쉬운 요약
- 클라우드와 외부 협력업체를 이용하는 기업의 정보보호 관리 기준을 더 구체화하기 위한 법률 개정안이에요.
- 원격 접속자와 수탁사업자의 계정을 따로 관리하고, 접근 권한을 업무에 맞게 제한하려고 해요.
- 내부자의 이상 행위를 찾아낼 수 있는 보안 체계를 정보보호지침에 포함하려고 해요.
- 클라우드 설정 오류와 IT 공급망의 보안 취약점에 대응하는 조치도 정보보호지침에 명시하려고 해요.
- 사고가 발생했을 때 원인을 분석하고 재발을 막을 수 있도록 정보보호 감사 자료를 보관하게 하려는 내용이에요.
주요 내용
원격 접속자 계정 관리: 원격으로 정보통신망에 접속하는 사람의 계정을 확인하고 관리하는 내용을 정보보호지침에 구체적으로 담으려고 해요.
수탁사업자 접근통제: 외부 협력업체나 수탁사업자가 시스템에 접근할 때 권한을 제한하고 관리하도록 하려 해요.
내부자 이상 행위 탐지: 내부자의 비정상적인 접근이나 정보 이용을 확인할 수 있는 보안 조치를 마련하려고 해요.
클라우드·공급망 보안: 클라우드 서버 설정과 외부 협력업체를 포함한 IT 공급망의 위험을 관리하는 조치를 명시하려고 해요.
정보보호 감사 자료 보관: 정기적인 보안 점검 결과와 개선 자료를 보관해 사고 원인 분석과 재발 방지에 활용하려고 해요.
왜 나왔나
발의 당시 설명에 따르면 기업의 클라우드 서버 이용과 외부 협력업체 활용이 늘었지만, 당시 정보보호지침은 복잡해진 IT 공급망과 내부자 위협을 구체적으로 다루는 데 한계가 있었어요. 플랫폼 기업의 시스템 업데이트나 클라우드 설정 오류, 퇴사자의 접근 권한 미회수 등이 정보 유출로 이어질 수 있다는 문제도 제기됐어요. 기존 정보보호지침은 접근·침입 방지, 불법 유출 방지, 서비스 안정성, 인력·조직 관리 등 넓은 보호조치를 규정하고 있지만, 제안안은 원격 접속자와 수탁사업자의 계정 관리처럼 구체적인 관리 항목을 더하려는 방향이에요. 이용자 정보를 보호하려면 회사 내부 시스템뿐 아니라 외부 접속자와 협력업체까지 함께 관리해야 한다는 취지예요.
무엇이 달라지나
1) 원격 접속자와 수탁사업자 계정 관리
현재 시행 중인 제45조제3항은 정보보호지침에 정당한 권한이 없는 접근·침입을 막는 기술적·물리적 보호조치와 정보 유출 방지 조치를 포함하도록 하고 있어요. 발의 당시 제안안은 이 보호조치의 항목에 원격 접속자와 수탁사업자의 계정 관리 내용을 구체적으로 명시하려고 해요.
- 외부에서 접속하는 사람의 계정을 만들고 없애는 절차가 더 분명해질 수 있어요.
- 업무가 끝났거나 계약이 종료된 수탁사업자의 접근 권한을 제때 회수하는 관리가 중요해져요.
- 같은 협력업체라도 담당 업무에 따라 필요한 시스템만 이용하도록 권한을 나누는 방식이 요구될 수 있어요.
2) 내부자 이상 행위 탐지
현재 시행 중인 제45조제3항은 정보보호를 위한 인력·조직·경비 확보와 관련 계획 수립 등 관리적 보호조치를 정보보호지침에 포함하도록 해요. 제안안은 여기에 내부자의 이상 행위를 탐지하는 체계를 구체적인 지침 항목으로 넣어 내부에서 발생하는 정보 유출 위험에 대응하려고 해요.
- 평소와 다른 대량 조회나 비정상적인 파일 이동처럼 이상 징후를 확인할 수 있게 하려는 거예요.
- 퇴사 예정자나 직무가 바뀐 사람의 접근 권한을 점검하는 절차가 중요해질 수 있어요.
- 탐지 과정에서 직원의 업무 기록과 개인정보가 함께 다뤄질 수 있어 목적과 범위를 분명히 정해야 해요.
