지난해 국내에서 탐지된 스미싱 문자는 130만 건이 넘습니다. 피싱범죄 피해액도 해마다 최고치를 다시 쓰고 있죠. 그런데 이 스미싱의 주요 유포 통로 중 하나가 뜻밖에도 기업이 쓰는 대량문자 발송 서비스입니다. 2024년 한 해 동안 225개 문자발송업체에서 계정 탈취가 발생했고, 한국인터넷진흥원은 보안 투자 여력이 부족한 중소 문자 사업자가 많다는 점을 원인으로 짚었습니다.
출처: KISA 특수부가통신사업자 등록요건 안내 자료
새로운 메시징 서비스를 도입하려는 기업이라면 기능과 비용만큼이나 보안을 중요한 척도로 삼으실 거예요. 특히 수백만 고객의 개인정보를 다루는 대기업이나 금융사의 경우 보안에 대한 눈높이가 남다를 수밖에 없습니다. 이들이 파트너사를 검증할 때 실제로 확인하는 보안 점검 체크리스트 7가지를 정리했습니다. 비즈고가 각 항목을 어떻게 충족시키고 있는지 그 답변도 함께 확인해 보세요.
메시징 업체 보안, 왜 따로 확인해야 할까요?
고객 정보를 외부에 맡기는 일이기 때문입니다
문자나 알림톡을 보내려면 고객 연락처를 업체 시스템에 올려야 합니다. 개인정보 처리 업무를 외부에 위탁하는 것이라 업체에서 사고가 발생하면 정보를 맡긴 기업도 관리 책임에서 자유롭지 않죠. 개인정보 보호법이 위탁한 기업에 수탁 업체를 감독할 의무를 두고 있기 때문입니다.
문자사업자가 갖춰야 할 보안 요건이 법으로 정해졌습니다
2026년 4월 28일 전기통신사업법 시행령 개정으로 문자사업자의 등록요건이 강화됐습니다. 이전에도 명의 도용 방지와 발신번호 관리 요건은 있었는데 이번에 방화벽 설치와 연 1회 취약점 점검, 접근통제, 로그관리 같은 정보보호 조치가 새로 들어갔어요. 문자를 발송하는 사업자라면 최소한 이 정도는 갖춰야 한다는 선이 법으로 생긴 셈이죠. 바뀐 항목은 2026 문자사업자 등록요건 강화에서 정리했습니다.
대기업이 묻는 건 그 위입니다
ISMS 인증과 망분리, 데이터센터 운영 방식은 법정 등록요건에 없습니다. 그런데 대기업 보안 검토에서는 이 항목들이 빠지지 않아요. 법이 정한 최소선을 넘어 어느 수준까지 관리하고 있는지를 보기 때문이죠.
대기업 보안 점검 체크리스트 7가지
아래 질문은 검토 중인 업체에 그대로 전달해도 됩니다.
- 정보보호 인증을 갖고 있나요?
- 직원 보안 교육은 어떻게 하나요?
- 우리 고객 정보에 누가 접근할 수 있나요?
- 이상한 접근이 있으면 어떻게 알 수 있나요?
- 외부에서 시스템에 접속할 때는 어떻게 하나요?
- 서버는 어디에 어떻게 보관되나요?
- 내부망은 인터넷과 분리되어 있나요?
지금부터 각 항목을 하나씩 자세히 살펴보며 비즈고가 어떻게 모든 기준을 충족시키고 있는지 알려드릴게요.
체계적인 정보보호 정책 및 인력 관리
가장 먼저 확인해야 할 부분은 바로 관리적 보안입니다. 화려한 기술 이전에 신뢰할 수 있는 정책과 그것을 운영하는 사람이 탄탄하게 뒷받침되고 있는지를 확인하는 것이죠.
1) 공신력 있는 정보보호 인증을 보유하고 있나요?
