“공인” 인증 강박의 추억 떠올리는 정보보호관리체계(ISMS) 인증

- ‘NH농협’, ‘아시아나 항공’ 등 개인정보유출기업 다수가 ISMS 인증 받아 실효성도 의문

2015년 12월 개정되어 올해 6월 2일부터 시행중인 “개정 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 ‘정보통신망법’)”은 ISMS 인증 의무 대상을 의료기관, 학교 등 비영리기관으로 확대하고 과태료 규정을 강화했다. 하지만 ISMS 인증은 전자금융거래법 개정으로 폐지된 공인인증서 강제 사례처럼 정부가 인증한다는 “공인”이라는 꼬리표를 달고 있어 이른바 관치 보안의 폐해를 반복할 우려가 크다. 공인인증서 사용 강제의 폐해를 반면교사로 삼아 정부가 주도하여 인증 자체에 직접 관여하는 정책을 전면 수정해야 한다.

2001년 도입되어 2013년 의무화된 정보보호 관리체계(ISMS, Information Security Management System) 인증 제도는 기업(조직)이 각종 위협으로부터 주요 정보자산을 보호하기 위해 수립ㆍ관리ㆍ운영하는 종합적인 체계의 적합성에 대해 인증을 부여하는 제도로서 한국인터넷진흥원(KISA)이 관리하고 있다. 그동안은 정보통신망서비스 제공사업자(ISP), 집적정보통신시설 사업자(IDC), 그리고 정보통신서비스 제공자 등 주로ICT 기업 중에서 일정 규모(전년도 매출액 100억원 이상 또는 3개월간 일일평균 이용자 수 100만명 이상) 이상의 기업이 의무 대상이었는데, 작년 12월 정보통신망법 개정으로 세입이 1,500억 이상인 의료법상 상급종합병원 및 고등교육법상 재학생수 1만명 이상인 학교로 ISMS 인증 의무 대상이 확대된 것이다. 또한 의무 대상자 중 미인증 사업자에 대한 과태료도 현행 1000만원에서 3000만원으로 상향되었다.

관치 보안의 문제는 이미 오픈넷이 오랫동안 비판해 온 공인인증서 사례에서 여실히 드러났다. 즉, 정부가 “공인”한다는 정부 주도 인증 문제의 핵심은 민간 전문가들이 주도하는 기술이나 인증 제도의 발전을 저해한다는 점이고, 이는 실제 인증되는 내용이나 실질과 무관하게 국가가 인증한다는 취지의 “공인”이라는 어휘 자체에서 그대로 드러난다.

우선 정부가 고도의 전문성이 요구되는 ISMS 인증 제도를 제대로 운영할 수 있는지부터 의문이다. 실제로 2014년 국정감사에서 ISMS 인증을 받은 254개의 기업 중 정보유출 사고가 무려 30개 기업에서 발생하였다는 점이 드러난 바 있고, 여기에는 사회적 파장이 큰 NH농협이나 KT 등 개인정보나 개인신용정보가 다수 집적된 기업이 포함되어 있다. 불과 며칠 전에는 ISMS 인증을 받은 아시아나 항공의 웹사이트에서 이용자들의 개인정보가 무방비로 노출될 수 있는 시스템 오류가 발견되기도 했다. 날로 발전하는 정보통신 환경에서 정보보호체계 내지 보안시스템의 구축은 그 어느 때보다도 중요하지만, ISMS 인증처럼 정부가 최종 인증 권한 자체를 보유하고 운용하는 제도는 부작용이 훨씬 크다. 급변하는 보안 시장과 하루가 다르게 발전하는 기술을 정부와 보수적인 규제가 따라가거나 앞서가기를 바랄 수 없기 때문이다.

한편 금융사가 이용자에게 공인인증서 등의 사용을 강제한 경우 금융사고 발생시 금융사 면책을 용이하게 하는 문제가 있었다. 이와 같이 ISMS 인증을 받았음에도 보안 사고가 발생한 경우, 반대로 정부의 “공인”된 인증을 받았다는 사실만으로 쉽게 면책을 받게 된다면 그 피해가 고스란히 이용자에게 전가될 우려가 있다. 또한 공인인증서 커넥션 처럼 ISMS인증이 ”공인” 인증 체제를 유지하는 이상 담당 부처와 심사기관을 중심으로 하는 카르텔이 형성되어 제도를 더욱 공고히 할 우려도 지우기 어렵다.

