.jpg)
.png)
[3줄 요약]
1. 선제적 보안 적극적인 기업에 인센티브 방안 마련
2. 유출 늑장통지 예방하고 미국식 손배 도입 추진
3. AI로 탐지 및 대응 고도화하고 암호화로 해킹 무력화
[보안뉴스 강현주 기자] 화이트해커가 미리 취약점을 탐지하는 ‘선제적 보안’ 체계를 심는다. 정보 유출 ‘가능성’부터 통지 의무를 지우는 등 기업 책임 및 소비자 권익 보호를 강화한다. 탐지와 대응을 위한 인공지능(AI) 및 해킹 무력화를 위한 암호화 등 첨단 기술을 활용한다.
범부처가 합동으로 발표한 제2차 정보보호 종합대책 주요 내용이다.
“해커 활용 선제적 보안에 적극적인 기업 인센티브”
종합대책은 △선제적 보안 체계 도입 △기업 책임 및 소비자 권익 강화 △AI 등 첨단기술 활용 등을 골자로 한다. 해킹이 고도화된 현실에 맞는 대응책을 마련하기 위해서란 설명이다.
정부는 ‘화이트해커’를 전면에 내세운다. 해커를 활용한 취약점 신고·조치·공개 제도를 마련할 방침이다. 기업·기관이 일정 조건 하에 자신의 정보통신자산에 대해 화이트해커의 취약점 발굴을 허용하는 제도다. 기업이 자율적으로 이 제도를 활용할 수 있도록 신고 절차, 면책 조건 등의 기준을 마련, 적극적 취약점 개선 노력에 대한 인센티브 제공 방안을 낼 계획이다.
공공분야 취약점 개선도 화이트해커를 통해 활성화할 방침이다. 참여기관에 먼저 고지 후 선제적 취약점 발굴, 패치 개발, 취약점 공개의 순서로 이뤄진다.
민관사이버 위협정보 공유시스템을 통한 신속한 정보 공유도 추진하며, 이를 위해 AI 보안 위협 정보 공유 기능도 도입할 예정이다.
유출 ‘가능성’도 의무 통지... 미국식 집단소송 제도 검토
정부는 소비자 등 정보주체 보호 강화를 위해 기업 책임을 강화했다. 손해배상 판결 효력이 소송 참여자 외에 당사자들에게도 적용되는 미국식 집단소송 제도는 국내 소송제도 전반을 검토 후 도입을 추진한다.
침해사고로 인한 개인정보 유출 이외의 소비자 피해에 대해서도 분쟁조정 제도를 도입한다. 또 대규모 피해 야기 해킹 등의 사고가 발생할 때 초기부터 소비자가 신속하게 대응할 수 있도록 유출 가능성만 있어도 통지를 의무화할 방침이다.
현행법상 ‘유출이 있음을 알았을 때’로 규정하면 통지를 지연하는 문제가 발생해온 지난 사례들을 참고한 결과다. 개인정보 ‘위조·변조·훼손’(랜섬웨어 등)도 통지·신고 대상에 포함된다.
개인정보 보호법상 안전조치 의무 수준을 뛰어넘는 개인정보보호 노력(인력·예산·설비·장치 등)이 있던 경우에 대한 과징금 경감책도 마련한다.
AI와 암호화로 진화하는 해킹 예방 및 대응 강화
과기정통부와 국정원은 AI로 자동화된 해킹 공격에 대응해 AI 기반 사이버 위협 탐지·대응시스템(민간·공공)으로 전환하기로 했다. 사이버 공격 전 과정에 AI를 도입해 탐지·대응하고, 침해신고시 사고원인 분석 및 재발방지 대책 수립 등 효율화를 추진한다. ‘보안을 위한 AI’(AI for Security)의 실천인 셈이다.
