사이버 침해사고의 예방부터 사후 대응과 제재까지 기업의 정보보호 책임을 전방위로 강화하는 개정 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」(정보통신망법)과 시행령이 10월 1일부터 시행된다. 이번 법령으로 보안을 반복적으로 소홀히 한 기업에는 과징금 등 엄정한 경제적 제재가 뒤따르게 된다.
 [코리안투데이] 과학기술정보통신부 청사 전경 © 장형임 기자 |
과학기술정보통신부(부총리 겸 과학기술정보통신부 장관 배경훈)는 9월 30일 개정 정보통신망법과 같은 법 시행령이 10월 1일부터 본격 시행된다고 밝혔다. 기업의 실질적인 정보보호 책임성을 높이고 사고 예방 체계를 고도화하는 한편, 보안을 되풀이해 소홀히 하는 기업을 제재할 수 있는 제도적 기틀을 마련하는 것이 핵심이다.
이번 시행은 지난해 잇따라 발생한 대형 침해사고를 계기로 발표된 ‘범부처 정보보호 종합대책’을 법과 시행령으로 뒷받침하기 위한 것이다. 앞서 대통령은 수석보좌관회의 등에서 “보안 사고를 반복하는 기업들에 대해 징벌적 과징금을 포함한 강력한 대처가 이뤄지도록 준비”하고 “선제적 조사를 적극적으로 검토하고, 기업의 보안 역량 강화를 위한 제도 개선에도 노력하기 바란다”고 지시한 바 있다. 이에 따라 지난 3월 개정된 정보통신망법은 침해사고 예방부터 대응까지 전 범위를 강화하는 데 초점을 맞췄고, 이번 시행령은 법이 위임한 사항과 시행에 필요한 세부 내용을 구체화했다.
우선 기업의 정보보호 거버넌스가 강화된다. 정보보호 최고책임자(CISO)의 지위가 기존의 임직원에서 임원으로 격상돼, 중견기업 등은 CISO를 임원으로 지정해야 한다. 다만 기업 규모와 인력 상황을 고려해 중기업은 현행대로 정보보호 관련 부서장을 지정할 수 있도록 예외를 뒀다. 새롭게 CISO를 임원으로 지정해야 하는 기업에는 부담 완화를 위해 6개월의 유예기간이 주어진다.
또한 CISO 신고 의무가 있는 기업은 정보보호위원회를 의무적으로 설치·운영해야 한다. CISO를 위원장으로 하고 IT개발·개인정보보호·인사·재무 등 주요 부서장으로 구성되는 이 위원회는 정보보호 예산·인력 확보 등 전사적 협의가 필요한 사항을 심의한다. 위원장은 심의 결과를 최고경영자(CEO)에게 보고하고, 주요 사항은 이사회에도 보고해야 해 정보보호가 일부 부서의 업무가 아닌 경영 차원의 과제로 다뤄지게 된다.
정보보호 관리체계(ISMS) 인증제도의 실효성도 높아진다. 침해사고 발생 시 국민 생활에 미치는 파급력이 큰 사업자를 대상으로 ‘강화인증’이 새로 도입된다. 강화인증은 인증 의무자 가운데 ▴전년도 매출액 1조원 이상인 통신사 등 주요정보통신서비스 제공자·집적정보통신시설 사업자 ▴전년도 매출액 3조원 이상인 정보통신서비스 제공자 ▴최근 3년 이내 민관합동조사단 조사나 과징금 부과 처분을 받은 사업자에게 적용된다. 아울러 종전에 선택적으로 진행되던 인증심사는 서면심사와 현장심사를 병행하는 방식으로 강화되며, 강화인증 대상과 사고 발생 기업에 대해서는 취약점 점검 등 기술심사를 실시해 현장 중심의 실질적 심사가 이뤄지도록 했다.
침해사고 조사와 제재 역시 한층 강해진다. 침해사고 발생 정황이 확보된 경우 정부의 신속 조사 필요성을 심의하는 침해사고조사심의위원회가 과기정통부 소속으로 정식 운영된다. 위원회는 위원장을 포함해 민간·공공 분야 위원 15명으로 구성되며, 민간위원의 임기는 2년이다. 회의는 위원장이 필요하다고 인정하거나 과기정통부 장관이 요청할 때 소집된다. 제재 측면에서는 정부의 시정명령이나 자료제출 요구를 이행하지 않는 사업자에게 미이행일수마다 1일 평균 매출액의 0.02%에 해당하는 이행강제금을 부과한다. 나아가 고의 또는 중과실로 반복적인 침해사고를 일으킨 사업자에게는 사고의 중대성에 따라 관련 매출액의 3% 범위에서 과징금을 물려 엄중한 경제적 책임을 묻는다.
이번 법령 시행은 통신·온라인 서비스 이용이 일상화된 가운데 개인정보 유출과 서비스 마비 등 침해사고의 피해를 고스란히 떠안아 온 이용자 보호에 무게를 둔 조치다. 기업이 보안을 ‘비용’이 아닌 ‘의무’로 받아들이도록 유도함으로써, 국민이 더 안전하게 디지털 서비스를 이용할 수 있는 토대를 마련했다는 데 의미가 있다.
배경훈 부총리 겸 과기정통부 장관은 “이번 정보통신망법 및 시행령 시행으로 기업의 보안의식과 책임성이 한층 강화될 수 있는 제도적 기반이 마련되었다”며 “기업들이 보안을 단순한 비용이 아닌 경영의 필수 요소로 인식하고 적극적인 투자로 이어나가길 기대하며, 정부도 국민들이 안심하고 이용할 수 있는 디지털 환경 조성을 위해 제도의 안착을 적극 지원하겠다”고 밝혔다.
관련 문의는 과학기술정보통신부 정보보호네트워크정책실 사이버침해대응과(044-202-6460, 044-202-6468)로 하면 된다.
지역 홍보대사 신청 기자양성과정 신청 코리안투데이 지부장 신청 코리안투데이 인천강화코리안브랜드대상 신청 최고경영인대상 신청 소비자만족도대상 신청
<저작권자 ⓒ 코리안투데이(The Korean Today) 무단전재 및 재배포 금지>
