범정부 ‘정보보호 종합대책’ 뭐가 담기나···“과태료 상향·이행강제금 신설”

[사진=생성형 AI 코파일럿] 

[이뉴스투데이 백연식 기자] 해킹 사고에 따른 범정부 정보보호 종합대책 발표가 국가정보자원관리원(국정자원) 화재로 연기된 가운데 기업의 의무 위반 방지를 위해 과태료(현 3000만원) 상향 및 이행강제금 신설 내용 등이 포함되며 가닥을 잡은 것으로 확인됐다. 데이터 중심의 기반 시설 지정·관리 체계로 전환, 침해사고 발생 시 피해 파급력이 큰 대형 통신사 대상으로 보안관리 의무 부여, 이행 여부를 점검하는 법제 마련 등도 종합대책에 담긴다.

17일 정부 당국에 따르면 과학기술정보통신부 등 범정부 주무부처는 해킹 사고 정보보호 종합대책을 이르면 이달 말 발표할 예정이다. 범정부 차원 컨트롤타워 마련, 민관 협의체 구성 방안, 형식적 개인정보보호 관리체계 인증(ISMS) 개선 등이 핵심 사항이다. ISMS는 조직이 해킹, 내부 유출, 장애 등의 위협에 효과적으로 대비하고 있는지를 평가하는 제도로, 총 80개 항목을 충족해야 한다. 그러나 최근 유심 해킹사고가 발생한 SK텔레콤이 ISMS 인증을 받은 사실이 확인돼 실효성 논란이 제기됐다. 

정부는 기업이 침해사고 정황이 있는 경우 기업의 신고가 없어도 정부가 직권조사가 가능하도록 제도 개선(법 개정)할 방침이다. 현재는 기업의 신고 이후에만 조사가 가능하지만 침해사고 조사심의위원회 설치 및 위원회가 사업장 출입·조사 등 심의할 수 있도록 할 계획이다.

정보보호 제도 실효성 제고를 위해 ISMS 심사시 현장점검도 강화한다. 데이터 중심의 기반시설지정·관리 체계로 전환 등 정보보호 제도 실효성을 제고한다. 보안 의무 위반 시 강력한 제재를 도입하고, 보안을 비용이 아닌 기업 존망의 핵심 투자로 인식하도록 뒷받침한다는 것이 정부 판단이다.

통신망 보안 법제 마련에도 나선다. 침해사고 발생 시 피해 파급력이 큰 대형 통신사 대상으로 보안관리 의무를 부여하고 이행여부를 점검하는 제도를 마련한다. 침해사고 신고, 시정명령 이행, 자료제출 등 기업의 의무 위반 방지를 위해 과태료(현 3000만원)를 5000만원까지 상향하고 이행강제금 신설 등 제재를 강화할 방침인 것으로 파악됐다.

정보보호를 기업 경영의 핵심가치로 내재화시키기 위해서 최고정보보호책임자(CISO) 권한을 대폭 강화한다. 정보보호 공시 내실화를 위해 CISO 이사회 정기보고를 의무화하고, 공시 의무 대상 기업 확대 및 항목을 세분화한다는 계획이다.

정부는 고도화되는 침해사고의 예방과 정부의 신속한 대응을 위해, 제도, 산업, 인력 등 국가 보안 역량 전반을 제고하기로 했다. 지능화·고도화되는 사이버위협을 인공지능(AI)로 예방·대응하는 AI 기반 지능형 사이버위협 대응체계 구축한다. AI모델·데이터를 보호하는 AI 보안, 미래 양자 위협에 대비한 양자내성암호 등 차세대 보안기술 R&D 투자 확대에도 나선다.

정보보호 R&D 예산 규모는 지난 2023년 1652억원에서 2024년 1904억원으로 확대했다. 올해에는 2120억원으로 다시 증액됐다. 정부는 내년 이후에도 정보보호 R&D 예산 규모를 늘리겠다는 방침이다.