검색창 열기 인더뉴스 부·울·경

Industry/Policy 산업/정책

CISO 지정·신고 대상 현실화...자격요건·겸직금지 신설

URL복사

Friday, June 07, 2019, 16:06:16

대상 3만 9000개로 감소..정보보안 석사 이상·보안업무 전담
인력 수급 어려워 지정률 낮은 편..양성 로드맵·제도 개선 지원

인더뉴스 이진솔 기자ㅣ 증가하는 보안 위협에 대응하고자 기업에 정보보호최고책임자(CISO·Chief Information Security Office)를 두는 제도가 지난 2012년 본격적으로 시행된 지 7년이 지났다. 하지만 누구를 CISO에 앉혀야하고, 보안 인력은 어떻게 양성해야 하는지를 두고 혼선이 이어져왔다.

 

지난 4일 기업 CISO 지정 제도를 개선하는 법률 시행령 개정안이 국무회의를 통과했다. CISO 겸직금지와 자격요건을 명시하는 내용이 새로 담겼다. 반면 의무 신고 대상 기업은 줄어, 보안 규제가 완화된 것이 아니냐는 시각이 존재한다. 변경된 제도는 오는 13일부터 시행될 예정이다.

 

지난 4일 김정희 한국인터넷진흥원(KISA) 사이버보안빅데이터센터장은 “인터넷으로 거래하는 정육점 사장님까지 CISO를 지정해야했던 기존 법령을 개선한 것”이라며 “대상을 줄였다기 보다는 기준을 더욱 현실적으로, 확실하게 잡았다고 볼 수 있다”라고 말했다.

 

CISO는 기업에 필요한 정보보호 정책을 수립하는 임원을 말한다. 정보보안에 관한 한 CEO에 준하는 책임을 갖는다. 경영자 입장에서 정보기술을 다루는 CIO와도 구분되지만, IT시스템을 관리한다는 접점 때문에 CIO가 CISO를 겸직하는 경우가 많았다.

 

◇ CISO 의무 대상 현실화하는 대신 자격요건·겸직금지 대상 신설

 

우선 이번 개정안에서는 정보통신 서비스 제공자 중에서 CISO를 현실적으로 운영할 수 있는 조직을 대상으로 한다. 지정·신고 대상은 기업집단(대기업), 중견기업, 중기업이 포함된다. 소기업 중에서는 정보통신서비스와 밀접한 기업 일부가 대상이다.

 

자본금 1억 원 이하인 부가통신 사업자와 소상공인, 소기업(전기통신사업자, 집적정보통신시설사업자 제외) 등은 CISO 지정·신고 의무에서 면제된다. 이에 따라 의무 지정 대상이 19만 9000여 개에서 약 3만 9000만 정도로 줄었다.

 

CISO 겸직금지 역시 모든 신고대상자가 아닌 해당 업무가 정보통신과 밀접하게 관련될 때에만 해당한다. 총자산 5조 원 이상인 기업과 총자산 5000억 원 이상인 기업 중 정보보호 관리체계(ISMS) 인증 의무대상자는 겸직 없이 정보보안 업무에 전념하는 CISO를 지정해야한다.

 

김정희 센터장은 “기업은 CISO 운영을 비용으로 받아들일 수 있다고 판단해 정책기관이나 기업책임자 의견을 수렴해 기준을 정한 것”이라며 “매년 내용이 변경될 수 있다”고 말했다.

 

기본적으로 정보보호 또는 정보기술분야 석사학위 이상 취득자를 대상으로 하는 자격요건이 신설됐다. 겸직금지 대상일 경우 ▲정보보호 분야 경력 4년 이상 ▲정보보호와 정보기술 업무 수행 경력이 합산 5년 이상(그중 2년 이상은 정보보호 업무 수행 경력) 등 요건이 추가된다.

 

◇ 해외에 비해 낮은 국내 CISO 지정률..인력 양성 지원해 제도 안착 노력

 

지난 4월 기준으로 국내에서 CISO를 지정해 신고한 기업은 9587개다. 국내 기업이 CISO를 임명하는 비율은 2016년 8.9%에서 이듬해 12.6%로 늘었지만 일본 45.9%(2016년 기준)와 미국 65%(2016년 기준)에 비해 낮은 편이다. 

