해킹 사고 "쉬쉬"하다간 철퇴 맞습니다! 확 바뀐 정보통신망법 개정안 핵심 요약

 

안녕하세요. IT 및 보안 소식을 발 빠르게 전해드리는 지오이스트입니다.

 

"우리 회사 해킹당한 거, 일단 외부에 알려지지 않게 조용히 수습하자."

 

과거 일부 기업들 사이에서 암암리에 통용되던 이 위험한 대처법이 앞으로는 기업의 존립을 흔들 수도 있게 되었습니다. 3월 24일, 사이버 침해사고 예방부터 사후 대응까지 전 주기를 대폭 강화하는 '정보통신망법 개정안'이 국무회의를 최종 통과했기 때문입니다.

 

작년 한 해 동안 연달아 터진 대규모 해킹 사태로 인해 국민들의 불안감이 극에 달하자, 정부가 기업의 보안 책임을 강력하게 묻는 방향으로 칼을 빼든 것입니다. 오는 9월 24일부터 본격 시행되는 이번 개정안, 기업의 보안 담당자와 경영진이 반드시 알아야 할 핵심 내용 4가지를 정리해 드립니다.

---

1. 해킹 지연 신고·은폐 시 과태료 철퇴

가장 눈에 띄는 변화는 사고 발생 시 '보고의 골든타임'을 엄격하게 지켜야 한다는 점입니다. 해킹 등 사이버 침해사고가 발생했음에도 이를 지연해서 신고하거나 고의로 숨길 경우, 기존보다 훨씬 상향된 과태료를 물게 됩니다. 기업의 사회적 책임을 무겁게 하여 은폐 시도를 원천 차단하겠다는 정부의 강력한 의지가 돋보이는 대목입니다.

2. CISO 권한 대폭 강화 및 정보보호위원회 의무화

보안 조직의 위상도 크게 달라집니다. 기업 내 정보보호 최고책임자(CISO)의 권한이 법적으로 대폭 강화되며, '정보보호위원회' 설치가 의무화됩니다. 이는 보안 부서가 경영진의 눈치를 보지 않고 예산과 인력을 확보하여 실질적인 보안 의사결정을 내릴 수 있도록 법적 방패막이를 마련해 준 것입니다.

3. 사고 반복 시 '과징금' 철퇴 및 2027년 보안 수준 평가 도입

"벌금 한 번 내고 말지"라는 안일한 생각도 이제 통하지 않습니다. 보안 체계가 부실하여 침해사고가 반복해서 발생하는 기업에게는 강력한 '과징금'을 부과하는 규정이 신설되었습니다. 과태료 수준을 넘어 기업 매출에 직접적인 타격을 줄 수 있는 제재 수단입니다. 또한, 2027년부터는 기업의 보안 역량을 객관적으로 평가하는 '정보보호수준 평가 제도'가 도입되어, 기업 간 보안 수준이 투명하게 공개될 예정입니다.

4. 정부의 선제적 현장 조사 권한 명문화

사고가 터진 후 뒷북을 치는 것이 아니라, 선제적으로 대응하기 위한 법적 근거도 마련되었습니다. 정부가 사이버 위협 징후를 포착하거나 침해사고가 우려될 경우, 기업에 선제적으로 현장 조사를 나갈 수 있는 권한이 명문화되었습니다.

---

💡 이제 보안은 '비용'이 아닌 '생존 필수 조건'입니다

배경훈 부총리 겸 과기정통부 장관은 이번 개정안을 두고 "기업이 철저한 보안 아래 지속 성장하는 기반이 될 것"이라고 강조했습니다.

이번 정보통신망법 개정안 통과는 명확한 메시지를 던지고 있습니다. 기업의 정보보안은 더 이상 IT 부서 구석에서 처리하는 실무적인 골칫거리가 아니라, 경영진이 직접 챙겨야 할 핵심 리스크 관리 대상이라는 점입니다. 시행일인 9월 24일이 오기 전, 사내 보안 보고 체계와 CISO의 권한, 그리고 전반적인 침해사고 대응 매뉴얼을 전면 재검토해야 할 시점입니다.