정보보호 현황 공시 법제화와 이사회 의결

쉬운 요약

• 정보보호 현황을 더 책임 있게 공개하기 위한 법률 개정안이에요.
• 정보보호 투자와 인력, 관련 인증 정보를 공개하는 제도를 시행령이 아닌 법률에 직접 담으려 해요.
• 일정한 사업자는 정보보호 현황을 의무적으로 공시하도록 하는 틀을 강화하려 해요.
• 공시 내용은 이사회 의결을 거치게 해 경영진과 이사회가 보안 투자 수준을 함께 책임지도록 하려 해요.
• 다만 실제 적용 대상과 세부 절차는 앞으로 법률 심사와 하위 규정에서 정해질 수 있어요.

주요 내용

• 정보보호 공시 근거 강화: 시행령에 규정된 정보보호 현황 공시제도를 법률에 직접 규정하려는 내용이에요.
• 정보보호 투자·인력 공개: 정보보호에 얼마를 투자했는지, 관련 인력을 얼마나 두었는지 공개하는 체계를 다뤄요.
• 정보보호 인증 현황 공개: 정보보호 관련 인증 등 기업의 보안 관리 현황을 공시 대상에 포함하려 해요.
• 이사회 의결 절차 도입: 공시 내용의 신뢰성을 높이기 위해 이사회 의결을 거치도록 하려 해요.
• 안전한 인터넷 이용 기반 마련: 반복되는 해킹과 개인정보 유출에 대응해 기업의 보안 투자를 외부에서 확인할 수 있게 하려는 취지예요.

왜 나왔나

발의 당시 설명에 따르면, 정보통신망을 통해 정보를 제공하거나 정보 제공을 매개하는 사업자는 정보보호 투자와 인력, 인증 현황 등을 공개할 수 있고, 일정 기준에 해당하는 사업자는 공시해야 했어요. 최근 대규모 개인정보 유출과 해킹 사고가 이어지면서 기업의 매출과 IT 투자가 커지는 동안 정보보호 투자 비중이 충분했는지 확인하기 어렵다는 지적이 나왔어요. 이에 정보보호 현황 공시를 법률 차원에서 분명히 하고, 이사회 의결을 통해 공시의 책임성과 신뢰성을 높이려는 법안이 제안됐어요.

무엇이 달라지나

현재 시행 중인 제13조는 정보통신망을 통해 정보를 제공하거나 정보 제공을 매개하는 자가 정보보호 투자·인력 현황과 관련 인증 등 정보보호 현황을 정해진 방식에 따라 공개할 수 있도록 하고 있어요. 일정 기준에 해당하는 사업자는 공시해야 하지만, 그 기준과 구체적인 방식은 대통령령에 맡기고 있어요.

1) 정보보호 공시의 법률 근거 강화

제안안은 시행령에 규정된 정보보호 현황 공시제도를 법률에 직접 규정하는 방향을 제시해요. 공시 대상이 되는 정보와 의무의 근거를 법률에서 더 분명하게 정하려는 변화예요.

• 현재 시행 조문에도 일정 기준에 해당하는 사업자의 공시 의무는 있지만, 사업 분야·매출액·서비스 이용자 수 등을 고려한 세부 기준은 대통령령으로 정해져 있어요.
• 법률에 근거가 더 구체적으로 담기면 기업이 어떤 정보를 공개해야 하는지 예측하기 쉬워질 수 있어요.
• 실제 대상 기업과 공시 항목이 얼마나 달라질지는 개정안의 조문 내용과 심사 과정에서 확인해야 해요.

2) 이사회 책임과 공시 신뢰성 강화

제안안은 정보보호 현황을 공시할 때 이사회 의결을 거치도록 해 공시 내용에 대한 경영 차원의 책임을 높이려 해요. 단순히 담당 부서가 자료를 제출하는 절차에서 나아가, 기업의 최고 의사결정기구가 보안 현황을 확인하도록 하려는 취지예요.

• 이사회가 정보보호 투자와 인력 현황을 함께 확인하면 보안 문제가 경영 의사결정의 의제로 다뤄질 가능성이 커져요.
• 공시 내용의 오류나 누락을 줄이는 데 도움이 될 수 있지만, 의결만으로 자료의 정확성이 자동으로 보장되는 것은 아니에요.
• 현재 시행 조문은 과학기술정보통신부장관이 공시 내용을 검증하고 사실과 다르면 수정을 요청할 수 있도록 하고 있어, 이사회 의결과 행정상 검증 절차가 어떻게 연결될지도 중요해요.

누구에게 영향이 있나

• 정보통신서비스 제공 사업자: 정보보호 투자·인력·인증 현황을 공개하거나 공시해야 하는 범위가 넓어질 수 있어요.
• 대규모 플랫폼·온라인 서비스 기업: 매출과 이용자 규모가 큰 기업일수록 공시 의무와 이사회 확인 절차의 영향을 먼저 받을 수 있어요.
• 기업 이사회와 경영진: 정보보호 공시 자료를 의결하고 그 내용의 적정성을 확인하는 역할이 커질 수 있어요.
• 정보보호 담당 부서와 감사·법무 조직: 공시 자료를 취합하고 근거를 검증하는 내부 절차를 마련해야 할 수 있어요.
• 인터넷 이용자와 개인정보 주체: 기업별 보안 투자와 관리 수준을 비교하고 서비스 이용 판단에 참고할 수 있어요.

봐야 할 점

• 법률에 직접 규정되는 공시 대상 사업자와 정보의 범위가 현재 시행령 기준과 어떻게 달라지는지 확인해야 해요.
• 이사회 의결이 형식적인 확인에 그치지 않고 실제 정보보호 투자와 위험 관리 개선으로 이어지는지 봐야 해요.
• 공시 자료의 산정 기준이 기업마다 달라지면 비교 가능성이 떨어질 수 있어, 세부 작성 기준이 중요해요.
• 현재도 과학기술정보통신부장관의 검증과 수정 요청 절차가 있으므로, 이사회 의결 도입 뒤 책임과 검증 권한이 어떻게 나뉘는지 살펴봐야 해요.
• 이 법안은 제안된 변화에 관한 내용이므로, 최종 조문과 시행 시점, 하위 규정이 확정되기 전까지는 제도가 바뀌었다고 단정하기 어려워요.