이처럼 정부가 최종 인증 권한을 보유하고 내용 심사를 주도하는 이른바 “공인” 인증의 강제는 우리나라에만 존재하는 갈라파고스 규제로, 스타트업이나 중소기업에게는 진입장벽이 될 뿐만 아니라 국내 기업에게만 이중, 삼중의 부담을 안겨 역차별을 초래한다. 미국, 캐나다 등 IT 선진국 중에 국가가 주도하여 보안 인증을 강제하는 나라는 찾기 어려우며, 이들 국가에서는 민간 전문가들이 참여하여 국제적으로 공신력을 획득한 ISO 27001, PCI-DSS 등의 인증을 이용한다. 물론 현 정보통신망법에서 ‘국제표준 정보보호 인증’, 즉 ISO 27001을 받은 경우에는 인증 심사의 “일부”를 생략할 수 있다고 하여 부담을 덜어준 것 같아 보이나, ISMS 인증의 대체를 인정한 게 아니기 때문에 결과적으론 달라진 게 없다. 정부가 주도하는 ISMS 인증이 ISO 27001 보다 특별히 더 우수하다는 점도 밝혀진 바 없으며, 오히려 인증의 품질에 대해 지적하는 목소리도 있다.

더욱이 ISMS 인증은 통상 준비부터 인증까지 약 6개월 이상이 소요되고, 인증 신청을 위해서도 최소 2개월 이상의 운영 기간이 필요하다. 게다가 ISMS 인증 비용만으로도 최소 수천만원에서 수억원이 들어간다. 그런데 해외진출을 꿈꾸는 ICT 기업들은 국내에서만 인정되는 ISMS 인증 보다는 국제적인 보안 인증을 선호할 수밖에 없고, 결국 중복적으로 인증을 받아야 하는 것이 현실이다.

정부 주도의 “공인” 인증 강박의 추억은 공인인증서 사례에서 이미 충분히 경험하지 않았는가? 정부는 인증 권한을 민간 전문가에게 양보하고 사후적 관리자의 역할만 수행하는 민간 주도의 보안 인증 제도로의 개선을 촉구한다.

2016년 7월 19일

사단법인 오픈넷

 * 관련 논평: 개정 전자금융거래법 국회 본회의 통과를 환영하며 금융당국의 기술중립, 사후규제 원칙 구현을 촉구한다.

문의: 오픈넷 사무국 02-581-1643, master@opennet.or.kr

인터넷 명예훼손 심의규정 개정에 반대하는

법률가 200인 선언 기자회견 열려

공인에 대한 비판 차단용 악용 우려

행정기관인 방심위의 심의 권한 확대는 표현의 자유 위축 가져올 것

1. 방송통신심의위원회(이하‘방심위’)의 <인터넷 명예훼손 심의규정 개정에 반대하는 법률가 200인 선언 기자회견>이 8월 24일(월) 오전 11시 서울 정동프란치스코 교육회관에서 열렸다.

2. 최근 방심위는 인터넷 명예훼손 글을 제3자 신고 혹은 직권으로 심의를 할 수 있도록 관련 규정의 개정을 추진하고 있다. 이에 대해서 많은 법률가들이 행정기관인 방심위가 게시물의 명예훼손 여부를 심의하는 것 자체도 위헌적일 수 있고 더 나아가 당사자가 아닌 제3자에게까지 심의신청을 허용한다면 공인에 대한 비판을 봉쇄하기 위해 악용될 것이라고 우려하고 있다. 이에 전국 법학교수 및 변호사들이 방심위의 인터넷 명예훼손 심의규정 개정 반대를 선언하고 기자회견을 개최하게 된 것이다.

