오늘부터 고의·중과실 침해사고에 최대 3% 과징금…개정 정통망법 시행

시정명령 미이행 시 매일 일평균 매출 0.02% 강제금으로 부과
중기업 이상은 임원급 CISO 지정 필수
정보보호위원회도 의무 설치·운영

오늘부터 고의나 중대한 과실로 반복적인 침해사고를 낸 기업에 관련 매출의 최대 3%에 달하는 과징금이 부과된다. 기업의 정보보호 최고책임자(CISO)는 임원급이 맡아야 하고, 정보보호 관리체계(ISMS) 인증제도에는 강화인증이 추가된다.

1일 과학기술정보통신부에 따르면 이날부터 개정 정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법)이 시행된다. 지난해 통신, e커머스 등 주요 기업에서 개인정보 유출 사고가 잇따라 발생하자 정부는 '범부처 정보보호 종합대책'을 발표했는데, 이번 개정법은 대책을 제도적으로 뒷받침한다.

먼저 고의 또는 중과실로 반복적인 침해사고를 일으킨 사업자는 침해사고의 중대성에 따라 관련 매출액의 3% 범위에서 과징금을 부과한다. 아울러 정부의 시정명령이나 자료제출 요구를 이행하지 않는 사업자는 미이행 일수마다 1일 평균 매출액의 0.02%에 해당하는 이행강제금을 부과한다.

기업의 정보보호 거버넌스를 강화하기 위해 CISO의 지위를 기존의 임직원에서 임원으로 높였다. 이에 따라 중견 이상 기업들은 정보보호 최고책임자를 임원으로 지정해야 한다. 다만 기업 규모와 인력 상황을 고려해 중기업은 지금처럼 정보보호 관련 부서장을 지정할 수 있도록 예외를 뒀다. 임원 지정 의무가 새로 생기는 기업에는 6개월의 유예 기간을 준다.

CISO 신고 의무가 있는 기업은 기업 내 정보보호위원회를 의무적으로 설치·운영해야 한다. 정보보호위원회는 정보보호 예산·인력 확보 등 협의가 필요한 정보보호 관련 사항을 심의한다. 위원장은 위원회 심의 결과를 최고경영자(CEO)에게 보고하며, 주요 사항은 이사회에도 보고해야 한다.

ISMS 인증 제도에는 강화인증이 새로 도입된다. 강화인증 대상은 ▲매출액 1조원 이상인 통신사 등 주요정보통신서비스 제공자와 집적정보통신시설 사업자 ▲전년도 매출액 3조원 이상인 정보통신서비스 제공자 ▲최근 3년 이내 민관합동조사단 조사나 과징금 부과 처분을 받은 사업자에게 적용된다. 아울러 선택적으로 진행되던 인증심사는 서면심사와 현장심사를 병행하는 방식으로 강화한다.

침해사고 발생 시 신속한 조사를 위해 과기정통부 산하 침해사고조사심의위원회가 정식 운영된다. 위원장을 포함해 민간·공공 분야 위원 15명으로 구성되며, 민간위원의 임기는 2년이다. 회의는 위원장이 필요하다고 인정하거나 과기정통부 장관이 요청하는 경우 소집된다.

배경훈 부총리 겸 과기정통부 장관은 "이번 정보통신망법 및 시행령 시행으로 기업의 보안 의식과 책임성이 한층 강화될 수 있는 제도적 기반이 마련됐다"면서 "기업들이 보안을 단순한 비용이 아닌 경영의 필수 요소로 인식하고 적극적인 투자로 이어나가길 기대한다"고 말했다.

이명환 기자 lifehwan@asiae.co.kr