‘AI를 위한 보안’(Security for AI)과 관련, AI 모델 개발 단계부터 보안을 내재화하기 위해 ‘AI 자재명세서’(AI-BOM) 등 전주기 평가 프레임워크 연구개발 및 실증을 추진한다.
이와 함께 데이터를 보호하면서 활용성을 높이는 암호화 기술 개발에 대한 투자 강화 및 상용화 촉진을 지원할 방침이다. 데이터의 저장·전송·사용 상태에서도 보안성을 강화하는 동형암호, 다자간 연산 등이다.
국가기관, 기업 등이 중요 데이터를 암호화하도록 기반시설 점검 규정 및 인증기준(ISMS)을 개정하고, 국가·공공기관은 신보안체계를 적용해 나갈 방침이다.
이와 함께 정부의 침해사고 조사 기능에 더해 사이버범죄 분야 특별사법경찰 권한 부여, 기업 신고 없는 직권조사가 가능하게 된다.
정부는 주요 기업과 국가·공공기관의 시스템을 일체 점검, 인증제도(ISMS, ISMS-P)의 실효성 강화 등을 통한 상시 점검 체계를 구축할 계획이다.
보안이 비교적 취약한 중소기업들을 대상으로 정보보호 지원사업도 확대한다. 취약점 선제적 모니터링 및 개선 지원 등이다.
또 국민 사생활 밀접 제품 대상 보안 실태점검 강화, 온라인 플랫폼 간편 인증 적용 등 정보보호가 내재화된 사회를 구축할 계획이다.
정부 관계자는 “기업의 책임과 소비자 보호 관련 1차 대책을 보완하고, AI로 급변하는 정보보호 환경에 대비할 수 있도록 2차 대책 수립을 추진한다”며 “소비자 피해에 대해 실질적 손해배상이 이루어질 수 있도록 제도를 개선하고 기업의 투자 유인을 강화하겠다”고 말했다.
[강현주 기자(jjoo@boannews.com)]
1. 선제적 보안 적극적인 기업에 인센티브 방안 마련
2. 유출 늑장통지 예방하고 미국식 손배 도입 추진
3. AI로 탐지 및 대응 고도화하고 암호화로 해킹 무력화
[보안뉴스 강현주 기자] 화이트해커가 미리 취약점을 탐지하는 ‘선제적 보안’ 체계를 심는다. 정보 유출 ‘가능성’부터 통지 의무를 지우는 등 기업 책임 및 소비자 권익 보호를 강화한다. 탐지와 대응을 위한 인공지능(AI) 및 해킹 무력화를 위한 암호화 등 첨단 기술을 활용한다.
범부처가 합동으로 발표한 제2차 정보보호 종합대책 주요 내용이다.
[자료: gettyimagesbank]
“해커 활용 선제적 보안에 적극적인 기업 인센티브”
종합대책은 △선제적 보안 체계 도입 △기업 책임 및 소비자 권익 강화 △AI 등 첨단기술 활용 등을 골자로 한다. 해킹이 고도화된 현실에 맞는 대응책을 마련하기 위해서란 설명이다.
정부는 ‘화이트해커’를 전면에 내세운다. 해커를 활용한 취약점 신고·조치·공개 제도를 마련할 방침이다. 기업·기관이 일정 조건 하에 자신의 정보통신자산에 대해 화이트해커의 취약점 발굴을 허용하는 제도다. 기업이 자율적으로 이 제도를 활용할 수 있도록 신고 절차, 면책 조건 등의 기준을 마련, 적극적 취약점 개선 노력에 대한 인센티브 제공 방안을 낼 계획이다.
공공분야 취약점 개선도 화이트해커를 통해 활성화할 방침이다. 참여기관에 먼저 고지 후 선제적 취약점 발굴, 패치 개발, 취약점 공개의 순서로 이뤄진다.
민관사이버 위협정보 공유시스템을 통한 신속한 정보 공유도 추진하며, 이를 위해 AI 보안 위협 정보 공유 기능도 도입할 예정이다.
