사용자가 특정 서비스에서 쿠팡 계정 삭제를 진행하더라도 기업의 보안 관리 책임은 사라지지 않습니다. 최근 발의된 정보통신망법 개정안은 기업이 침해사고 정황을 포착한 즉시 접속 기록 등 핵심 증거를 자동 보존하도록 강제하고 있습니다. 이는 과거 정부 조사 과정에서 쿠팡, LG유플러스 등 주요 기업들이 자료 삭제나 서버 재설치 등으로 증거를 확보하지 못했던 사례를 방지하기 위한 조치입니다.
쿠팡 계정 삭제와 데이터 보존의 연관성
일반 사용자가 계정을 삭제하더라도 기업이 해당 데이터를 즉시 영구 삭제하는 것은 아닙니다. 오히려 침해사고가 발생했거나 사고를 의심할 만한 상황이라면 기업은 법적 의무에 따라 접속 로그와 관련 자료를 최소 2년에서 최대 3년까지 보존해야 합니다. 기업은 이제 정부의 명령을 기다릴 필요 없이 침해 정황 포착 즉시 자체적으로 증거를 확보해야 합니다.
- 개인정보 처리 방침에 따라 탈퇴 후 데이터 보유 기간이 다르지만, 보안 사고 발생 시 법적 보존 의무가 우선 적용됩니다.
- 기업은 자료의 변경이 없음을 입증하기 위해 해시값과 포렌식 이미지를 관리해야 합니다.
침해사고 시 기업의 증거 확보 절차
침해사고 대응 순서가 과거에는 복구 중심이었다면 이제는 증거 확보가 최우선입니다. 서버의 운영체제를 재설치하거나 로그를 순환 삭제하는 행위는 고의적 증거 인멸로 간주되어 강력한 처벌의 대상이 됩니다. 기업은 사고 발생 사실을 인지한 시점부터 2년 동안 자료를 보존해야 하며 과기정통부 장관의 판단에 따라 1년이 추가 연장될 수 있습니다.
- 사고 의심 정황 포착 시점부터 로그 보존 의무가 발생하므로 기업 내부의 모니터링 기준 정립이 중요합니다.
- 기업이 보안 사고를 숨기거나 증거를 삭제하면 과징금 산정 시 매우 불리하게 작용합니다.
| 구분 | 주요 내용 |
|---|---|
| 보존 의무 기간 | 사고 인지 시점부터 2년 (최대 3년) |
| 위반 시 처벌 | 5년 이하 징역 또는 5천만 원 이하 벌금 |
| 과징금 기준 | 고의·중과실 시 매출액의 최대 3% |
보존해야 하는 데이터의 범위와 관리 책임
단순한 접속 로그뿐만 아니라 방화벽, 웹방화벽, 엔드포인트 탐지 및 대응장비(EDR), 클라우드 감사기록 등이 보존 대상에 포함될 가능성이 높습니다. 기업은 클라우드 사업자나 보안관제 업체와의 계약 시 로그 보존 권한을 명시해야 합니다. 계약 종료 후 로그가 삭제되는 상황을 방지하기 위해 데이터 추출 방식과 책임 소재를 사전에 정의하는 것이 필수적입니다.
- 클라우드 환경에서는 계정 해지 시 데이터가 자동 삭제되지 않도록 계약서 검토가 필요합니다.
- 보안 경보 등급에 따른 판단 기준을 마련하여 불필요한 증거 보존 비용을 줄이는 것도 기업의 과제입니다.
사고 신고 절차의 간소화 필요성
현재는 최초 신고 후 7일 이내 결과 보고와 24시간 이내 추가 사실 보고가 혼재되어 있어 체계적인 정리가 요구됩니다. 기업은 보안 경보의 등급별 대응 매뉴얼을 정비하고, 조사 결과 사고가 아니라고 판단될 경우 즉시 의무 해제 신청을 할 수 있습니다. 정부가 90일 이내에 통지하지 않으면 신청이 수용된 것으로 간주하여 기업의 행정적 부담을 완화하고 있습니다.
- 중복 신고 방지를 위해 24시간 신고와 7일 후 조치 결과 보고의 명확한 구분이 필요합니다.
- 사고 없음이 확인되면 기업은 불필요한 데이터 보존 의무에서 빠르게 벗어날 수 있습니다.
보안 경보 발생 시 기업의 내부 대응
기업은 이제 침해사고가 발생하기 전, 보안 경보 수준을 사전에 정해야 합니다. 비정상적인 로그인 시도나 악성코드 경보가 울릴 경우, 이를 사고로 간주할지 판단하는 기준이 하위 법령에서 구체화될 예정입니다. 보안 사고를 투명하게 밝히는 기업은 보호받을 수 있으나 은폐하려는 시도는 법적 책임을 피할 수 없습니다.
- 보안관제 시스템의 경보 기준을 실무 환경에 맞춰 현실적으로 조정해야 합니다.
- 보고 절차를 간소화하여 최고정보보호책임자(CISO)가 신속하게 결정을 내릴 수 있는 체계를 갖춰야 합니다.
법적 제재와 기업이 얻을 수 있는 시사점
이번 법안은 자료 삭제와 은폐를 방지하는 데 목적이 있습니다. 반복적인 침해사고 발생 시 매출액의 3%까지 과징금이 부과될 수 있는 만큼, 보안 관리 역량은 기업의 생존과 직결됩니다. 결국 보안은 비용이 아니라 기업의 미래를 지키는 가장 확실한 투자라는 인식이 필요합니다.
- 보안 투자를 통해 사고를 미연에 방지하고 법적 리스크를 최소화하는 것이 경제적입니다.
- 관련 법령의 시행령에 따라 세부 대응 기준이 마련될 예정이니 최신 공지를 상시 확인해야 합니다.
보안 사고는 단순히 로그를 남기는 것으로 끝나는 문제가 아니라 기업 운영 전반의 신뢰와 연결된 사안입니다. 무엇보다 기업 스스로 투명한 보고 문화를 정착시키는 것이 이번 개정안의 핵심 의도라고 생각합니다.
