기업의 미래 경쟁력을 좌우할 변수로 'ESG(환경‧사회‧지배구조)' 경영이 주목받는 가운데 데이터센터 화재 , 대량 개인정보 유출 등으로 인해 국내 정보통신기술 기업들의 지속 가능 경영에 적신호가 켜졌어요. 2030년 전체 코스피 상장사를 대상으로 ESG 공시가 의무화되는 가운데 개인정보 보호와 처리 투명성 확보, 정보 주체 권리 보장은 ESG 평가와 맞닿아 있기 때문이고요.

* 국내 ESG 공시 단계적 의무화 일정  

   - ‘25~: 자산 2조원 이상 코스피 상장사의 ESG 정보 공개 의무화
   - ‘30년~: 전체 코스피 상장사의 ESG 공시 의무화

◼ 정보보안, 개인정보 보호는 왜 이슈인거야?

지난해 개정한 한국ESG기준원의 평가기준이 되는 ESG 모범규준을 살펴보면,

- “기업은 개인정보 보호법을 준수하고 효과적인 자율규제가 이뤄질 수 있도록 정당한 방식으로 개인정보를 수집‧활용해야 한다.”

- “개인정보 보호 관련 활동을 투명하게 공개하고 정보주체의 자유와 권리를 보장해야 한다.”

IT 및 금융업계 등에서 고객 자산, 부채 등 민감한 신용 정보를 다루기 때문에 사고 발생 시 평가 감정 요인이 될 수 있어 정보보호 책임자 선임 및 정보 보안 리스크 관리 체계 구축 등의 노력이 필요가 있다는 것이에요. ESG기준원은 세부기준으로 아래 사항들을 제시하고 있고요.
- 개인정보 보호 정책수립, 개인정보 보호 책임자, 개인정보 위험 관리, 수립‧활용

- 모니터링 체계 구축, 개인정보 처리 투명성 확보, 정보주체 권리 보장

◼ 해외 동향은 어때?

해외평가기준위원회와 평가사들은 특정 산업군을 대상으로 데이터 보안을 '중대성(Materiality)' 이슈로 제시하고 있어요. 중대성 이슈는 산업 활동의 특성에 따라 기업 재무 상태와 영업성과에 큰 영향을 미칠 가능성이 크다고 판단되는 지속가능성 사안을 의미해요.

국제적으로 통일된 ESG 평가 표준이 마련되지 않아 다수의 표준이 혼재되는 상황에서 해외 평가기준위원회와 평가사가 제시하는 중대성을 분석하는 작업은 정말 중요하다고해요. 각 산업의 ESG 이슈는 같지 않으며, 섹터별 비슷하더라도 하위산업마다 중대성이 다르거나 평가 요소별 가중치가 다르게 부여되고 있기 때문이에요.

미국 지속가능성회계기준위원회(SASB)는 '지속가능산업분류체계(SICS)'에 따라 전체 산업 군을 11개로 나누고 77개로 하위산업을 구분하고 있어요. 현재 국제지속가능성표준위원회(ISSB) 공시기준과 통합작업이 진행되고 있고요. SASB 기준은 총 5개 영역 26개 중대성 주제로 구성돼있어요.
- 환경(6), 사회적 자본(7), 인적 자본(3), 사업 모형‧혁신(5), 리더십‧지배구조(5)

또한, SASB는 통신 서비스 데이터 보안·개인정보 보호 관련 지속가능성 회계 지표로 아래 5가지를 제시하고 있어요.

- 사용자 프라이버시 관련 정책 설명

- 이차적 목적으로 정보가 활용된 이용자 수
- 프라이버시 관련 법적 조치 결과 발생한 금전적 손실 총액

- 데이터 침해 건수‧개인식별정보 관련 비율‧영향을 받은 이용자 수

- 데이터 보안 위험 식별‧대응 접근법

이밖에도 글로벌 ESG 평가기관인 모건스탠리캐피털인터내셔널(MSCI)도 통신 부문에서 데이터보안과 프라이버시 지표에 가중치를 부여하고 있고요.

최근 한국인터넷진흥원(KISA)에서는 '2023 개인정보 7대 이슈 전망' 보고서를 발간하며 "K-ESG 가이드라인과 정보보호 공시제도 의무화는 별개의 제도가 아닌 상호 보완관계"라면서 "정보보호 공시제도를 통해 개인정보를 취급하는 서비스 기업의 보안 관련 투자와 전담인력이 향후 고객들이 제품이나 서비스 선택에 하나의 기준이 될 수 있다", “ESG 경영에 따른 정보보호 기준 준수와 수준 향상은 향후 예상되는 공시 의무화와 해외 진출에 있어 경영 위험요인을 제거하는 수단이 될 수 있다"며 "비재무적 위험 요인으로 정보보호와 개인정보 보호가 필수적이고 중장기적 관점에서 두 제도의 연계를 통한 효과적 대응이 필요하다”는 의견을 제시하기도 했어요.

