[한경ESG] 러닝 -AI 시대의 정보보안 리스크 ①
AI 디지털 시대, ‘정보보안’ 현실 고민 되다
현대 기업경영에서 ESG(환경·사회·지배구조)는 기업의 가치와 경쟁력을 결정하는 핵심 요소로 자리 잡았다. 특히 정보보안과 데이터 프라이버시는 투자자들이 고려하는 ESG 리스크 상위 요인으로, ESG 경영의 중요한 축을 형성하고 있다.

국내외 대부분의 ESG 평가 기준에도 사이버보안과 개인정보보호 영역이 포함되어 기업의 ESG를 평가하고 있다. 더욱이 최근 인공지능(AI)을 통해 촉진 및 활성화된 기업의 AI DX(디지털 전환)를 위해서는 정보보안 및 데이터 프라이버시가 무엇보다 선행적으로 갖춰져야 한다. 그만큼 현재 기업환경에서 정보보안의 중요성은 두말할 필요 없다.

이와 관련해 최근 국내에서 발생하는 대규모 해킹 사고는 단순한 특정 기업의 보안 사고라는 점을 넘어 ESG 경영과 기업의 사회적책임에서 정보보안 및 데이터 프라이버시가 얼마나 중요한지 다시금 생각하는 계기가 되었다. 개별 기업의 문제만이 아닌, 국가 차원의 사이버보안 위기로 확산된 정보 유출 사고는 디지털 시대 기업이 마주한 ESG의 책임과 이를 위협하는 가장 현실적이면서 심각한 위험이 되고 있다.

ESG 평가 기준이 된 사이버보안·개인정보 보호

특히 사회적책임(S) 관점에서 정보보안 및 사이버보안 사안은 가장 심각한 ESG 위험 중 하나다. 우선 재정적 손실 관점에서 보면, 사이버보안 사고로 인한 신뢰 손상은 장기적 특성을 지닌다.

IBM의 ‘2022 데이터 유출 비용 연구 보고서’에 따르면, 데이터 유출로 발생하는 총비용 중 절반 가까운 금액은 사건 발생 1년 이후에 나타난다. ‘2024 데이터 유출 비용 연구 보고서’에서는 전 세계 평균적으로 데이터 유출 사고 한 건당 수습 비용이 488만 달러(약 67억6000만 원)에 달하며, 한국 기업의 경우 평균 48억3000만 원의 수습 비용이 발생하는 것으로 조사되었다. 이러한 통계를 보면 데이터 유출 사고 수습 비용은 평균 기업의 비용과는 비교할 수 없을 정도로 막대하며, 이러한 비용은 상당히 장기간에 걸쳐 기업에 재정적 부담을 안길 수 있다.

게다가 개인정보 유출로 인한 사회적비용은 경제적 손실을 훨씬 뛰어넘는다. 유출된 개인정보를 이용한 2차 범죄 가능성, 사회 전반의 디지털 신뢰 하락, 그리고 국가 사이버보안 체계에 대한 불신 등이 복합적으로 작용해 궁극적으로 기업에 대한 신뢰 하락으로 이어진다. 개인정보 유출은 국민의 일상생활에 중대한 영향을 미치며 정보 유출로 인한 신원 도용, 금융사기 등 2차 범죄 가능성은 사회적 불안을 확산한다. 실제로 개인정보 해킹 사건에 대해 소비자 5명 중 4명 이상이 계좌 탈취나 보이스피싱 등 2차 피해를 우려했으며, 가장 큰 우려 요소로 계좌 탈취 등 금융사기(87%), 보이스피싱 등 범죄 악용(82%)을 꼽았다.

사회적 신뢰 측면에서도 정보가 유출된 기업은 큰 타격을 입는다. 정보보안 문제 발생 시 브랜드 호감도와 만족도와 함께 신뢰도 저하, 제품 추천 의향 등 인식도 변화와 고객 서비스 이탈, 주가 하락 등 악영향을 가져온다.

지배구조(G) 관점에서는 정보보안 거버넌스 문제점, 즉 정보보호 최고책임자(CISO)의 권한과 보안 책임의 일원화 등 통합적 보안 대응 체계 구축이 필요하다. ESG 관점에서 CISO가 법령 규정처럼 실질적 권한과 독립성을 갖고 이사회와 직접 소통하는지 여부가 중요하다. CISO가 네트워크 보안에 대한 실질적 통제권 없이 정책적 역할에 치중할 경우 정보보호 거버넌스가 제대로 작동하기 어렵다. 또 이사회 내 보안 전문가 존재의 필요성도 대두된다.

