정보통신망법 10월 1일 시행, 작은 사업장은 대부분 대상이 아닙니다

매달 초에 통신 담당자분들이 챙기실 것만 짧게 적습니다. 이번 달은 바깥에서 들어온 소식이 둘, 그 전부터 걸려 있던 것이 둘입니다.

9월 11일에 개인정보 보호법이 바뀌었고, 어제 10월 1일부터 정보통신망법과 그 시행령이 시행됐습니다. 기사 제목에 과징금 숫자가 크게 붙어 있어서 전화를 주시는 분이 계십니다. 먼저 말씀드리면 새로 생긴 의무는 대부분 일정 규모 이상 기업을 겨냥한 것입니다.

0110월 1일부터 시행된 정보통신망법은 무엇이 바뀌었나

과학기술정보통신부가 9월 30일에 낸 보도자료 제목이 「사이버 침해사고 예방·대응 전면 강화를 위한 정보통신망법·시행령, 10월 1일부터 시행」입니다. 바뀐 것은 크게 셋으로 묶입니다.

• 정보보호 최고책임자의 지위를 임원으로 올렸습니다. 신고 의무가 있는 기업은 사내에 정보보호위원회를 두고, 위원장이 대표에게 결과를 보고하며 주요 사항은 이사회에 올립니다. 다만 규모와 인력을 감안해 중기업은 예외를 둬서, 지금처럼 정보보호 관련 부서장을 지정할 수 있게 했습니다.
• 늦게 신고했을 때의 제재를 세웠습니다. 침해사고 지연 신고 과태료를 올리고, 시정명령을 따르지 않는 경우에 매기는 이행강제금을 새로 만들었습니다.
• 반복해서 사고가 난 기업에 과징금을 매길 수 있게 했습니다. 고의나 중대한 과실로 5년 안에 두 번 이상 침해사고가 난 경우에 매출액의 3퍼센트까지입니다.

정보보호 관리체계 인증, 흔히 ISMS라고 부르는 심사도 같이 바뀌었습니다. 전에는 서면과 현장 중 하나를 골라 하던 것을 둘 다 하는 쪽으로 돌렸고, 강화인증 대상이거나 사고가 났던 기업은 취약점 점검 같은 기술심사를 받습니다.

029월 11일에 먼저 바뀐 개인정보 보호법

이쪽이 한 달 가까이 빨랐습니다. 기사에 「매출액 최대 10퍼센트」로 크게 뽑힌 그 법입니다.

• 반복되거나 중대한 침해행위에는 전체 매출액의 최대 10퍼센트까지 과징금을 매길 수 있는 특례가 생겼습니다. 이 10퍼센트는 세 경우에만 적용됩니다. 반복해서 어긴 경우, 고의나 중대한 과실로 피해가 크게 난 경우, 시정명령을 따르지 않은 경우입니다.
• 「유출」로 보는 범위가 넓어졌습니다. 밖으로 빠져나간 것만이 아니라 위조·변조·훼손도 들어갑니다.
• 유출이 확정된 다음이 아니라 그럴 가능성을 알게 된 단계에서도 알리도록 했습니다.
• 개인정보 보호책임자를 지정할 때 이사회 의결과 신고 절차가 붙었습니다.

여기서 마지막 두 줄은 규모를 따지지 않습니다. 보호책임자 지정 절차는 회사 형태에 따라 갈리지만, 유출 통지는 개인정보를 다루는 곳이면 어디든 해당합니다. 숙박이면 예약자 명부, 의원이면 환자 기록, 매장이면 회원 연락처가 전부 개인정보입니다.

03그래서 우리 회사도 해당되나

이번 달에 전화로 제일 많이 받은 질문이 「우리도 보안 담당 임원을 둬야 하느냐」였습니다. 직원 스무 명짜리 회사에서 임원을 새로 뽑으실 일은 아닙니다. 기사에 큰 숫자가 붙어 있으면 다 내 이야기처럼 보이는데, 그 숫자마다 요건이 따로 달려 있습니다.

04규모와 상관없이 지금도 걸려 있는 것 둘

첫째는 CCTV입니다. 이건 이번에 새로 생긴 의무가 아니라 전부터 있던 것인데, 개인정보 쪽 제재가 세진 달에 같이 보시는 편이 낫습니다. 찍고 있다는 사실을 알 수 있게 안내판을 걸어야 하고, 안내판에는 왜 달았는지와 어디를 언제 찍는지, 관리하는 사람 연락처를 적습니다. 달면 안 되는 곳도 정해져 있습니다. 어디까지 되고 어디부터 안 되는지는 모텔 CCTV 설치, 법으로 못 다는 곳이 네 군데입니다에 적어 뒀습니다.

둘째는 정보통신설비 유지보수 선임입니다. 연면적으로 대상이 갈리는데, 올해 7월 19일부터 1만㎡ 이상 건물에 선임·신고 의무가 본격적으로 적용되고 있습니다. 그보다 큰 3만㎡ 이상 건물은 계도기간이 7월 18일로 끝났습니다. 대상인지 보는 순서와 직접 뽑을지 맡길지는 정보통신설비 선임에 정리돼 있습니다.

05이번 달에 해 두시면 좋은 것 네 가지

1. 1CCTV 안내판을 한 바퀴 돌며 사진으로 남겨 두십시오. 글자가 지워졌거나 연락처가 퇴사하신 분으로 남아 있는 경우가 많습니다.
2. 2손님이 영상을 보여 달라고 하실 때 누가 받을지 정해 두십시오. 같은 화면에 다른 분이 찍혀 있으면 가린 뒤에 보여 드려야 해서, 요청이 온 날 알아보기 시작하면 보관 일수 안에 못 끝냅니다.
3. 3건물 연면적을 확인해 두십시오. 1만㎡가 넘으면 유지보수 선임이 이미 적용되고 있습니다. 등기부나 건축물대장에 적힌 숫자를 보시면 됩니다.
4. 4예약자 명부나 환자 기록이 밖으로 샜을 가능성을 누가 알아차렸을 때 누구에게 보고할지 한 줄로 정해 두십시오. 9월부터는 확정 전 단계에서도 알리게 돼 있습니다.

지난달 브리핑에서 짚은 선임 의무와 이전 성수기 이야기는 9월 기업통신 브리핑에 그대로 있습니다. 10월에도 이전 문의는 계속 들어오고 있어서 신청 시점은 그 글에 적은 대로 보시면 됩니다.