반복 침해사고에 매출 최대 3% 과징금…망법 10월 1일 시행

CISO 임원 지정·정보보호위 의무화 대형사업자 ISMS 강화인증 도입 과학기술정보통신부는 사이버 침해사고 예방과 조사·제재를 강화하는 개정 정보통신망법과 시행령이 10월 1일부터 시행된다고 밝혔다. 기업의 정보보호 책임과 사고 예방 체계를 강화하고, 고의나 중과실로 침해사고를 반복하는 사업자에게 과징금을 부과하는 것이 핵심이다. 이번 개정은 지난해 잇따른 대형 침해사고를 계기로 마련된 ‘범부처 정보보호 종합대책’을 제도적으로 뒷받침하기 위한 것이다. 지난 3월 개정된 법률에 따라 시행령에서 적용대상과 절차, 제재기준 등을 구체화했다. 기업의 정보보호최고책임자(CISO)는 기존 임직원에서 임원으로 지위가 격상된다. 중견기업 등은 CISO를 임원으로 지정해야 하며, 새롭게 의무가 생기는 기업에는 6개월의 유예기간을 준다. 중기업은 기존처럼 정보보호 관련 부서장을 지정할 수 있다. CISO 신고 의무가 있는 기업은 정보보호위원회도 설치·운영해야 한다. CISO가 위원장을 맡고 IT개발·개인정보보호·인사·재무 등 주요 부서장이 참여해 보안 예산과 인력 확보 등 전사적 협의가 필요한 사항을 심의한다. 심의 결과는 최고경영자(CEO)에게, 주요 사항은 이사회에도 보고해야 한다. 정보보호관리체계(ISMS) 인증에는 ‘강화인증’이 신설된다. 인증 의무자 가운데 전년도 매출액 1조원 이상인 통신사 등 주요정보통신서비스 제공자·집적정보통신시설 사업자, 매출액 3조원 이상인 정보통신서비스 제공자가 대상이다. 최근 3년 이내 민관합동조사단 조사나 과징금 부과 처분을 받은 사업자도 포함된다. 인증심사는 서면심사와 현장심사를 병행하는 방식으로 강화된다. 강화인증 대상과 사고 발생 기업에는 취약점 점검 등 기술심사도 실시한다. 침해사고 발생 정황이 확보되면 정부가 직권으로 조사할 수 있도록 권한이 확대된다. 신속한 조사 필요성 등을 심의하는 과기정통부 소속 침해사고조사심의위원회는 민간·공공 분야 위원 15명으로 구성된다. 침해사고 지연신고에 대한 과태료도 상향된다. 정부의 시정명령이나 자료제출 요구를 이행하지 않는 사업자에는 미이행일수마다 1일 평균 매출액의 0.02%에 해당하는 이행강제금을 부과한다. 고의 또는 중과실로 반복적인 침해사고를 일으킨 사업자에게는 사고의 중대성에 따라 관련 매출액의 최대 3%를 과징금으로 부과한다. 배경훈 부총리 겸 과기정통부 장관은 “기업들이 보안을 단순한 비용이 아닌 경영의 필수 요소로 인식하고 적극적인 투자로 이어나가길 기대하며, 정부도 국민들이 안심하고 이용할 수 있는 디지털 환경 조성을 위해 제도의 안착을 적극 지원하겠다”고 말했다.