쉬운 요약

• 침해사고가 발생하기 전이라도 위험이 확인되면 예방조치와 자료 보전을 명령할 수 있도록 하려는 법률 개정안이에요.
• 현재 시행 조문은 침해사고가 발생한 경우를 전제로 정보통신서비스 제공자에게 필요한 조치와 자료 보전을 요구할 수 있도록 하고 있어요.
• 법안은 기업이 침해사고를 자진신고하지 않더라도 사고 발생 우려가 있으면 관계 기관이 대응할 수 있도록 하려 해요.
• 내부정보 유출 정황처럼 위험 신호가 보일 때 서버나 접속기록 등 관련 자료가 사라지는 일을 막으려는 취지예요.
• 사고가 난 뒤의 조사뿐 아니라 사고가 우려되는 단계의 예방과 증거 보전까지 행정 대응 범위를 넓히려는 내용이에요.

주요 내용

• 침해사고 우려 단계 대응: 실제 사고가 발생하지 않았더라도 침해사고가 발생할 우려가 있으면 필요한 조치를 명령할 수 있도록 하려 해요.
• 예방조치 명령 근거 마련: 정보통신서비스 제공자에게 피해 확산을 막기 위한 예방조치를 명할 수 있는 법적 근거를 두려 해요.
• 관련 자료 보전 확대: 원인 분석과 대응에 필요한 자료를 사고 전에도 보전하도록 명령할 수 있게 하려 해요.
• 자진신고 여부와 분리: 기업이 사고를 신고했는지와 관계없이 위험 상황에 대응할 수 있도록 해석상 공백을 줄이려 해요.
• 안전한 정보통신망 지원: 내부정보 유출이나 서버 파기 등으로 원인 분석이 어려워지는 상황을 줄여 정보통신망의 안전성을 높이려는 방향이에요.

왜 나왔나

발의 당시 설명에 따르면 현행 제도는 침해사고가 발생한 경우 자료 보전을 명할 수 있도록 하고 있지만, 정보통신서비스 제공자가 자진신고를 하지 않은 상황에도 같은 명령을 할 수 있는지는 해석이 모호했어요. 내부정보 유출 정황이 있어 사고가 우려되는데도 기업이 원인 분석을 거부하거나 서버를 파기하면 사후 대응이 어려워질 수 있다는 문제도 제기됐어요. 법안은 침해사고가 현실화된 뒤에만 대응하지 않고, 위험이 포착된 단계에서 예방조치와 자료 보전을 할 수 있도록 제48조의4를 보완하려는 취지예요.

무엇이 달라지나

1) 침해사고 우려 단계로 대응 시점 확대

현재 시행 조문 제48조의4는 정보통신서비스 제공자의 정보통신망에 침해사고가 발생하면 과학기술정보통신부장관이 원인 분석과 피해 확산 방지 등을 위한 조치를 이행하도록 명령할 수 있다고 정하고 있어요. 발의안은 여기에 침해사고가 발생할 우려가 있는 경우도 포함해 사고 전 단계에서 예방조치를 명할 수 있도록 하려는 내용이에요.

• 실제 피해가 발생하기 전에 내부정보 유출 정황이나 다른 위험 신호에 대응할 수 있는 근거가 생길 수 있어요.
• 기업의 자진신고가 없더라도 관계 기관이 위험 상황을 확인해 필요한 조치를 요구할 수 있게 될 수 있어요.
• 단순한 보안 취약점과 침해사고 발생 우려를 어떻게 구분할지는 집행 과정에서 중요한 기준이 될 수 있어요.

2) 사고 전 자료 보전 명령

현재 시행 조문은 침해사고의 원인 분석과 대책 마련에 필요하면 정보통신서비스 제공자에게 정보통신망 접속기록 등 관련 자료의 보전을 명할 수 있도록 하고 있어요. 발의안은 침해사고가 발생할 우려가 있는 경우에도 침해사고 예방조치와 그에 필요한 자료의 보전을 명할 수 있도록 법적 근거를 넓히려 해요.

• 서버 기록이나 접속기록처럼 시간이 지나면 삭제·변경될 수 있는 자료를 미리 보전하도록 요구할 수 있어요.
• 사고가 실제로 발생한 뒤 자료가 사라져 원인 분석이 늦어지는 문제를 줄이는 데 도움이 될 수 있어요.
• 어떤 자료를 얼마나 오래 보전해야 하는지 명확하지 않으면 기업의 보관 부담과 행정기관의 요구 범위를 둘러싼 분쟁이 생길 수 있어요.

3) 조사 권한과 정보 보호의 균형

현재 시행 조문은 필요한 경우 관련 자료 제출을 요구하거나 사업장에 출입해 원인을 조사할 수 있도록 하며, 제출받은 자료와 조사로 알게 된 정보는 원인 분석과 대책 마련 외의 목적으로 사용할 수 없도록 정하고 있어요. 발의안이 사고 전 단계의 자료 보전과 예방조치까지 확대한다면, 조기 개입의 필요성과 기업의 영업·개인정보 보호를 함께 고려하는 운영 기준이 중요해져요.

• 위험을 확인하기 위한 자료 요구가 실제 사고 조사와 어떤 범위로 연결되는지 구분해야 해요.
• 보전 대상에 개인정보나 영업상 중요한 정보가 포함될 수 있어 안전한 접근·관리 절차가 필요해요.
• 사고 우려가 해소되거나 원인 분석이 끝난 뒤 자료를 언제 어떻게 파기할지에 관한 현재 보호 원칙도 함께 지켜져야 해요.

누구에게 영향이 있나

• 정보통신서비스 제공자: 사고 발생 우려만으로도 예방조치나 자료 보전 명령을 받을 수 있어 보안 대응과 기록 관리 부담이 커질 수 있어요.
• 기업의 보안·개인정보 담당자: 내부정보 유출 정황을 확인했을 때 기록을 보전하고 관계 기관의 요구에 대응하는 절차를 마련해야 할 수 있어요.
• 과학기술정보통신부: 사고 전 위험 상황을 판단하고 예방조치와 자료 보전을 명령하는 역할이 넓어질 수 있어요.
• 이용자와 정보주체: 침해사고를 조기에 막고 원인을 확인할 가능성이 커져 개인정보와 서비스 이용의 안전에 영향을 받을 수 있어요.
• 조사기관과 민·관 합동조사단: 보전된 자료를 바탕으로 사고 원인을 분석하는 과정에서 자료 접근과 보호 책임이 중요해져요.

봐야 할 점

• 침해사고가 발생할 우려가 있다고 판단하는 기준과 판단 주체를 어떻게 정할지 확인해야 해요.
• 예방조치와 자료 보전 명령의 대상, 범위, 기간이 과도하지 않도록 구체적인 기준이 필요해요.
• 기업의 자진신고가 위축되지 않으면서도 신고하지 않은 위험 상황에 대응할 수 있는 절차를 마련해야 해요.
• 보전 자료에 포함된 개인정보와 영업비밀의 접근·이용·파기 기준이 실제로 작동하는지 살펴봐야 해요.
• 긴급한 사고 예방과 기업의 업무 부담 사이에서 명령의 필요성과 비례성을 어떻게 판단할지 지켜봐야 해요.