 

제도가 제대로 지켜지지 않는 주된 이유는 인력 수급이 어렵기 때문이다. 자격요건을 충족하는 임원급 인재를 찾기 어려운 데다 장기적으로 육성하려해도 인력 유출이 발생할 수 있다. 새로운 직책 신설과 인력 운용에 따른 비용도 걸림돌이다.

 

반면, 정보보안을 중시하는 측에서는 개정된 자격요건이 낮다고 주장한다. 규정을 지키지 않았을 때 내는 과태료가 적다는 의견도 있다. 과태료는 1차 위반 시 1000만 원으로 시작해 2000만 원(2차 위반), 3000만 원(3차 위반)으로 증가한다.

 

우선 KISA는 지정·신고 의무가 있는 4만여 대상 기업에 이행을 독려하며 개선사항을 확인할 계획이다. 김정희 센터장은 “자격 요건은 인력 수급을 고려해 정해진 것으로 인력 양성을 지원할 것”이라며 “상황에 맞춰 개선 노력을 지속하겠다”고 말했다.

English(中文·日本語) news is the result of applying Google Translate. <iN THE NEWS> is not responsible for the content of English(中文·日本語) news.

배너

이진솔 기자 jinsol@inthenews.co.kr

배너

KT, 고객 5561명 유심 정보 유출 확인…“100 보상 강구”

KT, 고객 5561명 유심 정보 유출 확인…“100% 보상 강구”

2025.09.11 17:07:55

인더뉴스 이종현 기자ㅣKT는 최근 발생한 무단 소액결제 사고와 관련해 불법 초소형 기지국을 통해 이용자 5천561명의 개인정보 유출 가능성을 확인하고 개인정보보호위원회에 신고했다고 11일 밝혔습니다. 김영섭 KT 대표는 이날 서울 광화문 사옥에서 소액결제 피해 사고 관련 기자간담회를 열고 “소액결제 피해 사고로 큰 불안과 심려를 끼쳐드린 점을 사과 드리고자 무거운 마음으로 이 자리에 섰다”며 “국민과 고객, 유관기관 여러분께 염려를 끼쳐 죄송하고 피해 고객에게 머리 숙여 죄송하다는 말씀을 드린다"고 말했습니다. 김 대표는 ”관계 당국과 사고원인을 파악 중으로 모든 역량을 투입해 추가 피해가 일어나지 않도록 기술적 조치를 취하고 피해 고객에게 100% 보상책을 강구하겠다“며 ”통신사로서 의무와 역할을 다하겠다“고 말했습니다. KT는 자체 조사 결과, 불법 초소형 기지국을 통해 일부 이용자의 국제이동가입자식별정보(IMSI)가 유출된 정황을 확인했다고 설명했습니다. 다만 유심 관련 핵심 정보가 저장되는 홈가입자서버(HSS) 침해나 불법 기기 변경·복제폰 정황은 전혀 없다고 밝혔습니다. KT는 불법 초소형 기지국의 신호 수신 이력이 있는 이용자 중 IMSI 유출 가능성이 있는 고객은 5561명으로 확인했습니다. KT는 이날 오후 개인정보 유출이 의심되는 이용자들에게 개인정보보호위 신고한 사실과 피해 사실 여부 조회 방법, 유심 교체 신청 및 보호서비스 가입 링크에 대해 문자 메시지(SMS)로 안내했습니다. KT는 불법 초소형 기지국 신호 수신 이력이 있는 이용자 전원의 유심을 무료 교체하고 유심 보호 서비스를 제공할 계획입니다. KT는 또 비정상 소액결제 발생 여부를 전수 조사해 피해가 확인된 고객을 대상으로 개별 안내하며 소액결제 청구를 면제하고 추가 피해가 발생하지 않도록 조치했다고 설명했습니다. 이와 함께 12일부터 소액결제 본인인증에 생체인증이 도입된 패스(PASS) 인증만 적용키로 했습니다.




배너