침해사고 신고, 24시간과 72시간 중 내 경우는 어디인가요?

두 기한은 서로 다른 법에서 나오고 동시에 흐른다

침해사고 신고 기한은 하나가 아닙니다. 정보통신서비스 제공자가 해킹 등 침해사고를 알게 되면 정보통신망법 제48조의3에 따라 24시간 이내에 최초신고를 해야 합니다. 같은 사고로 개인정보가 유출됐다면 개인정보보호법 제34조에 따라 유출을 알게 된 때부터 72시간 이내에 정보주체에게 통지하고, 요건에 해당하면 감독기관에 신고까지 해야 합니다. 두 기한은 택일이 아닙니다. 각각의 요건이 충족되면 함께 적용되고 기산점이 같아 24시간 쪽이 먼저 끝납니다. 그래서 내 경우가 어디인지를 묻는 질문의 답은 보통 둘 중 하나가 아니라 둘 다이거나 72시간만입니다. 우리 조직이 정보통신서비스 제공자인지, 유출된 정보가 어떤 종류인지, 이 두 가지가 답을 가릅니다.

기준이 되는 날은 사고가 생긴 날이 아니다

두 법 모두 기산점을 침해사고나 유출이 발생한 때가 아니라 그 사실을 알게 된 때로 정합니다. 로그를 나중에 분석해 3주 전 침입을 발견했다면 24시간은 발견한 시각부터 셉니다. 반대로 담당자가 이미 알고 있었는데 내부 보고가 늦었다면 보고 시각이 아니라 처음 알게 된 시각이 기준이므로 기한이 이미 지나 있을 수 있습니다. 개정 정보통신망법과 시행규칙은 2024년 8월 14일부터 시행됐고, 같은 개정으로 과학기술정보통신부가 재발방지 대책 마련 등 필요한 조치를 권고가 아니라 명령할 수 있는 근거가 생겼습니다. 시행일, 인지 시각, 신고 기한, 보완신고 기한은 서로 다른 날짜입니다. 사고 기록에 네 가지를 한 칸에 합치지 않고 따로 적습니다.

24시간 안에 적어야 하는 세 가지

최초신고에 들어가는 항목은 시행규칙이 세 가지로 정합니다. 첫째 침해사고의 발생 일시와 원인, 피해내용. 둘째 조치사항 등 대응 현황. 셋째 대응 업무를 담당하는 부서와 연락처입니다. 24시간 안에 원인을 완전히 규명하라는 뜻이 아닙니다. 그 시점까지 확인된 범위를 적고, 이후 추가로 확인되는 사실이 있으면 확인한 때부터 다시 24시간 이내에 보완신고를 합니다. 신고는 서면, 전자우편, 전화, 인터넷 홈페이지 입력으로 할 수 있고 기업·사업자 접수 창구는 KISA 보호나라이며 전화는 국번 없이 118입니다. 정리하면 최초신고는 중간 보고이고, 사실관계를 맞추는 자리는 보완신고입니다. 원인 분석이 끝나지 않았다는 이유로 24시간을 넘기는 것이 가장 흔한 실수입니다.

72시간은 통지와 신고, 두 개의 의무다

개인정보가 유출된 경우 72시간 안에 해야 하는 일은 두 갈래입니다. 통지는 정보주체 본인에게 알리는 것으로 서면, 전자우편, 팩스, 전화, 문자전송 또는 이에 상당하는 방법을 씁니다. 신고는 감독기관에 알리는 것으로 세 가지 요건 중 하나에 해당할 때 발생합니다. 1천명 이상의 정보주체에 관한 개인정보가 유출된 경우, 민감정보 또는 고유식별정보가 유출된 경우, 개인정보처리시스템이나 개인정보취급자가 쓰는 정보기기에 대한 외부로부터의 불법적인 접근으로 유출된 경우입니다. 상거래기업과 법인은 1만명 이상 신용정보주체의 개인신용정보가 유출된 경우가 기준입니다. 신고 창구는 개인정보보호위원회가 안내하는 유출신고 시스템이고 운영은 KISA가 맡으며, 해외사업자가 부득이한 경우에만 전자우편 접수를 씁니다. 72시간 이내에 신고하지 않으면 개인정보보호법 제75조 제2항 제18호에 따라 3천만원 이하의 과태료가 부과됩니다.

사례: 화요일 밤 11시에 랜섬웨어를 발견했다면

상황은 직원 40명 규모의 온라인 서비스 회사이고, 화요일 23시에 당직자가 파일 서버 암호화를 발견했습니다. 입력값은 인지 시각 화요일 23시, 회사 유형은 정보통신서비스 제공자, 서버에 있던 고객 개인정보는 약 8천명분이며 주민등록번호가 포함됩니다. 계산은 두 갈래입니다. 24시간 기한은 화요일 23시부터 수요일 23시까지이므로 수요일 업무 시간 안에 최초신고를 끝내야 합니다. 72시간 기한은 금요일 23시까지이고, 8천명은 1천명을 넘고 주민등록번호는 고유식별정보이므로 통지와 신고가 모두 발생합니다. 최종 결과는 수요일 중 침해사고 최초신고 1건, 금요일까지 정보주체 통지 8천건과 유출 신고 1건, 그리고 원인이 추가로 확인되는 시점마다 보완신고입니다. 결과를 바꾸는 예외는 이 회사가 정보통신서비스 제공자가 아닌 경우입니다. 그때는 24시간 의무가 사라지고 72시간 쪽만 남아 최초신고 1건이 빠집니다. 독자의 다음 행동은 인지 시각과 발견 경위를 한 줄로 확정해 기록하는 것입니다. 이 한 줄이 두 기한의 기산점이 되고, 나중에 기한 준수를 증명하는 자료가 됩니다.

결론을 바꾸는 예외 세 가지

첫째 정보통신서비스 제공자가 아니면 24시간 신고 의무가 적용되지 않습니다. 개인정보가 유출됐다면 72시간 쪽 의무만 따집니다. 둘째 유출 규모가 1천명 미만이고 민감정보나 고유식별정보가 없으며 외부의 불법적인 접근도 아니라면 신고 의무는 발생하지 않지만 정보주체 통지 의무는 그대로 남습니다. 신고가 없으니 통지도 없다고 읽으면 틀립니다. 셋째 보완신고는 추가 사실을 확인한 때마다 기한이 새로 시작하므로 최초신고를 보냈다고 의무가 끝난 것이 아닙니다. 세 예외 중 어디에 해당하는지는 사고의 심각성이 아니라 조직의 법적 지위와 유출된 정보의 종류로 갈립니다. 그래서 기술 담당자만으로 판단이 끝나지 않고 계약과 사업 범위를 아는 사람이 함께 봐야 합니다.

이 글에서 확인하지 못한 것

정보통신망법상 침해사고 미신고 과태료의 상한은 공개 안내에서 최대 3천만원으로 설명되지만, 조항 번호까지 명시한 공식 안내는 작성 시점에 확인하지 못했습니다. 본문에 적은 3천만원 이하 과태료는 개인정보보호법 제75조 제2항 제18호로 확인된 금액입니다. 신고 접수부터 조사 착수까지 걸리는 평균 기간, 국내 중소기업의 침해사고 평균 복구 비용은 공개된 통계를 찾지 못해 수치를 제시하지 않습니다. 기한과 요건은 개정으로 바뀌므로 실제 신고 직전에는 아래 출처의 현재 안내가 기준이 됩니다.

한눈에 비교하기