사이버 보안 입법이란 무엇일까?
사이버 보안 입법은 컴퓨터 시스템과 네트워크를 각종 공격으로부터 안전하게 지키기 위해 제정되는 법률을 의미합니다. 미국에서는 매년 의회에 사이버 보안 관련 법안이 발의되며, 이러한 법률은 기업과 연방 정부가 '사이버 보안'을 목적으로 위협 정보를 상호 공유하도록 규정하고 있습니다.
사이버법(Cyber Law)의 개념
사이버법은 인터넷을 비롯한 정보기술 전반, 즉 '사이버 공간'에서 발생하는 법적 문제를 다루는 법 분야입니다. 온라인 거래, 디지털 데이터, 전자적 소통 등 기술 사용과 관련된 모든 법적 쟁점이 그 대상이 됩니다.
컴퓨터 보안 관련 대표 법률 두 가지
- 인도 형법(IPC, 1860): 명예훼손, 사기 등 사이버 공간에서 저질러진 범죄까지 처벌하는 조항을 포함합니다.
- 회사(경영 및 관리) 규칙(CAM Rules, 2014): 회사법에 따라 제정된 규칙으로, 기업의 정보 보안 관리 의무를 규정합니다.
또한 신원 도용 및 관련 사이버 사기에는 1860년 인도 형법과 함께 2000년 정보기술법(IT법)의 조항이 적용됩니다.
핵심 입법: 정보기술법(IT Act) 2000
사이버 공간의 핵심 법률은 2000년 정보기술법('IT법')입니다. 이 법은 사이버 보안을 '정보, 장비, 기기, 컴퓨터, 컴퓨팅 자원, 통신 기기와 그에 저장된 데이터를 부정한 접근·사용·공개·교란으로부터 보호할 권리'로 정의합니다.
IT법 외에도 2013년 회사법에 따라 제정된 2014년 회사 규칙은 모든 기업이 디지털 기록과 보안 시스템을 봉인하고 접근을 제한하여 무단 변경이나 불법 접근을 방지하도록 요구하고 있습니다.
입법(Legislation)의 의미
입법은 의회에서 하나 또는 여러 법률이 통과되는 과정을 가리키며, 새로운 법을 만드는 행위 자체도 포함합니다. 법을 제정하는 것은 의회의 핵심 역할입니다.
국가별 사이버 보안 법제 현황
미국
미국에는 연방 차원의 포괄적인 사이버 보안 법률이 존재하지 않습니다. 따라서 기업들은 사이버 보안 리스크를 줄이기 위해 여러 규제가 모자이크처럼 얽힌 체계를 파악해야 합니다. 연방거래위원회(FTC)는 다음 두 가지 법적 근거로 데이터 보안 준수를 집행합니다.
- FTC법 제5조: 부당하거나 기만적인 행위·관행을 조사할 수 있는 권한
- GLBA(그램-리치-블라일리법): 데이터 보안 규제를 시행할 수 있는 권한
또한 '사이버 보안 준수법(Cybersecurity Compliance Act)' 계열의 법안은 행정적·기술적·물리적 조치를 포함한 서면 사이버 보안 프로그램을 수립·유지·준수하는 조직과 개인에게 항변 사유(affirmative defense)를 부여하는 내용을 담고 있습니다.
인도
인도에서는 2000년 정보기술법 제48조(1)에 따라 중앙 정부가 설립한 사이버 규제 상고 심판소(CRAT)가 주요 감독 기구 역할을 하며, 법에 따라 중앙 정부는 관련 사이버 보안 침해 사항을 심판소에 통보해야 합니다.
호주
호주의 주별 주요 보안 관련 법률은 다음과 같습니다.
- 수도특별구(ACT): 2003년 보안산업법(Security Industry Act 2003)
- 뉴사우스웨일스주: 보안산업법
- 빅토리아주: 2004년 사설보안법(Private Security Act 2004)
- 퀸즐랜드주: 1993년 보안업체법(Security Providers Act 1993)
- 남호주: 1995년 보안 및 조사산업법
- 태즈메이니아: 2002년 보안 및 조사요원법
사이버 보안 변호사는 무슨 일을 할까?
사이버 범죄 전문 변호사는 개인과 조직에게 주(州)·국가·국제 법률 요건을 효과적으로 충족할 수 있는 전략을 조언하고, 사이버 관련 사고가 발생했을 때는 위기관리자로서 손실을 최소화합니다. 아울러 조직과 개인이 법을 준수하도록 대리·지원하는 역할도 수행합니다.
