[기고] 쿠팡 사태, 갈등 아닌 사이버 협력 계기로

박성준 한림대 정보과학대학 객원교수·한국사이버안보학회 고문 쿠팡의 대규모 개인정보 유출 사태가 한·미 간 통상 갈등으로 비화할 조짐을 보이고 있다. 미국 일각에서는 이번 사건을 미 증시에 상장된 기업에 대한 차별적 규제로 바라보는 우려도 제기한다. 그러나 사태의 본질은 기업의 국적이나 어디에 상장했느냐가 아니다. 핵심은 국민의 일상과 밀접하게 연결된 플랫폼이 어느 수준의 보안 책임을 져야 하는지, 그리고 유출로 피해를 입은 고객을 어떻게 보호할 것인지에 있다. 이번 사안을 통상 마찰의 프레임에 가두기보다 한·미 사이버안보 협력을 강화하는 계기로 삼아야 하는 이유다. 이를 위해 네 가지 원칙이 선행돼야 한다. 첫째, 객관적이고 과학적인 조사를 통해 사실 관계를 명확히 규명해야 한다. 단순한 관리 부실인지, 외부의 악의적 공격이나 조직적 범죄가 개입했는지 침해 경로와 피해 범위를 철저히 밝혀야 한다. 국가정보원과 개인정보보호위원회, 경찰 등 관계 기관은 국제적으로 통용되는 기준을 활용해 디지털 포렌식과 침해 분석을 수행하고, 그 결과를 가능한 범위에서 투명하게 제시해야 한다. 객관적 증거에 기반한 사실 규명만이 자의적 규제라는 불필요한 외교적 오해를 해소할 수 있는 가장 강력한 수단이다. 둘째, 한·미 사이버 협력을 통상 갈등을 완충하는 안전판으로 가동해야 한다. 국가정보원과 미국 국가안보국(NSA), 연방수사국(FBI), 사이버보안·인프라보안국(CISA) 등 양국의 관련 기관 간 사이버 위협 인텔리전스 공유를 강화할 필요가 있다. 공격의 경로와 기법, 배후 가능성을 공동으로 분석해 사실 관계에 대한 공통의 인식을 형성한다면, 정당한 법 집행과 부당한 보호무역 조치를 보다 명확하게 구분할 수 있다. 포괄적 안보 동맹으로 발전하고 있는 한·미 관계에서 사이버 안보는 갈등을 예방하고 상호 신뢰를 높이는 핵심 축이 돼야 한다. 셋째, 쿠팡은 시장 영향력에 걸맞은 글로벌 수준의 보안 거버넌스를 확립해야 한다. 복잡한 지배구조나 모회사의 국적이 보안 책임을 회피하는 방패가 돼서는 안 된다. 이사회 차원의 독립적인 사이버보안 감독 체계를 구축하고, 최고정보보호책임자(CISO)에게 실질적인 권한과 책임을 부여해야 한다. 정보보안을 단순한 IT 비용이나 규제 대응 비용으로 볼 것이 아니라, 기업의 지속가능성과 존립을 좌우하는 핵심 리스크 관리 영역으로 인식하는 경영 체질의 변화가 필요하다. 넷째, 법적 공방에 앞서 실질적인 피해 구제를 최우선에 둬야 한다. 배송 주소와 공동주택 출입 관련 정보가 유출됐다면 이는 단순한 개인정보 침해를 넘어 주거 안전과 물리적 위협으로 이어질 가능성이 있다. 쿠팡은 법적 최소 의무를 이행하는 데 그치지 말고 계정 보호 지원, 이상 징후 모니터링, 사기 및 2차 피해 예방 등 선제적인 보호 조치에 총력을 기울여야 한다. 지금 기업이 던져야 할 질문은 “법적으로 어디까지 책임져야 하는가”가 아니라 “고객 보호를 위해 무엇을 더 해야 하는가”다. 데이터와 경제활동, 국가안보와 국민의 안전이 긴밀하게 연결되는 디지털 시대에 국경을 넘나드는 플랫폼의 책임은 결코 희석될 수 없다. 한국은 적법한 절차와 객관적 증거에 기반한 투명한 규제 집행으로 신뢰를 확보해야 하고, 미국 역시 정당한 사이버보안·개인정보 보호 조치와 통상적 보호무역 조치를 구분하는 객관적인 시각을 가져야 한다. 쿠팡 사태를 소모적인 정치·통상 공방으로 확대할 것인가, 아니면 한·미 사이버안보 협력을 한 단계 끌어올리는 전환점으로 만들 것인가는 양국의 선택에 달려 있다. 이번 사건을 갈등의 불씨가 아니라 협력의 계기로 만들어야 한다. 사이버 공간에는 국경이 없지만, 그에 따른 책임까지 국경 밖으로 사라져서는 안 된다.