<과거 관련 기사>
○  과태료에 신뢰훼손까지…'정보보안' 금융ESG 키워드 부상 (2022.12.)

○  ESG 경영하려면…'정보보호' 공시 의무 (2022.05.)

○  ESG 공시법안 난립…기업은 고달프다 (2020.01.)

교수 등 49명 전자우편 감시, 일부 업체 서버에는 랜섬웨어 유포

경찰청 국가수사본부(사이버수사국)에서 지난해 4월 28일 발송된 ‘제20대 대통령직 인수위원회’ 출입기자를 사칭한 전자우편 및 ‘태영호 국회의원실’ 비서를 사칭한 전자우편, 국립외교원을 사칭한 전자우편(10월 26일)에 대한 수사결과가 2013년부터 파악된 북한의 특정 해킹조직 소행으로 최종 확인했다고 밝혔어요.

북한 해킹조직은 IP주소를 세탁한 뒤, 기자·국회의원실 등을 사칭하며 피싱 사이트로 유도하거나 악성 프로그램을 첨부한 전자우편을 외교·통일·안보·국방 전문가에게 발송했어요. 이러한 사칭 전자우편은 최소 892명에게 발송됐고요. 피싱 사이트에 접속해 자신의 아이디와 비밀번호를 입력한 외교·통일·안보·국방 분야 종사자 49명이 확인됐고, 북한 해킹조직은 이들 피해자의 송·수신 전자우편을 실시간으로 감시하며 첨부 문서와 주소록 등을 빼내 간 것으로 파악됐어요.

경찰청 등 정부 기관은 그간 국내외 민간 보안업체에서 일명 ‘김수키(Kimsuky)’ 등으로 명명한 북한의 특정 해킹조직을 여러 차례 수사한 바 있으며, 이번 사건 또한 기존 북한발로 규명된 한국수력원자력 해킹 사건(2014년), 및 국가안보실 사칭 전자우편 발송사건(2016년)과 비교해, 아래 사항들이 일관된 점을 근거로 같은 북한 해킹조직의 소행으로 판단했어요.

- 공격 근원지의 아이피(IP) 주소, 해외 사이트의 가입정보, 경유지 침입·관리 수법
- 악성 프로그램의 특징, 북한어휘 사용, 외교·통일·안보·국방 전문가 대상 범행 로 일관된 점

◼ 피해규모는 어느 정도야?

이번 수사로 금품 요구 악성 프로그램(랜섬웨어)을 유포한 사실이 국내에서는 최초로 확인됐어요. 정보 탈취 전문으로 알려져 있던 북한 해커조직이 피싱을 통해 소액까지 노리고 있다는 특징이 주목돼요. 이들은 장악한 서버 중 인터넷 쇼핑몰 등 작은 회사를 목표로 랜섬웨어를 감염시켜 금전을 요구했어요. 확인된 피해 규모는 국내 13개 업체의 서버 19대이고요. 협박받은 업체 중 실제 돈을 건넨 곳은 2곳으로 비트코인으로 총 255만원 가량을 전달 가량을 전달했어요. 경찰은 금품을 요구하며 보낸 이메일 주소와 비트코인 해외 거래소에 대한 수사도 진행하고 있으며, 한국인터넷진흥원(KISA) 및 백신업체와 협력해 피싱 사이트를 차단하는 한편, 관계기관에 북한 해킹조직의 침입 수법·해킹 도구 등 관련 정보를 제공해 정보보호 정책 수립에 활용하도록 지원했어요.

◼ 잘 알고 있지만, 꼭 챙겨야 할 것들!

경찰청은 북한의 사이버 테러 시도가 앞으로도 지속할 것으로 예상되므로 전산망에 대한 접근통제, 전자우편 암호의 주기적 변경 및 2단계 인증 설정, 다른 국가로부터의 접속 차단 등 보안 설정 강화를 당부했어 요.

또한 피싱 메일로 인한 피해를 예방하기 위해서는 기본 보안수칙을 준수 해야겠죠!

- 이메일 발신자 등 출처 확인, 의심스러운 메일 내 첨부파일 및 URL 실행 금지

- 사이트 별로 다른 계정 사용 및 비밀번호 주기적 변경

- V3 등 백신 프로그램 최신버전 유지 및 피싱 사이트 차단 기능 활성화

- 사용중인 프로그램(OS/인터넷 브라우저/오피스 SW 등)의 최신버전 유지 및 보안패치 적용

모두가 보안수칙을 생활화하며 예방에 앞장서길 바라요!

<과거 관련 기사>
○  APT 공격에 이태원 참사 보고서 위장까지…北 해킹그룹의 만행 (2022.12)

○  “북한, 인수위원 대상으로 해킹 시도” (2022.04)

○  “북한 정찰총국 해킹 조직, 한국 싱크탱크 사칭해 위협” (2021.11)