정보통신망 이용촉진 및 정보보호 등에 관한 법률 제45조의3
IT 위키
더 많은 작업
(정보통신망법 제45조의3에서 넘어옴)
- 제45조의3(정보보호 최고책임자의 지정 등)
- ① 정보통신서비스 제공자는 정보통신시스템 등에 대한 보안 및 정보의 안전한 관리를 위하여 대통령령으로 정하는 기준에 해당하는 임원(「상법」 제401조의2제1항제3호에 따른 자와 같은 법 제408조의2에 따른 집행임원을 포함한다)을 정보보호 최고책임자로 지정하고 과학기술정보통신부장관에게 신고하여야 하되, 「중소기업기본법」 제2조제2항에 따른 중기업의 정보보호 최고책임자의 지정에 대해서는 대통령령으로 정한다. 다만, 자산총액, 매출액 등이 대통령령으로 정하는 기준에 해당하는 정보통신서비스 제공자의 경우에는 정보보호 최고책임자를 신고하지 아니할 수 있다.<개정 2014. 5. 28., 2017. 7. 26., 2018. 6. 12., 2021. 6. 8., 2026. 3. 31.>
- ② 제1항에 따른 신고의 방법 및 절차 등에 대해서는 대통령령으로 정한다.<신설 2014. 5. 28.>
- ③ 제1항 본문에 따라 지정 및 신고된 정보보호 최고책임자(자산총액, 매출액 등 대통령령으로 정하는 기준에 해당하는 정보통신서비스 제공자의 경우로 한정한다)는 제4항의 업무 외의 다른 업무를 겸직할 수 없다.<신설 2018. 6. 12.>
- ④ 정보보호 최고책임자의 업무는 다음 각 호와 같다.<개정 2021. 6. 8., 2026. 3. 10., 2026. 3. 31.>
- 1. 정보보호 최고책임자는 다음 각 목의 업무를 총괄한다.
- 가. 정보보호 계획의 수립ㆍ시행 및 개선
- 나. 정보보호 실태와 관행의 정기적인 감사 및 개선
- 다. 정보보호 위험의 식별 평가 및 정보보호 대책 마련
- 라. 정보보호 교육과 모의 훈련 계획의 수립 및 시행
- 마. 정보보호에 필요한 인력 관리 및 예산 편성
- 바. 정보보호 현황 및 주요 사항의 이사회에 대한 보고
- 사. 그 밖에 정보통신시스템 등에 대한 보안 및 정보의 안전한 관리를 위하여 대통령령으로 정하는 사항
- 2. 정보보호 최고책임자는 다음 각 목의 업무를 겸할 수 있다.
- 1. 정보보호 최고책임자는 다음 각 목의 업무를 총괄한다.
- ⑤ 정보통신서비스 제공자는 침해사고에 대한 공동 예방 및 대응, 필요한 정보의 교류, 그 밖에 대통령령으로 정하는 공동의 사업을 수행하기 위하여 제1항에 따른 정보보호 최고책임자를 구성원으로 하는 정보보호 최고책임자 협의회를 구성ㆍ운영할 수 있다.<개정 2014. 5. 28., 2018. 6. 12.>
- ⑥ 정부는 제5항에 따른 정보보호 최고책임자 협의회의 활동에 필요한 경비의 전부 또는 일부를 지원할 수 있다.<개정 2014. 5. 28., 2015. 6. 22., 2018. 6. 12.>
- ⑦ 정보보호 최고책임자의 자격요건 등에 필요한 사항은 대통령령으로 정한다.<신설 2018. 6. 12.> [본조신설 2012. 2. 17.]
정보통신서비스 제공자는 대통령령으로 정하는 기준에 해당하는 임원을 정보보호 최고책임자(CISO)로 지정하고 신고하여야 한다. 자본금 1억원 이하, 소기업 등 시행령이 정한 사업자는 신고를 하지 않아도 되며, 이 경우 사업주나 대표자를 정보보호 최고책임자로 지정한 것으로 본다.[1] 일정 규모 이상(직전 사업연도 말 자산총액 5조원 이상 등)의 사업자가 지정한 CISO 는 제4항의 업무 외의 다른 업무를 겸직할 수 없다(제3항).
제4항은 CISO 가 총괄하는 업무(제1호)와 겸할 수 있는 업무(제2호)를 나눈다. 시험에서 "총괄하는 업무가 아닌 것"을 물으면 제1호 가~사 목에 없는 것을 고른다.
| 구분 | 업무 |
|---|---|
| 총괄(제1호) | 정보보호 계획 수립·시행·개선 / 실태·관행의 정기 감사·개선 / 위험 식별·평가와 대책 마련 / 교육·모의 훈련 계획 수립·시행 / 인력 관리·예산 편성 / 이사회 보고 / 그 밖에 대통령령으로 정하는 사항 |
| 겸직 가능(제2호) | 정보보호 공시 / 정보통신기반 보호법상 정보보호책임자 / 전자금융거래법상 정보보호최고책임자 / 개인정보 보호책임자 / 그 밖에 정보보호에 필요한 조치의 이행 |
- 주요정보통신기반시설의 지정은 CISO 의 업무가 아니다. 정보통신기반 보호법 제8조에 따라 중앙행정기관의 장이 위원회 심의를 거쳐 지정한다. CISO 가 겸할 수 있는 것은 지정된 시설의 관리기관이 두는 정보보호책임자의 업무다 → 주요정보통신기반시설
| 조문 | 지정 | CISO 가 총괄하는 업무 |
|---|---|---|
| 2014. 5. 28. 개정 | 임원급 CISO 를 지정할 수 있고, 일정 기준 이상 사업자는 지정·신고 의무 | 정보보호관리체계의 수립 및 관리·운영, 정보보호 취약점 분석·평가 및 개선, 침해사고의 예방 및 대응, 사전 정보보호대책 마련 및 보안조치 설계·구현, 정보보호 사전 보안성 검토, 중요 정보의 암호화 및 보안서버 적합성 검토, 그 밖에 필요한 조치의 이행 |
| 2021. 6. 8. 개정 | 대통령령 기준 임직원 지정·신고 의무 | 계획 수립·시행·개선, 실태·관행 감사, 위험 식별·평가와 대책, 교육·모의 훈련(가~라). 겸할 수 있는 업무를 제2호로 따로 둠 |
| 2026. 3. 31. 개정(현행) | 대통령령 기준 임원 지정·신고 의무, 중기업은 대통령령으로 따로 정함 | 가~라에 인력 관리·예산 편성, 이사회 보고, 대통령령으로 정하는 사항(마~사)을 더함 |
옛 조문의 "정보보호관리체계 수립·운영", "취약점 분석·평가", "사전 보안성 검토" 같은 표현은 지금 조문에 없다.