"보안보다 벌금이 싸다"… 반복되는 초대형 유출 사고
쿠팡과 SK텔레콤의 대규모 개인정보 유출 사태가 잇따라 발생하면서 "한국 기업의 보안 체질이 구조적으로 취약하다"는 지적이 거세지고 있다. 사고 이후 부과되는 과징금과 민사 배상이 기업의 경영 전략을 흔들기엔 턱없이 부족한 수준이다 보니, 해킹 피해가 반복돼도 보안·보험 등 소비자 보호 체계가 실질적으로 강화되지 않는다는 분석이다.
특히 SK텔레콤은 최근 사고로 1347억9000만원의 과징금을 부과받았지만, 이는 2024년 연결 기준 매출(약 17조6000억원) 대비 0.76%에 불과하다. 현행 개인정보보호법상 과징금 상한이 '매출의 3%'임을 고려하면, "역대 최대"라는 수식어와 달리 실제 부담은 법적 상한의 4분의 1에도 미치지 못한다.
전문가들은 이러한 격차가 기업들이 보안 및 보험을 적극적으로 강화하지 않는 핵심 원인이라고 지적한다. 대기업 기준 보안 인력 확충, 시스템 고도화, 연간 보안 유지비·모니터링 비용 등을 포함해 보안 체계를 업그레이드하는 데 필요한 비용은 수백억에서 수천억원이 들지만, 사고 발생 후 부담해야 하는 과징금과 배상액은 그보다 훨씬 낮은 수준에 머물기 때문이다.
해외 기업들과의 차이도 크다. 글로벌 금융·IT 기업들은 매출의 0.5~0.7%를 보안 예산으로 고정 배정하고, JP모건·뱅크오브아메리카 등은 매년 1조원 이상을 사이버 보안에 투자한다. 반면 국내 기업들은 대규모 유출 사고가 반복돼도 소비자 보호 체계를 선제적으로 확충하는 흐름이 나타나지 않고 있다. 즉 "보안 투자 비용이 과징금보다 훨씬 비싸다"는 구조가 유지되면서, 사고 이후의 제재가 사전 예방으로 연결되지 못하고 있는 것이다.
이러한 비용 구조는 기업의 위험관리 방식에도 직접적인 영향을 미친다. 국내 기업 상당수는 보안 관련 투자를 최소 운영 범위에서만 유지하고, 사이버보험 가입 또한 법이 요구하는 수준에 머물고 있다. 실제 사고가 발생해도 과징금과 배상액이 기업 경영을 뒤흔들만큼 크지 않기 때문에, 기업 입장에서는 사전 예방 비용보다 사고 처리 비용이 낮게 계산되는 현재의 의사결정 프레임이 쉽게 바뀌지 않는 것이다.
손해보험업계는 매출 10조원 이상, 정보주체 1000만명 이상인 초대형 기업이라면, 현재 10억원에 불과한 사이버보험 최소 가입 한도를 최소 1000억원 수준까지 대폭 상향해야 한다고 주장하고 있다.
민사 배상 구조 역시 사전 대비를 촉진하기 어렵다는 지적이다. 정광민 포항공대 교수는 "2014년 카드사 고객 정보 유출 사건과 2016년 인터파크 사고의 최종 배상 책임은 소송에 참여한 고객 기준 1인당 10만원 수준에 그쳤다"며 "이처럼 배상액이 작다 보니 기업이 사이버보험을 적극적으로 가입할 유인이 높지 않다"고 설명했다.
문제는 피해가 소비자에게 집중된다는 점이다. 유출된 개인정보는 장기간 외부에 남아 2차 금융사기·스미싱·계정 탈취 등으로 이어질 위험이 크지만, 실제 피해 보상은 제한적이며 사고 공지 지연이나 책임 제한 규정으로 실질적 보호도 충분하지 않다는 비판이 꾸준히 제기된다.
정부도 제도 개선에 착수했다. 쿠팡 사고 이후 정부는 징벌적 과징금 도입, 대표자 책임 강화, 손해배상 실효성 제고 등 제재 수준 상향을 검토하고 있으며, 개인정보위·관계부처 합동으로 계정 탈취·스미싱 등 2차 피해 방지 대응을 가동 중이다. 김민석 국무총리는 지난 10일 정부서울청사에서 열린 제7회 국가정책조정회의에서 "국민 정보 보호는 플랫폼 기업의 기본 책무"라고 강조하며 사후 대응 중심 체계를 예방 중심으로 전환하겠다고 밝혔다.
정치권에서도 압박에 가세했다. 더불어민주당은 대규모 유출 기업에 매출의 최대 10%까지 과징금을 부과할 수 있도록 개인정보보호법 개정안을 발의했다. 반복적·중대한 유출에 대해 EU·중국·싱가포르 수준의 강력한 제재로 실효성을 높이겠다는 취지다.
전문가들은 "과징금 상향은 당연한 수순이지만, 제재만 강화한다고 기업들이 곧바로 보안 예산을 늘리기는 어렵다"며 "현실적으로는 최소 기준에 맞는 사이버보험을 갖추도록 유도하는 절차가 필요하다"고 지적한다.
보험업계 관계자도 "모든 리스크를 통제할 수 없기 때문에 보험이 존재한다"며 "대체 수단이 마련돼 있음에도 이를 갖추지 않는 것은 기업들의 고의적 부주의에 가깝다"고 말했다.
