쉬운 요약

• 소프트웨어와 정보통신망연결기기의 보안취약점을 더 일찍 찾아 고치기 위한 법률 개정안이에요.
• 기업 등이 보안취약점 신고를 받을 수 있도록 처리방침을 만들고 공개할 수 있게 해요.
• 정해진 절차를 지켜 취약점을 연구하고 신고한 정보보호연구자를 보호할 근거를 마련하려 해요.
• 중대한 보안취약점이 발견되면 정부에 알리고 이용자에게도 통지하도록 하려 해요.
• 민간 보안 전문가와 기업이 숨지 않고 협력하도록 만들어 사이버 침해사고를 예방하려는 내용이에요.

주요 내용

• 보안취약점 처리방침 수립·공개: 정보통신서비스 제공자 등이 취약점 신고를 받고 처리하는 기준과 절차를 마련해 공개할 수 있게 해요.
• 취약점 신고 창구 마련: 보안전문가가 발견한 취약점을 기업에 전달하고, 기업이 이를 검토·보완할 수 있는 공식적인 협력 구조를 만들어요.
• 정보보호연구자 면책 근거: 공개된 처리방침을 따르고 정당한 보안 연구 목적으로 활동한 정보보호연구자를 보호할 수 있는 법적 근거를 마련해요.
• 중대한 취약점의 정부 신고: 사이버 침해로 이어질 위험이 큰 취약점은 정부에 신고하도록 해 국가 차원의 대응이 가능하게 해요.
• 이용자 통지 의무: 중대한 취약점이 이용자에게 영향을 줄 수 있는 경우 관련 사실을 이용자에게 알리도록 해요.
• 민간 보안 협력 제도화: 화이트해커 등 민간 보안 전문가의 자발적인 취약점 발굴과 기업의 보완 활동을 제도 안으로 끌어들이려 해요.

왜 나왔나

발의 당시 설명에 따르면 디지털 전환이 빨라지면서 소프트웨어와 정보통신망연결기기의 보안취약점을 악용한 사이버 침해사고가 늘고 있어요. 세계적으로는 민간 보안 전문가와 기업이 협력해 취약점을 미리 찾고 고치는 보안취약점 협력대응제도가 확산되고 있지만, 국내에서는 연구자의 활동이 법적 위험 때문에 위축될 수 있다는 우려가 제기돼 왔어요. 기업에도 취약점 신고 창구나 처리 절차가 충분히 마련되지 않아 발견된 취약점이 방치되거나 음성적으로 거래될 수 있다는 문제의식이 있었어요. 이 법안은 취약점 신고와 처리 과정을 공개적으로 운영하고, 중대한 취약점은 정부와 이용자에게 알리도록 해 선제적인 대응을 강화하려는 취지예요.

무엇이 달라지나

제안안은 정보통신망 이용촉진 및 정보보호 등에 관한 법률에 제47조의8부터 제47조의10까지를 새로 두려는 내용을 담고 있어요. 현재 시행 법령에서 이 법안이 언급한 제47조의8과 제47조의10의 조문 본문은 확인되지 않아, 아래 내용은 현행 조문의 구체적인 문구와 비교한 설명이 아니라 발의 당시 제안된 제도 변화를 중심으로 봐야 해요.

1) 취약점 처리방침 공개

제안안은 정보통신서비스 제공자 등이 정보보호 취약점 처리방침을 수립하고 공개할 수 있도록 하려 해요. 방침을 통해 취약점 발굴자가 어디에 어떻게 신고해야 하는지, 기업이 신고 내용을 어떻게 처리할지 공개하는 구조를 만들려는 내용이에요.

• 보안전문가는 기업마다 신고 방법을 따로 알아보는 부담을 줄이고 공식 창구를 이용할 수 있어요.
• 기업은 취약점 신고를 받는 담당 부서와 처리 기준을 정리해 외부에 알릴 수 있어요.
• 방침의 공개만으로 보안 문제가 자동으로 해결되는 것은 아니어서 실제 신고 접수와 후속 조치가 제대로 이뤄지는지가 중요해요.

