쉬운 요약
- 정보통신망을 더 안전하게 보호하기 위한 법률 개정안이에요.
- 네트워크 안에 있다는 이유만으로 믿지 않고, 이용자와 기기를 계속 확인하는 보안체계를 도입하려고 해요.
- 클라우드 서비스, 공급망 공격, 내부자 위협처럼 기존 방식으로 막기 어려운 보안 위험에 대응하려고 해요.
- 정보통신서비스 제공자가 제로트러스트 보안체계를 구축하고 운영하도록 하려는 내용이에요.
- 중소기업이 이 보안체계를 도입할 때 필요한 비용을 지원할 수 있는 근거도 마련하려고 해요.
주요 내용
- 제로트러스트 보안체계 도입: 정보통신서비스 제공자가 새로운 보안체계를 구축하고 운영하도록 해요.
- 지속적인 검증 중심의 보안: 내부 또는 외부 네트워크에 있는지와 관계없이 신뢰를 자동으로 부여하지 않도록 해요.
- 클라우드 환경 대응: 서비스와 데이터가 여러 환경에 나뉘어 있는 상황에서도 접근을 확인하고 관리하려고 해요.
- 공급망 공격 대응: 외부 업체나 연결된 시스템을 통해 들어오는 보안 위험까지 관리 범위를 넓히려는 취지예요.
- 내부자 위협 대응: 조직 안에 있는 사람이나 기기라도 접근 권한을 계속 점검하도록 하려는 내용이에요.
- 중소기업 비용 지원: 중소기업이 제로트러스트 보안체계를 도입하는 데 필요한 경비를 지원할 수 있도록 해요.
왜 나왔나
발의 당시 설명에 따르면, 현행법은 정보통신망의 안정성과 신뢰성을 높이기 위해 정보보호최고책임자 지정과 정보보호 관리체계 인증 같은 제도를 두고 있어요. 하지만 클라우드 서비스가 널리 쓰이고 공급망 공격과 내부자 위협이 늘면서, 네트워크 안과 밖을 나누는 기존의 경계 중심 보안만으로는 새로운 공격에 대응하기 어렵다는 문제의식이 제시됐어요. 이에 따라 어디에서 접속했는지보다 실제 이용자와 기기의 상태, 접근 목적 등을 계속 확인하는 제로트러스트 보안체계를 법에 반영하려는 거예요.
무엇이 달라지나
1) 제로트러스트 보안체계 구축·운영 의무
제안안은 정보통신서비스 제공자가 제로트러스트 보안체계를 구축하고 운영하도록 하는 조항을 새로 두려는 내용이에요. 이 내용은 정보통신망 이용촉진 및 정보보호 등에 관한 법률에 제46조의3을 신설하는 방식으로 제시됐어요.
- 네트워크 내부에 있다는 이유만으로 접속을 믿는 방식에서 벗어나, 접근할 때마다 필요한 확인을 거치는 방향으로 보안체계가 바뀌어요.
- 클라우드와 외부 협력업체 등 여러 시스템이 연결된 환경에서 누가, 어떤 기기로, 어떤 자원에 접근하는지 더 세밀하게 관리하려는 취지예요.
- 다만 이 법안이 제안한 의무가 실제로 어떤 사업자에게 어느 범위까지 적용될지는 법안 심사와 구체적인 기준 마련을 함께 지켜봐야 해요.
2) 중소기업 도입 비용 지원 근거 마련
제안안은 중소기업이 제로트러스트 보안체계를 도입할 때 필요한 경비를 지원할 수 있도록 하려는 내용도 담고 있어요. 보안 인력과 예산이 부족한 기업이 새로운 체계를 도입할 수 있도록 지원 근거를 마련하려는 거예요.
- 제로트러스트 도입에 필요한 시스템 구축, 접근 관리, 보안 점검 등에 비용이 들 수 있어 중소기업의 부담을 고려한 내용이에요.
- 지원이 실제로 이뤄지려면 지원 대상, 지원 규모, 신청 절차, 비용 인정 범위 같은 후속 기준이 정해져야 해요.
- 지원 대상에서 빠지는 기업과 지원을 받아도 운영 인력이 부족한 기업을 어떻게 도울지도 중요한 과제가 될 수 있어요.
누구에게 영향이 있나
- 정보통신서비스 제공자: 제로트러스트 보안체계를 구축하고 운영해야 하는 주체가 될 수 있어요. 적용 범위와 의무 수준이 정해지면 보안 예산과 운영 절차에 영향을 받을 수 있어요.
- 중소기업: 비용 지원을 받을 수 있는 대상이 될 수 있어요. 지원을 활용하면 보안체계 도입 부담을 낮출 수 있지만, 내부 운영 인력과 관리 절차도 함께 준비해야 해요.
- 기업의 임직원과 협력업체: 업무 시스템에 접근할 때 위치나 소속만으로 권한을 인정받기 어려워지고, 접속 확인이나 권한 점검이 늘어날 수 있어요.
- 클라우드·보안업체: 접근통제, 인증, 기기 점검, 로그 관리 등 제로트러스트 관련 제품과 서비스를 제공할 기회가 커질 수 있어요.
- 인터넷 이용자와 기업 고객: 보안사고 예방과 계정 오남용 방지에 도움이 될 수 있지만, 인증 절차가 늘어나 이용 과정이 복잡해질 가능성도 살펴봐야 해요.
봐야 할 점
- 현재 확인된 자료에는 제로트러스트 보안체계의 구체적인 구성요소와 기술 기준이 제시되지 않았어요. 사업자가 무엇을 갖춰야 의무를 이행한 것으로 볼지 정해야 해요.
- 모든 정보통신서비스 제공자에게 같은 수준의 의무를 부과할지, 서비스 규모와 위험도에 따라 다르게 적용할지 확인할 필요가 있어요.
- 지속적인 검증이 과도한 개인정보 수집이나 이용자 감시로 이어지지 않도록, 수집 정보와 보관 기간을 적절히 제한해야 해요.
- 중소기업 비용 지원은 법적 근거만으로 바로 집행되는 것은 아니므로, 실제 예산과 지원 절차가 마련되는지 봐야 해요.
- 이 법안은 발의 당시 제안 내용만 확인됐고 시행 조문은 제공된 자료에서 확인되지 않았어요. 따라서 제로트러스트 의무가 확정됐거나 이미 시행 중이라고 보기는 어려워요.
