情報通信サービス提供者、サイバー侵害事故認知後24時間以内に申告へ

2024.08.14. 公正経済 — 科学技術情報通信部は、サイバー侵害事故発生時の迅速な対応と再発防止に必要な措置の履行力確保のために改正した「情報通信網利用促進及び情報保護等に関する法律(情報通信網法)」を14日から施行すると発表した。

現行のサイバー侵害事故対応体制では、申告時期に関する明確な基準がなく、侵害事故の未申告・遅延申告などの問題が発生しており、これにより迅速な現場支援が稼働しにくかった。また、侵害事故の原因分析を通じて導き出されたセキュリティ体制強化などの再発防止措置が適切に履行され、事故が発生した情報通信サービス提供者のセキュリティ水準が実質的に強化される契機となるべきだが、現在はこの措置事項が「勧告」となっており、侵害事故後の対応の実効性が低下する問題があった。

そこで、このような不備を補うため、侵害事故申告制度を整備する一方、侵害事故の再発防止措置に関する履行命令の根拠、履行状況の点検方法などを情報通信網法及び施行令に規定することで、情報通信サービス提供者が実質的に情報保護水準を強化できる制度的基盤を確立した。

詳細な改正内容を見ると、まず侵害事故申告制度を整備した。

侵害事故発生時には、被害拡大を早期に遮断し、専門家の支援を受けられるよう迅速な申告が必要である。このため、侵害事故が発生した情報通信サービス提供者は、事故を認知した後24時間以内に被害内容、原因、対応状況などについて把握した事項を優先的に申告（最初の申告）し、申告後に事故に関連して追加で確認された事項については、確認した時点から24時間以内に補完申告するよう規定し、侵害事故の原因把握などにより最初の申告が遅れないようにした。

侵害事故の再発防止措置命令の根拠を整備した。

サイバー侵害事故への対応には、迅速な申告とともに、事故が再発しないよう後続措置を徹底することが重要である。このため、科技部が侵害事故が発生した情報通信サービス提供者に対し、再発防止などの必要な措置の履行を現行の「勧告」から「命令」できる根拠を整備した。また、情報通信サービス提供者が当該命令を履行したかどうかを点検し、補完が必要な事項については是正を命じ、是正命令を履行しない場合は3000万ウォン以下の過料を科すよう規定した。

リュ・ジェミョン科学技術情報通信部ネットワーク政策室長は「侵害事故による被害拡大と再発を最小化するためには、迅速な申告を基にした原因分析及び措置が何よりも重要だ。科学技術情報通信部は侵害事故の申告・後続措置体系がしっかりと定着し、企業が多様な情報保護技術支援を受けられるよう努力する」と述べた。