기업들 잇딴 볼멘소리
잇따른 대형 개인정보 유출 사고에 따라 정부와 정치권이 기업 책임을 강화하는 정책과 법안을 추진 중인 가운데, 업계에선 이 같은 '협박성' 책임 강화 정책이 실제 보안투자로 이어지기는 어려울 것이라는 주장이 나오고 있다.
14일 업계에 따르면 기업의 정보보호 책임자들은 최근 규제당국과 정치권이 강조하고 있는 강력한 손해배상제도나 처벌규정 강화 등이 실질적인 기업의 보안 투자를 유인하기 어렵다고 보고 있다. 보안회사 대표를 지내다 최근 KT 정보보호최고책임자(CISO)를 맡게 된 신수정 전무는 "강화되는 규정과 사회적 분위기로 인해 기업이 정보보호에 대한 상당한 두려움과 책임감을 갖게 된 것은 사실"이라면서도 "막상 기업이 예산을 투입해 보안 시스템을 구축, 개비하는 것은 두려움에 따른 것이 아니라 기업활동의 '이익'과 직결될 때 실현된다"고 말했다. '정보 유출 사고가 발생하면 회사가 망할 수도 있다'는 막연한 협박보다는 'A 조건, B 조건을 갖춘다면 혹시 정보유출 사고가 발생해도 책임을 면제해 줄 수 있다'는 식의 규제가 오히려 기업의 적극적인 투자를 유도한다는 것이다.
이경호 고려대 정보보호대학원 교수도 "도둑이 두렵다고 아파트값보다 더 비싼 자물쇠를 현관문에 다는 사람은 없다"면서 "기업은 보안투자를 하지 않았을 때의 위험요소(리스크)와 보안 투자를 했을 때 얻을 수 있는 실익을 철저히 비교 평가해 비로소 보안 투자를 집행한다"고 설명했다.
이는 최근 정부가 강력히 추진하고 있는 손해배상제 및 자율규제 강화 방향과 기업의 판단에 온도차가 있다는 것을 보여준다. 정부는 그간 기업의 정보보호 강화를 위해 '화이트리스트' 방식의 규제를 유지했었다. 보안을 강화하기 위한 세부 조건을 법령에 명시하고 기업이 이를 의무적으로 준수하도록 규정한 것이다. '정보보호를 위해 000을 해야 한다'는 방식이 그것이다. 하지만 대형 정보유출 사고가 연이어 발생하면서 이를 블랙리스트 방식으로 전환해야 한다는 주장이 강력히 대두됐다. 기업이 해야 할 일을 구체적으로 명시하지 않고 사후 책임을 크게 강화한 후 사고 발생시 최선의 보안을 했는지를 당시 기술과 환경에 맞추어 해석하자는 것이 블랙리스트 방식이다. 정부도 이같은 의견에 공감해 법적 의무사항을 세분화하기 보다 기업의 '정보보호 자율규제'를 대폭 강화하고 있다. 최근 미래창조과학부가 추진하는 '정보보호 등급제'나 '정보보호준비도평가제'도 자율 규제 강화의 일환으로 이행되는 것이다.
그러나 기업들은 이런 규제방식이 보안투자 촉진으로 이어지지는 않을 것이라고 보고 있다. 오히려 정부가 지정하는 사안을 충실히 이행해 보안 체계를 갖추는 것이 기업 입장에서는 리스크를 최소화 하는 방법이며 투자 유인요소가 된다는 것이다.
보안전문가들은 이같은 목소리에 대해 '여전히 보안을 시켜야 하는 일로만 여기고 있다'고 꼬집는다. 김경환 법무법인 민후 대표변호사는 "정보를 유출시켰다고 기업을 도산시키자는 게 정부의 의지는 결코 아니다"면서 "당국이 특정 기술이나 조건을 명시해봤자 해킹 등의 수법이 너무나 빠르게 변화해 실질적인 보안, 방어에 별 도움이 안되는데도 기업은 당국의 지시만 따르고 면책을 받으려는 경향이 그동안 이어져 왔기 때문에 화이트리스트 방식으로 변화시키고자 하는 것"이라고 강조했다. 그는 이어 "고객의 정보로 부가가치를 창출하는 기업이라면 비즈니스의 근간인 정보 자체를 핵심적으로 보호해야 하는 것은 기본 중의 기본인데, 보호 항목을 정부가 결정해줘야 비로소 보안 투자를 하겠다는 발상 자체가 안일하기 짝이 없다"고 비판했다.
이에 대해 신수정 KT 전무는 "정부가 시켜야만 투자를 하겠다는 뜻이 아니라 두려움을 주는 규제가 아닌, 실질적인 보안 강화를 위한 예방적 차원의 준비가 중요하다는 의미"라며 "보안 사고는 아무리 철저히 방비해도 언제든 뚫릴 수 있는데 이런 사실을 간과하고 무조건 강경 일변도로 규제를 몰아가면 오히려 기업의 투자를 위축시킬 수 있다는 것을 당국이 이해해 줬으면 하는 것"이라고 설명했다.
