사이버 침해사고 대응의 실효성을 높이기 위한 「정보통신망법」 개정안 시행 |
-침해사고 인지 시 24시간 이내 신고, 추가 확인한 사항 보완신고 -재발방지를 위한 조치의 이행을 ‘명령’할 수 있는 근거 마련 |
과학기술정보통신부(장관 이종호, 이하 ‘과기정통부’)는 사이버 침해사고 발생 시 신속한 대응과 재발방지에 필요한 조치의 이행력 확보를 위해 개정한 「정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하, ‘정보통신망법’)」을 8월 14일(수)부터 시행한다고 밝혔다.
현행 사이버 침해사고 대응체계에서는 신고시기에 대한 명확한 기준이 없어 침해사고 미신고⋅지연신고 등의 문제가 발생하고 있으며, 이로 인해 신속한 현장지원이 가동되기 어려웠다. 또한 침해사고 원인분석을 통해 도출된 보안체계 강화 등 재발방지 조치가 제대로 이행되어 사고가 발생한 정보통신서비스 제공자의 보안수준이 실질적으로 강화되는 계기가 되어야 하는데 현재는 이 조치사항이 ‘권고’로 되어 있어 침해사고 후속 대응의 실효성이 떨어지는 문제가 있었다.
따라서 이와 같은 미비점을 보완하기 위하여 침해사고 신고제도를 정비하는 한편, 침해사고 재발방지 조치에 대한 이행명령 근거, 이행 여부에 대한 점검방법 등을 정보통신망법 및 시행령에 규정함으로써, 정보통신서비스 제공자들이 실질적으로 정보보호 수준을 강화할 수 있는 제도적 기반을 확립하였다. 세부적인 개정 내용은 다음과 같다.
< 침해사고 신고제도 정비 >
침해사고 발생시에는 피해 확산을 조기에 차단하고 전문가 지원을 받을 수 있도록 신속한 신고가 필요하다. 이에 침해사고가 발생한 정보통신서비스 제공자는 사고를 인지한 이후 24시간 이내에 피해내용, 원인, 대응현황 등에 대해 파악한 사항을 우선 신고(최초신고) 하고, 신고 이후 사고와 관련하여 추가적으로 확인된 사항에 대해서는 확인된 시점으로부터 24시간 이내에 보완신고하도록 규정하여, 침해사고 원인 파악 등으로 최초신고가 지연되지 않도록 하였다.
< 침해사고 신고 시기⋅내용⋅방법 >
구분 | 주요내용 |
신고시기 | o 최초신고 : 침해사고 인지 후 24시간 이내 신고 o 보완신고 : 추가로 확인된 사항에 대해 24시간 이내 보완 신고 |
신고내용 | o 침해사고 발생 일시, 원인, 피해내용, 대응현황 등 |
신고방법 | o 서면(한국인터넷진흥원(상황관제팀)), 전자우편(certgen@krcert.or.kr), |
< 침해사고 재발방지 조치 명령 및 이행점검 >
사이버 침해사고 대응에는 신속한 신고와 함께 사고가 재발하지 않도록 후속조치를 철저히 하는 것이 중요하다. 이에 과기정통부가 침해사고 발생 정보통신서비스 제공자에게 재발방지 등 필요한 조치의 이행을 현행 ‘권고’에서 ‘명령’할 수 있는 근거를 마련하였다. 아울러, 정보통신서비스 제공자가 해당 명령을 이행하였는지 여부를 점검하여 보완이 필요한 사항에 대해서는 시정을 명하고, 시정명령을 이행하지 않은 경우 3,000만원 이하의 과태료를 부과하도록 규정하였다.
< 침해사고 재발방지 조치 명령, 이행점검 관련 개정 내용 >
현행 |
| ||||||||||||||
개정 |
|
과기정통부 류제명 네트워크정책실장은 “침해사고로 인한 피해확산과 재발을 최소화하기 위해서는 신속한 신고를 바탕으로 한 원인분석 및 조치가 무엇보다 중요하다.”고 강조하며, “과기정통부는 침해사고 신고⋅후속조치 체계가 제대로 정착되어 기업들이 다양한 정보보호 기술지원을 받을 수 있도록 노력하겠다.”고 밝혔다.
