임원급 아닌 부서장도 ‘정보보호최고책임자’ 지정 가능해져

앞으로 일부 대기업을 제외한 일반 기업에서는 비임원도 기업 정보보호최고책임자(CISO·Chief Information Security Officer)를 맡을 수 있게 됩니다.

과학기술정보통신부(과기정통부)는 이 같은 내용을 담은 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’(정보통신망법) 시행령 개정안이 오늘(30일) 국무회의를 통과했다고 밝혔습니다.

다음 달 9일부터 시행될 이 개정안은 임원급만 맡을 수 있던 CISO 지위를 기업 규모에 따라 세분화하고, CISO 신고 대상 범위를 조정하는 등 기업 부담을 완화하는 것이 핵심 취지입니다.

개정안에 따르면 중기업(자산총액 5000억 원 미만) 이상의 일반 신고 의무 기업은 부서장급까지 CISO를 맡을 수 있습니다. 다만 CISO의 겸직이 제한되는 대규모 기업은 반드시 이사로 CISO를 지정해야 합니다.

개정안은 또 CISO 신고 대상 기업을 기존의 ‘모든 중기업 이상’에서 ‘정보보호 필요성이 큰 중기업 이상’으로 변경했습니다. 구체적으로는 전기통신사업자와 개인정보처리자·통신판매업자·정보보호 관리체계 인증 의무 대상자가 정보보호 필요성이 큰 경우입니다.

이와 함께 겸직 금지 의무를 위반한 경우 최대 3,000만 원의 과태료를 부과하는 규정을 신설했고, CISO 미신고에 따른 과태료 제재는 완화했습니다.

임혜숙 과기정통부 장관은 “이번 개정안을 통해 기업 부담을 완화하는 동시에 주요 기업의 CISO가 정보보호 업무에 집중하도록 함으로써 사이버 침해사고 예방과 피해 최소화가 가능해질 것”이라고 말했습니다.