올해 들어 SK텔레콤·KT 등 이동통신사와 롯데카드·SGI서울보증 등 금융사, 예스24에 이르기까지 업종을 불문한 해킹 및 랜섬웨어 감염 사태가 잇따르며 관련 규제도 대폭 강화될 조짐을 보인다.
22일 국회 및 관련 업계에 따르면 이달 들어 국회에서 발의된 정보통신망법(정보통신망 이용촉진 및 정보보호 등에 관한 법률) 개정안은 14건으로 이 중 7건이 정보보호 관련 규제 강화 내용을 다룬다. 대규모 해킹 사고로 적게는 수천명에서 많게는 수천만명의 개인정보가 털리는 일이 일상화되면서 조사 대응 체계를 강화해야 한다는 공감대가 형성됐기 때문이다.
국회 과학기술정보방송통신위원회(과방위) 위원장인 최민희 의원(더불어민주당)은 과학기술정보통신부에 침해사고조사심의위원회를 두고 이 위원회가 침해사고 발생을 의심할 만한 정황이 있을 때 직권으로 조사에 나설 수 있도록 하는 내용의 개정안을 냈다.
현재 정보통신 서비스 제공자(통신사 등)의 정보통신망에 '중대한 침해사고'가 발생할 때 공무원이나 민관합동 조사단이 조사할 수 있지만 기업이 침해사고 발생사실을 알고도 신고하지 않거나 신고를 지연하는 사례가 잇따라서다. 최근 사태가 불거진 롯데카드나 KT의 사태에서도 늑장대응 의혹이 제기됐다.
최수진 의원(국민의힘, 과방위)도 중대한 침해사고가 아니더라도 과기정통부가 소속 공무원이나 민관합동 조사단으로 하여금 조사에 착수할 수 있도록 하는 내용의 정보통신망법 개정안을 냈다.
최 의원의 개정안에는 과기정통부나 방송통신위원회가 기업의 업무상황 장부, 서류 등을 검사할 수 있는 조건을 강화하는 내용도 담고 있다. 현재는 기업이 과기정통부 등으로부터 요구받은 자료를 제출하지 않거나 정보통신망법을 위반한 사실이 있다고 인정돼야만 이같은 장부·서류 검사를 할 수 있는데 정부가 필요하다고 판단할 때 이를 검사할 수 있도록 하겠다는 것이다.
아울러 조인철 의원(민주당, 과방위)은 기업이 침해사고 조사 결과에 따른 시정명령 등을 이행하지 않을 때 '매출의 1만분의 3' 이내 또는 하루 200만원 이내 범위의 이행강제금을 부과할 수 있도록 하는 내용의 개정안을 냈다. 조 의원의 개정안은 기업이 시정명령을 이행하지 않으면 이행될 때까지 매년 2회의 범위에서 이행강제금을 낼 수 있다는 조항도 담고 있다.
기업의 CISO(최고정보보호책임자)의 권한을 강화하는 내용의 개정도 추진된다. 이훈기 의원(민주당, 과방위)은 일정 규모 이상 기업의 경우 CISO를 임원급으로 지정하고 인력 관리와 예산편성 권한을 부여해 정보보호 정책을 실효성 있게 추진하도록 하는 내용의 개정안을 발의했다.
이외에도 차지호 의원(민주당, 외교통일위원회)은 고위험 정보를 처리하는 공공기관으로 하여금 ISMS(정보보호관리체계) 인증을 의무화하는 내용의 개정안을 발의했다. 공공기관이 대량의 개인정보와 국가 연구·기술 정보를 보유하고 처리하고 있음에도 ISMS 인증에서 제외돼 보안 사각지대가 되고 있다는 이유에서다.
업계에서는 이같은 규제 강화 조짐에 우려섞인 시선을 보낸다. 한 업계 관계자는 "현재 논의되는 정보통신망법 개정안이 그대로 추진될 경우 통신사가 보유한 고객 통신 사생활 정보와 금융사가 보유한 고객 금융정보 등 민감 정보를 당국이 수시로 열람·확인할 수 있는 문제가 발생한다"며 "정부부처도 각종 해킹에 시달린다는 의혹이 커지는 등 앞가림도 못하는 상황에 과도한 권한을 당국에 부여하는 게 과연 옳은지 의문"이라고 지적했다.