정보보호 전문서비스 범위 확대

쉬운 요약

• 인공지능과 소프트웨어 공급망처럼 새로운 보안 수요에 대응할 전문 보안기업을 늘리기 위한 법률 개정안이에요.
• 현재 주요정보통신기반시설 중심으로 정해진 정보보호 전문서비스 기업의 업무 범위를 더 넓히려 해요.
• 인공지능 시스템, 소프트웨어 공급망 보안, 금융·국방·의료 분야 등도 전문서비스 대상에 포함할 수 있게 해요.
• 관계 중앙행정기관이 요청하면 과학기술정보통신부장관이 정보보호 전문성이 필요한 분야를 정할 수 있도록 제안해요.
• 보안서비스를 이용하는 기관에는 전문기업을 선택할 폭이 넓어지고, 정보보호 기업에는 새로운 시장이 열릴 수 있어요.

주요 내용

전문서비스 기업 범위 확대: 주요정보통신기반시설에 한정된 정보보호 전문서비스의 대상 업무와 분야를 인공지능 시스템 등으로 넓히려 해요.

소프트웨어 공급망 보안 포함: 소프트웨어 개발·공급 과정에서 발생할 수 있는 보안 위험에도 전문기업이 대응할 수 있도록 해요.

금융·국방·의료 분야 대응: 정보보호 수요가 커지는 금융, 국방, 의료 등 다양한 분야를 전문서비스 대상으로 고려해요.

장관의 대상 분야 지정: 관계 중앙행정기관의 요청이 있으면 과학기술정보통신부장관이 전문성과 신뢰성이 필요한 분야를 정할 수 있게 해요.

산업 성장 기반 확대: 수요자에게는 양질의 보안서비스를 제공하고, 정보보호 기업에는 사업 영역을 넓힐 기회를 마련하려는 내용이에요.

왜 나왔나

발의 당시 설명은 대규모 사이버 침해사고가 이어지면서 기업과 기관의 민간 보안투자 수요가 커지고 있다는 점에 주목해요. 인공지능 시스템의 확산과 소프트웨어 공급망의 복잡화로 사이버 위협이 더 다양해지면서, 전문성과 신뢰성을 갖춘 정보보호 기업의 역할도 중요해졌다고 봤어요. 하지만 당시 정보보호 전문서비스 기업의 지정 대상은 주요정보통신기반시설의 취약점 분석·평가와 보호대책 수립 업무 등을 중심으로 정해져 있었어요. 이에 기존 틀로는 새롭게 생기는 보안 수요에 대응하기 어렵다고 보고, 전문서비스의 범위와 대상 분야를 넓히려는 거예요.

무엇이 달라지나

1) 정보보호 전문서비스 대상 확대

현재 시행 중인 제23조 제1항은 과학기술정보통신부장관이 주요정보통신기반시설의 취약점 분석·평가와 보호대책 수립, 대통령령으로 정하는 정보보호서비스 관련 업무를 수행할 능력이 있다고 인정되는 자를 정보보호 전문서비스 기업으로 지정할 수 있도록 하고 있어요. 제안안은 이 지정 체계를 인공지능 시스템 등 정보보호가 필요한 여러 분야까지 넓히려 해요.

• 지금의 지정 체계는 주요정보통신기반시설과 그 보호 업무를 중심으로 작동하고 있어요.
• 제안안이 시행되면 정보보호 전문서비스 기업이 제공할 수 있는 업무 영역이 기존 기반시설 보호를 넘어 더 넓어질 수 있어요.
• 다만 법안이 말하는 ‘다수 분야’의 구체적인 범위와 각 분야에서 요구되는 전문성이 어떻게 정해질지는 후속 기준을 확인해야 해요.

2) 인공지능 시스템 보안 대응

제안안은 정보보호 전문서비스 기업의 범위를 인공지능 시스템을 포함하는 방향으로 확대하려 해요. 인공지능 시스템의 설계·운영 과정에서 발생할 수 있는 정보보호 수요에 전문기업이 대응할 수 있도록 지정 대상과 업무 범위를 넓히는 취지예요.

• 인공지능을 사용하는 기업이나 기관은 기존 정보통신기반시설 보안만으로 다루기 어려운 새로운 위험에 대해 전문서비스를 이용할 수 있는 선택지가 생길 수 있어요.
• 전문기업은 인공지능 시스템의 보안 점검이나 보호 업무처럼 기존 지정 업무와 다른 영역으로 사업을 확장할 가능성이 있어요.
• 인공지능 시스템의 종류와 활용 방식이 다양하므로, 어떤 업무를 전문서비스로 인정할지 명확한 기준이 필요해 보여요.

