오늘부터 기업 해킹사고 책임 커진다, 정보통신망법 10월 시행 무엇이 달라질까
정보통신망법 10월 시행으로 기업의 사이버 침해사고 예방과 대응책임이 강화됩니다. 과학기술정보통신부는 개정 정보통신망법과 시행령을 오늘 10월 1일부터 시행한다고 발표했습니다. 정보통신기획평가원
최근 통신과 쇼핑, 플랫폼 등 일상에서 사용하는 서비스가 해킹되면 기업 내부의 전산장애로 끝나지 않습니다.
개인정보와 결제, 통신서비스를 이용하는 소비자까지 영향을 받을 수 있기 때문입니다.
이번 제도의 방향도 사고가 발생한 뒤 수습하는 데 그치지 않고 기업의 사전 정보보호 책임을 강화하는 데 있습니다.
해킹을 한 번 당하면 매출 3%를 과징금으로 내는 것일까
그렇게 단순하게 이해하면 안 됩니다.
새 제도에서 중요한 조건은 고의 또는 중과실과 반복적인 침해사고입니다.
모든 해킹사고에 일률적으로 매출액의 3%를 부과한다는 의미가 아닙니다.
기업이 적절한 보호조치를 하지 않았는지, 사고가 반복됐는지 등 구체적인 요건을 따져 제재가 적용되는 구조입니다.
따라서 ‘해킹당한 기업은 무조건 매출 3% 과징금’이라고 표현하면 제도의 의미가 달라집니다.
왜 매출액을 기준으로 할까
대기업과 작은 기업에 똑같은 정액 과징금을 부과하면 실제 제재효과가 크게 달라질 수 있습니다.
매출규모가 매우 큰 기업에게 수천만원 수준의 과징금은 정보보호 투자를 늘릴 만큼 충분한 부담이 아닐 수도 있습니다.
매출액과 연계한 과징금 제도는 기업 규모에 따라 제재효과를 조정하려는 방식입니다.
소비자 입장에서는 개인정보와 서비스 보안을 단순한 비용항목이 아니라 기업경영의 중요한 책임으로 다루게 만드는 장치라고 볼 수 있습니다.
CISO는 무슨 일을 하는 사람일까
CISO는 Chief Information Security Officer, 즉 정보보호 최고책임자입니다.
기업 안에서 정보보호 정책과 조직, 사고예방과 대응 등을 책임지는 임원 또는 책임자를 말합니다.
CISO 제도 자체는 이전부터 존재했습니다. 과기정통부도 정보보호 최고책임자 지정·신고 제도에 대한 별도 안내서를 운영해 왔습니다. 정보통신기획평가원
이번 개정은 일정한 기업에서 정보보호 책임자의 위상과 내부 의사결정 구조를 강화하는 방향입니다.
왜 정보보호 책임자가 임원이어야 할까
보안팀이 위험을 발견해도 경영진이 예산과 인력을 배정하지 않으면 필요한 개선을 하기 어려울 수 있습니다.
서버 교체나 보안시스템 구축, 전문인력 채용에는 비용이 들기 때문입니다.
CISO가 경영진 수준에서 의사결정에 참여하면 보안문제를 기술부서만의 문제로 남겨두지 않고 회사 전체의 경영위험으로 다룰 수 있습니다.
사이버 사고가 발생했을 때 ‘담당 직원이 몰랐다’는 식으로 책임이 아래로만 내려가는 구조를 줄이는 의미도 있습니다.
정보보호위원회는 왜 필요할까
기업의 보안문제는 IT 부서 하나만으로 해결되지 않습니다.
고객정보를 어떤 방식으로 수집하는지, 외부 업체와 어떤 데이터를 공유하는지, 새로운 서비스를 출시할 때 어떤 보안검사를 거치는지는 여러 부서와 연결됩니다.
그래서 일정 기업에는 정보보호와 관련한 주요 사항을 조직 차원에서 논의할 구조가 필요합니다.
정보보호위원회 같은 내부 체계는 사고가 난 뒤 책임자를 찾는 것보다 중요한 위험을 미리 확인하고 대응방안을 결정하는 역할을 하게 됩니다.
ISMS 인증을 받았다면 해킹에서 안전할까
ISMS 같은 정보보호 관리체계 인증은 기업이 일정한 보안 관리체계를 갖추고 있는지 확인하는 중요한 제도입니다.
하지만 인증을 받았다는 사실이 앞으로 어떤 해킹도 발생하지 않는다는 보증서는 아닙니다.
사이버 공격기술은 계속 변하고 기업의 시스템과 서비스도 계속 업데이트됩니다.
인증 당시 안전했던 시스템에 새로운 취약점이 발견될 수도 있습니다.
그래서 실제 정보보호에서는 일회성 인증보다 지속적인 업데이트와 모니터링, 사고대응훈련이 중요합니다.
소비자에게는 무엇이 달라질까
법이 시행된다고 오늘부터 사용하는 쇼핑몰이나 통신앱 화면이 갑자기 달라지는 것은 아닙니다.
변화는 주로 기업 내부의 보안책임과 사고대응 체계에서 나타납니다.
소비자가 기대할 수 있는 방향은 기업이 정보보호 예산과 인력, 사고예방 조치를 경영 차원에서 더 중요하게 다루도록 만드는 것입니다.
다만 법이 강화됐다고 사이버 사고가 완전히 사라지는 것은 아닙니다.
사용자 역시 계정마다 다른 비밀번호를 사용하고 다중인증을 지원하는 서비스에서는 이를 활성화하는 등 기본적인 보안관리를 계속할 필요가 있습니다.
중요한 것은 사고가 없었다는 사실보다 사고를 줄이기 위해 무엇을 했는가다
정보통신망법 10월 시행의 핵심은 해킹을 당한 기업을 무조건 강하게 처벌하는 데만 있지 않습니다.
사이버 침해사고를 반복하면서도 충분한 보호조치를 하지 않은 기업에 더 큰 책임을 묻고 기업 내부에서 정보보호가 실제 의사결정 단계에 반영되도록 만드는 것이 중요한 변화입니다. 과기정통부는 9월 30일 관련 법과 시행령이 10월 1일부터 시행된다고 공식 안내했습니다. 정보통신기획평가원
소비자 입장에서는 앞으로 대규모 사고가 발생했을 때 단순히 ‘해킹을 당했다’는 결과만 볼 것이 아니라 기업이 사고 전 어떤 보호조치를 했고 이전 사고 이후 무엇을 개선했는지까지 보는 것이 중요해집니다.
해시태그
#정보통신망법10월시행 #정보통신망법 #해킹사고 #사이버보안 #CISO #정보보호 #개인정보보호