업체가 정보보호 체계를 갖췄는지 판단하는 가장 빠른 방법은 ISMS 인증 보유 여부입니다. ISMS는 한국인터넷진흥원이 운영하는 정보보호 관리체계 인증으로 관리체계 수립부터 물리 보안까지 여러 영역의 심사를 통과해야 받을 수 있어요.
비즈고를 운영하는 인포뱅크는 2013년 메시징 업계 최초로 정보보호 관리체계 인증(ISMS)을 획득한 이래 지금까지도 꾸준히 갱신을 이어오고 있습니다. 현재 인증번호는 ISMS-KISA-2026-005예요. 덕분에 보안 정책의 체계성과 신뢰성을 대외적으로도 공인받고 있습니다.
💡 확인 팁 업체가 인증 보유를 안내한다면 인증번호를 함께 요청해 보세요. 한국인터넷진흥원 인증서 발급현황에서 직접 조회할 수 있습니다.
2) 임직원의 보안 인식 수준은 어떻게 관리하나요?
비즈고는 크게 두 가지 방법으로 임직원들의 보안 인식을 높이고 있어요.
먼저 주기적인 교육입니다. 모든 임직원을 대상으로 정기적인 보안 교육을 진행하고, 특히 개인정보 취급자를 대상으로는 관련 법규와 실제 사고 사례 중심의 맞춤형 심화 교육을 별도로 제공하고 있습니다.
다음은 실전 같은 훈련입니다. 실제 해킹 공격과 유사한 형태의 모의 피싱 메일 훈련을 불시에 실시해서 직원들이 스스로 위험을 식별하고 대응하는 능력을 기를 수 있도록 돕고 있습니다.
데이터 보호를 위한 다계층 기술적 보안 장치
탄탄한 정책과 신뢰할 수 있는 사람이 준비되었다면 다음은 기술적 보안입니다. 실제 데이터가 오가는 시스템의 안전성에 대한 질문들을 살펴볼게요.
3) 우리 고객 정보에 누가 접근할 수 있나요?
비즈고는 역할 기반 접근 통제(RBAC) 원칙을 철저히 지키고 있어요. 모든 임직원에게는 직무 수행에 꼭 필요한 최소한의 접근 권한만 부여되죠. 예를 들어 영업팀은 고객의 계약 정보는 조회할 수 있지만 실제 고객 DB나 소스 코드에는 절대 접근할 수 없답니다.
또한 분기별로 모든 권한을 다시 점검하고, 퇴사자나 부서 이동자의 권한을 즉시 회수하는 자동화된 절차도 갖추고 있습니다.
4) 비정상적인 접근 시도를 어떻게 탐지하나요?
비즈고는 자체 구축한 통합보안관제(SIEM) 시스템이 모든 서버와 DB의 접근 기록을 24시간 감시하고 있어요. 만약 평소와 다른 시간이나 장소에서 대량의 정보가 조회되는 등 비정상적인 움직임이 감지되면 보안팀에 즉시 자동 경고가 울려서 선제적으로 대응할 수 있는 체계를 갖추고 있답니다.
5) 외부 원격 접속은 안전하게 관리되나요?
비즈고는 외부망에서 SSL VPN을 통해 원격으로 접속할 때는 OTP 기반의 2차 인증(MFA)이 필수로 적용돼요. ID와 비밀번호를 입력하더라도 등록된 스마트폰 앱에서 생성된 6자리 OTP를 한 번 더 입력해야만 접속이 가능하죠.
참고로 다중 인증은 문자사업자 전송자격인증 심사에서도 확인하는 항목으로 알려져 있습니다. 업계 전반의 기준선이 올라가고 있는 영역이에요.
서버와 장비를 지키는 물리적 보안
정책과 시스템을 넘어 데이터가 실제로 보관되는 물리적 공간의 문제도 습니다. 눈에 잘 보이지 않아서 검토 과정에서 놓치기 쉬운 영역이에요.
6) 서버가 보관된 데이터센터는 어떻게 보호되나요?