강은성기자 esther@
14일 업계에 따르면 기업의 정보보호 책임자들은 최근 규제당국과 정치권이 강조하고 있는 강력한 손해배상제도나 처벌규정 강화 등이 실질적인 기업의 보안 투자를 유인하기 어렵다고 보고 있다. 보안회사 대표를 지내다 최근 KT 정보보호최고책임자(CISO)를 맡게 된 신수정 전무는 "강화되는 규정과 사회적 분위기로 인해 기업이 정보보호에 대한 상당한 두려움과 책임감을 갖게 된 것은 사실"이라면서도 "막상 기업이 예산을 투입해 보안 시스템을 구축, 개비하는 것은 두려움에 따른 것이 아니라 기업활동의 '이익'과 직결될 때 실현된다"고 말했다. '정보 유출 사고가 발생하면 회사가 망할 수도 있다'는 막연한 협박보다는 'A 조건, B 조건을 갖춘다면 혹시 정보유출 사고가 발생해도 책임을 면제해 줄 수 있다'는 식의 규제가 오히려 기업의 적극적인 투자를 유도한다는 것이다.
이경호 고려대 정보보호대학원 교수도 "도둑이 두렵다고 아파트값보다 더 비싼 자물쇠를 현관문에 다는 사람은 없다"면서 "기업은 보안투자를 하지 않았을 때의 위험요소(리스크)와 보안 투자를 했을 때 얻을 수 있는 실익을 철저히 비교 평가해 비로소 보안 투자를 집행한다"고 설명했다.
이는 최근 정부가 강력히 추진하고 있는 손해배상제 및 자율규제 강화 방향과 기업의 판단에 온도차가 있다는 것을 보여준다. 정부는 그간 기업의 정보보호 강화를 위해 '화이트리스트' 방식의 규제를 유지했었다. 보안을 강화하기 위한 세부 조건을 법령에 명시하고 기업이 이를 의무적으로 준수하도록 규정한 것이다. '정보보호를 위해 000을 해야 한다'는 방식이 그것이다. 하지만 대형 정보유출 사고가 연이어 발생하면서 이를 블랙리스트 방식으로 전환해야 한다는 주장이 강력히 대두됐다. 기업이 해야 할 일을 구체적으로 명시하지 않고 사후 책임을 크게 강화한 후 사고 발생시 최선의 보안을 했는지를 당시 기술과 환경에 맞추어 해석하자는 것이 블랙리스트 방식이다. 정부도 이같은 의견에 공감해 법적 의무사항을 세분화하기 보다 기업의 '정보보호 자율규제'를 대폭 강화하고 있다. 최근 미래창조과학부가 추진하는 '정보보호 등급제'나 '정보보호준비도평가제'도 자율 규제 강화의 일환으로 이행되는 것이다.
그러나 기업들은 이런 규제방식이 보안투자 촉진으로 이어지지는 않을 것이라고 보고 있다. 오히려 정부가 지정하는 사안을 충실히 이행해 보안 체계를 갖추는 것이 기업 입장에서는 리스크를 최소화 하는 방법이며 투자 유인요소가 된다는 것이다.
보안전문가들은 이같은 목소리에 대해 '여전히 보안을 시켜야 하는 일로만 여기고 있다'고 꼬집는다. 김경환 법무법인 민후 대표변호사는 "정보를 유출시켰다고 기업을 도산시키자는 게 정부의 의지는 결코 아니다"면서 "당국이 특정 기술이나 조건을 명시해봤자 해킹 등의 수법이 너무나 빠르게 변화해 실질적인 보안, 방어에 별 도움이 안되는데도 기업은 당국의 지시만 따르고 면책을 받으려는 경향이 그동안 이어져 왔기 때문에 화이트리스트 방식으로 변화시키고자 하는 것"이라고 강조했다. 그는 이어 "고객의 정보로 부가가치를 창출하는 기업이라면 비즈니스의 근간인 정보 자체를 핵심적으로 보호해야 하는 것은 기본 중의 기본인데, 보호 항목을 정부가 결정해줘야 비로소 보안 투자를 하겠다는 발상 자체가 안일하기 짝이 없다"고 비판했다.
이에 대해 신수정 KT 전무는 "정부가 시켜야만 투자를 하겠다는 뜻이 아니라 두려움을 주는 규제가 아닌, 실질적인 보안 강화를 위한 예방적 차원의 준비가 중요하다는 의미"라며 "보안 사고는 아무리 철저히 방비해도 언제든 뚫릴 수 있는데 이런 사실을 간과하고 무조건 강경 일변도로 규제를 몰아가면 오히려 기업의 투자를 위축시킬 수 있다는 것을 당국이 이해해 줬으면 하는 것"이라고 설명했다.
강은성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
