기업이 정보보호를 위해 법률로 강제한 `정보보호 의무조치'가 논란이 되고 있다. 기업이 법률에 명시된 의무조치만 준수하고는 정보유출 사고가 발생하면 `법을 지켰기 때문에 책임질 일 없다'며 오리발을 내미는 일이 적지 않기 때문이다. 그렇다고 의무조치를 없애고 사후 처벌만 강화하자니 최소한의 정보보호조차 제대로 하지 않는 기업이 부지기수다. 정책 담당자들의 고민이 깊어질 수밖에 없는 이유다.
30일 업계와 전문가들에 따르면 최근 정부가 강화하고 있는 각종 정보보호 의무조치 및 규제 강화에 보다 신중할 필요가 있다는 지적이 나오고 있다. 현재 정보보호 관련 법률인 개인정보보호법, 정보통신망이용촉진및정보보호등에관한법률(이하 정통망법), 신용정보의이용및보호에관한법률(이하 신용정보법) 등은 각각 개인정보보호를 위한 기술적ㆍ관리적ㆍ물리적 보호조치를 의무사항으로 규정하고 있다. 이 의무를 어겼을 경우, 과징금 부과는 물론 담당자나 해당 기업 최고경영자의 형사처벌까지 가능하다. 올 초 발생한 신용카드 정보유출 등으로 국민의 불안감이 높아가면서 정부는 이같은 의무조치를 더욱 강화하는 추세다.
문제는 법률로 규정한 `의무조치'의 경우 정보보호를 위한 `최소한'일 뿐, 날고 뛰는 해커들의 기상천외한 사이버 공격을 막아내기엔 부족한 수준이라는 것이다.
한 보안 기술전문가는 "법률에서는 네트워크보안 장비 구축 유무나 접근제어, 망분리, 암호화 등 기술적 사안을 명시하고 있지만 대부분이 1차원적인 보안에 그치는 수준"이라며 "모법 외에도 시행령, 시행규칙, 고시 등으로 의무조치를 규정했는데 복잡하기만 하고 그다지 효율적인 방어방법도 아니어서 기업에게는 부담스럽고 정보보호는 제대로 안 되는 상태"라고 분석했다.
게다가 기업들은 정작 사고가 터졌을 때 의무조치 준수 사실을 내밀며 `법에서 시키는 대로 다 했는데도 뚫렸으니 불가항력'이라고 항변한다. 정보유출자 피해보상이나 책임 등을 회피하기도 일쑤다.
김경환 법률사무소 민후 대표변호사는 "정보보호법에 명시된 각종 의무조치가 오히려 정보유출 사고 발생시 기업의 `면책' 도구로 활용되고 있다"면서 "그간 정보유출 사고를 겪었던 기업 대부분은 법률에 명시된 의무조치를 이행했다는 이유만으로 행정부와 사법부에서 정보유출 사고에 대해 `무죄(책임 없음)' 판결을 받았으며 과태료 처분조차 받지 않았다"고 지적했다.
결국 법률로 정보보호를 위한 충분한 기술적ㆍ관리적ㆍ물리적 보호조치를 다 명시하는 것은 불가능하고, 이를 준수한다고 제대로 된 보안 체계가 마련되는 것도 아니라는 것이 전문가들의 분석이다.
보안 기술전문가는 "해커는 하루가 멀다하고 변종 악성코드를 만들어 내 호시탐탐 기업을 노리는데, 이를 막을 기술을 법률에 의무조항으로 넣으려면 법안 발의부터 국회통과까지 2년은 족히 걸린다"면서 "법률에 기업이 해야될 정보보호 사항들을 넣어 정보보호를 강화하겠다는 생각부터가 넌센스"라고 꼬집었다.
일각에서는 `~하라'는 식의 `화이트리스트 방식 규제'보다 `~하지마라'는 블랙리스트 방식의 규제가 필요한 시점이라고 조언하기도 한다.
정보보호 정책 전문가는 "법률로 해킹 기술 방어법과 기업 의무를 모두 규제하는 것이 불가능하니 사후 처벌을 강화하고 사전 규제는 최소화하는 것이 기업 활동에도 좋고 정보유출 억제에도 유리하다"면서 "사전규제가 기업의 면책 도구로 오용되는 것도 막을 수 있다"고 주장했다.
그러나 이 역시 허점이 있다는 분석이다. 블랙리스트 방식의 규제는 강력한 사후규제이긴 하나 현재 기업들의 정보보호 인식이 생각보다 낮아 의무조치 조차 없으면 아예 정보보호 투자를 하지 않는 경우가 발생한다는 것이다.
이에 대해 엄열 방송통신위원회 개인정보보호윤리과장은 "해당 법규ㆍ법령이 모든 침해나 취약점을 상정하고 기술적ㆍ관리적 보호조치 사항들로 규정할 수는 없다는 것이 사실"이라며 " 때문에 이를 법률로 보다 상세하게 규율할 것인가, 기업의 자율에 맡기고 사후규제를 강화할 것인가는 논란의 여지가 있다"고 설명했다.
그는 이어 "현재 정보보호 관련 법령 정비 작업이 한창인데, 이 문제는 입법 측면에서 논란이 되고 있는 사안"이라면서 "전문가 집단과의 토론을 통해 최선의 방법을 찾아나가고 있다"고 설명했다.