담당 부서 | 정보보호네트워크정책관실 사이버침해대응과 | 책임자 | 과 장 | 최광기 | (044-202-6415) |
담당자 | 사무관 | 김성환 | (044-202-6461) | ||
관련 기관 | 한국인터넷진흥원 위협대응단(침해사고 신고) | 책임자 | 단 장 | 임진수 | (02-405-6610) |
담당자 | 팀 장 | 김정욱 | (02-405-4878) | ||
한국인터넷진흥원 위협분석단(침해사고 조치 이행점검) | 책임자 | 단 장 | 박용규 | (02-405-6620) | |
담당자 | 팀 장 | 임정호 | (02-405-5593) |
|
붙임 |
| 정보통신망법 및 시행령 개정 전‧후 조문 비교 |
정보통신망법 | 개정 시행령 | |
개정 전 | 개정 후 | |
제48조의3(침해사고의 신고 등) ① 정보통신서비스 제공자는 침해사고가 발생하면 즉시 그 사실을 과학기술정보통신부장관이나 한국인터넷진흥원에 신고하여야 한다. 이 경우 정보통신서비스 제공자가 이미 다른 법률에 따른 침해사고 통지 또는 신고를 했으면 전단에 따른 신고를 한 것으로 본다. ② ~ ③ < 생략 >
| 제48조의3(침해사고의 신고 등) ① ---------------------- --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- ② ~ ③ < 생략 >
| (신설) 제58조의2(침해사고 신고의 시기, 방법 및 절차) ① 정보통신서비스 제공자는 법 제48조의3제1항 전단에 따라 침해사고를 신고하려는 경우에는 침해사고의 발생을 알게 된 때부터 24시간 이내에 다음 각 호의 사항을 과학기술정보통신부장관 또는 한국인터넷진흥원에 신고해야 한다. 1. 침해사고의 발생 일시, 원인 및 피해내용 2. 침해사고에 대한 조치사항 등 대응 현황 3. 침해사고 대응업무를 담당하는 부서 및 연락처 ② 정보통신서비스 제공자는 제1항에 따라 신고한 후 침해사고에 관하여 추가로 확인되는 사실이 있는 경우에는 확인한 때부터 24시간 이내에 신고해야 한다. ③ 제1항 및 제2항에 따른 신고는 서면, 전자우편, 전화, 인터넷 홈페이지 입력 등의 방법으로 할 수 있다. |
< 신설 > | ④ 제1항에 따른 신고의 시기, 방법 및 절차 등에 관하여 필요한 사항은 대통령령으로 정한다. | |
제48조의4(침해사고의 원인 분석 등) ① < 생략 > ② 과학기술정보통신부장관은 정보통신서비스 제공자의 정보통신망에 침해사고가 발생하면 그 침해사고의 원인을 분석하고 피해 확산 방지, 사고대응, 복구 및 재발 방지를 위한 대책을 마련하여 해당 정보통신서비스 제공자에게 필요한 조치를 하도록 권고할 수 있다. | 제48조의4(침해사고의 원인 분석 등) ① < 생략 > ② ---------------------- ------------------------ ----------------------------------------------------------------------------------------------------------------해당 정보통신서비스 제공자(공공기관등은 제외한다)에게 필요한 조치를 이행하도록 명령할 수 있다. | (신설) 제58조의3(침해사고 조치의 이행점검 절차) 제58조의3(침해사고 조치의 이행점검 절차) 과학기술정보통신부장관은 법 제48조의4제3항에 따라 같은 조 제2항에 따른 조치의 이행 여부를 점검하려는 경우에는 점검 목적ㆍ일시ㆍ방법ㆍ내용 등이 포함된 점검계획을 점검 7일 전까지 해당 정보통신서비스 제공자에게 알려야 한다. 다만, 추가 침해사고의 발생이 예상되는 등 긴급한 경우 또는 사전에 알리면 증거인멸 등으로 점검 목적을 달성할 수 없다고 인정되는 경우에는 미리 알리지 않을 수 있다. |
< 신설 > | ③ 과학기술정보통신부장관은 제2항에 따른 조치의 이행 여부를 점검하고, 보완이 필요한 사항에 대하여 해당 정보통신서비스 제공자에게 시정을 명할 수 있다. | |
③ ~ ⑥ < 생략 > | ④ ~ ⑦ < 생략 > | |
⑦ 제3항에 따른 민ㆍ관합동조사단의 구성ㆍ운영, 제5항에 따라 제출된 자료의 보호 및 조사의 방법ㆍ절차 등에 필요한 사항은 대통령령으로 정한다. | ⑧ 제3항에 따른 점검의 방법ㆍ절차, 제4항에 따른 민ㆍ관합동조사단의 구성ㆍ운영, 제6항에 ----------------------------------------------------------------------. | |
제76조(과태료) ① 다음 각 호의 어느 하나에 해당하는 자와 제7호부터 제11호까지의 경우에 해당하는 행위를 하도록 한 자에게는 3천만원 이하의 과태료를 부과한다. | 제76조(과태료) ① ---------------------------------------------------------------------------------------------- | [별표9] 과태료 부과기준 개정 |
< 신설 > | 6의6. 제48조의3제1항을 위반하여 침해사고의 신고를 하지 아니한 자 | |
< 신설 > | 6의7. 제48조의4제3항에 따른 시정명령을 이행하지 아니한 자 | |
③ 다음 각 호의 어느 하나에 해당하는 자에게는 1천만원 이하의 과태료를 부과한다. | ③ ---------------------- ------------------------------------- | |
11의2. 제48조의3제1항을 위반하여 침해사고의 신고를 하지 아니한 자 | < 삭제 > | |
