1.

해킹 및 정보 유출 사고로 인한 기업 리스크

해킹 및 정보 유출 사고 발생 시 기업에 대한 신용도가 하락하며, 해당 기업은 과학기술정보통신부 및 개인정보보호위원회 등 유관기관의 조사와 제재뿐만 아니라 검찰, 경찰, 국회 등 다수 기관의 조사에 대응해야 합니다. 그 외에도 집단 소송 등 민사 대응이나, 업무상 배임 등 형사 고발, 언론 보도 및 정보 유출 통지에 따른 소비자 대응 등 기업의 입장에서는 다양한 법적 위험에 직면할 수 있습니다.

따라서 기업이 해킹 및 정보 유출 사고로 인한 리스크를 관리하기 위해서는, 해킹 사고를 예방하기 위한 사전 보안점검을 정기적으로 시행함과 동시에 사고가 발생하였을 경우 긴급한 대응 체계를 마련하여 사실관계 분석 후 유관기관의 조사에 선제적으로 대응하는 한편, 언론 및 소비자 동향을 모니터링하고 효과적인 소통을 통해 소송이나 평판과 관련한 위험을 효과적으로 관리할 필요가 있습니다.
 

2.

해킹 사실 인지 시 기업의 긴급 조치

해킹 및 정보 유출 사고가 발생한 경우, 회사는 24시간 내에 그 사실을 과학기술정보통신부 장관/한국인터넷진흥원(KISA)에 신고해야 하며(정보통신망 이용촉진 및 정보보호 등에 관한 법률 제48조의3제1항, 제4항, 동법 시행령 제58조의2제1항), 만일 해킹 사고로 인해 개인정보까지 유출된 경우 72시간 내에 관련 사항을 정보주체에 통지 및 개인정보보호위원회/한국인터넷진흥원(KISA)에 신고해야 합니다(개인정보 보호법 제34조제1항, 제3항, 동법 시행령 제39조제1항, 제40조제1항).

일반적 신고의무 외에도 특정 산업의 경우 추가적인 신고 의무가 부과될 수도 있습니다. 은행, 증권사, 보험사 등 금융회사는 1만 명 이상 신용정보가 유출되었을 경우 금융위원회 또는 금융감독원에 신고해야 하며(신용정보의 이용 및 보호에 관한 법률 제39조의4, 동법 시행령 제34조의4), 방산 산업의 경우 방위산업기술보호법 제11조제1항이나 군사기밀보호법 제16조제1항에 따라 신고 의무를 부담하고 있습니다.
 

3.

해킹 피해 여부 확인을 위한 조치

해킹 피해나 해킹 시도가 의심되는 경우에는 해당 시스템을 네트워크로부터 격리하고 외부에서 유입되는 이상 네트워크 트래픽을 차단할 필요가 있으며, 해킹 사고 발생을 인지하신 경우 신속하게 해당 시스템을 식별하고 피해 확산 방지를 대책을 적용하는 것이 아주 중요합니다. 시스템 격리, 관리자 계정 잠금, 방화벽 차단과 같은 긴급 조치와 함께 피해 범위 파악, 침입 경로 분석, 악성 행위 식별 등 초기 사고 평가도 제 때 이루어져야 합니다. 또한, 정밀한 사고 분석과 디지털 증거 수집·보존을 통해 향후 필요한 관계 기관의 조사 및 수사에 적극적으로 대응할 수 있는 준비를 해야 합니다.