침향환 정부의 정보보호인증제도(ISMS)가 형식적이라는 평가도 나왔다. 염 교수는 "ISMS는 보안 수준을 일정 기준으로 점검하는 체계지만, 이를 통과했다고 해서 해킹이 발생하지 않는다는 보장은 없다"며 "인증을 받은 뒤에도 지속적으로 위협 정보를 수집하고 체계를 업데이트하는 시스템이 필요하다"고 강조했다. 최경진 가천대 법대 교수는 "ISMS는 정기적으로 기업이 보안체계를 점검하도록 유도하는 제도로서의 의미는 있지만 의무화하거나 너무 강화하면 기술 변화에 유연하게 대응하기 어렵다"며 "강화만으로는 오히려 기업이 '이것만 하면 된다'는 신호로 받아들일 수도 있다"고 우려했다..