중국의 사이버보안 정책 연구 (A Study on China’s Cybersecurity Policy)

Korean Abstract: 본 연구는 전 세계적으로 사이버보안의 중요성이 증대되고 미 ․ 중 간 기술패권 갈등이 격화되는 가운데 중국정부가 추진하고 있는 사이버안보 정책을 국가전략적 측면과 법률 ․ 제도적 측면에서 살펴보고, 한 ․ 중 간 사이버보안 정책을 비교 분석하여 한국에 대한 시사점을 도출하였다. 제2장에서는 중국의 사이버보안 정책의 근간이 되는 사이버보안 전략과 주요국과의 협력 현황을 살펴보았다. 시진핑 정부 들어 중국 최초의 국제협력 전략을 공개하고 사이버공간 내에서 국제 협력을 통해 공동의 이익을 추구하는 동시에 새로운 국제 규범의 필요성을 강조하였다. 또한 주요국과 사이버협력을 도모하고 있지만 사이버보안의 정의, 범위 등에 대한 각국의 입장이 상이하여 국제적인 합의 성립이 지연되고 있다. 먼저 중국과 미국의 사이버보안 범주가 다르다. 중국은 사이버보안의 우선순위를 ‘국가의 안전’으로 설정하고 있으나, 미국은 개인의 권리와 표현의 자유를 기반으로 하는 ‘사생활 보호’를 중심으로 사이버보안을 규제하고 있다. 한편 러시아는 사이버공간상의 국가 주권 강화, 국가의 정보통제권 인정, 국제 사이버 거버넌스 체제 변경 등의 측면에서 중국과 동일한 사이버보안관(觀)을 가지고 있다. EU의 경우는 사안에 따라 입장을 달리한다. 제3장에서는 중국정부의 사이버보안 정책을 법률 ․ 제도적 측면에서 살펴보기 위해 최근 시행된 「사이버보안법」의 주요 내용과 특징을 분석하였다. 중국 정부는 2017년 제한적으로 시행한 「사이버보안법」을 2019년부터 본격적으로 시행하고, 집행력을 강화하고자 후속조치들을 발표하고 있다. 「사이버보안법」 에서는 모든 네트워크를 대상으로 네트워크 보안관리 제도, 보안등급 보호제도, 제품 및 서비스 인증을 의무화하고 있다. 또한 최근 발표되는 관련 법규에 서는 ‘안전심사’가 의무적으로 시행되는 등 사이버보안이 강화되고 있으며, 개인정보 및 중요 데이터의 해외 이전 관련 규제도 시행되고 있다. 정보관리를 본격화하기 위해 2020년부터 「암호법」을 시행하고 사이버보안의 규제 범위 또한 확대하고 있다. 제4장에서는 한국의 사이버보안 정책의 주요 내용을 살펴보고, 한 ․ 중 간 사이버보안 정책을 비교 분석하였다. 현재 한국은 중국과 달리 공공과 민간을 포괄하는 「사이버보안법」이 부재한 상황이다. 하지만 2019년 4월 발표한 국가 사이버안보 전략을 기반으로 2019년 9월 ‘국가 사이버안보 기본계획 2019~2022’를 수립하고, 이를 통해 사이버보안 강화, 법제도 구축, 국제 협력 등 분야의 100대 세부 과제를 단계적으로 추진할 계획이다. 하지만 여전히 한 ․ 중 간 사이버보안 제도를 비교해 보았을 때, 중국 「사이버보안법」의 규제 범위가 광범위하고 포괄적이며 통제력이 강하다. 결론에서는 중국과 한국의 사이버보안 정책 분석 내용을 바탕으로 한국에 주는 시사점을 도출하였다. 중국이 사이버보안을 강화하기 위해 대내외 리스크를 관리하고 있는 상황에서 우리 기업은 특히 중국 내 경영환경 변화에 적응하기 위해 관련 제도를 지속적으로 모니터링하면서 대비해야 한다. 우리 정부 역시 국가적 차원에서 지원할 수 있는 분야를 모색해야 한다. 먼저 중국의 「사이버보안법」 시행으로 재중기업의 보안등급 획득이 의무화되었다. 우리나라의 경우 네트워크 보안등급이 권고적 기준이나, 중국은 강제사항이다. 기업이 자체적으로 관련 분야에 대한 대응책을 마련하는 것도 중요하지만, 우리 기업의 혼선을 막기 위한 정부 차원의 지원도 필요하다. 다음으로 중국의 네트워크 장비 분야 인증 역시 더욱 복잡해졌으며, 개인정보 및 데이터 보안 관련 새로운 규제를 시행하기 위해 준비하고 있다. 추후에도 지속적으로 관련 정책과 규정이 발표될 것으로 예상된다. 이에 우리 정부는 중국에 진출한 우리 기업을 대상으로 정기적으로 관련 정책 설명회를 개최할 필요가 있다. 또한 국가 차원의 지속적 공조와 소통채널 구축을 고려해야 한다.English Abstract: This study examined the Chinese government's cyber security policies and compared and analyzed cyber security policies between Korea and China to draw implications for Korea, recognizing the increasing importance of cyber security worldwide and how the technology hegemony conflict between China and the U.S. continues to intensify. Firstly, we analyzed the Chinese government's cyber security policies at the national strategic level in Chapter 2. China has implemented information control over cyberspace at the national level to maintain social order. Especially, Xi’s administration has positioned cyberspace sovereignty as a part of national sovereignty, in line with which cyber security strategy is established. In the field of cyber security, international cooperation is required, but there are difficulties arising from the disparity between the regulatory scope and priority areas of cyber security by country. Therefore this study examined international cooperation with major countries in the area of cyber security currently pursued by the Chinese government to identify major issues in the nation’s cyber security strategy. China and the U.S. operate upon different concepts in their scope of cyber security. China is a centrally controlled country that sets the priority of cybersecurity as a matter of “national