마지막으로, 정보 유출은 간접적으로 환경(E)에도 영향을 미친다. 예컨대 독일 프라운호퍼 연구소에 따르면, 유심카드의 생산·운송·사용·폐기 전과정에서 발생하는 이산화탄소 환산량은 229g으로, 유심 교체 시 약 5695톤의 온실가스가 배출될 것으로 예상된다. 또 사고 대응 과정에서 증가하는 데이터 처리량과 서버 운영으로 인한 추가적 전력 소비도 환경에 영향을 미치는 요소라 할 것이다. 이는 기업의 탄소감축 목표 달성에도 일정 부분 부정적 영향을 미칠 수 있다.

보안 강화 체계와 조치 재점검해야

우리 기업도 이제 보안 강화 체계와 조치를 재점검해야 한다. 보안 강화 과정에서 발생할 수 있는 환경영향을 최소화하기 위한 친환경적이면서 에너지 효율적인 데이터센터 구축·운영도 필요하다. 더불어 사이버보안 강화로 인한 추가 전력 소비가 예상되므로 이를 상쇄하기 위해 재생에너지 사용 비율을 높이는 방향으로 가야 할 것이다. 또 강화된 보안 시스템을 운영함에 따라 더 철저한 탄소배출량에 대한 점검과 대응 체계를 구축할 필요가 있다.

사고 발생 시 신속하고 투명하게 정보를 공개해 사회적 신뢰를 회복해야 한다. 임직원과 고객을 대상으로 한 정보보안 교육을 강화하고, 사회 전반의 보안 인식을 높이는 캠페인을 실시해야 한다. ‘조금은 심하다 싶을 정도로’ 보안과 관련해 기술적으로 기대 가능한 최고 수준에서 선제적으로 조치를 취하고, 기업의 경영활동과 보안의 중요도를 선택하는 과정에서는 보안이 기업의 경영활동에 비해 동일 또는 앞선 우선순위가 되어야 한다.

또 CISO에게 실질적 권한을 부여하고, 이사회에 직접 보고하는 체계를 구축해야 한다. 이사회에 보안 전문가를 포함시키거나 보안 전문가의 의사가 제대로 반영되어 결정이 이루어지도록 정보보안 관련 전문성이 반영되어야 한다. 특히 이사회에 관련한 사항은 다양한 고객 정보를 다루고, 그 사업의 성격상 정보보안이 필수 경영 요인이 되는 사업 영역에 속하는 회사 모두 적용되어야 한다. 더불어 조직 내 분산된 보안 책임을 통합하고, 전사적 차원의 통합적 보안 거버넌스를 구축하는 것도 빼놓을 수 없다. 앞으로는 사이버 리스크를 기업의 최고 핵심 사항으로 인식하고, 이를 체계적으로 관리하는 강화된 프레임워크를 구축해야 한다.

정보보안 강화는 기업과 사회 간 새로운 계약 관계 재정립이 요구된다. 사이버공격이 ‘만일(if)의 경우’가 아니라 ‘언제든(when) 일어날’ 상황이 된 현실에서, 기업은 사이버 복원력(cyber resilience)을 기업경영의 핵심 전략에 포함시켜야 한다. 사이버보안은 더 이상 기술 부서만의 책임이 아니라 경영진과 이사회를 포함해 전사적으로 협력 대응해야 하는 과제다. 특히 기업의 사회적책임은 고객 보호를 넘어 사회 전체의 디지털 신뢰 생태계 구축으로 확장되어야 한다.

AI 디지털 시대에 기업이 사회적가치 창출과 지속가능한 발전에 기여하기 위해서는 정보보안이라는 기본적이면서 필수적인 활동을 제대로 수행해야 한다. 개별 요인별 중요도에 차이가 있을 수 있으나 결국 ESG 경영이 기업의 생존과 발전에 필수적이라는 점을 다시 한번 확인시킨다. 기업은 정보보안을 가장 기본적이고 필수적 조치로 인식하고 건전한 정보보안의 토대 위에서 기업활동을 수행해야 한다.

이근우 법무법인 화우 변호사