3) 소프트웨어 공급망 보안 포함

발의 당시 설명은 소프트웨어 공급망이 복잡해지면서 사이버 위협도 고도화되고 있다고 봤어요. 제안안은 소프트웨어가 개발되고 제공되는 과정에서 생기는 정보보호 수요에도 전문서비스 기업이 대응할 수 있도록 하려는 내용을 담고 있어요.

• 소프트웨어 자체뿐 아니라 개발·제공 과정에 참여하는 여러 주체와 구성요소의 보안 관리가 중요해질 수 있어요.
• 소프트웨어를 사용하는 기업과 기관은 공급망 보안을 맡길 수 있는 전문기업을 더 넓은 범위에서 찾을 수 있게 될 수 있어요.
• 공급망에 포함되는 업무와 책임 주체가 어디까지인지, 전문기업이 점검해야 할 범위를 어떻게 나눌지가 집행상 쟁점이에요.

4) 분야별 전문서비스 지정 절차 확대

제안안은 정보보호 전문성과 신뢰성이 필요한 분야를 관계 중앙행정기관의 요청에 따라 과학기술정보통신부장관이 정할 수 있도록 하려 해요. 법률에 모든 분야를 일일이 열거하기보다, 기관별 보안 수요에 따라 대상 분야를 추가할 수 있는 구조를 제안하는 거예요.

• 금융·국방·의료처럼 각기 다른 보안 특성이 필요한 분야가 지정 대상에 포함될 수 있어요.
• 새로운 기술이나 산업에서 보안 수요가 생겼을 때 대상 분야를 조정하기 쉬워질 수 있어요.
• 어느 중앙행정기관이 어떤 자료와 기준으로 요청할지, 장관이 지정할 때 전문성과 신뢰성을 어떻게 확인할지가 중요해요.

5) 지정기업 관리와 이용자 보호

현재 시행 중인 제23조는 전문서비스 기업을 지정한 뒤 매년 사후관리 심사를 하도록 하고, 기록과 자료를 안전하게 보존하도록 하며, 일정한 사유가 있으면 지정을 취소하거나 업무정지를 명할 수 있도록 해요. 제안안으로 대상 분야가 넓어지면 이런 기존 관리 체계가 새로운 서비스 영역에도 적용될 가능성이 커져요.

• 전문서비스 기업이 늘어나는 것만큼 실제 역량과 신뢰성을 계속 확인하는 절차가 중요해져요.
• 정보보호 업무 중 알게 된 자료를 안전하게 관리하지 못하거나 주요 시설 운영에 장애를 일으킨 경우에는 현재 조문상 지정 취소나 업무정지 사유가 될 수 있어요.
• 전문서비스의 범위를 넓히는 효과는 분야별 보안 역량을 갖춘 기업을 얼마나 엄격하게 지정하고 관리하느냐에 따라 달라질 수 있어요.

누구에게 영향이 있나

• 정보보호 전문서비스 기업: 인공지능, 소프트웨어 공급망, 금융·국방·의료 등으로 사업 영역을 넓힐 기회가 생길 수 있어요.
• 기업과 공공기관: 보안 점검과 보호대책 수립을 맡길 수 있는 전문기업의 선택 폭이 커질 수 있어요.
• 인공지능 시스템 운영자: 인공지능 서비스에 맞는 보안 전문서비스를 이용할 수 있는 제도적 기반이 마련될 수 있어요.
• 소프트웨어 개발·공급 기업: 공급망 전반의 보안 점검과 관리에 대한 외부 전문서비스 수요가 커질 수 있어요.
• 금융·국방·의료 분야 기관: 분야별 특성에 맞는 정보보호 전문기업 지정과 서비스 이용이 가능해질 수 있어요.
• 과학기술정보통신부와 관계 중앙행정기관: 전문서비스 대상 분야를 요청·지정하고 기업의 지정과 사후관리를 담당하는 역할이 중요해져요.

봐야 할 점

• 인공지능 시스템과 소프트웨어 공급망에서 어떤 업무를 정보보호 전문서비스로 인정할지 구체적인 기준을 확인해야 해요.
• 금융·국방·의료처럼 보안 요구가 서로 다른 분야를 하나의 지정 기준으로 관리할지, 분야별 기준을 따로 둘지 살펴봐야 해요.
• 관계 중앙행정기관의 요청과 과학기술정보통신부장관의 지정이 어떤 절차와 근거로 이뤄지는지 확인할 필요가 있어요.
• 전문서비스 기업의 수가 늘어날 때도 제23조의 사후관리 심사, 기록·자료 보존, 지정 취소와 업무정지 기준이 충분히 작동하는지 지켜봐야 해요.
• 대상 확대가 실제 보안 수준 향상으로 이어지는지, 서비스 품질과 기업의 전문성에 대한 이용자 신뢰가 높아지는지 모니터링해야 해요.