방통위 고위 관계자도 "정부도 현행 사전규제의 구멍을 알기에 이를 메울 수 있는 기업의 자율규제 강화 방안을 꾸준히 강구하고 있다"고 설명했다.
강은성기자 esther@
30일 업계와 전문가들에 따르면 최근 정부가 강화하고 있는 각종 정보보호 의무조치 및 규제 강화에 보다 신중할 필요가 있다는 지적이 나오고 있다. 현재 정보보호 관련 법률인 개인정보보호법, 정보통신망이용촉진및정보보호등에관한법률(이하 정통망법), 신용정보의이용및보호에관한법률(이하 신용정보법) 등은 각각 개인정보보호를 위한 기술적ㆍ관리적ㆍ물리적 보호조치를 의무사항으로 규정하고 있다. 이 의무를 어겼을 경우, 과징금 부과는 물론 담당자나 해당 기업 최고경영자의 형사처벌까지 가능하다. 올 초 발생한 신용카드 정보유출 등으로 국민의 불안감이 높아가면서 정부는 이같은 의무조치를 더욱 강화하는 추세다.
문제는 법률로 규정한 `의무조치'의 경우 정보보호를 위한 `최소한'일 뿐, 날고 뛰는 해커들의 기상천외한 사이버 공격을 막아내기엔 부족한 수준이라는 것이다.
한 보안 기술전문가는 "법률에서는 네트워크보안 장비 구축 유무나 접근제어, 망분리, 암호화 등 기술적 사안을 명시하고 있지만 대부분이 1차원적인 보안에 그치는 수준"이라며 "모법 외에도 시행령, 시행규칙, 고시 등으로 의무조치를 규정했는데 복잡하기만 하고 그다지 효율적인 방어방법도 아니어서 기업에게는 부담스럽고 정보보호는 제대로 안 되는 상태"라고 분석했다.
게다가 기업들은 정작 사고가 터졌을 때 의무조치 준수 사실을 내밀며 `법에서 시키는 대로 다 했는데도 뚫렸으니 불가항력'이라고 항변한다. 정보유출자 피해보상이나 책임 등을 회피하기도 일쑤다.
김경환 법률사무소 민후 대표변호사는 "정보보호법에 명시된 각종 의무조치가 오히려 정보유출 사고 발생시 기업의 `면책' 도구로 활용되고 있다"면서 "그간 정보유출 사고를 겪었던 기업 대부분은 법률에 명시된 의무조치를 이행했다는 이유만으로 행정부와 사법부에서 정보유출 사고에 대해 `무죄(책임 없음)' 판결을 받았으며 과태료 처분조차 받지 않았다"고 지적했다.
결국 법률로 정보보호를 위한 충분한 기술적ㆍ관리적ㆍ물리적 보호조치를 다 명시하는 것은 불가능하고, 이를 준수한다고 제대로 된 보안 체계가 마련되는 것도 아니라는 것이 전문가들의 분석이다.
보안 기술전문가는 "해커는 하루가 멀다하고 변종 악성코드를 만들어 내 호시탐탐 기업을 노리는데, 이를 막을 기술을 법률에 의무조항으로 넣으려면 법안 발의부터 국회통과까지 2년은 족히 걸린다"면서 "법률에 기업이 해야될 정보보호 사항들을 넣어 정보보호를 강화하겠다는 생각부터가 넌센스"라고 꼬집었다.
일각에서는 `~하라'는 식의 `화이트리스트 방식 규제'보다 `~하지마라'는 블랙리스트 방식의 규제가 필요한 시점이라고 조언하기도 한다.
정보보호 정책 전문가는 "법률로 해킹 기술 방어법과 기업 의무를 모두 규제하는 것이 불가능하니 사후 처벌을 강화하고 사전 규제는 최소화하는 것이 기업 활동에도 좋고 정보유출 억제에도 유리하다"면서 "사전규제가 기업의 면책 도구로 오용되는 것도 막을 수 있다"고 주장했다.
그러나 이 역시 허점이 있다는 분석이다. 블랙리스트 방식의 규제는 강력한 사후규제이긴 하나 현재 기업들의 정보보호 인식이 생각보다 낮아 의무조치 조차 없으면 아예 정보보호 투자를 하지 않는 경우가 발생한다는 것이다.
이에 대해 엄열 방송통신위원회 개인정보보호윤리과장은 "해당 법규ㆍ법령이 모든 침해나 취약점을 상정하고 기술적ㆍ관리적 보호조치 사항들로 규정할 수는 없다는 것이 사실"이라며 " 때문에 이를 법률로 보다 상세하게 규율할 것인가, 기업의 자율에 맡기고 사후규제를 강화할 것인가는 논란의 여지가 있다"고 설명했다.
그는 이어 "현재 정보보호 관련 법령 정비 작업이 한창인데, 이 문제는 입법 측면에서 논란이 되고 있는 사안"이라면서 "전문가 집단과의 토론을 통해 최선의 방법을 찾아나가고 있다"고 설명했다.
방통위 고위 관계자도 "정부도 현행 사전규제의 구멍을 알기에 이를 메울 수 있는 기업의 자율규제 강화 방안을 꾸준히 강구하고 있다"고 설명했다.
강은성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
