중소기업 개인정보 보호, 등급화해 공개한다

2025년
5월 25일(일)

중기이코노미TV 경영정보 오피니언 우린 중기인 예술을 읽다 핫클릭

보내는 기사	중소기업 개인정보 보호, 등급화해 공개한다

Live 중기산업뉴스

중소기업 개인정보 보호, 등급화해 공개한다 ‘정보보호 준비도 평가’ 올해말 시행 추진

기사입력2014-08-18 05:00

이창호 기자 (xg139@junggi.co.kr) ㅣ다른기사보기

정부가 기업의 정보보호 준비 정도를 등급화해 공개하는 ‘정보보호 준비도 평가’를 올해말 도입할 예정이다. ICT분야뿐만 아니라 영세·중소기업이 모두 대상이 될 예정이어서 기업들의 대처가 시급하다.

지난달 31일 미래창조과학부는 ‘개인정보보호 정상화 대책’을 발표하고 개인정보 보호에 따른 처벌을 강화하는 방안을 추진하기로 했다.

고의·중과실로 개인정보를 유출한 기관에 대해 가중된 책임을 물어 피해액의 최대 3배까지 배상액을 중과하는 징벌적 손해배상제도를 신규 도입하고, 개인정보 유출피해시 구체적 피해액 입증 없이도 법원 판결을 통해 300만원 이내를 보상받는 법정손해배상제도를 확대적용하겠다는 것이다. 개인정보 유출 등 범죄자에 대한 처벌도 강화되며, 개인정보 보호책임자(CPO)를 임원급으로 지정하고 최고경영자(CEO)에게 보고토록 해 기업 책임성도 강화한다.

정부의 개인정보 보호대책은 금융기관이나 ICT관련 기업 등 개인정보를 많이 취급하는 일부 업종만을 대상으로 하는 것이 아니다. 안행부와 방통위 등이 올 상반기동안 191개 업체를 대상으로 조사한 결과, 6월말 현재 점검결과가 정리된 120개 업체 등 116개업체에서 198건의 개인정보보호법 위반사례가 적발됐다.

이들업체 중 ICT분야는 39개업체에 불과했고, 나머지 77개 업체에는 ICT와 무관한 화장품 업체와 마트 등 생활밀착형업체들이 포함됐다.

ICT관련 업체 중에서도 온라인 쇼핑몰과 SMS 대량발송업체들이 포함됐다. 통신사나 금융관련기업 등 대기업이나 일부업종만의 문제가 아니라, 업종과 규모에 관계없이 개인정보를 다루는 모든 기업이 개인정보보호법 위반에 따른 처벌을 받을 수 있다는 의미다.

이에 따라 정부는 정보통신망법 등에 따라 일부 기업에 대해서만 적용되는 기존의 정보보호 관리체계(ISMS) 외에 영세·중소기업과 비ICT분야까지 포괄하는 ‘정보보호 준비도 평가’를 올 연말까지 도입한다는 계획을 추진 중이다.

정보보호 준비도 평가와 기존제도의 차이점

<자료=한국인터넷진흥원>

13일 미래부와 한국인터넷진흥원이 개최한 ‘정보보호 준비도평가 기술설명회’에서는 정보보호 준비도 평가제도의 개요와 추진방안이 소개됐다.

새로 도입이 추진되는 정보보호 준비도 평가는 보안투자 비율, 인력과 조직 확충, 개인정보 보호, 법규 준수 등 기업의 보안역량 강화를 위해 정보보호 준비수준을 평가해 준비등급을 부여하는 제도다.

기존의 정보보호 관리체계(ISMS)와는 여러 가지 차이를 보이고 있다. 우선 정부주도의 법률에 따른 규제가 아니라 민간 주도의 자율규제로 도입된다.

정보보호 관리체계(ISMS)는 정보통신망법에 다른 일정 기준 이상의 의무대상자와 자율신청기업이 대상이다. 의무대상자가 인증을 받지 않을 경우 과태료가 부과된다. 기준을 확장하거나 변경하기 위해서는 정부고시를 개정해야 한다.

이와 달리 정보보호 준비도평가는 인증 방식이 아니라, 개별 기업의 정보보호 준비 정도를 B·BB·A·AA·AAA의 5개등급으로 표시하는 제도다. 대상은 모든 형태의 기업이며, 기준확장과 변경 역시 유연한 형태로 설계될 전망이다.

기준 역시 정보보호 관리체계의 104개에 비해 1/3 수준인 30개 항목으로 평가될 예정이다. 세부항목은 기반지표와 활동지표, 선택사항인 개이정보 보호로 나뉜다. 기반지표의 경우 정보보호 관련 책임자 지정, 인력과 조직 확충, 정보보호 추진계획과 예산 수립 및 집행 등으로 구성된다.

활동지표의 경우 정보보호 교육 수행 여부, 통신시설 보안 및 출입관리, 취약점 점검, 정보보호 사고탐지 및 대응, 자료유출 방지, PC 및 모바일 기기 보안 등을 평가한다. 선택지표는 개인정보 최소수집, 개인정보 수집 고지 및 동의 획득, 이용자 권리 보호, 개인정보 파기 등을 평가한다.

등급은 각 항목 점수를 합산한 뒤 부여하는데, B등급 이상은 모든 항목에서 1점 이상을, A등급 이상은 모든 항목에서 2점 이상을 반드시 충족해야 한다.

정보보호 준비도 평가는 인터넷진흥원이 등급모델, 평가기준 및 방법을 설계한 뒤 민간에 기술이전해 사업화하는 방식으로 도입될 예정이다. 인터넷진흥원은 과제수행 기관을 공모한 뒤, 시험평가 수행과 운영방안 개발을 통해 민간기관이 준비도 평가를 운영하도록 한다는 방침이다.

시행 시기는 용역이 끝나는 올 연말이 될 전망이다.

이와 함께 정부는 정보보호 지원을 강화하는 등 각종 인센티브 방안도 추진하기로 했다. 우선 중소기업이 정보보호 시설·제품 등에 직접 투자한 비용에 대해 적용하던 세액공제를 올 연말에서 2017년까지 연장 운영하기로 했다. 조세감면 폭 역시 기존의 7%에서 10%로 확대할 예정이다. 현재 운영중인 중소기업의 정보보호서비스 컨설팅 비용에 대한 25%의 세액공제 제도에 대한 홍보도 강화한다.

중소기업이 정보보호를 담당할 신규인력을 채용한 경우 1인당 월 90만원의 인건비를 보조하는 방안도 추가하기로 했다. 또 ‘정보보호 우수기업’으로 선정될 경우 공공조달 및 국가 연구개발사업 참여 시 가점도 부여할 예정이다.

기업이 정보보호 관련보험에 가입할 경우 보험료를 5~15% 할인받을 수 있도록 관련기관 및 업계의 협력도 추진하기로 했다.

강성주 미래부 정보화전략국장은 “올해 초부터 학계, 보안업계, 기업 보안담당자 등 다양한 분야의 전문가와 함께 ‘정보보호 준비도 평가’ 도입을 위한 지속적인 논의를 진행 해왔다”며 “정부가 아닌 민간주도의 ‘정보보호 준비도 평가’가 도입되면 기업이 스스로 보안투자를 확대하고, 정보보호 조치를 강화하는 등 민간에서 자발적으로 보안수준을 높여나가는 정보보호 자율규제 문화가 정착될 것으로 기대한다” 고 밝혔다.