인정보 데이터를 대량으로 다루기 때문에 자율공시를 선택하는 곳이 생기고 있고, 자율공시를 하면 ISMS·ISMS-P 인증심사 수수료 할인 등의 혜택을 받습니다.
공시된 투자액이 크면 보안이 안전하다는 뜻인가요?
그렇게 단정하기는 어렵습니다. 공시는 투자액·전담인력·인증 보유·활동 현황을 공개하는 제도일 뿐 안전성을 보증하지 않습니다. 다만 금액의 절대값보다 전년 대비 증감 추세, 전담인력 비율, ISMS-P 등 인증 보유 여부를 함께 보면 그 조직이 보안을 관리 대상으로 삼고 있는지는 가늠할 수 있습니다.