중기이코노미

프린트

Live 중기 ㅣ 경제일반 “사이버보안 사고…복구보다 대응 중요하다” 경영 상시 리스크로 부상…사고 직후 대응이 피해 규모 좌우

기사입력2025-12-16 12:30

채민선 기자 (iscra79@junggi.co.kr) ㅣ다른기사보기

개인정보 유출 등 사이버보안 사고가 기업 경영의 상시 리스크로 자리 잡았다. 특히 최근 한국 기업을 겨냥한 공격이 급증하면서 사고 이후 대응 역량이 기업의 존립과 직결되는 핵심 변수로 부상하고 있다.

이인환 김·장법률사무소 변호사는 15일 대한상공회의소가 개최한 ‘최근 사이버보안 위협과 기업의 대응 전략’ 세미나에서 ‘사이버보안 사고 현황 및 법률 대응 방법론’을 주제로 발표하며 “사이버보안 사고는 IT 부서만의 문제가 아니라 법률, 규제, 경영 판단이 동시에 작동하는 복합 위기”라고 강조했다. 그러면서 사고 발생 이후의 대응 전략이 기업의 피해 규모와 존속 여부를 좌우한다고 했다.

◇랜섬웨어, 장기 침투의 결과=이 변호사는 최근 발생하는 랜섬웨어 사고의 특징으로 ‘장기적·조직적 침투’를 꼽았다. 과거처럼 우발적인 해킹이 아니라 수개월, 길게는 수년에 걸쳐 내부 시스템을 탐색하고 권한을 탈취한 뒤 공격 시점을 선택하는 방식이 일반화됐다는 설명이다.

<그래픽=채민선 기자> ©중기이코노미

그는 “랜섬웨어는 파일을 암호화하는 순간 끝나는 사건이 아니라, 그 이전부터 이미 기업 내부에 깊숙이 침투해 있는 상태에서 발생한다”며 “공격 이후에는 암호화뿐 아니라 계정 변경, 백업 삭제, 핵심 데이터 파기 등으로 업무 전반이 마비될 수 있다”고 말했다.

특히 최근 랜섬웨어 조직은 기업의 매출 규모와 자금 흐름을 사전에 분석해 요구 금액을 산정하는 등 고도화된 ‘비즈니스 모델’을 갖추고 있다는 점도 지적했다. 이 변호사는 “랜섬 노트에 협상 전용 채널, 응답 기한, 내부 식별번호까지 포함되는 사례가 늘고 있다”며 “한국 기업을 겨냥한 공격 역시 빠르게 증가하는 추세”라고 덧붙였다.

◇사고후 대응이 피해규모 좌우=사이버보안 사고가 발생하면 기업은 해커뿐 아니라 언론, 고객, 수사기관, 감독당국 등 여러 이해관계자와 동시에 대응해야 한다. 이 과정에서 초기 판단이 흔들릴 경우 피해는 기하급수적으로 확대될 수 있다.

이 변호사는 “해커와의 커뮤니케이션을 검토한다고 해서 곧바로 금전을 지급한다는 의미는 아니다”라면서도 “유출 사실의 진위, 유출 범위, 향후 협상 가능성 등은 초기 단계부터 냉정하게 검토해야 한다”고 말했다.

사고가 외부에 알려지는 순간 기업은 여러 이해관계자와 동시에 마주하게 된다. 경영진은 사고 원인과 비즈니스 영향 범위를 묻고, 고객 대응 부서는 “무엇을 어떻게 설명해야 하는지”를 요구한다. IT 부서는 원인 분석과 복구 중 무엇을 우선할지 선택해야 하고, 해커는 공개 시점을 압박한다. 여기에 규제기관, 수사기관, 언론의 질의까지 겹친다.

문제는 부서별로 제각각 대응할 경우다. 그는 “IT 부서는 복구를, 홍보 부서는 해명을, 법무 부서는 책임 회피를 각각 우선시하면 회사의 메시지가 충돌하게 된다”며 “이는 기업이 사실을 은폐하거나 말을 바꾸고 있다는 인상을 줄 수 있다”고 지적했다.

이에 따라 사고 발생 즉시 경영진을 중심으로 IT, 법무, 대외 커뮤니케이션 조직이 참여하는 통합 대응 체계를 가동해야 한다는 것이 그의 조언이다. “사고 초기 대응의 일관성이 이후 조사와 소송에서 기업의 신뢰도를 좌우한다”는 설명이다.

◇“핵심은 속도가 아니라 방향”=법·규제 대응의 중요성도 갈수록 커지고 있다. 정보통신망법에 따른 침해사고 신고는 사고 인지 후 24시간 이내, 개인정보 유출 신고는 인지 후 72시간 이내에 이뤄져야 하며, 신고 이후에는 대부분 행정조사로 이어진다.

대한상공회의소와 김·장법률사무소는 15일 ‘최근 사이버보안 위협과 기업의 대응 전략’ 세미나를 개최했다. ©중기이코노미

이 변호사는 “신고는 빠르되, 내용은 추정이 아닌 확인된 사실 중심으로 작성해야 한다”며 “성급한 판단이나 과장된 표현은 이후 조사 과정에서 불리하게 작용할 수 있다”고 말했다.

조사 과정에서 내려지는 자료 보전 명령 역시 중요한 변수다. 그는 “업무 정상화를 위해 서버를 초기화하거나 로그를 삭제하는 행위가 자료 훼손으로 간주될 수 있다”며 “이는 행정 제재를 넘어 형사 책임으로 이어질 가능성도 있다”고 경고했다.

B2B 기업의 경우 계약 리스크도 간과할 수 없다. 개인정보 유출이 없더라도 고객사와 체결한 계약서에 사고 통지 의무나 협의 조항이 포함돼 있는 경우가 많기 때문이다. 이 변호사는 “이를 위반하면 계약 해지나 손해배상 청구로 연결될 수 있다”고 설명했다.

향후 규제 환경은 더욱 엄격해질 전망이다. 개인정보보호법상 과징금 상한을 현재 매출액의 3%에서 10%까지 상향하는 논의가 진행되고 있고, 산정 기준 역시 강화될 가능성이 크다. 그는 “사고 이후의 비용은 기업이 감당할 수 없는 수준으로 커질 수 있다”며 “사전 보안 투자와 대응 시나리오 마련이 경영 의제로 다뤄져야 한다”고 강조했다.