[SKT 해킹 1년 ④] 더 높아진 정보보호 경각심···법·제도 '판' 바뀐다

[서울파이낸스 이도경 기자] SK텔레콤 대규모 해킹 사태는 국내 정보보호 법·제도를 전면 재편하는 기폭제로 작용했다.

사태 발생 후 1년 사이 개인정보보호법 과징금 상한이 3배 이상으로 뛰었고, 정부는 자진신고 없이도 침해사고를 조사할 수 있는 권한을 확보했다. 2027년부터는 모든 상장사가 정보보호 공시 대상이 된다.

◇ '매출액 10%' 과징금···SKT 사태가 낳은 징벌적 체계=

가장 큰 변화는 개인정보보호법 과징금 체계의 전환이다. 국회는 SKT 사태 직후 개인정보보호법 개정안 14건을 발의했고, 이를 통합한 대안이 지난 2월 본회의를 통과하면서 기존 '관련 매출액의 3%'였던 과징금 상한이 일정 요건에서 '전체 매출액의 10%'로 상향됐다.

해당 요건은 △3년 이내 반복 위반 △정보주체 피해 규모 1000만명 이상 △시정명령 미이행 등이다. 사업주·대표이사를 개인정보 보호의 '최종 책임자'로 명시하고, 유출이 아닌 '유출 가능성' 단계에서도 정보주체에 통지하도록 의무화한 것도 핵심 변화다.

앞서 개인정보보호위원회가 지난해 8월 SKT에 부과한 과징금 1347억9100만원은 위원회 출범 이래 역대 최대였지만, 매출액의 약 1% 수준에 그친다는 비판이 제기됐다. 개정법 적용 시 SKT와 유사한 사고에 대해서는 조 단위 과징금 부과도 가능해진다.

고학수 개인정보보호위원회 위원장이 28일 서울 종로구 정부서울청사에서 SK텔레콤 개인정보 유출사고 제재처분 의결과 관련해 브리핑하고 있다. (사진=연합뉴스)

◇ 정보통신망법 개정···"신고 안 해도 조사 가능"=

국회는 지난달 12일 정보통신망법 개정안을 통과시켜 반복 침해사고에 대한 과징금 부과 근거를 신설하고, 과학기술정보통신부에 '침해사고조사심의위원회'를 설치했다.

이 과정에서 정부 조사권이 대폭 강화돼 기업이 자진신고하지 않은 사안에도 조사에 착수할 수 있는 여지가 넓어졌다. 그간 정부는 기업의 자진신고 건에만 조사할 수 있었으나, 개정 이후에는 정황 확인만으로 현장조사 착수가 가능해졌다.

이는 SKT 침해사고를 넘어, LG유플러스가 지난해 7월 과기정통부로부터 해킹 정황을 통보받고도 10월에야 한국인터넷진흥원(KISA)에 공식 신고한 사례가 주요 배경으로 꼽힌다. 침해사고 분석 범위도 기존 '원인 분석' 중심에서 '침해사고 발생 여부' 확인까지 확대됐다.

◇ 범부처 종합대책···2027년 전 상장사 공시 의무화=

관계부처가 지난해 10월 발표한 '범부처 정보보호 종합대책'도 후속 조치가 본격화되고 있다. 통신·금융·공공 부문 1600여개 정보통신(IT) 시스템의 보안 취약점 점검과 통신사 대상 해킹 시나리오 기반 불시 점검이 대책에 담겼다.

특히 정보보호산업법 시행령 개정안은 지난 1월 입법예고를 거쳐 2027년 1월 1일부터 시행된다. 기존 '매출액 3000억원 이상' 조건이 삭제되면서 유가증권시장·코스닥시장 상장 법인 전체가 정보보호 공시 대상이 된다.

정보보호 관리체계(ISMS) 인증 의무 기업도 새로 포함됐으며, 공공기관·금융회사·소기업·전자금융업자에 대한 예외 조항도 삭제됐다. 과기정통부는 "정보보호 공시 제도의 사각지대를 해소하고 사회적 영향력이 높은 기업의 정보보호 책임을 강화하기 위한 조치"라고 설명했다.

배경훈 부총리 겸 과학기술정보통신부 장관이 22일 서울 종로구 정부서울청사에서 열린 합동브리핑에서 범부처 정보보호 종합대책을 발표하고 있다. (사진=연합뉴스)

◇ "처벌만 강화, 예방은 공백"···사후 제재 편중 비판=

다만 잇따른 법·제도 개편이 '사후 제재' 중심에 머물러 있다는 비판도 함께 제기된다. 침해사고 발생 이후 과징금·책임 추궁 수단은 대폭 강화됐지만, 사고 자체를 막기 위한 보안 인력 양성과 투자 지원 등 예방 단계 대책은 반영되지 않았다는 지적이다.

특히 중소·중견기업이 규제 공백의 사각지대에 놓일 수 있다는 우려가 크다. 과징금 상한이 매출액 10%로 오르고 대표이사 책임이 명시되면서 대기업은 법무·컴플라이언스 대응을 대폭 강화하는 방향으로 움직이고 있지만, 자체 보안 역량이 부족한 중소기업은 현실적으로 대응이 어려운 상황이다.

업계 관계자는 "과징금 상한을 매출 10%로 올린 것은 상징성이 크지만, 정작 현장에서 필요한 보안 인력 양성이나 중소기업 지원 체계는 이번 개정안에서 빠졌다"며 "결국 대기업은 과징금 리스크에 대비해 법무 대응을 강화하고, 중소기업은 따라가기 벅찬 규제 공백이 생길 수 있다"고 말했다.