지난해 SK텔레콤(017670)과 KT(030200), LG유플러스(032640) 등 통신 3사에서 잇따라 해킹 사고가 드러나자 정부는 제재 강화에 나섰다. 지난 9월 개정 개인정보보호법에 이어 이달 개정 정보통신망법이 시행되면서 사고가 반복되면 한 해 영업이익을 웃도는 과징금을 물 수 있게 됐다. 통신 3사는 향후 5년간 정보보호 투자를 확대하겠다고 약속했지만 재원 배분을 둘러싼 고민은 깊어지고 있다. 통신 본업의 성장이 정체된 가운데 인공지능(AI) 투자와 주주환원에도 돈을 써야 해서다. 보안 투자를 늘린다고 사고 위험까지 사라지는 것은 아니다. 비용 부담은 커지고 제재 리스크는 남는 구조다. <IB토마토>는 통신 3사의 재무제표를 통해 강화된 보안 규제가 재무에 미치는 부담을 살펴보고, 재원 배분과 책임 구조의 쟁점을 차례로 짚어본다.(편집자주)
[IB토마토 이용현 기자] 통신 3사 이사회가 수천억원대 자사주 매입과 출자는 의결하면서 정보보호 안건은 보고받는 방식으로 다루고 있는 것으로 나타났다. 지난해 잇따른 침해사고 이후 5년간 2조 4000억원을 정보보호에 투입하기로 했지만, 실제 이사회가 관련 투자 규모와 우선순위를 직접 심의·의결한 기록은 확인하기 어렵다. 결국 대규모 투자 계획이 실제 보안 역량 강화로 이어지는지 이사회가 어떻게 감독하는지가 과제로 남을 전망이다.
KT 광화문 사옥. (사진=KT)
정보보호는 단순 보고, 자사주·출자는 의결
12일 금융감독원 전자공시시스템에 따르면 올해 상반기 통신 3사 이사회에 올라온 정보보호 안건은 회사별로 1건씩을 기록했다. SK텔레콤은 4월 통합보안센터 업무 계획을, KT는 2월 정보보안 이행점검 결과와 계획을, LG유플러스는 2월 개인정보 내부관리계획 점검 결과를 각각 보고했다. 반기보고서에 기재된 해당 안건은 모두 의결이 아닌 보고로 처리됐다.
반면 자금 집행과 관련한 주요 안건은 의결을 거쳤다. KT 이사회는 정보보안 계획을 보고받은 2월 회의에서 2500억원 규모의 자사주 매입·소각을 의결했다. SK텔레콤 이사회도 7월 인공지능(AI) 데이터센터 자회사 SK하이퍼에 최대 7500억원을 출자하기로 의결한 날 통합보안센터 운영 경과를 보고받았다. 3사의 이사회 내 위원회는 각각 5개, 6개, 5개지만 정보보호를 전담하는 위원회는 없다.
물론 정보보호 안건이 보고로 처리됐다는 사실만으로 이사회의 감독이 미흡했다고 단정할 수는 없다. 보고 과정에서도 이사들이 내용을 검토하거나 후속 조치를 요구할 수 있기 때문이다. 다만 3사가 향후 5년간 KT 1조원, SK텔레콤과 LG유플러스 각 7000억원 등 총 2조 4000억원을 정보보호에 투입하기로 한 상황에서 투자 계획과 집행 결과를 직접 전담할 위원회가 부재하다는 점은 미흡한 실정이다.
정보보호 실무 조직과 이사회를 연결하는 책임 체계도 살펴볼 대목이다. 3사는 이달 1일 시행된 개정 정보통신망법에 따라 정보보호최고책임자(CISO)를 임원급으로 두고, CISO가 위원장을 맡는 정보보호위원회에서 예산과 인력을 심의해 대표이사와 이사회에 보고해야 한다.
CISO는 이사회 밖…늘린 인력 79%는 외주
그러나 3사 CISO는 모두 이사회 구성원이 아닌 미등기 임원이며 정보보호위원회도 사내 조직에 그친다. 보안 실무를 담당하는 조직은 갖춰져 있지만 주요 투자 계획과 집행 성과를 이사회 차원에서 독립적으로 점검하고 경영진에 책임을 물을 별도 감독 기구는 없는 셈이다.
