10월 1일 시행 개정 정보통신망법, 시행 전 점검할 두 가지

10월 1일(목)부터 개정 정보통신망법과 시행령이 시행됩니다. 이번 개정으로 고의·중과실로 침해사고를 반복한 기업에는 관련 매출액의 최대 3%까지 과징금이, 정부의 시정명령을 이행하지 않은 기업에는 이행강제금이 부과됩니다. 기업 보안이 실무의 영역을 넘어 경영진이 직접 책임지는 사안으로 옮겨 간 만큼, 시행 전에 점검해 볼 사항을 정리했습니다.

무엇이 바뀌었나

이 밖에 침해사고 정황이 확보되면 정부가 직권으로 조사할 수 있도록 권한이 넓어졌고, 침해사고 지연 신고에 대한 과태료도 올랐습니다.

1. 정보보호 거버넌스 정비 여부

• CISO: 중견기업 등이라면 CISO가 임원으로 지정되어 있는지 확인합니다. 새로 지정해야 하는 경우 6개월의 유예기간이 있습니다.
• 정보보호위원회: CISO 신고 의무가 있는 기업이라면 위원회를 두고, 심의 결과를 CEO와 이사회에 보고하는 체계가 필요합니다.
• ISMS 강화인증: ISMS 인증 의무자 중 전년도 매출액 1조 원 이상 통신사 등 주요정보통신서비스 제공자·집적정보통신시설 사업자, 전년도 매출액 3조 원 이상 정보통신서비스 제공자, 최근 3년 안에 민관합동조사단 조사나 과징금 처분을 받은 사업자가 대상입니다. 해당 여부를 확인해 두세요.

위원회가 생기면 "무엇을 심의하고 보고할지"가 바로 과제가 됩니다. 보안 상태를 숫자와 근거로 보여 줄 자료가 필요합니다.

2. 반복 침해사고에 대한 대비 여부

과징금은 고의·중과실에 의한 반복 침해사고를 기준으로 부과됩니다. 한 번 뚫린 길을 다시 막지 못하는 것이 가장 큰 위험입니다.

최근 공격은 탐지 기반 방어를 우회하는 방식이 늘고 있습니다. 정상 계정과 권한을 쓰거나, 아무도 관리하지 않던 외부 자산으로 들어옵니다. 그래서 두 가지가 함께 갖춰져 있어야 합니다.

• 예방 통제: 공격자가 쓸 길을 미리 찾아 없앱니다. 밖에 노출된 자산, 관리자로 이어지는 권한 경로, 잘못된 설정이 대상입니다.
• 대응·소명 체계: 사고가 나면 정황을 빨리 파악하고, 무엇을 했는지 기록으로 보여 줄 수 있어야 합니다. 시정명령과 자료제출 요구에 제때 응하지 못하면 이행강제금이 쌓입니다.

어디서부터 볼까

TDG의 보안 수준 진단은 서로 다른 곳을 보는 세 가지 진단으로 시작합니다. 필요한 것만 골라 하나, 둘, 또는 세 가지 모두 받으실 수 있습니다.

진단 결과는 지금 고칠 곳의 목록이자, 예방 노력을 보여 주는 기록이 됩니다. 구체적인 법적 의무와 해당 여부는 법률 자문을 함께 받으시기 바랍니다.

출처: 과학기술정보통신부 보도자료 「사이버 침해사고 예방·대응 전면 강화를 위한 정보통신망법·시행령, 10월 1일부터 시행」(2026. 9. 30).