3) 클라우드와 공급망 보안 조치
발의 당시 제안안은 정보보호지침에 클라우드 보안과 공급망 보안 조치를 구체적으로 명시하려고 해요. 현재 시행 중인 제45조는 정보통신망의 안정성과 정보의 신뢰성을 확보하기 위한 보호조치를 요구하고 있지만, 제안안은 클라우드 설정과 외부 협력업체를 별도의 위험 영역으로 보고 관리 기준을 보완하려는 내용이에요.
- 클라우드 서비스의 권한 설정 오류가 정보 유출로 이어지지 않도록 설정을 점검하는 절차가 필요해질 수 있어요.
- 시스템 개발·유지보수·운영에 참여하는 외부 업체의 보안 수준도 점검 대상이 될 수 있어요.
- 협력업체가 다시 다른 업체에 업무를 맡기는 경우까지 위험을 확인할 수 있는 관리 체계가 필요한지 살펴봐야 해요.
4) 정보보호 감사 자료 보관
발의 당시 제안안은 사고 발생 시 원인을 분석하고 재발을 막기 위해 정보보호 감사 자료를 의무적으로 보관하려고 해요. 현재 시행 중인 제45조의3은 일정 기준에 해당하는 임직원을 정보보호 최고책임자로 지정·신고하게 하고, 그 책임자가 정보보호 실태와 관행을 정기적으로 감사하고 개선하도록 정하고 있지만, 제공된 제안 내용은 감사와 개선 자료의 보관 의무까지 강화하려는 방향을 보여줘요.
- 사고가 나면 당시 어떤 계정이 접근했고 어떤 보안 조치를 했는지 기록을 바탕으로 확인할 수 있어요.
- 감사 결과뿐 아니라 발견된 문제를 어떻게 고쳤는지 남겨야 재발 방지 여부를 점검하기 쉬워져요.
- 보관 기간, 자료의 범위, 감독기관의 확인 방법은 최종 조문과 하위 규정에서 구체화될 필요가 있어요.
누구에게 영향이 있나
- 정보통신서비스 제공자: 정보보호지침에 맞춰 원격 접속자, 내부자, 수탁사업자와 클라우드 환경을 관리해야 할 수 있어요.
- 플랫폼 기업: 시스템 업데이트와 클라우드 설정 과정에서 공급망 보안과 접근 권한을 더 꼼꼼히 점검해야 할 수 있어요.
- 외부 협력업체와 수탁사업자: 업무 수행에 필요한 계정과 권한만 부여받고, 보안 점검이나 접근 기록 관리에 협조해야 할 수 있어요.
- 정보보호 최고책임자: 현재 시행 중인 제45조의3에 따른 정보보호 계획, 위험 평가, 정기 감사와 개선 업무의 중요성이 더 커질 수 있어요.
- 정보통신서비스 이용자: 계정 관리와 공급망 보안이 강화되면 개인정보와 이용자 정보가 외부로 유출될 위험을 줄이는 데 도움이 될 수 있어요.
- 과학기술정보통신부: 정보보호지침의 세부 기준을 정하고 사업자가 이를 지키도록 권고·관리하는 역할이 중요해져요.
봐야 할 점
- 지침의 강제력: 현재 시행 중인 제45조제2항은 정보보호지침을 정해 지키도록 권고할 수 있다고 규정하므로, 새 항목이 실제로 어느 정도의 의무로 작동할지 확인해야 해요.
- 계정 관리 범위: 원격 접속자와 수탁사업자의 계정 발급, 권한 변경, 회수, 접속 기록 보관을 어디까지 요구할지 구체화해야 해요.
- 내부자 감시와 인권 보호: 이상 행위 탐지 과정에서 업무 감시가 과도해지거나 필요한 범위를 넘어 개인정보가 수집되지 않도록 기준이 필요해요.
- 협력업체 부담: 대기업의 보안 요구가 수탁사업자에게 과도한 비용과 절차 부담으로 전가되지 않는지 살펴봐야 해요.
- 감사 자료의 실효성: 자료를 오래 보관하는 것만으로는 충분하지 않으므로, 감사 결과에 따른 개선 조치와 후속 확인이 실제로 이뤄지는지 봐야 해요.