정보보호 책임자의 재직기간도 짧은 편이다. 반기보고서에 따르면 KT 정보보안실장의 재직기간은 6월 말 기준 3개월, 개인정보 보호 담당 임원은 1개월이었다. LG유플러스는 한 사람이 CISO와 개인정보 보호책임자(CPO)를 겸하고 있다.
또한 구성에서는 외주 인력의 비중이 높게 나타났다. 한국인터넷진흥원(KISA)이 공개한 정보보호 공시에 따르면 지난해 정보보호 전담 인력 가운데 외주 인력 비중은 SK텔레콤(SK브로드밴드 포함) 77.3%, LG유플러스 59.9%, KT 48.0%였다. SK텔레콤은 외주 인력이 406명으로 내부 인력 120명의 3.4배에 달했다. 특히 SK텔레콤은 1년 새 전담 인력을 189명 늘렸는데, 내부 인력은 40명 증가한 반면 외주 인력은 149명 늘어 전체 증가분의 78.8%를 차지했다.
물론 외주 인력 활용 자체가 보안 취약성을 의미하지는 않는다. 다만 시장에서는 외부 업체와 인력이 핵심 시스템에 접근하는 만큼 접근 권한과 작업 내역을 관리하고 업무 결과를 검증하는 내부 통제를 강화해야 한다는 목소리가 나온다.
실제 SK텔레콤은 협력사 소프트웨어를 충분히 검증하지 않은 채 내부 서버 88대에 설치했다가 악성코드가 유입됐으며, 개인정보보호위원회로부터 수탁자 관리·감독 체계를 강화하라는 시정명령을 받았다. LG유플러스가 지난 6월 받은 과징금·과태료 사전통지에도 수탁자 관리·감독 소홀히 포함됐다. KT 사고에서도 외부 장비 관리 문제가 드러났다. 해커는 앞서 유실된 초소형 기지국(펨토셀)에서 추출한 인증서를 불법 장비에 이용해 KT 이동통신망에 접속했다.
통신업계 한 관계자는 <IB토마토>에 "외주 인력과 협력사에 보안 업무를 맡기더라도 최종적인 관리 책임까지 외부에 넘길 수는 없다"며 "외부 인력의 접근 권한부터 작업 결과 검증, 사고 예방 조치까지 실제로 작동하는지 점검하는 것이 경영진과 이사회의 감독 과제가 될 것으로 보인다"고 말했다.
실제 해외에서는 침해사고 이후 보안 투자 확대와 함께 이사회 보고 체계를 강화한 사례도 있다. 미국 T모바일은 2021년 약 7660만명의 정보가 유출된 뒤 집단소송 합의금 3억 5000만달러를 지급하고 2년간 1억 5000만달러를 보안에 추가 투자하기로 했다. 이어 2024년 미 연방통신위원회(FCC)와의 합의에서는 1575만달러의 민사 제재금과 같은 금액의 추가 보안 투자를 약속했다. 최고정보보호책임자(CISO)가 이사회에 사이버 보안 현황과 위험을 정기적으로 보고하도록 하는 조건도 포함됐다.
결국 국내 통신 3사 역시 보안 위험을 관리·감독하는 체계를 강화하는 만큼 대규모 투자 계획이 실제 보안 역량 강화로 이어지는지, 이사회가 그 과정을 어떻게 감독하는지가 통신 3사의 과제로 남을 전망이다.
김대종 세종대 경영학부 교수는 <IB토마토>에 "가장 중요한 것은 사고 발생 가능성과 피해 규모를 사전에 줄이는 내부통제와 정보보호 투자"라며 "정보보호 예산을 무조건 늘리는 것보다 AI 기반 이상징후 탐지, 접근권한 관리, 중요 데이터 암호화, 백업과 복구체계 등 실제 사고 발생 가능성과 피해 규모를 낮추는 분야에 집중해야 한다"고 말했다.
이용현 기자 hiyori0824@etomato.com