정보통신망법상 해킹 경보 규정 개선 필요
"경보 대상·내용·방식 구체적으로 정해야"
"방송통신재난으로 분류하는 방안도 가능"
"위약금 면제, 전기통신사업법에 추가 검토"

[서울=뉴시스] 황준선 기자 = 지난 2일 서울 시내 한 이동통신사 대리점 모습025.05.02. hwang@newsis.com

[서울=뉴시스] 박은비 기자 = 지난 2022년 카카오 먹통 사태 당시 정부가 재난문자를 발송했지만 이번 SK텔레콤 유심정보 유출 사고에는 없었던 이유가 입법 미비 때문이라는 국회입법조사처 분석이 나왔다.

7일 국회입법조사처가 발간한 '통신사 해킹 사고 사후대응의 문제점과 입법 과제 : SK텔레콤 해킹 피해 사태를 중심으로'에 따르면 현행 정보통신망 이용촉진 및 정보보호 등에 관한 법률(정보통신망법)은 해킹 등 침해사고가 발생한 경우 과학기술정보통신부장관이 침해사고 경보를 수행하도록 규정하고 있다.

하지만 입법조사처는 "이는 사업자 및 관계 기관에 대한 경보에 그칠 수 있고 국민에게 직접적으로 위험성을 전달하는 경보 체계를 갖추고 있지는 않다"며 "해킹 사고에서 정부의 경보 체계가 부재한 것은 국민의 경각심을 떨어뜨리고 피해 예방 기회를 놓치게 하므로 개선이 필요하다"고 평가했다.

앞서 2022년 데이터센터 화재로 발생한 카카오 서비스가 장기간 중단된 상황에서는 정부가 재난 및 안전관리 기본법(재난안전법)에 근거해 3차례 재난문자를 발송한 바 있다. 하지만 이번 SK텔레콤 해킹 사고에서는 이와 같은 조치가 없었다.

입법조사처는 "해킹으로 정보통신망이 중단되는 경우에는 재난안전법상 사회재난이나 방송통신발전 기본법상 방송통신재난에 해당된다고 보아 경보 조치를 취할 수 있으나 정보통신망 중단이 벌어지지 않은 경우에는 사회재난이나 방송통신재난으로 분류되기 어려운 측면이 있다"고 설명했다.

그러면서 "정보통신망법에 침해사고 발생시 취해야 할 경보의 대상이나 내용, 방식을 구체적으로 정해야 한다"며 "침해사고가 광범위하거나 중대한 위험을 발생시킬 수 있다고 판단되는 경우 행정안전부장관과 협의해 재난안전법 제38조의2에 따른 재난경보체계를 활용해 국민에게 신속하게 해킹 사실을 안내할 수 있는 체계를 마련하는 방안을 검토할 필요가 있다"고 말했다.

입법조사처는 이어 "정보통신망법상 침해사고를 방송통신발전기본법상 방송통신재난으로 분류하는 방안도 검토할 수 있다"고 덧붙였다.

아울러 입법조사처는 SK텔레콤의 부실한 초기 대응과 관련 최악의 시나리오를 가정한 선제적 조치를 취할 수 있도록 개인정보 보호법 개정이 필요하다고 봤다.

입법조사처는 "유출 대상자가 특정되지 않는 경우 홈페이지 게시로 개별 통지를 갈음하게 한 현행 제도는 정보 주체의 신속한 인지를 어렵게 하므로 시급히 개선될 필요가 있다"며 "빠른 시일 내에 유출 대상자를 특정하지 못한다면 이는 유출 범위와 내용을 정확히 알지 못하는 것이므로 최악의 시나리오를 가정해 적극적으로 선제적 조치를 취해야 한다"고 강조했다.

예를 들어 "신속한 대응 조치가 필요한 개인정보가 유출된 경우에는 유출 피해자가 명확히 특정되지 않더라도 모든 가입자 또는 유출 의심자 전체를 대상으로 개별 통지를 하고, 유출된 정보가 가져올 수 있는 위험 상황과 대응 방법을 명확히 안내해야 한다"며 "이러한 통지 의무와 기준을 개인정보 보호법에 명시할 경우 2차 피해를 예방하는 데 기여할 수 있다"고 언급했다.

이번 보고서에는 가입 해지 위약금 면제와 관련 전기통신사업법상 이용자 보호나 사업자 의무에 추가하는 방안을 검토할 수 있다는 내용도 포함됐다.

입법조사처는 "이동통신사 해킹 사고는 신원 인증 정보가 유출돼 금융 사고로 이어질 가능성이 높다"며 "이를 막기 위해서 이동통신사는 별도의 조건 없이 유심 무상 교체, 추가 인증 서비스를 제공해야 하고 피해자가 통신사 이동을 원할 경우 위약금을 면제하는 조치를 취해야 한다"고 밝혔다.

그러면서 "이러한 내용을 정보통신망법상 침해사고 대응 부분에 추가하거나 전기통신사업법상 이용자 보호나 사업자 의무에 추가하는 방안을 검토할 수 있다"며 "피해자가 개인정보 유출과 피해간 인과관계를 입증하기 어려울 수 있으므로 개인정보 보호법에 개인정보 유출이 피해 발생 원인을 제공한 것으로 볼만한 상당한 개연성이 있는 때에는 인과관계를 추정하는 규정을 두는 방안도 검토할 필요가 있다"고 짚었다.

☞공감언론 뉴시스 silverline@newsis.com

Copyright © 뉴시스. 무단전재 및 재배포 금지.