잇단 해킹사고에…개보위, 안전관리체계 강화한다

SK텔레콤(80,700원 ▲300 +0.37%)에 이어 KT(59,500원 ▼700 -1.16%)까지 해킹사고가 발생한 가운데 개인정보보호위원회(이하 개보위)가 개인정보 유출사고 예방을 위한 CPO(최고개인정보보호책임자) 역할강화, 인센티브제도 등을 도입한다.

11일 개보위는 대규모 개인정보 유출사고를 예방하기 위해 인센티브 중심체계 등 '개인정보 안전관리체계 강화방안'을 마련한다고 밝혔다. IT(정보기술)부문 투자액 대비 개인정보보호부문 투자비율이 미국은 11.6%(2023년 12월 기준)인 데 반해 한국은 6.1%에 그치는 등 최소한의 의무만 시행한다는 점에서 이번 조치를 마련하게 됐다.

이번 대책은 △이상징후를 미리 탐지하는 공격표면 관리강화 등 선제적 제도개선 △CEO(최고경영자) 책임강화, CPO 권한확대 등 상시 내부통제 강화 △사고반복 기업에 과징금을 가중하는 엄정처분·권리구제 실질화로 크게 세 갈래다.

가장 눈에 띄는 대목은 개인정보 유출사고의 최종책임자를 CEO로 명시하고 CPO의 역할과 권한을 구체적으로 확대한 점이다. CPO 지정 의무기관(매출 1500억원 이상, 100만명 이상 개인정보처리회사)은 CPO 외 1명 이상 전담인력을 배치하도록 명문화하고 CPO가 회사 전반의 내부통제를 할 수 있도록 지정신고제 도입, 연 1회 이사회 보고 등 법적 권한을 강화한다.

또 2028년까지 전체 정보화 예산의 10% 이상을 개인정보보호 예산으로 확보하도록 하고 이를 충실히 지키는 기업에는 사고 발생시 책임이나 과징금 등을 감경해줄 계획이다.

개보위는 개인정보 유출사고가 반복되는 기업에는 과징금을 가중하고 추후 징벌적 과징금 도입도 검토한다. 개인정보 유출통지 대상은 유출 당사자뿐 아니라 유출 가능성이 있는 사람에게까지 확대한다. 개인정보보호법 위반과징금이 실제 피해자 구제에 활용될 수 있도록 기금 등도 도입할 계획이다. SK텔레콤에 부과한 1347억여원의 과징금이 실제 피해자에게 돌아갈 길이 열리는 셈이다.

유사사고 예방대책도 마련했다. 시스템 외부에 노출된 취약점을 제거하고 이상징후 사전탐지 시스템과 주요 정보암호화를 확대 적용한다. 개인정보보호관리체계(ISMS-P) 인증제도를 고도화하고 이를 성실히 이행하는 기업에는 책임경감 등 인센티브를 제공한다. 이같은 내용은 개인정보보호법 시행령과 고시개정을 통해 명문화한다.

이밖에 학계, 시민단체, 일반 국민 등이 함께하는 개인정보 옴부즈만(15명 이내)을 설치해 시장감시 및 권리구제 지원에 나선다. 개인정보 영향평가사 등 전문인력 양성, 개인정보 유출피해에 대비하는 다양한 보험상품 개발도 유도한다.

개보위는 이같은 대책에 대해 연내 업계 의견수렴을 거친 뒤 내년 개인정보보호법이나 고시에 반영할 예정이다.

고학수 개보위원장은 "대규모 개인정보를 처리하는 사업자들이 개인정보보호를 위한 투자를 '불필요한 비용'이 아닌 고객의 신뢰확보를 위한 '기본적 책무'이자 '전략적 투자'로 인식해야 한다"며 "이를 통해 개인정보보호에 대한 국민적 신뢰가 확산하기를 바란다"고 말했다.