정보보호 거버넌스와 공시 제도

핵심 정리

정보보호 거버넌스는 정보보호를 기술 문제가 아니라 조직 경영의 문제로 다루기 위해 책임과 의사결정의 구조를 세우는 틀이다. 보안 사고는 장비 하나의 결함보다 계획, 예산, 인력, 교육이 서로 맞물리지 않을 때 커지므로, 이를 한 체계로 묶어 책임 소재를 분명히 하는 것이 거버넌스의 의의다. 이 틀의 중심에는 정보보호 최고책임자가 있으며, 정보보호 계획의 수립과 시행, 실태 점검과 개선, 위험 식별과 대책 마련, 교육과 모의 훈련, 인력과 예산 관리, 이사회 보고를 총괄한다. 최고책임자가 이사회에 보고하는 구조가 있어야 조직 안에서 책임 소재를 확인할 수 있다.

요건 측면에서 정보통신서비스 제공자는 대통령령이 정한 기준에 해당하는 임직원을 정보보호 최고책임자로 지정하고 과학기술정보통신부장관에게 신고해야 한다. 공시 제도에서도 최고책임자의 역할이 드러난다. 정보보호 공시는 공시 주체의 정보보호 최고책임자가 주관하여 공시한다. 공시는 투자 현황을 밝히는 절차이므로, 최고책임자가 이 절차의 중심에 선다고 이해하면 된다.

보안 거버넌스는 이러한 조직 차원의 틀을 보안 활동과 잇는 상위 개념이다. 제도의 주체와 범위를 묻는 문제는 법령의 요건과 소관 기관을 함께 확인해야 정확히 가려진다.

자세히

정보보호 최고책임자의 지정과 공시 주관

지정 의무의 주체는 정보통신서비스 제공자다. 지정 대상은 대통령령이 정한 기준에 해당하는 임직원이며, 신고의 방법과 절차도 대통령령에 위임되어 있어 법률 본문만으로 요건이 완결되지 않는다. 자산총액, 매출액 등이 대통령령이 정한 기준에 해당하는 서비스 제공자는 최고책임자를 신고하지 않을 수 있다는 예외도 있다. 겸직 제한은 이와 다른 쟁점이다. 자산총액, 매출액 등 기준에 해당하여 지정과 신고가 이루어진 최고책임자는 법이 정한 최고책임자 업무 외에 다른 업무를 겸직할 수 없다.

지정과 공시 주관은 같은 최고책임자가 맡더라도 성격이 다르다. 지정은 법령에 따라 최고책임자라는 지위를 부여하고 신고하는 행위이며, 공시 주관은 그 최고책임자가 정보보호 투자 현황을 공개하는 업무다. 선지에서 지정의 주체, 신고 기관, 공시의 주관을 바꿔 쓰면 틀린 선지가 되므로 행위별로 구분해야 한다.

정보보호 최고책임자의 업무 범위

최고책임자의 업무는 총괄하는 업무와 겸할 수 있는 업무로 나뉜다. 총괄 업무는 정보보호 계획의 수립과 개선, 실태 감사, 위험 식별과 대책, 교육과 모의 훈련 계획, 인력과 예산 관리, 이사회 보고다. 겸할 수 있는 업무에는 정보보호 공시 업무, 「정보통신기반 보호법」상 정보보호책임자 업무, 「전자금융거래법」상 정보보호최고책임자 업무, 「개인정보 보호법」상 개인정보 보호책임자 업무가 있다. 두 목록을 나누어 기억하면 공시나 개인정보 보호책임자 업무가 총괄 업무인지 겸직 가능 업무인지 헷갈리지 않는다.

사전 보안성 검토는 정보보호 최고책임자의 업무에 해당한다. 반면 정보통신시설의 안정적 운영을 위한 보호조치는 최고책임자의 업무가 아니라 서비스 제공자의 안정성 확보 의무이다. 두 문장은 같은 보안 업무처럼 보여도 주체가 다르다. 검토는 최고책임자의 업무이고, 시설 운영의 보호는 서비스 제공자의 의무다. 업무의 주어가 최고책임자인지 서비스 제공자인지 먼저 살피면 두 업무를 구분할 수 있다.