9월11일 개정 개인정보보호법이 시행되었다. 중대·반복 위반의 과징금 상한은 전체 매출액의 10%로 올랐고, 사업주와 대표자가 개인정보보호의 최종 책임자로 명시됐다. 개인정보보호 책임자를 지정할 때는 이사회 의결을 거쳐야 한다. 개인정보보호가 실무에서 경영으로 옮겨갔다는 선언이다.

그동안 유출 사고가 터질 때마다 장면은 비슷했다. 기업은 고개를 숙이고, 정부는 대책을 내놓고, 국회와 언론은 책임을 물었다. 보안 인력을 늘리고 예산을 확대하고 법규를 철저히 지키라는 주문이 이어졌다. 틀린 말은 아니다. 문제는 여러 해 같은 말을 반복했는데도 사고가 줄지 않는다는 데 있다. 지난해 유출 신고는 447건으로 전년보다 45.6% 늘었다.

이상헌 고려대 정보보호대학원 산학협력교수 전 SK텔레콤 부사장

주목할 것은 원인이다. 개인정보보호위원회가 지난해 처분한 유출 사건 115건의 원인은 업무 과실이 46%로 해킹 45%보다 많았다. 기술이 부족해서만 사고가 나는 것이 아니라는 뜻이다. 지금까지 개인정보보호는 기술과 예산, 법규 준수의 언어로 다뤄졌다. 그러나 기술도 예산도 준수도 수단이다. 그것들을 어디에, 어떤 순서로, 어느 수준까지 투입할지 결정하는 일이 경영이다. 경영의 핵심은 모든 것을 잘하는 데 있지 않다. 위험을 파악하고 우선순위를 정한 뒤 한정된 자원을 배분하는 데 있다.

기업마다 위험은 다르다. 수천만명의 고객정보를 다루는 플랫폼 기업, 민감한 진료기록을 보유한 병원, 생산 중단이 치명적인 제조기업의 위험이 같을 수 없다. 대책도 달라야 한다. 우리 회사에서 가장 중요한 정보는 무엇인가. 어느 위험부터 줄여야 하는가. 이 질문에 답한 뒤에야 기술과 예산의 우선순위가 정해진다.

솔루션을 하나 더 도입하는 것보다 쓰지 않는 개인정보를 지우는 편이 나을 수 있다. 모든 시스템을 똑같이 강화하기보다 핵심 데이터와 취약 지점에 집중하는 편이 효과적일 수 있다.

인공지능(AI) 시대에는 이 차이가 더 선명해진다. AI는 데이터를 연결할수록 강력해지고, 그만큼 결합과 추론의 위험도 커진다. 쟁점은 AI를 쓸 것인가가 아니라 어디까지 쓸 것인가다. 사업 기회를 포기하더라도 감수하면 안 될 위험은 무엇인가. 보안부서가 홀로 답할 질문이 아니다.

개정법이 개인정보보호 투자를 과징금 감경 사유로 새로 넣은 것도 사고 이전에 무엇을 어떻게 결정했는지를 묻겠다는 것이다. 개인정보보호는 사고 직전에 밟는 제동장치가 아니다. 브레이크는 차를 멈추기 위해서가 아니라 빠르게 달리기 위해 있다.

묻는 쪽의 역할도 달라져야 한다. 사고가 날 때마다 왜 제대로 하지 않았냐고 추궁하는 것만으로 기업의 역량은 자라지 않는다. 무엇을 진단하고, 목표를 어떻게 세우며, 실행전략은 어떻게 마련해야 하는지 손에 잡히도록 이끌어 주어야 한다. 지난해 유출 관련 민간 부문 처분의 절반은 중소기업이었다. 규범을 아는 것과 경영하는 법을 아는 것은 다른 문제다.

운동선수에게 더 잘하라고 외친다고 기록이 좋아지지 않는다. 자세를 분석하고, 훈련법을 알려주고, 반복해 몸에 익히게 해야 한다. 개인정보보호에도 코치가 필요하다. 이제 우리 사회가 던져야 할 질문은 “왜 사고를 냈느냐”에서 멈춰서는 안 된다. 한 걸음 더 나아가야 한다. “당신의 기업은 개인정보보호를 어떻게 경영하고 있는가.” 기업에 필요한 것은 또 하나의 꾸지람이 아니다. 개인정보보호를 경영하는 법이다.

이상헌 고려대 정보보호대학원 산학협력교수 전 SK텔레콤 부사장