[시민일보 = 박소진 기자] 고의 또는 중과실로 반복적인 사이버 침해사고를 일으킨 사업자에게 관련 매출액의 최대 3%까지 과징금을 부과하는 등 정보보호 제도가 강화된다.

과학기술정보통신부는 개정 정보통신망법과 동법 시행령이 1일부터 시행된다고 밝혔다.

이번 개정은 지난해 잇따른 대형 침해사고를 계기로 발표된 '범부처 정보보호 종합대책'의 제도적 기반으로, 기업의 보안 거버넌스부터 정보보호 관리체계(ISMS) 인증, 침해사고 조사·제재까지 전반적인 정보보호 체계를 강화하는 내용을 담았다.

먼저 정보보호 최고책임자(CISO)의 지위가 기존 임직원에서 임원으로 격상된다. 이에 따라 중견기업 등은 CISO를 임원으로 지정해야 한다.

중기업은 기존과 같이 정보보호 관련 부서장을 지정할 수 있도록 예외를 적용한다. 새롭게 임원 지정 의무가 발생하는 기업에는 6개월의 유예기간이 주어진다.

CISO 신고 의무가 있는 기업은 사내에 정보보호위원회를 의무적으로 설치·운영해야 한다.

위원회는 CISO를 위원장으로 정보기술(IT)개발·개인정보보호·인사·재무 등 주요 부서장으로 구성되며, 정보보호 예산과 인력 확보 등 전사적 협의가 필요한 사항을 심의한다.

위원장은 심의 결과를 최고경영자(CEO)에게 보고해야 하며 주요 사항은 이사회에도 보고한다.

정보보호 관리체계(ISMS) 인증제도에는 '강화인증'이 새롭게 도입된다.

적용 대상은 ▲전년도 매출액 1조원 이상인 주요 정보통신서비스 제공자·집적정보통신시설 사업자 ▲전년도 매출액 3조원 이상인 정보통신서비스 제공자 ▲최근 3년 이내 민관합동조사단 조사나 과징금 부과 처분을 받은 사업자다.

기존에 선택적으로 진행하던 인증심사도 서면심사와 현장심사를 병행하는 방식으로 강화한다. 강화인증 대상과 사고 발생 기업에는 취약점 점검 등 기술심사를 실시해 현장 중심의 실질적인 심사가 이뤄지도록 한다.

침해사고 조사와 제재 체계도 강화된다. 과기정통부 소속 '침해사고조사심의위원회'가 정식 운영되며 위원장을 포함해 민간·공공 분야 위원 15명으로 구성된다. 민간위원 임기는 2년이며 회의는 위원장이 필요하다고 인정하거나 과기정통부 장관이 요청할 경우 소집된다.

정부의 시정명령이나 자료제출 요구를 이행하지 않는 사업자에게는 미이행일수마다 1일 평균 매출액의 0.02%에 해당하는 이행강제금이 부과된다.

고의 또는 중과실로 반복적인 침해사고를 일으킨 사업자에게는 사고의 중대성에 따라 관련 매출액의 3% 범위에서 과징금을 부과한다.

배경훈 부총리 겸 과기정통부 장관은 "기업들이 보안을 단순한 비용이 아닌 경영의 필수 요소로 인식하고 적극적인 투자로 이어나가길 기대하며, 정부도 국민들이 안심하고 이용할 수 있는 디지털 환경 조성을 위해 제도의 안착을 적극 지원하겠다"라고 전했다.

[저작권자ⓒ 시민일보. 무단전재-재배포 금지]