쉬운 요약
- 침해사고가 의심되는 순간부터 빠르게 확인하고 대응할 수 있게 하려는 법률 개정안이에요.
- 정보 유출 등 침해사고가 확정되지 않았더라도 의심할 만한 정황이 있으면 신고할 수 있게 하려는 내용이에요.
- 정보통신서비스 제공자가 과학기술정보통신부장관이나 한국인터넷진흥원에 신고하고 기술 지원을 받을 수 있도록 하려 해요.
- 현재 시행 조문은 침해사고가 발생하면 즉시 신고하도록 정하고 있지만, 의심 단계의 신고와 점검 지원은 별도로 명확하게 규정하지 않고 있어요.
- 법안이 통과되면 사고 여부를 확인하는 초기 단계부터 관계 기관의 대응이 시작될 수 있어요.
주요 내용
- 의심 단계 신고 근거 마련: 내부 정보 유출 등 침해사고가 의심되는 경우에도 신고할 수 있는 법적 근거를 만들어요.
- 사고 발생 여부 확인: 신고의 목적을 실제 침해사고가 발생했는지 확인하는 데까지 넓히려는 내용이에요.
- 기술 점검 지원: 신고한 정보통신서비스 제공자가 점검을 위한 기술 지원을 받을 수 있도록 하려 해요.
- 초기 대응 강화: 사고가 확정될 때까지 기다리지 않고 피해 확산을 막기 위한 대응을 앞당기려는 취지예요.
- 제48조의3 보완: 침해사고 신고 규정에 의심 단계와 기술 지원 관련 내용을 추가하려는 개정안이에요.
왜 나왔나
발의 당시 설명에 따르면, 기존 신고의무는 침해사고가 명확히 확인된 경우를 중심으로 적용돼 의심 정황만 있는 단계에서는 기업이 신고를 망설일 수 있었어요. 내부 정보 유출이 의심돼도 사고 발생이 확정되지 않았다는 이유로 대응이 늦어지면 피해가 커질 수 있다는 우려가 제기됐어요. 현재 시행 중인 제48조의3은 정보통신서비스 제공자가 침해사고가 발생하면 즉시 과학기술정보통신부장관이나 한국인터넷진흥원에 신고하도록 정하고 있어요. 이 법안은 여기에 사고 여부를 확인하기 위한 의심 단계의 신고와 기술 지원 근거를 더하려는 거예요.
무엇이 달라지나
1) 침해사고 의심 단계의 신고 근거 마련
현재 시행 제48조의3제1항은 침해사고가 발생하면 정보통신서비스 제공자가 즉시 신고하도록 정하고 있어요. 제안안은 내부 정보 유출 등 침해사고 발생이 의심되는 경우에도 사고 여부를 확인하기 위해 신고할 수 있도록 제48조의3제4항 등을 신설하려는 방향이에요.
- 실제 사고가 확정된 뒤가 아니라 의심 정황이 나타난 초기에도 관계 기관에 도움을 요청할 수 있게 하려는 취지예요.
- 신고 자체가 사고 발생을 확정하는 의미인지, 단순한 점검 요청인지 구분할 수 있는 기준이 필요해요.
- 의심 단계 신고가 처벌이나 제재의 근거로 곧바로 사용되는지 여부도 법안 심사에서 확인해야 해요.
2) 사고 확인을 위한 기술 지원
현재 시행 조문은 신고를 받거나 침해사고를 알게 된 경우 과학기술정보통신부장관이나 한국인터넷진흥원이 필요한 조치를 하도록 정하고 있어요. 제안안은 정보통신서비스 제공자가 의심되는 침해사고를 확인할 수 있도록 신고와 함께 점검을 위한 기술 지원을 받을 수 있게 하려는 내용이에요.
- 기업이 자체 조사만으로 판단하기 어려운 유출 정황이나 침입 흔적을 전문기관과 함께 확인할 수 있어요.
- 지원의 범위, 신청 방법, 지원에 필요한 자료와 비용 부담은 하위 규정이나 집행 기준에서 구체화될 가능성이 있어요.
- 기술 지원 과정에서 기업의 영업정보와 이용자 정보가 추가로 공유될 수 있어 보호와 비밀유지 기준도 중요해요.
3) 초기 대응과 신고 절차의 구체화
현재 시행 제48조의3제4항은 신고의 시기·방법·절차에 필요한 사항을 대통령령으로 정하도록 하고 있어요. 제안안은 의심 단계 신고가 실제로 작동하도록 사고 확인 목적의 신고 절차와 기술 지원의 연결 방식을 보완하려는 의미가 있어요.
- 신고 시점이 의심을 처음 인지한 때인지, 내부 확인을 시작한 때인지 명확해야 해요.
- 의심 단계 신고 뒤 실제 침해사고가 확인되면 기존 신고의무와 어떤 관계가 되는지도 정리해야 해요.
- 신고를 망설이지 않게 하려면 신고한 기업이 불확실한 정보만 제공했다는 이유로 불리해지지 않는지 기준을 살펴봐야 해요.
누구에게 영향이 있나
- 정보통신서비스 제공자: 침해사고가 의심되는 정황을 발견하면 신고 여부를 더 일찍 판단해야 해요.
- 기업의 정보보호 담당자: 내부 유출이나 침입 흔적을 확인하고 신고·점검으로 연결하는 절차를 마련해야 해요.
- 과학기술정보통신부: 의심 단계 신고를 접수하고 필요한 대응과 지원 체계를 운영하게 될 수 있어요.
- 한국인터넷진흥원: 신고된 정황을 확인하고 기술 점검을 지원하는 역할이 커질 수 있어요.
- 서비스 이용자: 사고를 조기에 발견하고 대응하면 개인정보나 서비스 이용에 발생할 수 있는 피해가 줄어들 가능성이 있어요.
봐야 할 점
- 의심 단계 신고의 대상이 되는 정황과 신고 판단 기준이 구체적으로 정해지는지 봐야 해요.
- 의심 신고와 침해사고 확정 신고의 시기·방법·법적 효과가 어떻게 구분되는지 확인해야 해요.
- 기술 지원의 범위와 지원 기관의 책임, 기업의 협조 의무가 어디까지인지 살펴봐야 해요.
- 신고 과정에서 제출되는 시스템 정보와 이용자 정보가 안전하게 보호되는지 확인할 필요가 있어요.
- 신고 활성화가 실제 조기 대응으로 이어지는지, 기업의 과도한 신고 부담이나 형식적 신고가 생기지는 않는지 지켜봐야 해요.
