정부가 '내년 상반기'라던 정보보호 공시 확대, 2027년으로 밀려…검증은 773곳 중 40곳

서울

통신사와 금융회사, 정부 업무망까지 해킹 사고가 잇따른 뒤 정부가 지난해 10월 "내년 상반기부터 시행할 계획"이라고 밝힌 전 상장사 정보보호 공시 의무화가 2027년 1월 1일에야 시행된다. 과학기술정보통신부(과기정통부)는 이런 내용의 '정보보호산업의 진흥에 관한 법률'(정보보호산업법) 시행령 개정안이 20일 국무회의를 통과했다고 밝혔다. 개정 시행령은 상장사 '매출액 3000억원 이상' 요건을 없애 코스피·코스닥 상장법인 전체에 공시 의무를 지우고, 공공기관·금융회사·전자금융업자 예외도 삭제한다. 다만 상장사 가운데 소기업은 2029년 1월 1일부터 적용된다. 공시 범위는 넓어지지만, 지난해 공시한 773곳 가운데 정부가 사후검증한 곳은 40곳이었고 검증을 거부하거나 수정공시를 하지 않은 기업에 물릴 수 있는 과태료는 최대 1000만원이다.

정부가 '내년 상반기'라던 공시 확대는 2027년 1월에야 시행돼

공시 확대는 지난해 10월 22일 관계부처 합동으로 발표한 '범부처 정보보호 종합대책'의 핵심 과제였다. 당시 정책브리핑 자료는 "정보보호 공시 의무 기업을 상장사 전체로 확대하면서" 공시 결과를 토대로 "보안 역량 수준을 등급화해 공개하는 제도를 도입한다"고 밝혔다. 같은 자료는 종합대책을 "즉시 실행할 수 있는 단기과제 위주로 제시했으며"라고 소개했다. 중장기 과제를 담은 '국가 사이버안보 전략'은 연내에 따로 세우겠다고 했고, 브리핑 질의응답에서는 "12월 안으로" 수립·발표하겠다는 답변이 나왔다.

시행 시점은 브리핑 질의응답에서 직접 나왔다. 한 기자가 "정보보호 공시 의무 상장사 전체로 진행되는 건 바로 내년부터 진행이 되는 건지 시기만 한 차례 더 여쭙습니다"라고 묻자 정부 측은 "정보보호 공시 의무는 내년 상반기부터 시행할 계획을 가지고 있습니다"라고 답했다. 녹취에는 이 답변의 발언자 표기가 없다. 그 자리에는 배경훈 부총리 겸 과기정통부 장관과 류제명 과기정통부 제2차관, 신진창 금융위원회 사무처장, 이정렬 개인정보보호위원회 사무처장, 김창섭 국가정보원 3차장, 이용석 행정안전부 디지털정부혁신실장이 함께 섰다.

실제 시행은 그보다 늦어졌다. 과기정통부는 올해 1월 9일 시행령 개정안을 입법예고하면서 "2027년 정보보호 공시 대상자부터 적용될 수 있도록 진행할 예정"이라고 했다. 이 시점에 적용 시기는 이미 2027년으로 잡혔다. 5월 11일 재입법예고(과학기술정보통신부공고 제2026-569호)에서는 부칙이 바뀌었다. 중소기업기본법상 소기업은 인력과 경영 여건을 고려해 시행일을 2년 유예한다는 내용이 새로 들어갔다. 1월 입법예고 때 정책브리핑 자료는 소기업에 대한 예외 조항을 삭제한다고 했다. 재입법예고 의견 제출 기간은 6월 22일까지였고, 법령안과 함께 규제영향분석서와 조문별 제·개정 이유서가 첨부됐다. 결국 지난해 10월 '단기과제'로 내놓은 공시 확대는 2027년에 시작되고, 상장 소기업은 그로부터 2년 뒤에야 공시를 시작한다.

종합대책 발표부터 늦었다. 질의응답에서 정부 측 답변자는 "9월 말 지연 사유에 대해서는, 사실 저희가 계속해서 5개 부처 중심으로"라고 말을 꺼낸 뒤 "다소 시간이 늦어진 점이 있었습니다"라고 했다.

과기정통부는 사각지대 해소와 국민 알 권리 보장을 내세워

과기정통부는 이번 개정으로 공시 제도의 사각지대를 해소하고 국민의 알 권리를 보장하는 한편, 기업이 정보보호를 비용이 아닌 투자로 인식하도록 유도하겠다고 설명했다. 배경훈 부총리는 20일 "정보보호 공시는 국민의 알 권리를 보장하고, 기업의 자발적 정보보호 투자를 유도하는 중요한 제도"라고 말했다. 배 부총리는 "정보보호 투자가 더욱 활성화되고 국가 전반의 정보보호 수준이 높아지는 선순환 구조가 정착되기를 기대한다"고 했다.