2) 정보보호연구자 보호

제안안은 공개된 취약점 처리방침을 준수해 활동하는 정보보호연구자에게 면책 근거를 마련하려 해요. 정당한 권한 없이 정보통신망에 침입하는 행위를 금지하는 현행법 때문에 선의의 연구까지 위축될 수 있다는 문제를 보완하려는 방향이에요.

• 연구자가 정해진 신고 절차와 범위를 지키면 취약점을 찾아 알리는 활동을 보다 안정적으로 할 수 있어요.
• 기업도 신고자를 곧바로 공격자로 취급하기보다 취약점 보완을 위한 협력자로 받아들일 수 있어요.
• 면책이 적용되는 연구 목적, 접근 범위, 준수해야 할 절차가 어디까지인지가 실제 보호 수준을 좌우할 수 있어요.

3) 중대한 취약점의 정부 신고

제안안은 중대한 정보보호 취약점이 발견된 경우 정부에 신고하도록 하는 체계를 마련하려 해요. 민간 기업과 연구자 사이의 신고에 그치지 않고, 국가 차원의 보안 대응이 필요한 사안을 정부가 파악할 수 있도록 하려는 내용이에요.

• 여러 서비스나 기기에 영향을 줄 수 있는 취약점을 정부가 파악하면 침해사고 확산을 막기 위한 대응을 준비할 수 있어요.
• 기업이 자체적으로 해결하기 어려운 중대한 취약점에 대해 공공기관과 협력할 통로가 생길 수 있어요.
• 무엇을 중대한 취약점으로 볼지와 신고 시점·방법을 명확하게 정하지 않으면 신고 여부를 둘러싼 혼선이 생길 수 있어요.

4) 이용자 통지

제안안은 중대한 취약점에 대해 이용자에게 알리는 의무도 두려 해요. 취약점이 이용자에게 영향을 줄 수 있다는 사실을 알려 이용자가 필요한 보안 조치를 취할 수 있도록 하려는 취지예요.

• 이용자는 자신이 사용하는 서비스나 기기에 위험이 있는지 알고 비밀번호 변경이나 업데이트 같은 대응을 검토할 수 있어요.
• 기업은 취약점을 고치는 데서 그치지 않고 이용자에게 위험과 대응 방법을 전달해야 할 수 있어요.
• 너무 늦은 통지는 피해 예방에 도움이 되지 않고, 반대로 보완 전에 취약점 정보가 공개되면 악용될 수 있어 통지 시점과 내용의 균형이 필요해요.

이 법안의 핵심은 보안취약점을 발견한 사람을 처벌하는 데 그치지 않고, 신고·보완·통지로 이어지는 협력 절차 안에서 관리하려는 데 있어요.

누구에게 영향이 있나

• 정보통신서비스 제공자: 취약점 처리방침을 마련하고 신고를 접수·검토하는 절차를 갖춰야 할 수 있어요.
• 소프트웨어·기기 제조사: 제품의 취약점을 외부 연구자에게서 신고받고 보완 결과를 관리하는 일이 중요해질 수 있어요.
• 정보보호연구자와 화이트해커: 정해진 방침을 지키며 취약점을 연구하고 신고할 경우 법적 보호를 받을 가능성이 커져요.
• 이용자: 중대한 취약점이 자신이 사용하는 서비스나 기기에 영향을 주면 관련 사실과 대응 방법을 안내받을 수 있어요.
• 정부와 관계 기관: 중대한 취약점 신고를 접수하고 피해 확산을 막기 위한 대응과 기관 간 협력을 맡게 될 수 있어요.

봐야 할 점

• 면책이 적용되는 정보보호연구자의 범위와 연구 목적, 허용되는 접근 방식이 구체적으로 정해지는지 확인해야 해요.
• 취약점 처리방침에 반드시 포함해야 하는 내용과 기업이 지켜야 할 처리 기한·보완 절차가 마련되는지 살펴봐야 해요.
• 중대한 취약점의 판단 기준이 모호하면 기업과 연구자가 정부 신고 여부를 결정하기 어려울 수 있어요.
• 정부 신고와 이용자 통지의 순서, 통지 시점, 공개 정보의 범위가 보안 악용을 막는 방향으로 설계되는지 봐야 해요.
• 신고자가 제도를 악용하거나 기업이 신고를 회피하는 경우를 막을 점검·분쟁 조정 장치가 있는지도 중요해요.