보안사고 반복 기업에 매출 3% 과징금… 개정 정보통신망법·시행령 10월 1일 시행

[수완뉴스=김동주 기자] 반복적으로 사이버 침해사고를 낸 기업에 관련 매출액의 최대 3%를 과징금으로 물리고, 정보보호 최고책임자(CISO)를 임원급으로 격상하는 개정 정보통신망법과 시행령이 10월 1일부터 시행된다. 과학기술정보통신부는 9월 30일 이같이 밝히고 침해사고 예방부터 사후 대응과 제재까지 정보보호 제도가 전방위로 강화된다고 설명했다.

이번 법령 시행은 지난해 잇따른 대형 침해사고를 계기로 발표된 범부처 정보보호 종합대책을 제도로 뒷받침하기 위한 것이다. 대통령은 수석보좌관회의 등에서 보안 사고를 반복하는 기업에 징벌적 과징금을 포함한 강력한 대처를 준비하고 선제적 조사를 검토하라고 지시한 바 있다. 지난 3월 개정된 정보통신망법은 CISO의 실질적 권한 확보, 정보보호위원회 설치 의무화, 강화된 정보보호 관리체계(ISMS) 인증 도입, 정부 직권조사 확대, 지연신고 과태료 상향, 이행강제금과 과징금 신설 등을 담았다. 시행령은 법이 위임한 세부 사항을 정했다.

먼저 CISO의 지위가 기존 임직원에서 임원으로 올라간다. 중견기업 등은 CISO를 임원으로 지정해야 하며, 중기업은 기업 규모와 인력 사정을 고려해 지금처럼 정보보호 관련 부서장을 지정할 수 있다. 새로 임원을 지정해야 하는 기업에는 6개월의 유예기간을 준다.

CISO 신고 의무가 있는 기업은 사내에 정보보호위원회를 설치·운영해야 한다. 위원회는 CISO를 위원장으로 IT개발, 개인정보보호, 인사, 재무 등 주요 부서장으로 구성되며 정보보호 예산·인력 확보처럼 전사적 협의가 필요한 사항을 심의한다. 심의 결과는 최고경영자에게 보고하고 주요 사항은 이사회에도 보고해야 한다.

침해사고가 나면 국민 생활에 파급력이 큰 사업자에게는 ISMS 강화인증이 새로 적용된다. 대상은 전년도 매출 1조 원 이상인 통신사 등 주요정보통신서비스 제공자와 집적정보통신시설 사업자, 매출 3조 원 이상 정보통신서비스 제공자, 최근 3년 안에 민관합동조사단 조사나 과징금 처분을 받은 사업자다. 인증심사도 서면심사와 현장심사를 함께 하도록 바뀌고, 강화인증 대상과 사고 발생 기업에는 취약점 점검 등 기술심사가 추가된다.

조사와 제재도 강화된다. 침해사고 정황이 확보되면 정부의 신속 조사 필요성을 심의하는 과기정통부 소속 침해사고조사심의위원회가 정식으로 운영된다. 위원장을 포함한 민간·공공 위원 15명으로 구성되며 민간위원 임기는 2년이다. 정부의 시정명령이나 자료제출 요구를 따르지 않는 사업자에게는 이행하지 않은 날마다 1일 평균 매출액의 0.02%에 해당하는 이행강제금을 매긴다. 고의나 중과실로 침해사고를 반복한 사업자에게는 사고의 중대성에 따라 관련 매출액의 3% 범위에서 과징금을 부과한다.

배경훈 부총리 겸 과기정통부 장관은 “이번 정보통신망법 및 시행령 시행으로 기업의 보안의식과 책임성이 한층 강화될 수 있는 제도적 기반이 마련되었다”며 “기업들이 보안을 단순한 비용이 아닌 경영의 필수 요소로 인식하고 적극적인 투자로 이어나가길 기대하며, 정부도 국민들이 안심하고 이용할 수 있는 디지털 환경 조성을 위해 제도의 안착을 적극 지원하겠다”고 말했다.

김동주 기자 ([email protected])