민영 통신사 뉴스판매사업

서울 종로구 정부서울청사에서 '범부처 정보보호 종합대책 합동브리핑'이 진행되고 있다.

[뉴스21 통신=추현욱 ] “국민 피해가 계속되는 현 상황을 국가 비상사태에 준하는 위기상황으로 받아들이고 있습니다.”

배경훈 부총리 겸 과학기술정보통신부 장관은 22일 대국민 브리핑을 통해 ‘범부처 정보보호 종합대책’을 발표하며 이같이 말했다.

‘국가 비상사태’라는 엄중한 말에 걸맞게 이번 대책은 기업을 향해 강력한 경고를 담고 있다. 안일한 보안정책으로 또다시 해킹·개인정보 유출 등 국민피해를 일으킨다면, 정부가 보다 강한 제재를 행사하겠다는 의지가 담겼다.

다만, 최근 온나라시스템을 비롯한 정부부처 해킹 사태가 벌어진 만큼 정부 책임론도 제기된다. 이번 대책만 봤을 때, 민간기업과 정부 스스로에 대한 형평성 잣대가 다르다는 지적이다. 또한 민간 정보보호 투자 유인책도 부족하다.

배경훈 부총리는 “사실 정부도 책임이 없다고 말할 수 없다”며 “이번 종합대책은 즉시 실행할 수 있는 단기 과제 위주며, 국가안보실 중심으로 중장기적 과제를 총망라하는 국가 사이버안보 전략을 12월 발표할 예정”이라고 전했다.

이날 정부는 직권조사부터 징벌적 과징금까지 기업을 향해 채찍을 꺼냈다. 해킹 정황을 확보했다면 기업 신고 없이도 정부가 신속히 현장을 조사할 수 있도록, 정부 조사 권한을 확대하겠다고 밝혔다. 관련해 국회에서 법안을 발의한 상태다.

배 부총리는 “기존에는 해킹이나 침해사고 발생 때 신고를 하지 않으면 조사할 수 없었다”며 “정부가 직권 조사를 하겠다는 게 이번 대책의 가장 큰 차이점”이라고 말했다.

늑장 신고에 대해서도 강력 대처한다. 해킹 발생 이후 늦게 신고하거나 재발 방지 대책을 이행하지 않는 경우, 개인·신용 정보 반복 유출 등 보안 의무를 위반했다면 과태료·과징금 상향, 이행강제금·징벌적 과징금을 도입한다.

배 부총리는 “개인정보·금융 관련 이슈가 있으면 현행법상 전체 매출의 3%를 과징금으로 부과할 수 있다”며 “정보통신망법 차원에서도 그 정도 과징금을 부과할 수 있도록 정책 연구 중이다. 영국에서는 정보호호 관련 이슈 때 관련 매출의 10%를 부과하는 사례도 있어, 징벌적 과징금에 대한 범위과 규모·강도를 정할 예정”이라고 설명했다.

통신사에 대해선 불시 해킹해 취약점 점검을 추진한다. 대규모 개인정보 유출과 해킹사태로 논란을 겪은 통신사에 대해 강도 높은 점검을 한다. 정부는 통신사에 동의를 구해 진행한다는 입장이다. 다만 보안을 이유로 민간기업 시스템을 언제든 점검할 수 있게 된 만큼, 다른 기업으로도 확대할 수 있는 선례를 남겼다.

정부는 공공·금융·통신 등 1600여개 IT 시스템을 대상으로 대대적 보안 취약점 점검을 추진한다. 공공기관 기반시설 288개, 중앙·지방 행정기관 152개, 금융업 261개, 통신·플랫폼 등 정보보호관리체계(ISMS) 인증기업 949개 등이 포함된다.

배 부총리는 “1600여곳을 검수하기 위해 인력과 역량을 총동원하고 있다”며 “이 외에도 검토해야 하는 기관들이 많다. 장기적으로 시스템 점검 등 전반적인 대책을 수립하겠다”고 부연했다.

정보보호 공시 의무화 대상은 상장사 전체로 확대된다. 금융위원회는 비상장 금융사까지 포함할 수 있도록 법안을 발의할 예정이다. 해외 플랫폼 사업자도 동일하게 적용된다.

이번 대책에는 민간 정보보호 투자를 위한 인센티브 대책은 빠져 있다. 기업은 제재를 피하기 위해 정보보호를 투자할 수 있지만, 반대로 “걸리지 않으면 된다”는 식으로 대응해 침해사고를 당해도 신고를 회피해 버릴 수도 있다.

배 부총리는 “징벌적 과징금 등과 관련해 패널티를 무조건 주기 위해 어떤 제도를 만들겠다는 것보다, 보안에 대한 적극적인 투자를 유도하려는 것”이라며 “적극 투자하는 기업에게는 분명히 세제 지원이나 인센티브 등을 제공하는 방안을 내놓겠다. 이를 위해 전방위적 논의가 이뤄지고 있다”고 언급했다.

이날 민간기업이 아닌 정부부처가 책임질 수 있는 해킹 대책안도 필요하다는 의견도 개진됐다. 정부는 정보보호 전문성을 강화하고, 예산 투자를 통해 정보보호체계를 기본적으로 개선하겠다는 입장이다.

배 부총리는 “정부도 책임을 부인할 수 없고, 해킹 이슈에서 자유롭지 못하다는 것을 인정한다”며 “정부는 올해보다 7.7% 증가한 4012억원을 정보보호 예산으로 편성하는 등 책임을 다하겠다”고 강조했다.

김창섭 국정원 3차장은 “사이버위협인텔리전스(CTI) 분석 도구가 미흡했다는 지적이 있는데, 인정한다”며 “뒤따라가는 사고조사를 하면서 수동적인 방어 패턴으로 일해 왔다. 이제는 적극적이고 능동적으로 사고에 대응할 수 있도록 분석도구를 개선하겠다”고 덧붙였다.

한편 정부는 12월 ‘국가 사이버안보 전략’을 통해 사고 예방·대응, 정보보호 기반 마련, 거버넌스 수립 등과 관련한 내용을 발표할 예정이다. 관련해 컨트롤타워는 국가안보실이 맡는다.