새해 첫날, 남산에 올랐다. 정상에 서니 봉수대가 눈에 들어왔다. 조선시대 봉수는 국가의 조기경보체계였다. 평온한 때에도 누군가는 쉼 없이 땔감을 준비하고 불씨를 살펴야 했다. 관리가 느슨해져 신호가 끊기는 순간 피해는 고스란히 백성들의 몫이었다. 크고 작은 유출 사고가 연달아 일어나는 요즘의 개인정보 환경이 봉수대를 떠올리게 한다. 디지털 사회에서 개인정보는 국민의 일상과 안전·존엄을 떠받치는 핵심 기반이다. 인공지능(AI) 시대에 데이터의 가치가 높아질수록 개인정보 침해의 파급력은 더 빠르게 커진다. 이런 때일수록 기본을 지키고 있는지를 통렬히 물어야 한다.
최근 우리 사회에서 개인정보 사고가 빈번한 이유는 무엇일까. 역설적이게도 한국은 세계 최고의 디지털 인프라를 가졌지만 보안 투자는 그 속도를 따라가지 못했다. 국내 주요 기업의 정보기술(IT) 투자 대비 정보보호 투자 비중은 6% 남짓이다. 11% 이상을 투입하는 미국 기업들의 절반 수준에 그친다. 편리한 서비스 출시에 몰두한 사이 보안 체력은 허약해졌다.
이는 비단 우리만의 고민은 아니다. 세계적으로 AI 도입 속도가 보안 거버넌스 구축을 앞지르며 혼란을 겪고 있다. 한 조사에 따르면 AI를 도입한 기업의 13%가 데이터 유출을 경험했다. 해커들의 공격은 AI를 활용해 갈수록 정교해지는데 정작 기업은 접근권한 관리나 로그 점검 같은 기본조차 놓치고 있다. 실제로 침해사고의 82%는 취약한 암호 설정, 권한 관리 미흡, 소프트웨어 패치 지연 같은 보안 수칙을 지키지 않은 데서 비롯한다. 해커들은 빗장이 풀린 뒷문을 찾아내는 데 능숙하다.
여전히 현장에서는 개인정보 보호를 사고가 나면 지불하는 비용 혹은 경영 우선순위에서 밀리는 기술적 이슈로 인식한다. 이런 인식이야말로 반복되는 사고의 원인이다. 개인정보보호위원회가 대규모·반복적 사고에 대해 징벌적 과징금을 추진하는 이유가 여기에 있다. 처벌이 목적이 아니다. 개인정보 보호가 최고경영자(CEO)가 챙겨야 할 경영의 핵심 과제가 되도록 하기 위함이다. 실제로 보안에 성실히 투자한 기업은 그렇지 않은 기업에 비해 사고 복구 비용이 40% 이상 적게 든다고 한다. 보안은 가장 효율적인 리스크 관리 전략이다.
글로벌 스탠더드도 책임과 유인의 조화를 지향한다. 유럽연합(EU)의 일반데이터보호규칙(GDPR)은 막대한 과징금으로 유명하지만 기업이 사전에 위험을 분석하고 대응했다면 제재 시 이를 적극 참작한다. 미국의 연방거래위원회(FTC) 역시 기본을 소홀히 한 기업에는 엄중한 책임을 묻되, 자율적 투자와 개선 노력은 시장의 신뢰로 이어지게 유도한다.
개인정보위가 지향하는 정책 방향은 명확하다. 사고 후 대응보다는 선제적 투자와 성실한 관리가 기업에 이익이 되는 시스템을 구축하는 것이다. 이를 위해 정보보호에 힘쓰는 기업에 과징금 필수 감경과 같은 인센티브를 제공하고자 한다. 평소 성실히 투자해 온 기업을 사고가 났다는 결과만으로 똑같이 평가한다면 누구도 선제적으로 노력하지 않을 것이기 때문이다.
개인정보 보호는 평소에는 잘 보이지 않지만 한 번 무너지면 사회적 신뢰를 순식간에 앗아간다. 위법행위에는 분명한 책임을 묻고 성실한 예방 노력에는 정당한 평가가 이뤄질 때 보호체계는 제대로 작동한다. 과징금 액수보다 중요한 것은 사고 이전에 투자하게 만드는 시스템이다. 그것이 우리 국민의 정보를 지키는 가장 현대적이고 단단한 봉수대다.
< 저작권자 ⓒ 서울경제, 무단 전재 및 재배포 금지 >
