사이버침해사고 24시간 신고 의무화에도 “늑장·미신고 많다”…기술지원 거부도 과반

[녹색경제신문 = 나아영 기자] 사이버침해사고 발생 24시간 내 신고 의무화 시행 1년이 지났지만, 여전히 늑장신고와 미신고가 66건 발생했고, 기업들의 한국인터넷진흥원(KISA) 기술지원 거부율은 58.3%에 달한 것으로 나타났다.

19일 국회 과학기술정보방송통신위원회 소속 이해민 조국혁신당 의원이 KISA로부터 제출받은 자료를 분석한 결과, 지난해 8월 정보통신망법 개정으로 침해사고 24시간 내 신고가 의무화된 이후 지난 1년간 늑장·미신고 사례가 66건 발생한 것으로 집계됐다. 의무화 조치는 침해사고 조기 발견과 신속한 대응을 통한 피해 확산 방지를 목적으로 도입된 바 있다.

늑장신고 현황을 세부적으로 살펴보면 1주 이내 신고가 24건으로 가장 많았고, 6개월 이내 15건, 1개월 이내 13건, 1일 이내 10건 순으로 파악됐다. 극단적인 경우 1년이 지나서야 신고한 사례가 3건, 아예 신고하지 않은 미신고가 1건 확인되기도 했다. 현행법상 늑장신고나 미신고 시 부과되는 과태료는 최대 3000만원으로 규정돼 있다.

특히 침해사고를 신고한 기업들의 KISA 기술지원 요청률이 지속적인 감소세를 보이고 있는 것으로 조사됐다. 2025년 상반기 침해사고를 신고한 기업 777곳 중 324곳(41.7%)만이 기술지원을 요청한 것으로 분석됐다. 이는 2024년 기술지원 요청률 54.4%에서 12.7%포인트 하락한 수치로 확인됐다. 한편, 최근 5년간 침해사고 신고 건수는 2021년 640건에서 2025년 상반기 1241건으로 지속적인 증가 추세를 나타내고 있다.

이와 관련해 KISA의 기술지원 권한에 따른 제도적 한계도 드러났다. 현행법상 침해사고 기업이 기술지원을 거부할 경우 KISA는 기업 협조하에 자료 제출 요구만 가능할 뿐 현장 출입이나 서버 점검은 불가능한 상황이다. 실제로 지난 6월 예스24 침해사고에서는 KISA 분석가들이 두 차례 본사를 방문했지만 협조가 이뤄지지 않았고, 이틀 후에야 기업의 기술지원 요청으로 현장 출입이 이뤄진 것으로 전해졌다.

이해민 의원은 "24시간 내 신고 의무화는 침해사고에 즉각 대응하기 위한 최소한의 장치인데, 여전히 늑장 신고와 미신고가 반복되고 있다"며 "기업들이 자체 해결을 명분으로 KISA 지원을 회피하는 상황에서 기술지원이 해킹 원인 규명과 피해 확산 방지에 실질적으로 기여하고 있는지도 점검해야 한다"고 지적했다. 그는 이어 "현행법상 기술지원 거부 시 자료 제출 의무만 규정돼 있어 KISA의 현장 출입·조사 권한이 부족하다"며 "신속한 대응을 위해 법적 근거를 강화하는 입법 보완이 시급하다"고 강조했다.