3. 법률가들은 선언문에서, 첫째, 방심위의 통신심의 제도에 반의사불벌죄, 친고죄 등의 형사소추 개념을 적용하여 상위법 충돌을 주장하는 것은 개정의 이유가 될 수 없고, 둘째,사법기관이 아닌 행정기관인 방심위의 명예훼손 심의 권한을 넓히는 것은 표현의 자유의 심대한 침해를 가져오며, 셋째, 특히 이번 심의규정 개정은 공인에 대한 비판 여론을 차단하는 데에 남용될 위험이 높고, 피해 당사자의 의사와 무관한 명예훼손 글 심의는 오히려 피해 당사자의 인격권 침해 문제를 야기하는 등의 심각한 폐단을 안고 있다고 지적했다.

4. 이번 기자회견은 박주민 변호사의 사회를 맡고 송기춘 교수(한국공법학회 회장, 전북대 법학전문대학원 교수), 한상희 교수(건국대 법학전문대학원), 박경신 교수 (고려대학교 법학전문대학원), 양규응 변호사가 참석했다. 끝.

▣ 별첨

- 방심위 인터넷 명예훼손 심의규정 개정을 반대하는 전국 법률가 선언문

<선언문>

방심위의 인터넷 명예훼손 심의규정 개정에 반대하며,

개정 추진을 중단할 것을 촉구한다

- 방심위 인터넷 명예훼손 심의규정 개정을 반대하는 전국 법률가 선언 -

최근 방송통신심의위원회(이하 ‘방심위’)는 피해당사자가 아닌 제3자의 신청 또는 방심위의 직권에 의해서 인터넷상 명예훼손 게시물을 삭제, 차단할 수 있도록 하는 내용의 심의규정 개정을 추진하고 있다.

그러나 이러한 내용의 개정은 명예훼손 피해가 있는지 여부조차 불확실한 게시물들까지 심의대상이 되게 하고, 대통령 등 고위공직자 및 정치적·경제적 권력층에 대한 인터넷상 비판 여론을 차단하기 위한 목적으로도 남용될 위험이 커 표현의 자유에 대한 심대한 침해를 불러올 것이 명백하다.

방심위 측은 ‘명예훼손 등 정보는 당사자 또는 그 대리인이 심의를 신청해야 심의를 개시한다’는 현행 심의규정이, 형사법상 명예훼손죄 및 정보통신망법의 방송통신위원회의 제재조치 규정상 명예훼손 정보가 ‘반의사불벌’ 형식으로 규정되어 있는 것과 충돌하고 있어 이를 개정해야 한다고 주장하고 있는 것으로 보인다.

그러나 범죄와 형벌을 규율하는 형사법과 방심위의 통신심의를 규율하는 행정법은 그 목적, 주체, 효과가 전혀 다른 법체계로서, 형사절차상 소추조건인 ‘친고죄’, ‘반의사불벌죄’ 개념이 방심위의 통신심의 제도에 대입될 수 없으며, 법체계상 충돌도 존재하지 아니한다.

정보통신망법상 방송통신위원회의 제재조치도 방심위의 통신심의 및 시정요구 제도와 전혀 다른 별개의 제도이다. 방송통신위원회와 방송통신심의위원회는 독립된 별개의 기관이며, 방심위의 통신심의 및 시정요구 권한의 근거법률은 ‘방송통신위원회의 설치 및 운영에 관한 법률’ 제21조 제3호, 제4호로서, 정보통신망법 제44조의7 제2항(방통위의 제재조치)이 방심위 통신심의 제도의 모법이라거나 상위법이라고 볼 수 없다. 또한 방통위 제재조치 역시 행정행위이기 때문에 ‘해당 정보로 인하여 피해를 받은 자가 구체적으로 밝힌 의사에 반하여 제재조치를 명할 수 없다’고 규정한 것이 곧 반드시 형사절차상 ‘반의사불벌’ 개념과 같은 형식으로 운영하라는 것이거나 친고에 의한 심의 개시를 금지하고 있는 것이라고 해석할 수는 없고, 결과적으로 피해당사자의 의사에 반하여 제재조치를 하는 것을 금지하고 있는 것으로 해석할 수 있다.

