국가기밀보호법 (r1)

국가기밀을 취급하는 기업은 반드시 보안관리자를 지정해야 한다. 이는 국가기밀보호법이 정한 핵심 의무 사항이다. 보안관리자는 기업 내 국가기밀 보호 업무의 총괄 책임자로서, 국가정보원 또는 해당 주무기관과의 주요 연락 창구 역할을 수행한다.

보안관리자의 주요 책임은 기업 내 보안관리체계를 구축하고 운영하는 것이다. 이는 보안업무규정의 수립과 시행, 보안교육 실시, 보안점검 수행, 그리고 보안사고 발생 시 신속한 보고 및 조치를 포함한다. 또한 비밀문서의 접수, 등록, 배부, 보관, 반출, 반입, 폐기 등 일련의 취급 과정을 전반적으로 관리해야 한다.

보안관리자로 지정될 수 있는 자격 요건은 법으로 명시되어 있다. 일반적으로 해당 기업의 상근 임원 또는 직원 중에서 선임해야 하며, 국가기밀 취급에 필요한 보안결격사유가 없어야 한다. 일정 규모 이상의 기업이나 취급하는 비밀의 등급과 양에 따라 부보안관리자를 추가로 지정할 수도 있다.

보안관리자의 지정 및 변경 사항은 지체 없이 국가정보원장 또는 주무기관의 장에게 보고해야 한다. 보안관리자가 부재하거나 직무를 제대로 수행하지 못할 경우, 이는 기업 전체의 보안관리 체계에 심각한 결함으로 이어져 법적 제재를 받을 수 있다. 따라서 기업은 보안관리자의 책임과 권한을 명확히 하고, 원활한 업무 수행을 보장해야 할 의무가 있다.

기업은 국가기밀을 취급하는 경우, 해당 기밀의 유출을 방지하기 위해 법에서 정한 물리적 및 기술적 보안조치를 반드시 구축하고 유지해야 한다. 물리적 보안조치는 국가기밀을 보관하고 취급하는 공간 자체에 대한 접근 통제와 보호를 의미한다. 이는 국가기밀 취급 구역의 지정, 출입 통제 장치의 설치, CCTV와 같은 감시 장비의 운용, 방화 및 방범 시설의 구비 등을 포함한다. 특히 비밀문서를 보관하는 금고나 서버가 위치한 정보시스템실 등 핵심 구역에 대해서는 다중의 출입 통제 절차를 적용하는 것이 일반적이다.

기술적 보안조치는 국가기밀 정보가 저장되고 전송되는 과정에서 적용되는 보호 수단이다. 주요 내용으로는 암호화 기술을 통한 정보의 보호, 침입 차단 시스템 및 보안 정보 및 이벤트 관리 시스템 도입을 통한 네트워크 모니터링, 악성코드 탐지 및 방지 조치, 그리고 접근 통제를 위한 강력한 인증 시스템의 운영이 있다. 또한 국가기밀을 처리하는 컴퓨터와 저장매체는 외부 인터넷과 물리적으로 차단된 독립된 네트워크에서 운영되어야 하며, USB 메모리와 같은 이동식 저장매체의 사용은 엄격히 통제된다.

이러한 보안조치의 수준과 구체적 내용은 기밀의 등급과 업무 환경에 따라 차등 적용될 수 있으나, 기본 원칙은 기밀 정보에 대한 무단 접근, 유출, 변조, 파괴를 기술적으로 봉쇄하는 데 있다. 기업은 국가정보원이 고시한 보안 기준을 준수하여 자체 보안대책을 수립하고, 신기술의 위협에 대응하기 위해 지속적으로 보안 체계를 점검하고 강화해야 할 의무가 있다.

국가기밀보호법에 따른 기업의 인적 보안 관리는 국가기밀을 취급하는 인력의 신원과 행동을 관리하여 내부 위협으로부터 기밀을 보호하는 체계이다. 이는 단순히 보안관리자를 지정하는 것을 넘어, 기밀 취급 인력의 선발부터 교육, 감독, 퇴직 시 관리에 이르기까지 전 과정을 포괄한다.

인적 보안 관리의 핵심은 신원조사와 보안서약서 제도이다. 기업은 국가기밀을 취급하게 될 직원에 대하여 법이 정한 절차에 따라 신원조사를 실시하거나 관련 기관의 조사를 받아야 한다. 또한 해당 직원으로 하여금 보안서약서를 작성하게 하여 비밀 유지 의무를 법적으로 확인시킨다. 이 과정은 임용 전에 완료되어야 하는 것이 원칙이다.

기밀 취급 인력에 대한 지속적인 보안교육과 감독도 중요한 의무이다. 기업은 정기적인 보안 교육을 통해 직원들의 보안 의식을 제고하고, 업무 중 보안 수칙 준수 여부를 관리감독해야 한다. 특히 보안관리자는 직원들의 접근 권한을 엄격히 통제하고, 불필요한 접근이나 이상 행위를 조기에 발견할 수 있는 체계를 마련해야 한다.

인적 보안 관리는 퇴직 또는 전보 시에도 지속된다. 기밀을 취급하던 직원이 퇴직하거나 다른 부서로 이동할 경우, 해당 직원의 접근권한을 즉시 말소하고 보안교육 이수 여부 및 보안서약서 이행 상황을 확인하는 절차를 거쳐야 한다. 이를 통해 기밀 정보가 불법적으로 유출되거나 오용되는 것을 방지한다.

