정부 보안투자 유도 정책은 '뒷전'
국회와 정부가 기업들에게 정보유출 피해자 배상보험 가입을 의무화하는 방안을 추진하고 있어 논란을 빚고 있다. 1억건이 넘는 대형 정보유출 사고가 터지면서 각종 정보보호 법령에 기업의 '손해배상 책임'이 크게 강화됐으나, 정작 기업의 보안투자를 유도하는 강력한 정책은 뒤로하고, 배상보험을 도입하는 꼼수를 부리고 있다는 비판이 나온다.
업계는 대형사고 발생시 기업의 생존을 위한 방편이라는 취지에 공감하면서도, 배상보험 가입 의무화가 자칫 보안투자를 회피하는 수단으로 변질 될 수 있다는 점을 우려하고 있다.
3일 업계와 국회에 따르면 금융권을 중심으로 정보유출 피해 배상을 위한 '책임 보험' 가입을 제도화 하자는 의견이 대두 되고 있다. 정보유출에 대한 기업의 손해배상 책임이 크게 강화되면서 기업의 부담이 커졌기 때문에 안정적인 경영을 위해서는 보험 가입이 피치 못할 방편이라는 것이다.
실제로 11월29일부터 시행되고 있는 개정 정보통신망이용촉진및정보보호등에관한법률(이하 망법)에서는 정보유출 피해자에 대해 유출 기업이 300만원 한도의 손해배상을 하라고 명시하고 있다. 정부는 향후 개인정보보호법과 신용정보법 등에서도 법정손해배상제를 확대 적용하기로 중지를 모았으며 이와 별개로 징벌적 손해배상제도 함께 도입키로 했다. 정홍원 국무총리는 손해배상 책임 강화에 대해 "그간 개인정보 유출에 따른 제재 수준이나 배상 책임이 크지 않아 (기업이 정보유출에 대한)경각심을 갖지 않았다"고 지적하고 "보다 강화된 피해구제 제도 도입을 통해 정보보안에 대한 투자를 촉진하고, 고객정보 보호에 최우선적인 가치를 부여할 필요가 있다"고 강조했다. 배상 책임을 강화하는 이유가 기업에게는 징벌적 의미를 갖도록 해 경각심을 높이고 궁극적으로는 정보유출 자체가 일어나지 않도록 보안 투자를 강화하기 위함이라는 목적을 명확히 한 것이다.
법률에 규정된 손해배상을 실제로 이행할 경우 기업의 생존이 위협받을 정도로 심각한 타격이 오는 것은 사실이다. 기업의 안정적인 경영활동을 돕고 실질적인 정보유출 피해자 구제를 위해선 '배상 보험'이 필요하다는 주장이 나온 것도 이 때문이다. 박대동 새누리당 의원은 지난 1일 배상책임보험 제도화를 위한 정책토론회를 열고 "정보유출 피해자를 실질적으로 구제하려면 금융사들의 보험 가입을 의무화 시켜야 한다"고 주장했다. 박 의원은 조만간 관련 내용을 법률로 발의할 계획이다. 정의화 국회의장과 김무성 새누리당대표, 신제윤 금융위원장도 토론회에 참석해 관련 제도 도입에 대해 '적극적으로 검토하겠다'며 의지를 보였다.
문제는 배상 보험을 의무화 하는 방안이 '정보유출 자체를 막자'는 본래 취지와 어긋날 가능성이 높다는 점이다.
보안 전문가는 "디지털 정보는 한번 유출되면 정보 회수가 대단히 어렵고 타 정보와 결합 돼 2차, 3차 피해를 초래할 수 있어 유출 자체가 되지 않도록 막는 것이 가장 중요하다"면서 "이미 정보가 유출된 후 피해자 구제나 추가 유출 사고를 막기 위해 손해배상이라는 강수를 둔 것인데 배상보험 제도를 의무화 하면 자칫 기업이 정보유출을 근본적으로 막는 보안 강화에 전념하는 것이 아니라 보험을 믿고 보안투자를 회피하는 '도피처'가 될 수 있다"고 꼬집었다.
실제로 그간 금융업계를 비롯해 대다수 국내 기업들은 법률에 규정한 '필수 정보보호 의무'만 준수하고 보안 강화를 위한 자율적 보호활동은 미약해 국민의 지탄을 받았다. 이런 상황에서 배상 보험을 가입하라고 오히려 정부가 독려한다면 정보유출 사고가 일어나더라도 배상 책임을 보험사가 떠 안기 때문에 금융사가 보안 강화에 소홀할 가능성이 높다는 것이 업계 중론이다.
금융위도 조심스러운 모습을 보이고 있다. 금융위 관계자는 "일단 정보유출 배상책임보험 취지 자체에는 정부도 공감하고 확산시켜야 한다는 방향이지만 세부적인 방법론에서는 아직 논의할 내용이 많다"고 밝혔다. 이 관계자는 현재 박대동 의원이 발의한 법안처럼 이 보험을 전 기업 가입 의무화나 벌금을 물게 하는 식의 규제를 가해야 하느냐는 점에서는 정부 내 이견이 많다며 선을 그었다.
