728x90
반응형
최근 국내 최대 통신사인 SKT의 충격적인 대규모 자료 유출 사건이 터진 가운데 개인정보보호에 대한 관심이 폭발적으로 증가하게 되었습니다. 디지털 전환 가속화와 원격 근무 확산, IoT·AI 기술 도입으로 사이버 위협이 지능화·대규모화되면서 2025년에는 국내외에서 사이버 보안 관련 법률을 전방위적으로 개정·강화하여 기업·기관의 책임과 의무를 대폭 확대하고 있습니다. 주요 내용을 정리하면 다음과 같습니다.
1. 개인정보 보호법 전면 개정
- 데이터 유출 신고 기한을 기존 ‘5일 이내’에서 ‘2일 이내’로 단축
- 과징금 상한을 매출액의 3% → 최대 6%로 상향, 고의·중과실 시 적용
- 개인정보 영향평가(PIA) 대상 확대: 연 매출 100억 원 이상 사업자까지
- 처리 단계별 암호화·익명화·접근 통제 조치 의무화
2. 정보통신망법 강화
- 주요망 운영자는 백업·복구 계획, 네트워크 분리·격리, 모의 침투테스트 실시 의무
- 위반 시 최대 10억 원 과징금, 최대 징역 7년까지 형사처벌
- 클라우드·ASP 제공 사업자는 CC인증, ISMS-P 인증 의무화
3. 산업기반시설 보호법 개정
- 12개 핵심 기반시설 보안 점검 주기: 3년 → 1년
- 사고 발생 시 24시간 이내 신고·공개 및 피해 보고 의무
- CISO 선임, 연간 보안 교육, 모의훈련 결과 공시 제도 도입
4. 공급망(Supply Chain) 보안 규제
- SSDF 적용 의무화: 오픈소스·서드파티 모듈 취약점 스캔, 패치 이력 관리
- 골든 이미지 관리: 표준 시스템 구축, 변경 통제 및 비인가 변경 자동 차단
5. AI·IoT 기기 보안 가이드라인
- AI 플랫폼 사업자는 모델·데이터 무결성 검증 시험 및 보안성 평가 보고서 공개
- IoT 기기: 기본 계정 삭제, 강력한 인증 기법, 정기 업데이트 주기 명시 및 보안시험성적서 필수
6. 데이터 국경간 이전 규제
- 이전 계약 시 상대국 개인정보 보호 수준 검증 의무화
- 암호화, 접근통제 등 기술·조직적 보호조치를 매뉴얼로 보관
- 위반 시 과징금 및 형사처벌 대상
7. 국제 협력 및 공공-민간 정보공유
- ‘부다페스트 사이버범죄협약’ 가입 국가 간 수사·증거 확보 절차 단축
- G20 사이버보안 공동선언 기반 정보공유·대응 체계 구축
- ISAC(업종별 사이버위협정보공유체계) 활성화: 금융·에너지 분야 모의침투 보고서 24시간 내 제공
8. 법제 강화에 따른 기업·기관 대응
- 보안 거버넌스 전주기 체계 구축 필수 (사전 예방 → 실시간 모니터링 → 사고 대응 → 사후 평가)
- 보안 투자 및 인력 확충, CISO 역할 강화로 경영진 책임성 확보
- 위반 시 임직원 징계, 형사처벌, 과징금 등 경영 리스크 직결
2025년 사이버 보안 법제도는 단순 규제 확산을 넘어 ‘책임성·투명성’ 중심으로 진화하고 있습니다. 기업과 기관은 더욱 엄격해진 법적 요건을 충족하기 위해 보안 시스템·인력·조직 운영 전반을 재점검하고, 글로벌 표준과 연계된 거버넌스 체계를 강화해야 할 것입니다.
728x90
반응형