기업은 국가기밀보호법에 따라 취급하는 국가기밀문서를 엄격하게 관리해야 한다. 비밀문서의 생성, 접수, 등록, 열람, 보관, 이송, 폐기 등 모든 취급 과정은 법에서 정한 절차를 따라야 하며, 이 과정에서 보안관리자의 감독 하에 이루어진다. 특히 비밀문서는 지정된 금고 또는 비밀문서함에 보관해야 하며, 무단 반출이 금지된다. 문서의 열람과 복제는 반드시 사전 승인을 받아야 하고, 그 내역은 상세히 기록되어 관리된다.

비밀문서의 이동 및 전달 시에도 엄격한 보안 절차가 적용된다. 기업 내부에서의 이송은 봉인된 상태로 보안요원이 동행해야 하며, 외부로의 발송은 등기우편이나 특송 등 안전한 방법을 사용해야 한다. 전자문서 형태의 국가기밀은 암호화 통신 등 기술적 보안조치를 통해 전송해야 한다. 문서를 운반하는 차량에는 GPS 추적 장치를 설치하는 등 물리적 안전을 확보해야 한다.

비밀문서의 보관 기간이 만료되거나 보존 가치가 상실된 경우, 해당 문서는 적법한 절차에 따라 폐기해야 한다. 폐기는 소각이나 파쇄 방식으로 이루어지며, 폐기 과정은 보안관리자가 입회하여 감독해야 한다. 폐기 완료 후에는 폐기 일시, 방법, 대상 문서 목록, 입회자 등이 기록된 폐기 확인서를 작성하여 일정 기간 보관한다. 이를 통해 문서의 생명주기(문서 생명주기 관리)가 종료될 때까지 책임 소재를 명확히 하는 것이 중요하다.

국가기밀보호법에 따라 국가기밀을 취급하는 기업은 반드시 정기적인 보안교육 및 훈련을 실시해야 한다. 이는 법에서 정한 핵심 의무 사항 중 하나로, 기업 내 모든 임직원이 국가기밀의 중요성과 취급 절차를 숙지하도록 하여 인적 요인에 의한 보안 사고를 예방하는 데 목적이 있다. 교육 대상은 기밀을 직접 취급하는 직원뿐만 아니라, 기밀 취급 구역에 출입할 수 있는 모든 구성원을 포함한다.

교육 내용은 국가기밀의 정의와 분류, 비밀문서의 작성·접수·인계·보관·폐기 절차, 보안서약서 작성, 업무상 비밀 준수 의무, 외부 반출 및 복제 금지 원칙 등 실제 업무와 직결된 실무 중심으로 구성된다. 또한, 사이버 보안 위협, 사회공학 기법을 이용한 정보 유출 수법과 같은 최신 보안 위협에 대한 대응 방안도 다룬다. 교육은 신규 채용 시, 보안 자격 취득 시, 정기적으로(보통 연 1회 이상) 실시해야 하며, 그 이수 여부와 성적은 관리 기록으로 보관한다.

기업은 교육을 효과적으로 운영하기 위해 내부 보안관리자가 직접 진행하거나, 국가정보원이나 국방부 등 관계 기관, 또는 공인된 보안 컨설팅 회사로부터 전문 강사를 초빙할 수 있다. 특히 정보통신망을 통한 원격 교육 시스템을 활용하는 경우도 많다. 모든 교육 참여자는 교육 내용을 이해했음을 확인하는 서명을 하며, 미 이수자에 대해서는 보안 취급 자격 정지 등의 행정 조치가 취해질 수 있다.

기업은 국가기밀보호법에 따라 정기적 또는 수시로 보안점검을 실시하고, 보안사고 발생 시 신속히 대응해야 하는 의무를 진다. 보안점검은 기업이 자체적으로 실시하는 자체점검과, 국가정보원 등 관계 기관이 실시하는 합동점검으로 구분된다. 자체점검은 보안관리규정에 따라 정기적으로 수행해야 하며, 그 결과를 기록하고 보관한다. 합동점검은 관계 기관의 요구에 따라 이루어지며, 기업은 이에 성실히 협조해야 한다. 점검 항목에는 물리적 보안 시설의 상태, 기술적 보안 장비의 운영 현황, 비밀문서의 관리 실태, 보안교육 이수 여부 등이 포함된다.

보안사고란 국가기밀의 누설, 유출, 도난, 분실 또는 이에 준하는 사건을 말한다. 기업은 사고 발생 즉시 긴급보고 체계에 따라 국가정보원 및 관할 경찰서 등에 신고해야 한다. 신고 내용에는 사고 발생 일시와 장소, 관련 국가기밀의 종류와 등급, 사고 경위와 원인, 현재까지의 조치 사항, 예상 피해 규모 등이 포함되어야 한다. 신고 후에는 사고 확산을 방지하고 2차 피해를 최소화하기 위한 긴급조치를 취해야 한다.

사고 대응의 핵심은 사고 조사와 재발 방지 대책 수립이다. 기업은 사고 원인을 철저히 규명하고, 책임 소재를 명확히 하며, 유사 사고의 재발을 방지하기 위한 구체적인 대책을 마련해야 한다. 이 과정에서 내부 감사를 강화하거나, 보안관리규정을 개정하는 등의 조치가 이루어질 수 있다. 사고 조사 결과와 재발 방지 대책은 관계 기관에 제출하며, 법령에 따라 행정적 제재나 형사처벌의 대상이 될 수 있다. 따라서 기업은 평소 비상연습과 대응 매뉴얼을 갖추어 두는 것이 중요하다.