by
Mar 27. 2024
[생활보안 3] 7. 정보보호 공시제도와 ESG 보고서
빈 수레가 요란했다
외부에서 기업이 정보보호에 얼마나 투자를 하고 있는지, 경영진이 정보보호에 얼마만큼의 관심을 가지고 있는지를 알기는 쉽지 않은 일이다. 외부에 드러나지 않는 정보이기도 하거니와 '의지'와 '관심'이라는 영역이 측정의 대상이 되기 어렵기 때문이기도 하다. 그래도 외부자들이 기업의 정보보호에 대한 관심과 투자의지를 조금은 엿볼 수 있는 제도로 두 개를 들 수 있는데 '정보보호 공시제도'와 'ESG 경영보고서'가 그것이다.
'정보보호 공시제도'는 안전한 인터넷 이용, 정보보호 투자 활성화를 위해 정보보호 최고책임자(CISO) 지정·신고 대상 상장법인 가운데 매출액 3000억 원 이상인 기업을 대상으로 법에서 정한 요건에 따라 내용을 작성하여 정부에 신고하도록 한 제도를 말한다. 정보보호 투자·인력·인증·활동 등 기업의 정보보호 현황을 공개하도록 요구하는 의무공시제도로 '정보보호산업의 진흥에 관한 법률'과 시행령에 근거를 두고 있다.
공시제도가 제정된 이유는 명확하다. 정보보호와 같은 특수한 분야는 별도로 관련 지출들을 분리하지 않으면 기업 내부의 회계담당자도 그 정확한 규모를 모르는 경우가 허다하고 설사 예산투자를 하지 않고 있어도 외부에서는 알 수 없다. 따라서 공시라는 제도를 통해 기업의 정보보호 투자 확대를 유도하고, 기업 간의 공시자료가 비교되도록 유도해 경영진의 관심을 이끌어냄으로써 선제적 투자가 활성화되고 정보보안 수준의 향상을 꾀하기 위함이다.
'ESG 보고서'는 기업이 경영전략체계 및 성과를 중심으로 이해관계자에게 연례 재무·비재무 성과를 공유하기 위해 발간하는 것으로 Environment(친환경 경영), Social(사회적 책임), Governance(투명한 지배구조)의 내용들을 포함하도록 하고 있어 다른 말로 '지속가능보고서'라고도 불린다. 그중 Social 부분에 정보보호 관련 기업의 활동을 기재하도록 하여 외부에서도 볼 수 있도록 하고 있다.
처음 '정보보호 공시제도'가 생기고 'ESG 보고서' 발간이 활성화되었을 당시에는 두 제도에 대한 정보보호 분야 종사자들의 기대가 사뭇 컸다. 아무래도 두 종류 모두 보고서가 외부에 공개된다는 특징을 가지고 있어 최고경영진의 정보보호 분야에 대한 관심을 증대시킬 수 있을 것으로 생각했던 것이다. 공개된 자료의 특성상 언론에 항시 노출되고 기업 간 비교도 가능해지므로 경영진을 자극해 정보보호에 대한 관심과 투자를 이끌어낼 것으로 판단했던 것이다. 그러나 막상 뚜껑을 열어본 결과는 기대와는 달랐다.
'정보보호 공시제도'는 기업 보안조직들이 부지런히 공시자료를 만들어 정부기관에 게시하였음에도 전혀 효과를 발휘하지 못했다. 정부기관은 기업이 제공한 수백 개가 넘는 공시자료를 그저 단순 목록의 형태로 게시하고 있었기 때문이다.
의도한 본래의 목적을 달성하기 위해서는 언론사나 일반인들이 자료를 쉽게 조회해 보고 비교해 볼 수 있도록 구성해야 했다. 기업의 규모나 서비스 업종별 등 다양한 형태로 공시자료를 조회할 수 있도록 말이다. 하지만 현재는 자료를 게시만 하고 필요하면 알아서 찾아보기를 요구하는 모양새다. 당연히 자료의 활용도는 낮아지고 효과 역시 미약하다. 아쉬움이 남는 이유다.
'ESG 보고서'도 마찬가지다. Social 분야에 정보보호 활동을 기재하도록 요구하고 있다지만 실제 보고서에 반영되고 있는 수준은 처참하다. 단순히 보안인증 획득 여부나 무슨무슨 활동을 한다 정도에 그치고 있어 기업 정보보호 수준을 가늠해 볼 수 있는 실질적인 내용들은 없는 껍데기에 불과하다.
두 제도 모두 더도 덜도 말고 한걸음만 더 나아갔으면 어땠을까 하는 아쉬움이 깊다. 좋은 제도가 본래의 목적을 달성하지 못하고 기업 보안조직에게 추가 일거리만 만들어준 용두사미로 전락하지 않을까 하는 우려 때문이다. 단지 한걸음 더 나아가지 못해서 말이다. 부디 소리만 요란했던 빈수레로 남지 않고 한걸음 더 나아갈 수 있게 되기를 기대해 본다.
관련 글: [넋두리 2] 7. ESG와 정보보안 https://brunch.co.kr/@sunwoodowoo/41
