[헤럴드경제=고재우·권제인 기자] 사이버 침해 사고를 당하고도 제때 신고하지 않아 과태료 처분을 받은 기업이 ‘66곳’에 이르는 것으로 드러났다. 무려 1년이 넘도록 침해 사실을 신고하지 않은 기업도 있었다. 사이버 침해 사고는 개인정보 유출과 동반할 가능성이 높다는 점에서 치명적이다.
현재 과학기술정보통신부(과기정통부)는 문제가 된 기업에 대해 행정처분 절차를 진행 중이지만 과태료는 ‘3000만원’에 불과한 실정이다. 이 때문에 실효성 있는 대책 마련이 시급하다는 지적이다. 신고가 늦어질수록 고객 피해도 덩달아 커질 수 있기 때문이다.
지난 8월 13일 개정된 ‘정보통신망 이용 촉진 및 정보보호 등에 관한 법(정보통신망법)’은 정보통신서비스 제공자가 침해사고 시 24시간 이내에 신고토록 규정하고 있다.
▶사이버 침해 사고 연간 ‘1000건’ 훌쩍, 신고 1년 이상 뭉갠 기업도= 사이버 침해 사고가 연간 1000건을 훌쩍 넘는 가운데, 24시간 내 신고 의무를 제대로 지키지 않는 기업이 무더기로 확인됐다.
실제로 과태료 처분 대상 기업이 ‘사고 인지’ 시점과 ‘신고 시점’ 사이 간극을 분석하면 상황은 심각했다. 구체적으로 ▷5일 이내(25곳) ▷한 달 이내(22곳) ▷3개월 이내(12곳) ▷3개월 이상(7곳) 등으로 집계됐다.
일례로 A 기업은 무려 ‘1년’이 지나고서야 KISA에 사이버 침해 사실을 신고했다. B와 C 기업도 각각 4개월 10일, 4개월 27일 동안 침해 사실을 신고하지 않았다.
잇달아 개인정보 유출 사고가 발생한 이동통신3사 역시 ‘늑장 신고’ 논란이 이어지고 있다. SKT는 유심(USIM) 해킹 사고를 인지하고도 이를 지연 신고해 과기정통부가 3000만원 이하의 과태료가 부과했다. KT 역시 경찰이 소액결제 피해를 알렸음에도, 해킹 정황이 없다고 자체 판단해 신고가 크게 늦어졌다.
문제는 기업 이미지 등 때문에 신고를 꺼리고, 신고가 지연되면서 고객 피해가 확대되는 악순환에 빠질 수 있다는 점이다.
특히 최근 5년간 디도스(DDoS), 악성코드 감염·유포, 시스템 해킹 등 사이버 침해 사고가 연간 ‘1000건’을 훌쩍 넘는 게 현실이다. ▷2021년 640건 ▷2022년 1142건 ▷2023년 1277건 ▷지난해 1887건 ▷올해 7월까지 1241건 등으로 집계됐다.
▶인지 조사·과징금 등 실효성 있는 대책 마련 필요= 전문가들은 실효성 있는 대책 마련이 필수라고 지적한다. 현행 정보통신망법 사실상 유일한 벌칙 조항은 ‘과태료 3000만원’에 불과하다. 솜방망이 처벌이라는 비판이 제기되는 이유다.
이에 인지 조사, 과징금 등 기업의 참여를 유도할 수 있는 방향으로 패널티 조항을 마련함과 동시에 인센티브도 적극적으로 고려해야 한다는 목소리다.
염흥렬 순천향대 정보보호학과 교수는 ”사회적으로 큰 영향을 미칠 수 있는 기업에 대해서는 인지 조사 권한을 부여해야 한다”며 “개인정보보호법(개보법)과 중복 규제를 제외하고라도 개인정보 유출 없는 침해 사고에 대해서는 정보통신망법 내 과징금 부과 규정을 넣는 등 검토가 필요하다”고 말했다.
권태경 연세대학교 정보대학원 교수도 “중대 사고를 빠르게 신고한 기업에는 인센티브를 주고, 제때 신고하지 않은 기업은 징벌적으로 처벌해 기업들이 해킹 사고에 능동적으로 대처하도록 해야 한다”고 부연했다.
이해민 조국혁신당 의원은 “사이버 침해사고는 즉각 대응이 중요한데, 24시간 이내 신고가 의무화된 이후에도 늑장 신고와 미신고 사례가 다수 확인되고 있다”며 “과태료 수준이 지나치게 미약하다 보니 기업들이 제재보다 은폐를 택하고 있는 것”이라고 꼬집었다.