security,” whereas the U.S. regulates cyber security, focusing on protecting privacy based on individual rights and the freedom of expression. On the other hand, Russia operates upon a similar perception of cybersecurity to China in terms of strengthening its national sovereignty in cyberspace, controlling the country's information flow, and applying changes to the international cyber governance system. In the case of the EU, its position varies by individual case. Chapter 3 analyzed the main contents and features of the recently implemented Cyber Security Act to examine the Chinese government's cybersecurity policy from a legal system perspective. The Chinese government has been announcing follow-up measures to implement the Cyber Security Act since 2019 and strengthen its enforcement power. The Act mandates certification of network security management systems, security grade protection systems, and network security related products and services. In addition, a safety review has become mandatory and regulations related to the transfer of personal information and important data to foreign countries have been included in recently announced laws. In order to start information management in earnest, the Cryptographic Act was enacted in 2020, therefore further expanding the scope of regulations on cyber security. In Chapter 4, we look into the main contents of Korea's cyber security policy and compared and analyzed the cyber security policies between Korea and China. Currently, Korea lacks a cyber security law that covers both the public and private sectors, such as in effect within China. However, based on the national cyber security strategy announced in April 2019, the government announced the “National Cyber Security Basic Plan 2019-2022” in September 2019 and is gradually implementing 100 detailed tasks in areas such as strengthening cyber security, establishing legal systems, and international cooperation. Based on this analysis of the cyber security policies of China and Korea, we derive the following conclusions for Korea. It is important for Korean companies to continuously monitor and prepare related systems in order to adapt to changes in the business environment situation where China is strengthening cybersecurity measures to manage internal and external risks. The government should also seek areas that can be supported at the national level. First of all, China's implementation of the Cyber Security Act has made it mandatory for Korean companies to obtain security grades. In Korea, the network security level is a recommended standard, but in China this is compulsory. Hence, Korean companies must independently come up with their own countermeasures in related fields, and government support is also needed to minimize confusion during this process. Next, certification in the network equipment sector has become more complex, and new regulations on personal information and data security are being prepared to take effect. Consequently, related policies and regulations are expected to be announced in the near future. In response, the Korean government should hold regular briefing sessions on related policies for Korean companies operating in China. It is also necessary to consider the ongoing cooperation at the national level and make efforts to further strengthen communication channels.