개인정보 유출 '가능성'도 통지 의무…정부, 정보보호 규제 강화

유출 가능성만 포착돼도 즉시 통지…기업 책임 대폭 강화
분쟁조정 제도 도입으로 개인정보 유출 배상 절차 간소화
화이트해커 보호·AI 레드팀 가동…선제적 보안 체계 구축

유출 가능성이 확인되면 이용자에게 즉시 알리도록 정보보호 정책 대폭 강화 / AI 이미지 (포인트경제)

[포인트경제] 정부가 개인정보 유출 사실이 확정되기 전이라도 유출 가능성이 확인되면 이용자에게 즉시 알리도록 하는 등 정보보호 정책을 대폭 강화한다. 대형 이커머스, 통신사에서 발생한 대규모 정보 유출 사고 이후, 기업의 늦장 대응과 미흡한 소비자 구제를 개선하기 위한 조치다.

정부는 28일 제4호 과학기술관계장관회의에서 '제2차 정보보호 종합대책'을 마련해 단계적으로 추진 중이라고 밝혔다. 이번 대책의 핵심은 기업의 통지 의무 강화다. 기존에는 실제 유출 정황이 확인된 경우에만 통지 의무가 부여됐으나, 앞으로는 유출 가능성만 포착돼도 즉시 이용자에게 해당 사실을 알려야 한다.

통지 내용에는 피해 사실뿐만 아니라 손해배상을 청구할 수 있는 관련 절차와 방법이 포함된다. 이는 기업이 조사를 명목으로 사고 발표를 지연시키는 관행을 막고, 소비자가 비밀번호 변경 등 추가 피해를 예방할 수 있는 시간을 확보하기 위함이다.

△ 소비자 분쟁조정 제도 신설…배상 문턱 낮춘다

정보보호 침해사고로 인한 소비자 피해를 구제하기 위한 분쟁조정 제도도 도입된다. 그간 정보 유출 피해자가 배상을 받기 위해서는 개별적으로 민사 소송을 진행해야 했으나, 입증 책임의 어려움으로 실질적인 구제가 어렵다는 지적이 있었다.

정부는 올해 안에 정보통신망법을 개정해 법적 근거를 마련하고, 개인정보 유출을 포함한 해킹 피해 전반에 대해 분쟁조정 절차를 시행할 계획이다. 이를 통해 소비자는 소송보다 신속하고 저렴한 비용으로 피해 배상을 청구할 수 있게 된다.

△ 화이트해커 활용, AI 보안 점검 강화

기업의 보안 취약점을 미리 찾아내는 '화이트해커'에 대한 대우도 달라진다. 해외에서는 화이트해커가 취약점을 제보했다가 법적 분쟁에 휘말린 사례도 있었고, 국내 역시 유사한 우려 속에서 제도적 보완 필요성이 제기돼 왔다.

정부는 기업이 자사의 보안 허점을 투명하게 공개하고 고칠 수 있도록, 선의의 화이트해커가 발견한 취약점을 신고할 경우 법적 책임을 면제해 주는 조건을 명확히 수립하기로 했다.

인공지능(AI) 기술이 피싱이나 악성코드 제작에 악용되는 등 진화하는 공격 기법에 맞선 보안 전략도 본격화된다. 정부는 AI 시스템 내부의 취약점을 직접 공격하며 약점을 찾아내는 전문 조직인 'AI 레드팀'을 가동한다. AI 서비스가 출시되기 전 미리 허점을 점검해 사고를 예방하겠다는 것이다.

또한, 디지털 기능이 포함된 일반 제품 전반으로 보안 정책 범위를 확대한다. 통신과 데이터 처리 기능이 탑재된 제품군에 대해 보안 정책을 수립하고 국가 차원의 인증 기준을 적용해 안정성을 확보할 예정이다.

정부는 "법 개정이 이행되면 기업의 보안 투명성이 높아지고 소비자 보호 효과가 나타날 것"이라며, "소비자에 대한 실질적 배상 부족, 민간 인센티브 제공 필요 등 외부 지적에 대한 보완과 AI로 인한 환경변화에 대응이 필요하다"고 밝혔다.