과학기술정보통신부가 정보통신망 침해사고를 겪은 기업의 이용자 보호업무 체계를 상시 평가하는 시스템을 마련한다. 사고 이후 조사와 제재에 집중됐던 침해사고 규제에 정부의 사전 규제가 더해지는 구조다. 방송미디어통신위원회가 이미 전반적인 이용자 보호업무 평가를 수행하는 상황에서 중복 규제 우려도 제기된다.
31일 과기정통부는 이같은 내용의 전기통신사업법 시행령 일부개정령안을 입법예고했다.
개정령안은 법제처 심사와 국무회의를 거쳐 10월 1일 시행된다. 이번 법안은 '정보통신망 침해사고'와 관련해 이용자 보호업무 평가 주체를 방미통위에서 과기정통부로 변경한 전기통신사업법 개정에 따른 후속 조치다. 정부가 기업의 보호업무를 직접 평가함으로써 침해사고 피해를 미리 방지하고, 보안수준·체계의 자발적 개선을 유도하겠다는 취지다.
핵심은 평가 대상자 선정 기준이다. 신설되는 시행령 제37조의2 제1항은 과기정통부 장관이 평가 대상을 선정할 때 전기통신역무별 이용자 규모와 침해사고 발생 정도를 종합 고려하도록 했다. 침해사고 이력이 대상 선정 요소로 명문화된 것이다. 이용자 규모가 큰 이동통신사가 우선 대상군에 포함될 가능성이 크다.
구체적 평가 사항은 침해사고 예방 및 대응체계 구축 여부, 침해사고에 관한 이용자 보호 관련 법규 준수 실적, 그 밖에 침해사고로부터 이용자를 보호하는 업무에 관한 사항이다. 정보통신망법상 정보보호수준 평가와 함께 실시할 수 있다는 조항도 신설됐다.
과기정통부는 매년 평가 일정과 내용이 담긴 평가계획을 대상자에게 서면 통지하고 필요한 자료 제출을 명할 수 있다. 평가 실무는 한국인터넷진흥원(KISA)에 위탁한다. 정보보호수준 평가에 이어 침해사고 이용자 보호 평가까지 KISA로 모이면서 통신 보안 평가 창구가 일원화되는 구조다.
침해사고 발생시 금전적 제재에 더해 매년 반복되는 성적표가 붙는다는 점에서 기업의 부담이 가중될 수밖에 없다.
방미통위가 수행해 온 기존 이용자 보호업무 평가도 일부 존치되면서 중복 규제에 대한 우려가 나온다. 방미통위는 기간·부가통신사업자에 대한 이용자 보호업무 관리체계 적합성과 불만처리 실적 등 이용자 보호업무에 관한 전반적 사항을 평가해왔다. 앞으로는 정보통신망에 대한 침해사고 분야는 과기정통부의 평가를, 나머지 전반적 이용자 보호 분야는 방미통위 평가를 각각 받도록 이원화할 방침이다.
정보통신기술(ICT) 업계 관계자는 “과기정통부의 이용자 보호업무 평가가 침해사고에만 한정한다고 하더라도 업무의 교집합이 있을 수밖에 없고 중복이 발행할 우려가 크다”면서 “두 부처가 요구하는 자료와 지표가 다르면 이중 대응하는 데도 어려움을 겪을 수 있어 업무분장을 세심하게 해야 할 필요가 있다”고 말했다.
박준호 기자 junho@etnews.com
