재발방지 조치가 권고에서 명령으로 바뀐 뜻

바뀐 것은 권고와 명령의 차이입니다

답부터 적으면 2024년 8월 14일 시행된 개정으로 과학기술정보통신부가 침해사고가 발생한 정보통신서비스 제공자에게 재발방지 대책 마련 등 필요한 조치의 이행을 기존의 권고에서 명령할 수 있는 근거가 마련됐습니다. 같은 개정에서 침해사고 신고를 알게 된 때부터 24시간 이내에 하도록 하는 내용도 함께 시행됐습니다.

사고 대응이 신고에서 끝나지 않게 됩니다

실무에서 달라지는 지점은 사고의 끝이 어디인지입니다. 신고와 복구로 마무리된다고 보던 흐름에 재발방지 조치 이행이 뒤로 붙습니다. 권고였을 때와 달리 명령이 가능해졌으므로, 사고 이후 일정에 조치 이행과 그 증빙을 넣어 두는 편이 안전합니다.

적용 대상은 신고 의무와 같은 축입니다

이 조항은 침해사고가 발생한 정보통신서비스 제공자를 대상으로 합니다. 즉 24시간 신고 의무가 적용되는 축과 같은 판단에 걸립니다. 우리 조직이 정보통신서비스 제공자인지를 평시에 확정해 두면 신고 기한과 사후 조치 가능성을 한 번에 정리할 수 있습니다.

조치 계획의 재료는 사고 기록에서 나옵니다

재발방지 대책은 원인에서 역산합니다. 원인이 확정되지 않으면 대책도 추상적으로 남습니다. 그래서 보완신고를 통해 원인을 확정하는 과정이 사후 조치의 재료를 만드는 과정과 겹칩니다. 보완신고는 확인한 때부터 24시간 이내에 하게 되어 있어, 원인 확정 시점이 기록으로 남습니다.

사례: 사고 종료 뒤 일정이 늘어난 경우

상황은 침해사고 1건을 처리한 정보통신서비스 제공자입니다. 입력값은 확인일 2026년 10월 16일 기준 공개 안내, 인지 월요일 09시, 최초신고 월요일 15시, 원인 확정 금요일 14시, 복구 완료 다음 주 화요일입니다. 계산은 기한과 사후 일정을 이어 붙이는 것입니다. 최초신고 기한은 화요일 09시, 원인 확정에 따른 보완신고 기한은 토요일 14시입니다. 복구 완료로 끝나지 않고 재발방지 대책 마련이 뒤에 붙으며, 그 대책의 근거는 금요일에 확정한 원인입니다. 최종 결과는 접수 2건과 복구 1건에 재발방지 조치 계획 1건이 추가된 상태입니다. 결과를 바꾸는 예외는 정보통신서비스 제공자가 아닌 경우로, 그때는 이 조항의 대상이 아니므로 사후 조치가 명령의 형태로 요구되지 않습니다. 다음 행동은 사고 종료 보고서에 재발방지 항목을 고정 칸으로 넣는 것입니다.

조치 내용은 공개 하드닝 항목에서 고를 수 있습니다

대책을 처음부터 설계할 필요는 없습니다. CISA 의 랜섬웨어 지침은 구체적 항목을 적고 있습니다. 원격 데스크톱 같은 서비스를 웹에 노출하지 말 것, SMBv1 비활성화와 SMBv3 업그레이드, 경계 방화벽에서 TCP 445 차단, 메일로 전달되는 오피스 파일의 매크로 비활성화, 모든 서비스에 피싱 저항성 다중 인증 적용입니다. 사고 원인에 맞는 항목을 골라 적으면 대책이 구체적으로 남습니다.

명령의 절차까지는 단정하지 않았습니다

명령이 실제로 발동된 사례의 건수와 이행 기한의 통상 범위는 공개된 통계를 찾지 못해 수치를 제시하지 않습니다. 명령의 절차와 불이행 시의 효과는 법령과 행정 절차로 정해지므로 이 글에서 단정하지 않았습니다. 확인된 것은 시행일 2024년 8월 14일과, 권고에서 명령으로 바뀌는 근거가 마련됐다는 사실입니다.

개정 전후로 달라지는 것