나아가 현행 심의규정이 명예훼손 정보의 경우 당사자 측의 신청으로 심의를 개시하고 있도록 규정한 것은, 형사절차와 달리 행정행위로서 공개를 원칙으로 하는 통신심의 절차상,해당 사실이 제3자의 신청 등으로 피해 당사자의 의사에 반하여 공개되는 때에는 피해 당사자에게 또 다른 사회적 불이익을 초래할 우려가 있기 때문이다. 이러한 규정을 개정하여 당사자 의사와 무관히 제3자 신청 혹은 직권으로 명예훼손 글에 대한 심의를 개시하도록 한다면 오히려 개인의 인격권, 자기결정권 등을 더욱 심대하게 침해하는 결과를 가져올 것이다.

또한 이와 같은 이유로 현행 형사법상의 명예훼손죄 역시 친고죄로 개정하는 내용의 법안이 발의되어 있으며, 국제적으로도 명예훼손을 반의사불벌죄로 규정하고 있는 국가는 찾아볼 수 없다. 오히려 명예훼손과 같은 불명확하고 사적인 문제에 국가기관이 개입하여 처벌하거나 표현의 자유를 일방적으로 제약하는 것에 문제의식을 가지고 형사 비범죄화 등이 이루어지고 있다.

한편 명예훼손은 고도의 법률적 판단이 필요한 분야로서 법적으로도 성부가 명확한 개념이 아님에도, 사법기관도 아니고 법률가로도 구성되지 않은 방심위가 명예훼손 정보를 심의하는 것 자체에도 위법적, 위헌적 소지는 다분하다. 이러한 상황에서 나아가 당사자도 아닌 제3자가 사실에 대한 구체적인 소명도 없이 심의 신청을 남발하게 되는 경우 수사권도 없는 방심위가 명예훼손 성부를 판단하는 것은 더욱 위험할 수밖에 없다.

우리는 방심위가 이러한 폐단을 고려하지 않고 추세에 역행하면서까지 무리한 법해석을 주장하며 본 심의규정 개정을 추진하는 배경에 대해 의문을 갖지 않을 수 없다. 순수한 개인에 대한 명예훼손 글을 제3자가 심의 신청하거나 직권으로 심의를 개시할 개연성은 매우 낮다. 결국 이번 개정으로 이득을 보는 것은 자발적이고 막강한 지지, 비호 세력을 가진 공인, 즉 대통령 등 정치인, 연예인, 종교지도자, 기업 대표 등이며, 이들에 대한 인터넷상의 비판 여론을 신속하게 차단하는 수단으로 통신심의제도가 남용될 위험은 매우 크다. 이들에 대한 비판적 표현을 자유롭게 보장하는 것은 민주주의 사회에서 ‘표현의 자유’를 보장하는 가장 근본적인 이유임에도, 이러한 표현들에 대한 행정기관의 검열 가능성과 권한을 넓히는 것은 민주주의의 핵심적 가치들을 엄청나게 퇴보시키는 것이다.

이에 우리는 이번 심의규정 개정 시도는 대한민국의 표현의 자유에 대한 심대한 위협임을 선언하며, 이러한 개정 시도를 철회할 것을 촉구하는 바이다. 또한 앞으로 방심위의 통신심의제도가 표현의 자유를 침해하는 방향으로 남용되지 않도록 계속적인 관심과 우려를 가지고 지켜볼 것이다.  <끝>

