【드래곤 스포츠】 보증업체놀이터추천홍보 : 프로그램제작판매제작의뢰 : 스포츠분석 : 무료스포츠중계tv : 섹시bj움짤 : 뉴스 : 안구정화

로그인

글쓰기

[IT뉴스][2026 보안 공시③完] 달라지는 정보보호 공시 의무, 실효성은 '물음표'

온카뱅크관리자

2026-07-03 09:47:32

<div id="layerTranslateNotice" style="display:none;"></div> 
 <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> 
 <section dmcf-sid="H0MOYdhDvu">
 <figure class="figure_frm origin_fig" contents-hash="105e6360fb6fab76a18317c150f8080e19812d19c6250158c00b414c49787696" dmcf-pid="XEZ6ntx2WU" dmcf-ptype="figure">
 <img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202607/03/552796-pzfp7fF/20260703094627387vukd.jpg" data-org-width="640" dmcf-mid="GvqowKNdC7" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202607/03/552796-pzfp7fF/20260703094627387vukd.jpg" width="658">
 </figure>
 [디지털데일리 김보민기자] 정부가 정보보호 공시 의무 적용 대상을 확대한다. 제도가 강화되는 만큼 기업이 단순히 서류 요건을 채우는 데 그치지 않도록 실질적 보안 투자 기준을 마련해야 한다는 목소리가 커지고 있다.
 3일 보안업계에 따르면 과학기술정보통신부는 지난 1월 '정보보호산업법 시행령' 개정안을 입법 예고하며 정보보호 공시 의무자 범위를 확대하기 위한 절차에 돌입했다. 해당 개정안은 2027년 정보보호 공시 대상자부터 전면 적용될 전망이다.
 가장 중요한 변화는 공시 의무 대상 기업이 대폭 증가한다는 점이다. 현행 제도상 정보보호 공시 의무자는 정보보호 최고책임자(CISO) 지정·신고 의무를 지닌 동시에 매출액이 3000억 원 이상인 기업에 국한돼 있다.
 개정 시행령이 적용되면 'CISO 지정·신고 및 매출액 3000억 이상' 조건이 삭제된다. 이에 따라 유가증권시장(코스피) 및 코스닥시장에 상장된 법인 전체로 공시 의무가 확대된다. 아울러 전년도 말 기준 정보통신망법상 '정보보호 관리체계(ISMS) 인증 의무 기업'이 공시 대상자에 신규 편입된다. 나아가 기존에 공시 예외 대상으로 분류하던 공공기관, 소기업, 금융사업자, 전자금융사업자 관련 조항도 전면 폐지될 예정이다.
 사실상 국내 주요 기업과 기관 대부분이 정보보호 현황을 투명하게 공개해야 하는 상황을 앞둔 셈이다. 그간 공시 항목 질적 기준은 꾸준히 강화돼 왔다. 정보보호산업법에 따라 의무 기업은 과학기술정보통신부 정보보호 공시 종합 포털을 통해 정해진 기간 내에 관련 현황을 제출해야 한다. 이를 위반해 공시를 이행하지 않으면 정보보호산업법에 따라 1000만원 이하 과태료 처분을 받는다.
 특히 주목할 부분은 작년부터 도입된 '주석 양식'이다. 이는 기존 정량적 정보보호 공시 내용만으로는 파악하기 어려웠던 기업 내부 보안 역량을 기술하도록 만든 제도다. 기업은 핵심 보안 역량을 4가지 부문으로 나누어 서술해야 한다.
 정보보호 전략 및 정책 부문에서는 주요 정보보호 리스크 식별 내용, 주요 전략 수립 내용, 정책과 추진 체계 등을 밝혀야 한다. 조직 및 체계 부문에는 관련 조직 현황 및 거버넌스, CISO 및 개인정보보호 책임자(CPO) 운용 현황, 전문인력 보유 현황, 관련 규정 및 지침 등을 명시하도록 규정했다.