프라이버시 및 사이버 공간 분야의 변호사는 기업이 주·연방·국제 법률 요건을 충족하도록 컨설팅하고, 규제 기관 앞에서 고객을 대리하며, 사고 대응 과정에서 정확성과 안전을 확보하는 총괄 지휘자이자 위기관리자 역할을 맡습니다.
사이버 보안·사이버법 커리어 전망
금융 전문가들에 따르면 사이버 보안 시장은 2023년까지 2,400억 달러 이상의 가치를 지닐 것으로 전망되어 매력적인 투자 분야로 주목받고 있습니다. 사이버 보안 법·정책(Cybersecurity Law & Policy) 학위를 취득하면 경력 개발에 큰 도움이 되며, 해당 전문가들은 경쟁력 있는 급여와 혜택을 받으면서도 수요가 꾸준히 높습니다.
보안 분석가부터 모의해킹 전문가(펜테스터), 강사와 학생에 이르기까지 사이버 보안 분야 전반에서 전문가 수요가 공급을 크게 웃돌고 있습니다. 사이버법 역시 오늘날 가장 성공적인 법률 커리어 중 하나로 부상했으며, 높은 연봉과 높은 수요를 동시에 누릴 수 있는 분야로 평가받습니다.
사이버 보안의 5가지 법칙
- 취약점이 존재하면 반드시 악용된다.
- 모든 것은 어떤 식으로든 취약하다.
- 사람은 믿어서는 안 될 때에도 믿는다(인간 본성의 법칙).
- 혁신은 악용의 기회를 함께 가져온다.
- 의심스러울 때는 실행하지 않는다.
사이버 보안의 주요 유형
- 클라우드 보안: 높아진 프라이버시 보호 덕분에 클라우드 스토리지의 인기가 꾸준히 증가하고 있습니다.
- 네트워크 보안: 외부 위협으로부터 네트워크를 차단·보호합니다.
- 애플리케이션 보안: 소프트웨어 수준에서 민감한 데이터를 보호하며, 애플리케이션 자체가 보호 대상입니다.
- 핵심 인프라 보안: 국가 필수 시스템을 보호하는 영역입니다.
- IoT(사물인터넷) 보안: 연결된 기기들을 위협으로부터 지킵니다.
주요 공격 유형
- 서비스 거부(DoS) 공격: 서버를 마비시키는 공격
- 악성코드(멀웨어) 감염
- SQL 인젝션: 데이터베이스에 악성 구문을 주입
- 중간자(MITM) 공격: 공격자가 통신 중간에 끼어드는 형태
- 드라이브바이 다운로드: 접속만으로 악성 파일이 설치되는 방식
- 비밀번호 탈취 시도
사이버 보안의 5대 위협
- 랜섬웨어: 데이터를 암호화한 뒤 잠금 해제 코드를 대가로 금전을 요구하는 악성 소프트웨어
- 피싱: 신뢰할 수 있는 기관을 가장해 정보를 탈취하는 수법
- 데이터 유출: 민감 정보가 외부로 노출되는 사고
- 해킹: 시스템에 대한 무단 침입
- 내부자 위협: 조직 내부 인물에 의한 보안 사고
사이버법의 필요성과 기능
인터넷, 월드 와이드 웹, 사이버 공간과 연결된 거의 모든 거래와 활동에서 사이버법은 핵심적인 역할을 합니다. 사이버 공간에서 일어나는 모든 행위와 그에 따른 반응의 법적 측면이 사이버법을 통해 다뤄집니다.
사이버법은 사이버 공동체의 규범을 대표하고 정의합니다. 사이버법이 존재하기 때문에 디지털 계약이 법적으로 집행 가능해지고, 사이버 자산을 법에 따라 보호할 수 있으며, 온라인 비즈니스도 한층 수월해집니다.
사이버법의 적용 범위
사이버법은 정보 접근, 프라이버시, 통신, 지식재산권, 표현의 자유를 보호하며, 인터넷, 웹, 이메일, 컴퓨터, 휴대전화, 소프트웨어, 모바일 앱, 데이터 저장 장치 등의 사용 전반을 포괄합니다.
사이버법이 다루는 법률 영역
사이버법은 저작권, 특허, 상표, 서비스표, 영업비밀 등 지식재산권의 소유와 배분을 비롯해 도메인 분쟁, 계약, 프라이버시, 고용, 명예훼손, 데이터 보존 문제까지 폭넓게 규율합니다.
사이버 보안 입법 관련 영상
사이버 보안 입법의 개념과 흐름을 더 깊이 이해하고 싶다면 관련 영상 자료를 함께 참고하는 것도 좋은 방법입니다.