강은성·신동규기자 esther@
업계는 대형사고 발생시 기업의 생존을 위한 방편이라는 취지에 공감하면서도, 배상보험 가입 의무화가 자칫 보안투자를 회피하는 수단으로 변질 될 수 있다는 점을 우려하고 있다.
3일 업계와 국회에 따르면 금융권을 중심으로 정보유출 피해 배상을 위한 '책임 보험' 가입을 제도화 하자는 의견이 대두 되고 있다. 정보유출에 대한 기업의 손해배상 책임이 크게 강화되면서 기업의 부담이 커졌기 때문에 안정적인 경영을 위해서는 보험 가입이 피치 못할 방편이라는 것이다.
실제로 11월29일부터 시행되고 있는 개정 정보통신망이용촉진및정보보호등에관한법률(이하 망법)에서는 정보유출 피해자에 대해 유출 기업이 300만원 한도의 손해배상을 하라고 명시하고 있다. 정부는 향후 개인정보보호법과 신용정보법 등에서도 법정손해배상제를 확대 적용하기로 중지를 모았으며 이와 별개로 징벌적 손해배상제도 함께 도입키로 했다. 정홍원 국무총리는 손해배상 책임 강화에 대해 "그간 개인정보 유출에 따른 제재 수준이나 배상 책임이 크지 않아 (기업이 정보유출에 대한)경각심을 갖지 않았다"고 지적하고 "보다 강화된 피해구제 제도 도입을 통해 정보보안에 대한 투자를 촉진하고, 고객정보 보호에 최우선적인 가치를 부여할 필요가 있다"고 강조했다. 배상 책임을 강화하는 이유가 기업에게는 징벌적 의미를 갖도록 해 경각심을 높이고 궁극적으로는 정보유출 자체가 일어나지 않도록 보안 투자를 강화하기 위함이라는 목적을 명확히 한 것이다.
법률에 규정된 손해배상을 실제로 이행할 경우 기업의 생존이 위협받을 정도로 심각한 타격이 오는 것은 사실이다. 기업의 안정적인 경영활동을 돕고 실질적인 정보유출 피해자 구제를 위해선 '배상 보험'이 필요하다는 주장이 나온 것도 이 때문이다. 박대동 새누리당 의원은 지난 1일 배상책임보험 제도화를 위한 정책토론회를 열고 "정보유출 피해자를 실질적으로 구제하려면 금융사들의 보험 가입을 의무화 시켜야 한다"고 주장했다. 박 의원은 조만간 관련 내용을 법률로 발의할 계획이다. 정의화 국회의장과 김무성 새누리당대표, 신제윤 금융위원장도 토론회에 참석해 관련 제도 도입에 대해 '적극적으로 검토하겠다'며 의지를 보였다.
문제는 배상 보험을 의무화 하는 방안이 '정보유출 자체를 막자'는 본래 취지와 어긋날 가능성이 높다는 점이다.
보안 전문가는 "디지털 정보는 한번 유출되면 정보 회수가 대단히 어렵고 타 정보와 결합 돼 2차, 3차 피해를 초래할 수 있어 유출 자체가 되지 않도록 막는 것이 가장 중요하다"면서 "이미 정보가 유출된 후 피해자 구제나 추가 유출 사고를 막기 위해 손해배상이라는 강수를 둔 것인데 배상보험 제도를 의무화 하면 자칫 기업이 정보유출을 근본적으로 막는 보안 강화에 전념하는 것이 아니라 보험을 믿고 보안투자를 회피하는 '도피처'가 될 수 있다"고 꼬집었다.
실제로 그간 금융업계를 비롯해 대다수 국내 기업들은 법률에 규정한 '필수 정보보호 의무'만 준수하고 보안 강화를 위한 자율적 보호활동은 미약해 국민의 지탄을 받았다. 이런 상황에서 배상 보험을 가입하라고 오히려 정부가 독려한다면 정보유출 사고가 일어나더라도 배상 책임을 보험사가 떠 안기 때문에 금융사가 보안 강화에 소홀할 가능성이 높다는 것이 업계 중론이다.
금융위도 조심스러운 모습을 보이고 있다. 금융위 관계자는 "일단 정보유출 배상책임보험 취지 자체에는 정부도 공감하고 확산시켜야 한다는 방향이지만 세부적인 방법론에서는 아직 논의할 내용이 많다"고 밝혔다. 이 관계자는 현재 박대동 의원이 발의한 법안처럼 이 보험을 전 기업 가입 의무화나 벌금을 물게 하는 식의 규제를 가해야 하느냐는 점에서는 정부 내 이견이 많다며 선을 그었다.
강은성·신동규기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
