정보통신망법 개정안과 시행령이 12월 1일부터 시행되면서, 기업의 정보보호최고책임자(CISO)가 임원급으로 격상됩니다. 고의나 중대한 과실로 침해 사고를 반복해서 일으킨 기업은 관련 매출의 최대 3%에 달하는 과징금을 물어야 합니다. 정부의 시정명령이나 자료 제출 요구에 응하지 않으면 매일 평균 매출액의 0.02%씩 이행강제금이 부과됩니다. 일정 규모 이상의 통신사와 정보통신서비스 제공자는 정보보호 관리체계(ISMS) 인증 심사가 강화되어 현장 심사도 함께 받게 됩니다. 이는 작년 잇따른 대형 침해사고 이후 정부가 발표한 '범부처 정보보호 종합대책'을 법과 제도로 뒷받침하기 위한 조치입니다.
정보통신망법 개정안과 시행령이 12월 1일 시행되어 CISO 지위 격상, 과징금·이행강제금 제도, ISMS 인증 강화 등이 도입된다.
중견기업 이상은 CISO를 임원으로 지정하고 정보보호위원회를 의무 설치해야 하며, 중과실로 침해 사고를 반복하면 매출의 최대 3%까지 과징금을 부담할 수 있다.
작년 잇따른 대형 침해사고를 계기로 정부가 '범부처 정보보호 종합대책'을 발표했고, 이를 법제화하기 위한 조치다.
과기정통부는 침해사고조사심의위원회를 운영해 신속 조사 여부를 심의하고, 시정명령 불이행 시 이행강제금을, 고의·중과실 반복 침해에는 과징금을 부과한다.
기업은 CISO 임원 지정 여부, 정보보호위원회 설치, 예산·인력 심의 및 CEO·이사회 보고 체계를 12월 1일 시행에 맞춰 점검해야 한다.
본문
정보보호최고책임자(CISO) 지위가 임원으로 격상된다. 중과실로 반복적 침해 사고를 일으킨 사업자는 매출의 최대 3%에 이르는 과징금을 물게 된다.
과학기술정보통신부(부총리 겸 장관 배경훈)은 이같은 내용의 '정보통신망 이용촉진 및 정보보호 등에 관한 법률' 개정안과 시행령이 내달 1일 시행된다고 밝혔다.
작년 연이은 대형 침해사고를 계기로 정부가 발표한 '범부처 정보보호 종합대책'을 제도적으로 뒷받침하기 위한 것이다.
CISO 지위가 기존 임직원에서 임원으로 격상됨에 따라 중견기업 등은 CISO를 임원으로 지정해야 한다. 다만 중기업은 현행과 같이 정보보호 관련 부서장을 지명할 수 있게 예외를 뒀다.
CISO 신고 의무가 있는 기업은 정보보호위원회를 의무적으로 설치, 정보보호 예산과 인력 확보 등 정보보호 관련 사항을 심의한다. 심의 결과는 CEO와 이사회에 보고해야 한다.
정보보호 관리체계(ISMS) 인증도 강화된다. 전년 매출이 1조원 이상인 통신사나 3조원 이상인 정보통신서비스 제공자 등 국민 생활에 미치는 영향이 큰 기업들은 정보보호 관리체계에 대한 강화인증을 받게 된다. 또 서면 심사 외 현장 심사를 병행해 인증 실효성을 높인다.
과기정통부 소속으로 침해사고조사심의위원회를 운영, 침해사고 발생 정황이 있는 경우 정부가 신속 조사 필요성을 심의하게 된다. 정부 시정명령이나 자료 제출 요구를 이행하지 않는 사업자에겐 미이행일수마다 1일 평균 매출액의 0.02%에 해당하는 이행강제금을 부과한다. 고의 또는 중과실로 침해 사고를 반복해 일으킨 사업자는 관련 매출의 3% 범위 내에서 과징금을 부과한다.
배경훈 장관은 "이번 정보통신망법 및 시행령 시행으로 기업의 보안의식과 책임성이 한층 강화될 수 있는 제도적 기반이 마련됐다"고 밝혔다.