2015년 8월 24일

강경선(방송통신대), 강미로(변호사), 강민정(변호사), 강성태(한양대), 강성헌(변호사), 강지은(변호사), 고영남(인제대), 고지운(변호사), 곽경란(변호사), 구관희(변호사), 길기관(변호사), 김가연(변호사), 김경진(변호사), 김광수(서강대), 김기식(변호사), 김기중(변호사), 김기진(경상대), 김남희(변호사), 김다섭(변호사), 김도균(서울대), 김도현(동국대), 김도희(변호사), 김동현(변호사), 김명연(상지대), 김민배(인하대), 김민정(한국외대), 김바올(변호사), 김보라미(변호사), 김상은(변호사), 김선광(원광대), 김선수(변호사), 김선휴(변호사), 김성경(변호사), 김성진(변호사), 김소리(변호사), 김수영(변호사), 김시은(서울대), 김양환(변호사), 김엘림(방송통신대), 김연주(변호사), 김예원(변호사), 김욱(서남대), 김은진(변호사), 김은진(원광대), 김인재(인하대), 김재완(방송통신대), 김재왕(변호사), 김정우(변호사), 김정윤(변호사), 김제완(고려대), 김종보(변호사), 김종서(배제대), 김종철(변호사), 김준현(변호사),김지미(변호사), 김지현(변호사), 김지현(변호사), 김차연(변호사), 김창록(경북대), 김택수(변호사), 김학웅(변호사), 김현승(변호사), 김혜림(변호사), 김희성(강원대), 남준석(변호사),남희섭(변리사), 노승휴(변호사), 류민희(변호사), 문병효(강원대), 문준영(부산대), 박경신(고려대), 박병도(건국대), 박병섭(상지대), 박상식(경상대), 박승룡(방송통신대), 박애란(변호사), 박인동(변호사), 박재승(변호사), 박주민(변호사), 박지현(인제대), 박지환(변호사), 박태현(강원대), 박홍규(영남대), 배영근(변호사), 백좌흠(경상대), 백주선(변호사), 서경석(인하대), 서보학(경희대), 서선영(변호사), 석인선(이화여대), 선정원(명지대), 성기택(변호사), 소삼영(변호사), 손준호(변호사), 손지원(변호사), 송강직(동아대), 송기춘(전북대), 송기호(변호사), 송두환(변호사), 송문호(전북대), 송병춘(변호사), 송석윤(서울대), 송아람(변호사), 송오식(전남대), 송은희(변호사), 신수경(변호사), 신옥주(전북대), 신윤경(변호사), 신평(경북대), 신훈민(변호사), 심재환(변호사), 안진(전남대), 양규응(변호사), 엄순영(경상대), 염형국(변호사),오길영(신경대), 오동석(아주대), 오병두(홍익대), 오상현(성균관대), 유정우(변호사), 윤애림(방송통신대), 윤영석(변호사), 윤영철(한남대), 이강혁(변호사), 이경주(인하대), 이계수(건국대), 이동승(상지대), 이민종(변호사), 이상명(순천향대), 이상영(방송통신대), 이상희(변호사), 이승우(성균관대), 이원희(아주대), 이유진(변호사), 이은수(변호사), 이은희(충북대), 이인람(변호사), 이장미(변호사), 이재승(건국대), 이재정(변호사), 이정민(변호사),이종희(변호사), 이종희(변호사), 이주언(변호사), 이주언(변호사), 이준형(한양대), 이지영(변호사), 이창수(변호사), 이헌욱(변호사), 이호중(서강대), 이흥용(건국대), 이희숙(변호사),임미원(한양대), 임성호(변호사), 임자운(변호사), 임재홍(방송통신대), 임현진(변호사), 장덕조(서강대), 장덕천(변호사), 장영석(변호사), 장유식(변호사), 장주영(변호사), 전윤구(경기대), 전종익(서울대), 정경수(숙명여대), 정남순(변호사), 정민영(변호사), 정병덕(변호사), 정소연(변호사), 정영선(전북대), 정응기(충남대), 정지욱(변호사), 정찬모(인하대), 정태욱(인하대), 정한중(한국외대), 조경배(순천향대), 조국(서울대), 조병규(변호사), 조상균(전남대), 조승현(방송통신대), 조영관(변호사), 조용만(건국대), 조우영(경상대), 조임영(영남대), 조혜인(변호사), 차상익(변호사), 차성민(한남대), 최관호(순천대), 최린아(변호사), 최영동(변호사), 최정학(방송통신대), 최종연(변호사), 최철영(대구대), 최홍엽(조선대), 하희봉(변호사),한가람(변호사), 한경수(변호사), 한상혁(변호사), 한상희(건국대), 한웅(변호사), 한택근(변호사), 허준석(변호사), 황성기(한양대), 황필규(변호사), 황희석(변호사) (이상 205명)

