침향환효능 박 교수는 "ISMS가 단순히 자격증처럼 작동하는 것은 문제"라며 "심사 항목이나 평가자의 역량에 따라 실제 보안 수준을 반영하지 못할 수 있다. 상시 컨설팅 기능이 강화돼야 한다"고 말했다. 관련 법제도 간 충돌과 공백 문제도 지적됐다. 염 교수는 "HSS는 정보통신기반시설로 지정돼 있지 않다"며 "이제는 정부에서 사전에 기업이 스스로 취약점을 제거할 수 있는 체계를 법적으로 마련할 시점"이라고 했다. 최 교수는 "IMSI와 K같은 통신식별정보가 개인정보로 포괄될 수 있는지와 관련해 법적 지위가 명확하지 않다"며 "기존 법 사이에서 사각지대가 발생할 수 있다"고 지적했다.무를 다하면서도 신속·정확하게 움직여 고객의 불안감을 해소했을 경우 기업의 책임을 덜어준다면 보다 적극적으로 나설 수 있을 것"이라고 말했다.