과기정통부, 정보통신망법·시행령 10월 1일 시행…CISO 임원 격상·반복 침해엔 과징금

사이버 침해사고를 반복하는 기업에 매출액의 3% 범위 내 과징금을 물리는 내용의 개정 정보통신망법과 시행령이 10월 1일부터 시행된다. 과학기술정보통신부는 예방부터 사후 제재까지 정보보호 제도를 전방위로 강화하는 이번 법령이 본격 시행된다고 9월 30일 밝혔다.

이번 개정은 지난해 연이은 대형 침해사고를 계기로 마련된 '범부처 정보보호 종합대책'을 제도적으로 뒷받침하기 위한 것이다. 대통령은 수석보좌관회의에서 "보안 사고를 반복하는 기업들에 대해 징벌적 과징금을 포함한 강력한 대처가 이뤄지도록 준비"하고 "선제적 조사를 적극적으로 검토하라"고 지시한 바 있다. 지난 3월 개정된 정보통신망법은 이런 방침을 담아 기업의 보안 거버넌스와 예방 체계를 손질하는 데 초점을 맞췄다.

우선 정보보호 최고책임자(CISO)의 지위가 기존 임직원에서 임원으로 격상된다. 중견기업 등은 CISO를 임원으로 지정해야 하지만, 기업 규모와 인력 상황을 고려해 중기업은 현행처럼 정보보호 관련 부서장을 지정할 수 있도록 예외를 뒀다. 새로 임원을 지정해야 하는 기업에는 6개월의 유예기간을 준다.

CISO 신고 의무가 있는 기업은 정보보호위원회도 의무적으로 설치·운영해야 한다. CISO가 위원장을 맡고 IT개발·개인정보보호·인사·재무 등 주요 부서장으로 구성되는 위원회는 정보보호 예산과 인력 확보처럼 전사적 협의가 필요한 사항을 심의한다. 심의 결과는 최고경영자(CEO)에게 보고되고, 주요 사항은 이사회에도 올라간다.

정보보호 관리체계(ISMS) 인증제도에는 강화인증이 새로 도입된다. 전년도 매출액 1조원 이상인 통신사 등 주요정보통신서비스 제공자·집적정보통신시설 사업자와 매출액 3조원 이상 정보통신서비스 제공자, 최근 3년 이내 민관합동조사단 조사나 과징금 부과 처분을 받은 사업자가 대상이다. 그동안 선택적으로 진행되던 인증심사는 서면심사와 현장심사를 병행하는 방식으로 바뀌고, 강화인증 대상과 사고 발생 기업에는 취약점 점검 등 기술심사가 실시된다.

제재 수위도 높아진다. 정부의 시정명령이나 자료제출 요구를 이행하지 않으면 미이행일수마다 1일 평균 매출액의 0.02%에 해당하는 이행강제금이 부과된다. 고의나 중과실로 반복적인 침해사고를 일으킨 사업자에게는 사고의 중대성에 따라 관련 매출액의 3% 범위 내에서 과징금을 물린다. 지연신고에 대한 과태료도 상향됐다.

신속한 사고 조사를 위한 조직도 꾸려진다. 침해사고 발생 정황이 확보되면 정부 조사의 필요성 등을 심의하는 과기정통부 소속 침해사고조사심의위원회가 정식 운영된다. 위원장을 포함해 민간·공공 분야 위원 15명으로 구성되며 민간위원 임기는 2년이다. 회의는 위원장이 필요하다고 인정하거나 과기정통부 장관이 요청하는 경우 소집된다.

배경훈 부총리 겸 과학기술정보통신부 장관은 "이번 정보통신망법 및 시행령 시행으로 기업의 보안의식과 책임성이 한층 강화될 수 있는 제도적 기반이 마련되었다"며 "기업들이 보안을 단순한 비용이 아닌 경영의 필수 요소로 인식하고 적극적인 투자로 이어나가길 기대한다"고 밝혔다. 정부도 국민들이 안심하고 이용할 수 있는 디지털 환경 조성을 위해 제도의 안착을 적극 지원하겠다고 덧붙였다.