유출 ‘가능성’도 의무 통지... 미국식 집단소송 제도 검토
정부는 소비자 등 정보주체 보호 강화를 위해 기업 책임을 강화했다. 손해배상 판결 효력이 소송 참여자 외에 당사자들에게도 적용되는 미국식 집단소송 제도는 국내 소송제도 전반을 검토 후 도입을 추진한다.
침해사고로 인한 개인정보 유출 이외의 소비자 피해에 대해서도 분쟁조정 제도를 도입한다. 또 대규모 피해 야기 해킹 등의 사고가 발생할 때 초기부터 소비자가 신속하게 대응할 수 있도록 유출 가능성만 있어도 통지를 의무화할 방침이다.
현행법상 ‘유출이 있음을 알았을 때’로 규정하면 통지를 지연하는 문제가 발생해온 지난 사례들을 참고한 결과다. 개인정보 ‘위조·변조·훼손’(랜섬웨어 등)도 통지·신고 대상에 포함된다.
개인정보 보호법상 안전조치 의무 수준을 뛰어넘는 개인정보보호 노력(인력·예산·설비·장치 등)이 있던 경우에 대한 과징금 경감책도 마련한다.
AI와 암호화로 진화하는 해킹 예방 및 대응 강화
과기정통부와 국정원은 AI로 자동화된 해킹 공격에 대응해 AI 기반 사이버 위협 탐지·대응시스템(민간·공공)으로 전환하기로 했다. 사이버 공격 전 과정에 AI를 도입해 탐지·대응하고, 침해신고시 사고원인 분석 및 재발방지 대책 수립 등 효율화를 추진한다. ‘보안을 위한 AI’(AI for Security)의 실천인 셈이다.
‘AI를 위한 보안’(Security for AI)과 관련, AI 모델 개발 단계부터 보안을 내재화하기 위해 ‘AI 자재명세서’(AI-BOM) 등 전주기 평가 프레임워크 연구개발 및 실증을 추진한다.
이와 함께 데이터를 보호하면서 활용성을 높이는 암호화 기술 개발에 대한 투자 강화 및 상용화 촉진을 지원할 방침이다. 데이터의 저장·전송·사용 상태에서도 보안성을 강화하는 동형암호, 다자간 연산 등이다.
국가기관, 기업 등이 중요 데이터를 암호화하도록 기반시설 점검 규정 및 인증기준(ISMS)을 개정하고, 국가·공공기관은 신보안체계를 적용해 나갈 방침이다.
이와 함께 정부의 침해사고 조사 기능에 더해 사이버범죄 분야 특별사법경찰 권한 부여, 기업 신고 없는 직권조사가 가능하게 된다.
정부는 주요 기업과 국가·공공기관의 시스템을 일체 점검, 인증제도(ISMS, ISMS-P)의 실효성 강화 등을 통한 상시 점검 체계를 구축할 계획이다.
보안이 비교적 취약한 중소기업들을 대상으로 정보보호 지원사업도 확대한다. 취약점 선제적 모니터링 및 개선 지원 등이다.
또 국민 사생활 밀접 제품 대상 보안 실태점검 강화, 온라인 플랫폼 간편 인증 적용 등 정보보호가 내재화된 사회를 구축할 계획이다.
정부 관계자는 “기업의 책임과 소비자 보호 관련 1차 대책을 보완하고, AI로 급변하는 정보보호 환경에 대비할 수 있도록 2차 대책 수립을 추진한다”며 “소비자 피해에 대해 실질적 손해배상이 이루어질 수 있도록 제도를 개선하고 기업의 투자 유인을 강화하겠다”고 말했다.
▲제2차 정보보호 종합대책 주요 일정 [출처: 과기정통부]
[강현주 기자(jjoo@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
강현주기자 기사보기
.gif)
.jpg)
.jpg)
.jpg)