 인프라 부문에서는 보안 시스템 구축 및 운영, 솔루션 도입 현황, 보안 사고 대응 및 위험관리 체계를 공개해야 한다. 인증·평가 및 활동 부문에서는 보안 관련 인증 획득 여부, 관제 활동, 취약점 점검, 임직원 교육 및 훈련 내역 등을 기록해야 한다.
 이처럼 제도 양적·질적 기준은 강화되고 있지만 업계 반응은 기대와 우려가 교차하고 있다. 상장사 전체로 의무 대상을 넓히는 정책 방향성은 긍정적으로 평가받지만, 정작 제도 핵심인 '실효성 확보'에는 물음표가 붙기 때문이다. 보안 전문가들은 의무 대상 기업 숫자를 늘리는 일만큼이나, 공시된 수치가 실제 기업 보안 역량 강화로 이어지는 투자인지 검증할 명확한 기준점이 필요하다고 말한다.
 단순히 공시 제도를 이행하는 단계를 넘어, 기업 보안 수준을 담보할 최소한의 기준이 필요하다는 지적이다. 업계 내부에서는 이 가이드라인을 두고 다양한 논의가 진행 중이다. 한쪽에서는 전체 IT 투자 예산 10%를 적정 정보보호 투자 기준으로 삼아야 한다고 주장한다. 기업이 갖춘 전체 IT 인프라 규모에 비례해 보안 체계를 구축하는 방식이 합리적이라는 시각이다.
 이에 맞서 다른 기준을 제시하는 목소리도 있다. 기업 내 IT 부서에 귀속된 예산 일부를 떼어내는 방식으로는 사이버 위협에 완벽히 대응할 수 없다는 주장이다. 이들은 정보보안 침해 사고가 기업 신뢰도는 물론 존폐까지 위협하는 중대한 경영 리스크라고 설명하며, 경영진이 직접 책임지고 개입하도록 전체 기업 매출액 중 일부를 정보보호 투자 기준으로 삼아야 한다고 강조한다.
 한편 일각에서는 경영진 인식 개선이 선행돼야 한다는 의견도 제기된다. 비용에 민감한 경영진 입장에서는 공시 대응을 위해 막대한 보안 투자를 집행하기보다 과태료 처분을 감수하는 편이 합리적이라고 판단할 수 있다는 우려다.
 업계에서는 경영진을 설득하기 위해 보안 투자를 지출이 아닌 '책임 방어를 위한 증거 생산비'로 재평가해야 한다고 강조한다. 공시 준비 과정에서 축적되는 투자·인력·인증·보안 활동 데이터는 보안 사고 발생 시 이사회, 감사, 규제기관, 고객에게 기업 노력을 입증하는 핵심 근거가 되기 때문이다. 반대로 공시를 의도적으로 회피했다는 기록이 남으면, 기업은 투명성조차 확보하지 못했다는 비판에 직면하며 법적·평판적 부담을 짊어지게 된다.
 개인정보보호 관련 규제가 전 세계적으로 강화되는 추세 속에서, 보안 사고가 초래할 비용과 위험은 과태료 수준을 뛰어넘는다는 지적도 있다. 9월 시행을 앞둔 개인정보보호법 개정안은 반복적이거나 중대한 개인정보 유출 사고 발생 시 부과되는 과징금 상한액을 매출액 3%에서 10%로 상향했다.
 안랩은 '정보보호 공시 의무 확대, 기업이 확인해야 할 체크포인트' 분석을 통해 "경영진 설득 핵심은 공시를 하지 않았을 때 부과받는 과태료가 아니라 보안 사고 발생 시 기업이 부담해야 할 리스크를 보여주는 데 있다"고 강조했다. 이어 "과징금, 손해배상, 사고 대응 비용 등 유형적 위험과 신뢰 하락, 평판 훼손, 고객 이탈 등 무형적 위험을 함께 제시해야 한다"며 "이를 통해 보안 투자가 기업 신뢰와 지속 가능성을 뒷받침하는 중요한 기반이라는 점을 설득력 있게 전달해야 한다"고 말했다.
 </section> 
 </div> 
 Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.

댓글 총 0개

이번주 포인트랭킹

매주 일요일 밤 0시에 랭킹을 초기화합니다.

14,000상품권
23,000상품권
32,000상품권

업체홍보/구인 더보기

지식/노하우 더보기

판매의뢰 더보기

포토 더보기