정보유출 사고가 잇따르면서 전 산업군 정보보호 체계 강화가 시급해진 가운데, 보안 취약점 신고를 활성화하고 예방 체계를 실효화하기 위한 법안이 발의됐다. 신고 포상금 상한을 최대 2000만 원으로 늘리고, 형식에 치우쳤다는 지적을 받아온 정보보호 체계를 정비하는 것이 골자다.

26일 국회 의안정보시스템에 따르면, 박상혁 더불어민주당 의원은 최근 정보보호 취약점 신고자에 대한 포상금 상한을 기존 1000만 원에서 최대 2000만 원으로 상향 조정하는 내용을 담은 '정보통신망 이용촉진 및 정보보호 등에 관한 법률 일부개정법률안'을 대표 발의했다.

이번 개정안은 최근 국회입법조사처가 지적한 현행 정보보호 체계의 구조적 한계를 보완하기 위해 추진됐다.

2025년 침해사고 역대 최다…'기본 보안 부실'이 원인
국회입법조사처가 발표한 '기본부터 다시 갖춰야 할 정보보호 체계' 연구 보고서에 따르면, 2025년 한국인터넷진흥원(KISA)에 접수된 사이버 침해사고는 총 2383건으로 전년 대비 26.3% 증가하며 역대 최다를 기록했다. 사고 양상 역시 개별 시스템 침해를 넘어 통신, 금융, 플랫폼, 공공 행정망 등 국민 생활에 밀접한 주요 인프라 전반으로 확산되는 추세다.

입법조사처는 2025년 발생한 주요 침해사고의 공통 원인으로 '기본 보안 관리 부실'을 꼽았다. 핵심 정보 보호 방식, 인증·접속통제 체계, 자산·계정 관리 등 기본적 보안 수칙이 현장에서 제대로 작동하지 않았다는 분석이다. 특히 사고 기업들이 정보보호관리체계(ISMS) 인증을 보유했음에도 중대 사고를 막지 못한 점을 지적하며, 현행 인증제도가 실질적 위험 관리보다 형식적 요건 충족에 치중돼 있다고 지적했다.

포상금 2배 인상 및 서버 폐기 시 '이사회·CISO 승인' 의무화
개정안은 이 같은 사전 예방 체계의 허점을 메우는 데 초점을 맞췄다. 우선 보안 취약점의 조기 발굴을 유도하기 위해 현행 '정보보호 취약점 신고포상제'의 포상금 상한을 기존 '5만 원 이상 1000만 원 이하'에서 최대 2000만 원으로 2배 인상하도록 했다.

법 적용 대상도 확대된다. 개정안은 '공공기관의 운영에 관한 법률'에 따른 공공기관 중 대통령령으로 정하는 자를 정보보호 의무 대상에 명시적으로 추가해 공공 부문의 보안 책임성을 강화했다.

아울러 침해사고 발생 시 원인 규명과 증거 보전을 위한 절차도 까다로워진다. 정보통신망 운영자가 서버의 재설치 및 폐기 등 보전 대상 자료에 영향을 미치는 조치를 취할 경우, 반드시 이사회 및 정보보호 최고책임자(CISO)의 보고와 승인을 거치도록 했다. 또한 관련 의사결정 과정을 기록해 3년간 의무 보관하도록 규정했다.

한 통신업계 관계자는 "포상금 상한이 늘어나면 국내 화이트해커 제보가 활성화될 것"이라며 "집단지성을 활용해 보안 취약점을 미리 잡는 예방 효과가 커질 것으로 기대한다"고 전했다.

smk5031@news1.kr