“강제적 공인 인증”의 남발 우려되는

개인정보보호관리체계(PIMS) 인증 의무화 시도

지난 11월 9일 열린 국회 미래창조과학방송통신위원회 전체회의에 국민의당 황주홍 의원이 발의한 정보통신망 이용촉진 및 정보보호에 관한 법률(“정보통신망법”) 일부개정법률안이 상정되었다. 동 개정안은 개인정보보호관리체계(PIMS, Personal Information Management System) 인증 제도의 활성화를 위해 일정 규모 이상의 정보통신서비스 제공자에게 PIMS 인증의 획득을 강제하는 것을 주요 내용으로 하고 있다. 사단법인 오픈넷은 정부의 “강제적 공인 인증”의 남발은 개인정보 유출 사고의 해결책이 될 수 없음은 물론 기업들이 다양한 개인정보보호 시스템을 개발할 동기를 박탈하고 스타트업들에게 진입장벽을 만들기 때문에 반대한다.

현재 자율적으로 운영되고 있는 PIMS 인증제도는 “공공기관 및 민간기업 등 조직이 수립하여 운영하고 있는 개인정보보호 관리체계가 인증기준에 적합한지 여부를 인증기관이 평가하여 인증을 부여하는 제도”이다. 2010년 방송통신위원회 의결로 시행되었으며, 2012년 정보통신망법 개정으로 법적 근거를 마련하였다. 이와 별개로 2011년 개인정보보호법의 제정과 함께 도입되어 2013년부터 시행된 개인정보보호(PIPL, Personal Information Protection Level) 인증 제도가 있었다. 그러나 방통위 주관 PIMS 인증과 행정자치부 주관 PIPL 인증이 유사할 뿐만 아니라 중복적인 내용이 많아 2014년 규제개혁위원회의 “범부처 인증제도 개선방안”의 일환으로 PIMS 인증으로 제도가 통합되었다.

2016년 11월까지 유지되고 있는 PIMS 인증서는 총 66건인데, 2014년 6건, 2015년 14건, 2016년 29건으로 발급 건수가 매년 200% 이상 큰 폭으로 늘고 있다. 중복적 제도의 통합 운영과 인증기관인 한국인터넷진흥원(KISA)의 홍보 노력 등이 성과를 나타내고 있는 것이다. 이러한 상황에서 굳이 의무화를 하기보다는 활성화 추세를 지켜보고 인센티브 부여 등으로 자율 규제를 촉진하는 것이 훨씬 효과적일 것이다. 이 편이 자율적인 개인정보 보호 활동의 촉진 및 지원을 인증제도의 목적으로 하고 있는 개인정보보호법의 취지에도 부합한다.

그리고 오픈넷은 얼마 전 정보보호관리체계(ISMS, Information Security Management System) 인증 의무화 확대에 대해서도 반대 입장을 밝힌 바 있다. 반대 논거들은 PIMS 인증 의무화에 대해서도 거의 동일하게 적용된다. 게다가 ISMS 인증과 PIMS 인증은 심사체계나 인증기관이 거의 동일하며, 인증기준도 중복되는 부분이 많아 혼란만 가중시키고 있다. 그런데 PIMS 인증까지 의무화한다면 중복 규제로 실질적인 보안 강화 효과는 없으면서 적용 대상 사업자들에게는 추가적인 부담을 지우게 되며 스타트업들에게는 이중의 진입장벽이 될 뿐이다.

정부 주도 인증 내지 관치보안의 가장 큰 문제점은 정부로부터 “공인”된 해당 인증만 받으면 최선의 조치를 다한 것으로 간주되어 시장 변화나 기술 발전에 훨씬 민감한 민간 영역의 기술 개발이나 인증 제도의 활성화를 막고 결국 그 피해가 이용자들에게 고스란히 돌아간다는 점이다. 공인 인증의 남발은 지양되어야 한다.

2016년 11월 24일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]

[관련 글]

• [논평] “공인” 인증 강박의 추억 떠올리는 정보보호관리체계(ISMS) 인증 – NH농협, 아시아나 등 개인정보유출기업 다수가 ISMS 인증 받아 실효성도 의문 (2016. 7. 19.)