비즈고 서버는 24시간 365일 통제되는 데이터센터 안에서도 잠금장치가 설치된 별도의 공간에서 운영됩니다. 이 공간을 케이지라고 부르는데 허가받지 않은 사람은 데이터센터에 들어가더라도 서버에 물리적으로 접근할 수 없어요.
7) 내부 시스템 접근 환경은 어떻게 통제되나요?
이 질문의 답이 되는 조치가 바로 망분리입니다. 망분리는 중요 시스템을 다루는 업무망을 인터넷이 연결된 망과 분리하는 것으로, 금융권과 공공기관에서 오래전부터 적용해 온 방식이에요.
비즈고에서 중요한 서버에 접근해야 하는 내부 PC는 인터넷이 완전히 차단된 별도의 보안 공간(망분리)에 위치해 있어요. 이 공간에서는 허가된 인원만 접속이 가능하며, USB와 같은 외부 저장 매체의 사용도 제한하여 자료의 무단 반출이나 악성코드 유입 경로를 원천적으로 차단하고 있습니다.
비즈고가 갖춘 인증
지금까지 살펴본 것처럼 비즈고는 관리적, 기술적, 물리적 보안이라는 다계층 방어 시스템을 운영하고 있습니다. 그 근거를 한곳에 정리했어요.
비즈고 보안 관련 인증 현황
여기에 더해 인포뱅크는 통신 3사와 직접 연결된 문자중계사이자 카카오톡 비즈메시지 공식 딜러사입니다. 고객 정보가 거쳐 가는 단계가 줄어들면 그만큼 관리해야 할 지점도 줄어들어요. 발송 구조가 안정성에 미치는 영향은 기업 문자 발송 서비스 안정성에서 다뤘습니다.
보안은 기본이지만 그 기본을 얼마나 체계적이고 깐깐하게 지키느냐가 바로 신뢰의 차이를 만듭니다. 위 일곱 가지 질문은 메시징 업체를 검토할 때 공통으로 활용할 수 있는 체크리스트입니다. 업체 선정 과정에서 비교 기준으로 참고해 보시기 바랍니다.
비즈고는 카카오톡 비즈메시지를 비롯해 문자, RCS 등 국내 주요 메시징 채널을 하나의 플랫폼에서 안정적으로 운영하고 있습니다. 가장 까다로운 고객의 기준을 충족시키는 것을 넘어 모든 고객이 안심하고 비즈니스 성장에만 집중할 수 있도록 보이지 않는 곳에서도 항상 최선을 다하고 있습니다.
자주 묻는 질문
Q. SMS와 ISMS-P는 무엇이 다른가요?
ISMS는 정보보호 영역을 중심으로 인증하고, ISMS-P는 여기에 개인정보 처리 단계별 보호까지 포함해 인증합니다. ISMS-P는 개인정보보호 관리체계 인증과 정보보호 관리체계 인증을 통합해 2018년 11월부터 시행됐어요. 어느 쪽이 상위 인증이라기보다 인증 범위가 다르다고 이해하시면 됩니다.
Q. 업체가 ISMS 인증을 받았는지 어떻게 확인하나요?
한국인터넷진흥원 인증서 발급현황 페이지에서 조회할 수 있습니다. 업체에 인증번호를 요청한 뒤 직접 대조해 보는 방법이 가장 확실해요. 인증 범위가 실제 이용할 서비스를 포함하는지도 함께 확인해 보세요.
Q. 문자 발송 업체도 수탁사 점검 대상인가요?
고객 연락처를 넘겨 메시지를 발송한다면 개인정보 처리 업무 위탁에 해당합니다. 개인정보 보호법에 따라 위탁자에게 수탁자 관리와 감독 의무가 있으므로 점검 대상으로 관리하는 것이 일반적이에요. 다만 계약 형태와 업무 범위에 따라 판단이 달라질 수 있어 법무 검토를 함께 받으시는 편이 좋습니다.
