"신고 안 해도 털리면 바로 턴다"…정부, 내달부터 해킹 기업 직권조사 착수

과기정통부, 침해사고 대응체계 전면 개편…사후 수습 넘어 사전 대비

기업 '늑장 신고' 기다리다 골든타임 놓치던 조사 체계 전면 개편

보안 책임 실무진서 이사회로…일정 규모 기업 정보보호위 설치 의무화

서류 심사 그친 ISMS 인증 손질…모의해킹 도입하고 불시 점검 강화

[서울=뉴시스] 기사의 이해를 돕기 위한 해커 이미지. (사진=유토이미지) 2026.04.03.  *재판매 및 DB 금지

 
[서울=뉴시스]심지혜 기자 = 다음 달부터 기업이 신고하지 않아도 해킹 정황만 포착되면 정부가 곧바로 현장 조사에 들어간다.

또 보안 책임을 실무진에만 떠넘기지 못하도록 기업 이사회가 예산과 인력을 직접 챙기게 하는 장치도 가동된다. 

쿠팡·티빙 사례처럼 최근 대규모 사이버 침해사고가 잇따르면서 사고사 터진 뒤 수습 위주였던 국가 사이버 대응 체계를 사전 개입·예방 중심으로 완전히 판을 바꾸겠다는 취지다.

4일 과학기술정보통신부에 따르면 이런 내용을 담은 개정 정보통신망법이 다음 달 본격 시행된다.

'늑장 신고' 기다리다 증거 증발…정부가 먼저 캔다

그동안 해킹 조사는 기업의 신고가 있어야 시작됐다. 기업이 침해 사실을 뒤늦게 알거나 자체 수습을 핑계로 신고를 미루면 정부 조사는 늦어질 수밖에 없었다. 이 과정에서 서버 접속 기록(로그)이 지워지거나 변조돼 침투 경로를 밝히지 못하는 일이 잦았다.

현행법상 기업은 해킹을 인지한 뒤 24시간 안에 과기정통부나 한국인터넷진흥원(KISA)에 알려야 한다. 하지만 기업이 숨기거나 늑장 대응을 하면 정부가 손을 쓸 방법이 마땅치 않았다.

앞으로는 달라진다. 정부는 '침해사고 조사 심의위원회'를 거쳐 해킹 정황만 확인되면 해당 기업에 자료를 요구하거나 직권조사에 착수한다. 신고가 들어오기 전에 정부가 먼저 치고 들어가 증거 인멸을 막고 2차 피해를 차단한다는 취지다.

"보안은 IT팀 일?"…이사회 안건으로 강제 격상

기업 경영진의 보안 책임도 커진다. 상당수 기업은 정보보호 전담 인력과 예산을 턱없이 부족하게 배정해 왔다. 접속권한과 보안키, 시스템 기록을 제대로 관리하지 않은 사례가 반복됐다. 취약점을 발견하고도 인력과 예산이 뒷받침되지 않아 제때 고치지 못하는 경우도 있었다.

개정법은 일정 규모 이상의 정보통신서비스 기업에 '정보보호위원회' 설치를 의무화했다. 정보보호최고책임자(CISO)는 예산과 인력 현황을 이사회에 직접 보고해야 한다. 보안 투자를 기업 최고 의사결정권자의 몫으로 끌어올린 셈이다.

기업별 사고 대응 절차도 미리 마련하도록 한다. 일정 기준에 해당하는 기업은 서비스 규모와 특성에 맞는 침해사고 관리·대응 매뉴얼을 작성해 과기정통부와 KISA에 제출해야 한다. 기업이 시정명령을 따르지 않을 경우 이행강제금을 부과하는 등 필요한 조치를 실제로 이행하도록 할 수단도 마련했다.

'종이 딱지' 전락한 ISMS…모의해킹 뚫리면 인증 취소

 서류 점검 위주로 흘러 '면죄부' 논란을 빚었던 정보보호 관리체계(ISMS) 인증도 대수술에 들어간다. 최근 ISMS 인증을 받은 대기업들마저 잇따라 해킹을 당하면서 인증 제도의 실효성에 의문이 제기돼 왔다.

ISMS는 기업이 정보자산을 보호할 인력과 절차, 시스템을 갖췄는지 확인하는 제도다. 문제는 그동안 심사가 서류 확인에 치우쳐 기업이 현장에서 보안 체계를 제대로 운영하는지 살피는 데 한계가 있었다는 점이다.

앞으로는 실제 시스템을 직접 살피는 현장 점검이 강화된다. 심사원이 취약점 진단과 모의침투를 실시하고 기업이 보안 조치를 제대로 적용하고 있는지도 확인한다. 외부 인터넷과 연결돼 해킹 통로로 악용될 수 있는 장비와 시설도 심사 대상에 넣는다.

인증을 받은 뒤 관리가 느슨해지는 문제도 막는다. 인증 취득 이후에도 보안 체계가 제대로 작동하는지 계속 점검하는 구조로 바뀐다. 중대한 침해사고가 발생한 기업은 사고 원인과 복구 조치, 재발 방지 대책을 다시 살핀다. 확인된 중대한 결함을 기한 안에 고치지 않으면 인증을 취소할 수 있다. 인증제도 전반은 내년까지 순차적으로 개선할 예정이다.

인증 심사와 별도로 기업이 미처 발견하지 못한 취약점을 외부 전문가가 찾아 신고하는 통로도 마련했다. 과기정통부는 국가정보원, KISA와 함께 화이트해커가 기업의 취약점을 찾아 합법적으로 신고하는 시범사업을 운영하고 있다. 외부에서 발견한 취약점이 실제 해킹에 악용되기 전 기업이 확인하고 조치할 수 있도록 했다.

과기정통부 관계자는 "사후 수습에 기대는 땜질식 대응으로는 날로 교묘해지는 사이버 공격을 막을 수 없다"며 "정부의 선제 조사 권한과 경영진의 직접 책임을 앞세워 보안 패러다임을 뿌리부터 바꾸겠다"고 밝혔다.


◎공감언론 뉴시스 [email protected]