국가AI전략위, 보안취약점 상시 신고조치제 제도화 논의

국가인공지능전략위원회는 2026년 6월 18일 '보안취약점 상시 신고조치제' 제도화 방안을 구체화하기 위한 세미나를 개최했습니다. 화이트해커가 기업·기관 시스템의 보안 취약점을 상시 신고하고 해당 기업·기관이 이를 조치하도록 하는 체계를 시범사업 이후 제도화한다는 것이 정부의 방침입니다. 배경훈 부위원장 겸 과학기술정보통신부 장관을 비롯해 과학기술정보통신부, 국가정보원, 개인정보보호위원회, 한국인터넷진흥원, 삼성생명·LG유플러스·엔씨소프트 등 시범사업 참여기업이 세미나에 참석했습니다.

첨단 AI로 보안 취약점 탐색과 공격이 자동화하면서 사이버 위협이 커지고 있으며, 지난해 발생한 연쇄 대형 보안사고가 제도 도입의 계기가 되었습니다. 현행 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」과 「개인정보 보호법」 등 관계 법령이 화이트해커의 안심한 취약점 탐색 활동을 제도적으로 뒷받침하지 못하는 상황이 문제로 지적됩니다.

화이트해커가 안심하고 취약점을 탐색할 수 있도록 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」과 「개인정보 보호법」 등 관계 법령의 개정 범위와 방식이 주요 논의 대상으로 다뤄지고 있습니다. 과학기술정보통신부(민간 분야)와 국가정보원(공공 분야)이 주관하는 시범사업이 6월부터 연말까지 민간기업·공공기관 15곳을 대상으로 진행되며, 시범사업 결과를 바탕으로 제도화가 추진될 예정입니다.

시범사업 및 관련 법령 개정이 완료될 경우, 기업은 외부 화이트해커로부터 보안 취약점 신고를 상시 접수하고 조치할 의무를 부담하게 될 가능성이 있어 내부 보안 대응 체계와 프로세스 정비가 필요합니다. 삼성생명·LG유플러스·토스페이먼츠 등 금융·통신·게임 업종을 포함한 기업들은 제도화 이후 취약점 신고 접수·처리·이행 입증에 관한 내부 절차를 사전에 마련해 두는 것이 바람직합니다. 현재 논의 및 시범사업 단계이므로 법령 개정 방향과 적용 대상 범위에 관한 동향을 지속적으로 모니터링할 필요가 있습니다.