[넋두리 2] 7. ESG와 정보보안

미래 기업경영에 있어 필수인 정보보안

  코로나19로 인해 전 세계가 함께 위기를 겪게 되면서 환경보호 및 사회 안전망 강화에 대한 요구가 유례없이 급부상하고 있다. 그리고 그에 대한 방안으로 제시되고 있는 용어가 바로 ESG로 미래 기업 경영의 최대 화두로 부각되고 있다. 더 나아가서 최근에는 글로벌 신용평가사들 역시 기업을 평가하는 데 있어 ESG 요소를 신용평가에 적극 반영하고 있는 추세이다.

  ESG란 기업 경영에서 지속가능성을 달성하기 위한 환경, 사회, 지배구조 측면에서의 비재무적 성과를 의미한다. 각각 환경(Environment), 사회(Social), 지배구조(Governance)의 영문 첫 글자를 조합한 단어로, 기업 경영에서 지속가능성(Sustainability)을 달성하기 위한 3가지 핵심 요소이다.

  기존 기업에 대한 가치평가에 있어 재무제표와 같은 단기적·정량적 지표를 주로 활용해 왔다면, 점차로 증가하고 있는 기후변화 위기와 갑작스레 전 세계가 직면하게 된 코로나19 상황은 ESG를 기업평가의 기준으로 바꾸도록 요구하고 있는 상황이다. 다시 말하면 기업평가에 있어 환경, 사회적 가치를 중시하는 기업만이 미래사회에서 살아남을 수 있도록 변화가 요구되고 있는 것이다

  그런데 ESG의 3가지 핵심 요소 환경(Environment), 사회(Social), 지배구조(Governance) 중 사회 요소의 평가항목에 "데이터 보호·프라이버시"가 포함되어 있다. 즉, 기업을 경영함에 있어 얼마나 기업 내부의 데이터 및 고객의 데이터, 개인의 권리를 보호하기 위해 노력하고 있는 지를 평가에 반영하도록 하고 있다.

  대부분 비재무적 요소들로 구성되어 있는 평가항목들 중 "데이터 보호·프라이버시"의 위치는 다소 특별하다고 할 수 있는데, 이 영역이 정보보안의 분야와 일치하기 때문이다. 대체로 정보보안 분야의 경우 대외적으로 노출 가능한 수치, 자료가 존재하는 영역으로 볼 수 있으며, 따라서 기업 평가에 반영하기 용이하다는 특징을 가지고 있다.

기업의 정보보안 분야를 평가하는 데 있어 통상적으로 활용되는(또는 될 수 있는) 내용들을 살펴보면,

1. 최고 경영진이 정보보안 활동에 참여하고 있고, 그 증적이 존재하는지

2. 전체 매출 규모 대비 정보보안 분야에 대한 투자금액

3. 정보보호 최고책임자의 지정여부 및 위치(임원 지정 여부)

4. 정보보안 조직의 구성 여부 및 규모

5. 전문기관에 의해 평가된 정보보안 인증 획득 여부

6. 정보보안 조직에 의한 구체적 활동 수행 및 그 증적

7. 최근 발생한 침해사고(정보유출 사고 포함) 빈도 및 규모

등을 예시로 들 수 있다.

  기업의 정보보안에 대한 투자 여부는 각종 정보보안 인증 획득 여부 등 구체적 자료를 활용한 평가기준을 통해 수치화되어 있어 그 수준 및 현황 파악이 용이하다. 또, 대규모 고객정보 유출사고나 IT 침해사고의 발생은 그 피해를 직접적으로 고객이 체감하는 특징을 가지고 있으며, 대외적인 기업 브랜드 손상의 결과를 야기시켜 주가 하락이나 매출 하락으로 이어진다. 이는 ESG 평가에 있어 "데이터 보호·프라이버시" 점수의 하락뿐 아니라 다른 ESG 평가요소에도 영향을 줄 수 있다.

  많은 기업들이 ESG 경영의 중요성을 느끼고 앞다투어 ESG 전담부서를 운영하는 것으로 보아 앞으로의 기업은 얼마나 ESG 평가요소에 충실한 경영 활동을 수행했는지 여부가 실제 기업의 매출과 기업가치에 직접적인 영향을 미칠 것으로 전망된다

  그러나, 아무리 뛰어난 ESG 경영을 수행한다고 해도 정보보안 영역에 대한 관심과 투자 없이는 좋은 ESG 평가를 얻기는 어려울 것이다. 직접적으로 눈에 보이지 않는 비재무적 요소들로 구성되어 있는 많은 평가요소들 가운데서 특별한 위치를 가진 "데이터 보호·프라이버시" 평가요소가 있기 때문이다.