글로벌 정보기술(IT) 기업 시스코(CISCO)의 회장을 지낸 존 체임버스는 “세상에는 두 가지 기업이 있다. 해킹을 당한 기업과 해킹을 당한 줄도 모르는 기업”이라고 말했다. 그만큼 해킹은 우리 주변에 깊숙이 침투해 있고 피해를 보고도 스스로 인지하는 것조차 쉽지 않다는 의미다.

올해 4월 발생한 SK텔레콤 해킹 사건은 우리 사회에 충격과 경각심을 줬다. 고객 정보를 지켜내지 못한 SK텔레콤은 비판받아야 하고 법과 규정에 따라 적절한 조처를 하지 않았다면 처벌받아야 한다. 다만 이는 전력, 통신, 수도 등 국가 주요 인프라를 향한 해킹 집단의 공격이 이제는 기업 하나의 노력으로 막기 어렵다는 것을 보여준 사례이기도 하다.

‘해킹의 시대’에 SK텔레콤은 적어도 자신이 해킹당한 줄은 아는 기업이었다. 만약 국민 다수의 데이터를 보유한 어떤 사업자가 해킹을 당하고도 인지하지 못했다고 가정해 보자. 개인정보가 ‘다크웹’과 같은 사이트에 매물로 등록된 후에야 정보 유출을 알게 될 것이다. 뒤늦게 정부가 피해 조사를 하더라도 범인이 어떤 경로로 침투해 얼마만큼의 데이터를 훔쳐 갔는지 파악하기 어렵다. 이 경우 장물로 올라온, 일부일지 모르는 데이터에 대해서만 유출 책임을 지면 된다. 현행 정보통신망법은 자진신고를 하든 외부 제보를 통해 해킹이 알려지든 처벌에 차이를 두고 있지 않다. 그야말로 ‘모르는 게 약’이다.

해킹 사실을 자진신고한 SK텔레콤은 온갖 사회적 비난과 함께 고객신뢰 추락, 주가 하락, 영업 손실 등 막대한 손해를 감내하고 있다. SK텔레콤이 고개 숙인 사이, SK텔레콤보다 정보보호 역량이 부족한 대다수 기업은 무슨 생각을 할까? 정보 유출을 인지해도 자발적으로 신고하기보다는 피해 사실이 외부에서 알려질 때까지 조용히 버티고 싶은 유혹에 빠질 수 있다. ‘신고하면 바보’라는 말이 나오는 이유다.

실제 해킹을 당한 기업 대부분은 해킹 피해를 ‘쉬쉬’하는 상황이다. 2024년 정보보호 실태조사에 따르면 침해사고를 경험한 기업의 80.4%는 “침해 후 신고하지 않았다”고 답했다. 해킹 피해를 신고해 봐야 비난의 화살만 맞는 상황이 해킹 신고를 꺼리게 만드는 역설이다.

이런 제도부터 바꿔야 해킹 피해를 빠르게 신고하고 추가 피해 확산을 저지할 수 있다. 이를 위해서는 해킹 피해를 스스로 인지하고 신고한 기업의 처벌을 경감하거나 해킹을 인지하지 못한 기업의 처벌을 강화하는 규제를 도입해야 한다.

해킹 피해 발생 시 신고 의무 대상도 공공분야까지 확대해야 한다. 현행법은 해킹 피해 발생 시 신고 의무를 통신사 등 정보통신서비스 운영자로 한정하고 있다. 정부 부처나 공공기관은 해킹을 당해도 신고 의무조차 없다. 이로 인해 정부나 공공기관에서는 해킹을 당했더라도 향후 논란과 문책 등을 염려해 그냥 덮고 가려는 분위기가 강하다.

우리가 해킹 피해자에게 원하는 것은 무오류의 완전무결함이 아니라 피해가 발생한 이후 책임지는 자세다. 해킹을 당하고도 신고를 꺼리게 만드는 규제를 개선하고, 솔직하게 신고하고 책임지는 기업에는 인센티브를 제공하고 격려하는 문화가 정착돼야 한다. 규제 합리화를 내건 새 정부의 제도개선을 기대해 본다.

신민수 한양대 경영대학 교수


ehkim@heraldcorp.com