한국 정부는 최근 정보보호와 사이버 침해사고 대응을 강화하기 위해 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법)’을 개정하였습니다. 이번 10월 1일부터 시행되는 법제도의 변경은 기업 보안관리를 경영 책임으로 끌어올리고, 반복적인 침해사고에 대한 경제적 제재 체계를 도입하는 등 여러 중요한 내용을 포함하고 있습니다.

과학기술정보통신부는 연이은 대형 사이버 보안 사건을 계기로 강화된 ‘범부처 정보보호 종합대책’의 제도적 뒷받침을 위한 조치를 발표하였습니다. 개정 법률은 기업 내 보안 업무가 단순 실무 부서의 책임이 아닌 경영진의 중요 과제로 인식되어야 함을 강조합니다.

주요 변경 사항으로는 정보보호 최고책임자(CISO) 지위가 임원으로 격상된다는 점이 있습니다. 이를 통해 중견기업과 그 이상의 기업은 CISO를 경영진에 포함시켜야 하며, 새로운 시행 규정을 준수하기 위한 6개월 유예 기간이 주어집니다. CISO 의무 신고가 필요한 기업은 정보보호위원회를 설치해야 하며, 보안 예산과 인력 등의 중요 사항을 심의하여 CEO 및 이사회에 보고해야 합니다.

이러한 법적 변화는 단순히 사고가 발생했을 때 대응하는 데 그치지 않고, 경영진의 책임 강화와 사전 점검을 중시합니다. 이를 통해 정부는 침해사고 조사 및 제재 수단을 확대하고 있습니다. 예를 들어, 침해사고 발생 시 정황을 즉각적으로 확보할 수 있는 직권조사 권한을 부여했습니다. 또한, ‘침해사고조사심의위원회’를 운영하여 조사 필요성 등을 심의하게 합니다.

정부는 반복적인 침해 사고에 대해 엄격한 제재 체계도 도입했습니다. 고의 또는 중과실로 인한 사고 발생 기업은 관련 매출액의 최대 3%까지 과징금을 부담해야 합니다. 또한, 시정명령이나 자료 제출 요구를 이행하지 않으면 일일 평균 매출액의 0.02%에 해당하는 이행강제금을 부과할 수 있습니다.

ISMS(정보보호관리체계) 강화인증도 새롭게 도입되었습니다. 특히, 국민 생활에 큰 영향을 미칠 수 있는 사업자를 대상으로 전년도 매출액 1조원 이상인 주요 정보통신서비스 제공자 및 집적정보통신시설 사업자, 그리고 매출액 3조원 이상의 정보통신서비스 제공자가 대상입니다. 최근 3년 내에 민관 합동 조사나 과징금 처분을 받은 기업 역시 강화인증을 받아야 하며, 이들의 취약점 점검과 기술심사가 실시됩니다.

배경훈 부총리 겸 과학기술통신부 장관은 “기업들이 보안을 단순한 비용으로만 아니라 경영의 필수 요소로 인식하고 적극적인 투자로 이어나가길 기대한다”며 기업들에게 적극적인 보안 관리를 호소했습니다. 이러한 개정은 정보보호와 사이버 안전을 위해 경영진의 리더십과 투자가 필수적임을 재확인하며, 기업들에게 보안 관리를 더욱 체계적으로 접근할 수 있는 방향을 제시합니다.