[social] ESG와 정보보호

 

K-ESG 가이드라인 v2.0.pdf

2.85MB

산업통상자원부가 제공하는 ESG 가이드라인

 

 

ESG라고 하면 처음에는 환경, 사회공헌, 이사회 같은 단어가 먼저 떠오른다. 정보보호가 그 안에 포함된다는 건 비교적 최근에 알게 되었다.

정보보호가 사회 영역에 놓이는 이유

정보보호는 결국 이용자와 고객을 어떻게 대하는지의 문제다. 기업이 개인정보를 맡아 처리한다는 것은 단순히 데이터를 보관한다는 뜻이 아니다. 이용자가 서비스를 믿고 쓸 수 있게 하는 책임을 같이 가진다는 뜻에 가깝 다.

이렇게 보면 정보보호가 ESG의 사회 영역에 들어가는 게 조금 이해된다. 노동, 인권, 소비자 보호처럼 이해관 계자에 대한 책임을 보는 자리에서 개인정보와 보안도 빠지기 어렵다. 사고가 나면 피해는 회사 내부에서 끝나지 않는다. 고객, 이용자, 협력사, 때로는 사회 전체로 번진다.

지배구조와의 연관성

또 하나 흥미로운 점은 정보보호가 지배구조의 문제로도 읽힌다는 것이다. 보안 정책이 있는지보다 더 중요한 건, 그 정책이 회사의 의사결정 안에서 어느 정도 힘을 가지는지다.

CISO가 어디에 보고하는지, CPO가 어떤 권한을 갖는지, 정보보호 조직이 사업 조직과 얼마나 독립적으로 판단 할 수 있는지 같은 내용은 기술 설명이라기보다 지배구조 설명에 가깝다. 보안 장비를 얼마나 샀는지보다, 위험을 발견했을 때 회사가 멈춰서 판단할 수 있는 구조가 있는지가 더 중요해 보인다.

사례 1: 넥슨게임즈

https://www.nexongames.co.kr/esg/policy.php?type=4

넥슨게임즈의 ESG 페이지를 보면 정보보호 최고책임자와 개인정보보호 책임자를 분리하고, 두 조직을 대표이사 직속으로 두고 있다는 설명이 나온다. 24시간 보안 모니터링, 외부 전문가 감사, 수탁사 점검, 임직원 교육 같은 내용도 함께 공개돼 있다.

이걸 보고 곧바로 잘한다 못한다를 판단하고 싶지는 않다. 외부에서 실제 운영 수준까지 알기는 어렵기 때문이다. 다만 ESG 문서 안에서 정보보호가 어떤 방식으로 설명되는지는 볼 수 있다. 단순히 보안 솔루션을 운영한다는 말이 아니라, 책임자 구조와 점검 체계, 교육 체계까지 함께 설명하고 있다는 점이 눈에 들어온다.

사례 2 : SK텔레콤 

https://www.sktelecom.com/view/esg/information-security.do

사고 이후 회사가 CISO와 CPO 체계를 다시 세우고, 보안 조직의 위상을 높이고, 투자를 늘리겠다고 밝혔다.

이 모습은 정보보호가 ESG에서 왜 지배구조의 문제인지 보여준다. 사고 이후에는 보안 조직의 위치와 권한, 책임 체계가 다시 이야기될 수 밖에 없다. 결국 정보보호는 기술 부서 안에만 머무는 일이 아니라, 경영진이 직접 다뤄야 하는 신뢰의 문제로 올라온다.

ESG에서의 정보보호

처음에는 ESG 보고서에 정보보호 항목이 있는 게 조금 낯설었다. 그런데 읽다 보니 오히려 빠지기 어려운 항목이라는 생각이 든다. 개인정보를 많이 다루는 기업일수록, 정보보호는 고객 신뢰와 내부통제, 경영 책임을 동시에 보여주는 지표가 된다.

그래서 ESG에서 정보보호를 본다는 건 보안 기술을 평가하겠다는 뜻만은 아닌 것 같다. 이 회사가 개인정보와 보안을 어느 정도의 경영 의제로 보고 있는지, 그 책임을 어디에 두고 있는지, 이해관계자에게 어떤 신뢰를 설명하려 하는지를 보는 일에 가깝다.