현재 과학기술정보통신부(과기정통부)는 문제가 된 기업에 대해 행정처분 절차를 진행 중이지만 과태료는 ‘3000만원’에 불과한 실정이다. 이 때문에 실효성 있는 대책 마련이 시급하다는 지적이다. 신고가 늦어질수록 고객 피해도 덩달아 커질 수 있기 때문이다.
지난 8월 13일 개정된 ‘정보통신망 이용 촉진 및 정보보호 등에 관한 법(정보통신망법)’은 정보통신서비스 제공자가 침해사고 시 24시간 이내에 신고토록 규정하고 있다.
▶사이버 침해 사고 연간 ‘1000건’ 훌쩍, 신고 1년 이상 뭉갠 기업도= 사이버 침해 사고가 연간 1000건을 훌쩍 넘는 가운데, 24시간 내 신고 의무를 제대로 지키지 않는 기업이 무더기로 확인됐다.
실제로 과태료 처분 대상 기업이 ‘사고 인지’ 시점과 ‘신고 시점’ 사이 간극을 분석하면 상황은 심각했다. 구체적으로 ▷5일 이내(25곳) ▷한 달 이내(22곳) ▷3개월 이내(12곳) ▷3개월 이상(7곳) 등으로 집계됐다.
일례로 A 기업은 무려 ‘1년’이 지나고서야 KISA에 사이버 침해 사실을 신고했다. B와 C 기업도 각각 4개월 10일, 4개월 27일 동안 침해 사실을 신고하지 않았다.
잇달아 개인정보 유출 사고가 발생한 이동통신3사 역시 ‘늑장 신고’ 논란이 이어지고 있다. SKT는 유심(USIM) 해킹 사고를 인지하고도 이를 지연 신고해 과기정통부가 3000만원 이하의 과태료가 부과했다. KT 역시 경찰이 소액결제 피해를 알렸음에도, 해킹 정황이 없다고 자체 판단해 신고가 크게 늦어졌다.
문제는 기업 이미지 등 때문에 신고를 꺼리고, 신고가 지연되면서 고객 피해가 확대되는 악순환에 빠질 수 있다는 점이다.
특히 최근 5년간 디도스(DDoS), 악성코드 감염·유포, 시스템 해킹 등 사이버 침해 사고가 연간 ‘1000건’을 훌쩍 넘는 게 현실이다. ▷2021년 640건 ▷2022년 1142건 ▷2023년 1277건 ▷지난해 1887건 ▷올해 7월까지 1241건 등으로 집계됐다.
▶인지 조사·과징금 등 실효성 있는 대책 마련 필요= 전문가들은 실효성 있는 대책 마련이 필수라고 지적한다. 현행 정보통신망법 사실상 유일한 벌칙 조항은 ‘과태료 3000만원’에 불과하다. 솜방망이 처벌이라는 비판이 제기되는 이유다.
이에 인지 조사, 과징금 등 기업의 참여를 유도할 수 있는 방향으로 패널티 조항을 마련함과 동시에 인센티브도 적극적으로 고려해야 한다는 목소리다.
염흥렬 순천향대 정보보호학과 교수는 ”사회적으로 큰 영향을 미칠 수 있는 기업에 대해서는 인지 조사 권한을 부여해야 한다”며 “개인정보보호법(개보법)과 중복 규제를 제외하고라도 개인정보 유출 없는 침해 사고에 대해서는 정보통신망법 내 과징금 부과 규정을 넣는 등 검토가 필요하다”고 말했다.
권태경 연세대학교 정보대학원 교수도 “중대 사고를 빠르게 신고한 기업에는 인센티브를 주고, 제때 신고하지 않은 기업은 징벌적으로 처벌해 기업들이 해킹 사고에 능동적으로 대처하도록 해야 한다”고 부연했다.
이해민 조국혁신당 의원은 “사이버 침해사고는 즉각 대응이 중요한데, 24시간 이내 신고가 의무화된 이후에도 늑장 신고와 미신고 사례가 다수 확인되고 있다”며 “과태료 수준이 지나치게 미약하다 보니 기업들이 제재보다 은폐를 택하고 있는 것”이라고 꼬집었다.
https://n.news.naver.com/mnews/article/016/0002529450?sid=105
