[3줄 요약]
1. 책임 강화 바람직하지만 인센티브도 필요
2. “해킹 당하면 망한다”는 해외도 각종 인센티브 제공
3. 지금 가장 필요한 보안 인력들 떠나고 싶게 만들면 안돼

[보안뉴스 강현주 기자] “외국에서는 해킹 한번 당하면 망할 정도로 책임을 진다.”

올해 유독 사람들 입에 많이 오른 말이다. 해킹 사고를 당한 국내 기업에 과징금을 크게 매겨야 한다는 주장의 막연한 근거로도 확산돼 온 논리다.

구분해야 할 것은, 해외의 ‘망할 정도의 책임’은 과징금보다는 주로 배상액 때문이라는 점이다. 주마다 차이는 있지만, 미국은 소비자나 주주들에게 지급하는 배상액 수준이 매우 큰 것이 타격의 주 요인이다. “해외에 비해 한국 처벌은 솜방망이”라는 말이, 해외가 우리보다 과징금이 커서라는 의미가 아니란 얘기다.


[자료: gettyimagesbank]

그렇다고 과징금을 매기면 안된다는 말이 아니다. 우리나라는 배상 규모가 해외에 비해 작은 만큼 과징금이라는 대체재가 필요한 것은 맞다.

정부는 중대한 개인정보 유출 사고를 당한 기업에게 매출의 최대 10%까지 과징금을 부과하는 것을 추진 중이다. 이는 쿠팡 등 잇따른 사이버 공격에 불안과 피로를 느낄 국민 정서에 부합할 것이다. 또 그동안 보안이 그 중요성에도 불구하고 수많은 정치·사회 현안들에 묻혀온 것을 생각하면, 대통령이 직접 공개적으로 과징금을 언급할 정도로 부쩍 높아진 정부의 관심은 분명 바람직하다.

하지만 혹시 정부가 놓치는 게 없을지 우려도 제기된다. 바로 ‘인센티브’다.

“기업의 보안 강화 노력은 당연한 건데 무슨 인센티브인가?”라고 단순히 생각하기 쉽다. 하지만 ‘해킹 당하면 망한다’는 해외에서는 보안 투자와 세금 혜택을 연계하고, 정부 조달에도 기업 보안 수준을 적극 반영한다. 또 손배 소송 때 보안 강화 노력 정도에 따라 법원의 해석도 달라진다.

뉴욕주 변호사이기도 한 최경진 가천대 법학과 교수는 “해외 대비 과징금에 무게가 실리는 국내의 경우 기본 보안도 안 지킨 기업에게는 강한 처벌이 타당하지만, 기본 이상으로 잘하게 만들려면 균형이 필요하다”며 “인센티브 없이 행정적 처벌만 능사로 삼는다면 다양한 새 서비스들이 나오는데 제약이 될 수 있다”고 말했다.

지금껏 많은 기업들의 사고 원인이 ‘기본’ 미흡이었다는 점에서 질책과 책임은 불가피하다. 문제는 이제는 기본만으로는 어느 기업도 악의적 해킹을 ‘완벽히’ 막긴 어려워진다는 점이다. 따라잡기 힘든 속도로 발전하는 공격 고도화에 자유로운 기업은 없다.

특히 서비스가 국가 안보와 직결될수록, 국민 일상과 밀접할수록 공격자에겐 매력적인 타깃이다. 보안에 비교적 많은 투자를 하는 대기업에서 사고가 줄줄이 나는 것은 이 때문이다. 더 노력 하고도 덜 노력한 기업과 비슷한 수준 또는 더 큰 수준의 사고를 당할 수도 있다.

이런 현실에서 인센티브 없이 징벌만 잔뜩 강화한다면 보안 강화 노력 동기보다 사고 은폐 동기만 강해질 수 있다. 같은 사고라도 보안 강화를 노력한 기업과 그렇지 않은 기업이 똑같은 벌을 받는다면, 노력 의욕이 떨어지는 것은 자명하다.

과징금 강화가 구체적으로 명문화 된다면, 보안 강화 노력에 따른 과징금 감경 사유 등 다양한 인센티브에 대한 명문화도 병행돼야 새 정책의 균형이 맞을 것이다. 정부가 이러한 점도 충분히 고려하고 있다고 믿는다. 곧 발표될 구체화된 정보보호 종합대책에 녹아져 있길 기대한다.

같은 실패라 해도 ‘졌지만 잘싸운’ 선수에게는 더 많은 격려가 필요하다. 인센티브라는 균형이 없는 과징금 정책은 보안 담당자로서의 보람을 뺏는 일이다. 이 시점에서 가장 필요한 인력인 기업 보안 담당자들이 업을 떠나고 싶게 만들어선 안된다.

[강현주 기자(jjoo@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>