개정 내용은 대상 확대에 맞춰져 있다. 재입법예고문에 따르면 시행령 제8조 제1항에서 정보보호 최고책임자(CISO) 지정·신고 조건과 매출액 3000억원 이상 조건을 함께 지우고 유가증권·코스닥 상장법인을 대상에 넣는다. 20일 과기정통부 자료에 따르면 기업인수목적회사(SPAC)는 빠진다. 전년도 말 기준 정보통신망법상 정보보호 관리체계(ISMS) 인증 의무대상자는 같은 항 제4호로 새로 들어간다. 제8조 제2항은 삭제돼 공공기관, 소기업, 금융사업자, 전자금융사업자에 붙어 있던 제외 조건이 사라진다. 이용자 수 산정 기준도 전년도 말 직전 3개월 일일평균에서 전년도 전체 일일평균으로 바뀐다.

과기정통부는 새로 의무를 지는 기업을 위해 개정 내용을 반영한 '정보보호 공시 가이드라인'을 내고 컨설팅을 지원하겠다고 했다. 온라인 상시 상담과 교육, 지역 순회 방문 교육도 병행한다. 재입법예고문의 제·개정 이유에는 최근 해킹사고로 커진 국민 불안을 극복하고 국가 정보보호 역량을 높이겠다는 설명이 들어 있다. 과기정통부는 1월 9일 보도자료에서 개정 요지를 '상장기업 매출액 기준 삭제, 정보보호 관리체계(ISMS) 인증기업 포함 및 예외 조항 폐지'로, 목적을 '기업의 자발적 보안 투자 유도 및 국민의 알 권리 보장 강화'로 정리했다. 같은 날 최우혁 과기정통부 네트워크정책실장은 "이번 제도 개선으로 기존보다 늘어난 기업들의 정보보호 현황을 확인할 수 있게 됐다"고 말했다.

긴급점검에서 '특이사항은 발견되지 않았다'던 KT도 두 달 뒤 대책 브리핑에 올라

공시 확대 논의는 대형 사고가 난 뒤에 속도가 붙었다. 과기정통부 관계자는 지난해 8월 11일 정책브리핑 자료에서 "SKT 침해사고를 계기로 타 KT, LGU+ 등 다른 통신사와 네이버, 카카오, 쿠팡, 우아한형제들 등 주요 플랫폼사에 대해 이번 주까지 긴급 현장점검을 추진한 결과, 특이사항은 발견되지 않았다"고 밝혔다.

두 달 남짓 뒤 열린 종합대책 브리핑에서는 그 점검 대상이던 KT의 사고가 질문에 올랐다. 한 기자는 "최근 문제가 된 KT 펨토셀도 결국에는 KT가 전량 폐기를 못 했기 때문에 발생한 문제로 알고 있는데요"라고 물었다. 류제명 차관은 펨토셀에 대해 "한 가지 회수, 회수하는 문제가 쉽지는 않습니다"라고 답했다. 류 차관은 또 "이번에 KT 사고 관련해서 소액결제 시에는 지금 SMS나 ARS 인증만으로 하는 거는 없애려고 합니다"라고 말했다. 같은 질의응답에서는 롯데카드 사고도 거론됐다.

정부가 내놓은 처방은 점검 확대와 공시 확대였다. 정책브리핑 자료는 "해킹에 대한 만연한 불안감 해소를 위해 공공·금융·통신 등 국민 대다수가 이용하는 1600여 개 IT 시스템에 대해 대대적인 보안 취약점 점검을 즉시 추진한다"고 밝혔다. 신진창 사무처장은 이 가운데 금융권 260개 시스템 점검을 그달 말까지 마치겠다고 했다. 공시 의무 확대는 이 대책 묶음에 들어갔지만, 법적 근거인 시행령은 브리핑 1년 가까이 지난 이달 20일 국무회의를 통과했다.

같은 대책에는 사고 기업을 겨냥한 과제가 여럿 담겼다. 정부는 "해킹 정황을 확보하면 신고 없이도 정부가 신속히 현장을 조사할 수 있도록 정부의 조사 권한을 확대"하겠다고 했다. ISMS·ISMS-P 인증 심사는 현장 심사 중심으로 바꾸고, 인증 기업에서 중대한 결함이 생기면 인증을 취소하기로 했다. 기업의 보안 부주의로 해킹이 발생하면 소비자의 입증책임 부담을 덜어 주고, 개인정보 유출 과징금 수입을 피해자 지원 등에 쓰는 기금 신설을 검토하겠다는 내용도 들어갔다. CEO 책임과 CISO 역할 강화도 과제로 올랐다. 브리핑에서는 1600여 개 점검 대상 가운데 주요 기업 900개와 금융기관 260개가 언급됐고, 한 기자는 공공기관 기반 시설이 228개라는 수치를 들어 질문했다.

공시 기업은 늘어나도 사후검증은 773곳 중 40곳에 그쳐

공시가 실제 보안 수준을 반영하는지는 검증에 달려 있다. 과기정통부와 한국인터넷진흥원(KISA)은 지난해 공시 기업 773곳(의무 666곳, 자율 107곳) 가운데 "국민생활과 밀접한 서비스를 제공하는 3개 통신사 등 40곳"을 골라 11월 말까지 3개월 동안 사후검증한다고 밝혔다. 773곳 가운데 검증 대상은 약 5%였다. 검증 대상은 기업이 6월 30일까지 공시한 2024년도 정보보호 투자와 인력 등의 항목이었다.