해킹 책임, '제재' 넘어 '피해 구제'로…기업 보안 투자 늘어날까

앞으로 해킹, 랜섬웨어(Ransomware) 등 침해사고로 정보통신서비스 장애가 2시간 이상 이어질 경우 기업에서 이용자에게 사고 사실을 알려야 하는 의무가 생겼다. 또한 침해사고를 신고한 날부터 14일 내로 이용자의 피해구제 방안을 정부에 제출해야 한다. 정부 조치가 단순 기업의 제재에 그치는 것이 아니라, 소비자 피해 구제까지 연결될 수 있도록 하는 것이 핵심이다. 그러나 결국 기업이 부담해야 할 책임 범위가 늘어난 만큼 보안의 중요성은 더욱 커졌다. 이에 안티 랜섬웨어 등 침해사고에 대응하는 솔루션에 대한 투자가 활성화될 수도 있다는 전망이 나온다. 13일 과학기술정보통신부 등에 따르면 최근 정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법) 시행령 일부개정령안이 입법예고됐다. 개정 시행령에는 침해사고로 정보통신서비스 장애 또는 중단이 2시간 이상 발생한 경우 사업자가 이용자에게 사고 사실을 통지하고, 침해사고를 신고한 날부터 14일 이내에 이용자 피해 구제 조치 내용과 결과를 제출하도록 하는 내용이 담겼다. 통지 내용에는 사고 발생 시점과 원인, 피해 내용, 대응 현황, 이용자가 피해를 줄이기 위해 할 수 있는 방법, 피해구제 절차, 담당 부서 연락처 등이 포함됐다. 이를 통해 기업의 사이버 침해사고가 신고·수습·제재 등을 넘어 이용자 피해 구제에 초점을 맞춤으로써 기업의 책임 범위를 확장시켰다. 최근 보안 관련 규제는 강화 추세다. 오는 9월11일부터는 개인정보 유출 사고가 발생한 기업에 대해 전체 매출액의 최대 10%까지 징벌적 과징금을 부과하는 제도가 시행될 예정이다. 또 내년부터는 정보보호 투자 공시 의무 대상이 전체 상장사 및 ISMS(정보보호관리체계) 인증 의무 기업 등을 대상으로 확대된다. 지난해부터 잇달은 해킹 사고로 개인정보 유출, 정보통신서비스 이용 불가 등 피해가 확대된 만큼 사고가 발생한 기업에 더 많은 책임을 부여함으로써 보안 투자 확대를 유도하기 위함으로 풀이된다. 정보통신서비스가 2시간 이상 중단되는 수준의 공격은 해킹으로 인한 침입이 발생해 이를 조치하기 위함이거나, 랜섬웨어 공격으로 서비스가 마비돼 정상적으로 운영이 불가능한 경우, 분산서비스거부(DDoS) 공격이 대표적이다. 따라서 관련한 보안 솔루션 투자 확대가 점쳐지고 있다. 전문가들도 정보통신망법 개정, 보안 관련 컴플라이언스 강화로 보안 투자가 확대될 것으로 전망했다. 염흥열 순천향대 정보보호학과 명예교수는 "정부가 정보통신망법 개정 등으로 침해사고 사전 예방 조치를 강화한 것으로 보인다"며 "이에 따라 기업이나 조직에서도 보안에 사전 투자하는 데 도움이 될 수 있을 것으로 생각된다"고 말했다. 다만 보안업계에서는 아직 신중한 태도를 견지하고 있다. 홍승균 에브리존 대표는 "해킹은 여러 형태가 있고, 사고에 여러 정황이 있기 때문에 정확히 투자 활성화를 예측하기는 어렵다"면서 "안티 랜섬웨어 시장의 수혜를 기대하기에도 한정적"이라고 밝혔다.