김창훈 교수, 보안 담당자 면책 요구…롯데카드 징계가 던진 기준 논쟁

사이버보안 면책 논쟁, 투자자가 볼 지점

보안 사고가 발생했을 때 책임을 어디까지 물을 것인지는 기업의 비용 구조와 보안 인력 확보에 영향을 준다. 디일렉에 따르면 김창훈 대구대학교 컴퓨터정보공학부 교수는 17일 서울 코엑스에서 열린 사이버서밋코리아(CSK) 2026 세션에서 기술적 기준을 충족한 보안 담당자에게 면책을 인정하는 제도와 처우 개선을 주장했다. 제안이 실제 정책으로 채택됐다는 자료는 아직 없지만, 보안 투자의 평가 기준을 처벌 중심에서 통제 수준 중심으로 옮길지 묻는 문제다.

롯데카드 CISO 징계가 드러낸 책임의 비대칭

김 교수는 고객정보 유출과 관련해 롯데카드 전현직 CISO가 정직 3개월과 징계 후 4년간 금융권 취업 제한을 받은 사례를 언급했다. 보안 담당자가 통제 절차를 수행했더라도 사고 결과만으로 중징계를 받을 수 있다는 우려가 제기된 배경이다. 기업 입장에서는 보안 인력의 채용과 유지 비용이 커지고, 담당자는 의사결정 과정에서 방어적 태도를 취할 유인이 생긴다.

그가 제시한 기준은 사고가 발생하지 않는다는 보장이 아니다. “우리나라도 정해진 기술적 면책 기준을 준수했다면 과태료를 부과하지 않는 구조가 필요하다”는 발언은 사전에 정한 통제 항목을 지켰는지 여부를 제재 판단에 반영하자는 의미다. 기준이 모호하면 면책은 형식에 그치고, 반대로 기준이 지나치게 낮으면 개인정보 보호의 실효성이 떨어진다.

김창훈 교수의 제안과 정책 충돌

김 교수는 국가정보원 주최 세션에서 불참한 홍관희 LG유플러스 최고정보보호책임자(CISO)의 발제도 대신 맡았다. 그는 “개보위는 개인정보가 안 털리느냐”라고 되묻고, 보안이 신의 영역이 아니라는 점을 강조했다. 발언의 핵심은 사고 가능성을 없애는 약속보다 기술적 통제의 수준과 이행 기록을 책임 판단에 포함해야 한다는 데 있다.

동시에 기관별 보안 체계가 서로 다른 방향으로 움직이는 점도 지적했다. 공공은 국가정보원의 국가망보안체계(N2SF), 민간은 과학기술정보통신부의 제로트러스트 가이드라인, 국방은 국방부의 한국형 위험관리 프레임워크(K-RMF)를 추진한다. 금융위원회는 인공지능 중심 방어 체계를 목표로 망분리 규제 완화에 나섰고, 폐지 대상을 제2금융권과 전자금융업자까지 넓혔다.

쟁점은 면책의 문턱과 공통 기준

• 기술 기준의 객관성은 로그 보관, 접근 통제, 탐지·대응 절차처럼 사전에 검증 가능한 항목으로 설계돼야 한다. 자료에는 구체적인 면책 요건이 제시되지 않았다.
• 사고 결과와 관리 과정의 분리가 필요하다. 통제를 지킨 담당자와 절차를 소홀히 한 담당자를 같은 잣대로 제재하면 보안 인력의 책임 회피가 커질 수 있다.
• 부처 간 용어와 구조의 정합성이 관건이다. 한쪽에서 제로트러스트를 통한 분리를 강화하면서 다른 쪽에서 망분리 완화를 추진하면 기업의 투자 우선순위가 흔들린다.
• 제도화 여부는 아직 미확인이다. 김 교수의 제안은 행사 발언으로 확인됐으며, 법령이나 감독규정에 반영됐다는 근거는 없다.

관련 종목·섹터 영향

이번 발언만으로 특정 상장사의 매출이나 이익을 추정하기는 어렵다. LG유플러스와 롯데카드가 사례와 맥락에 등장했지만, 보도에는 해당 기업의 보안 지출·손익 변화·주가 영향이 제시되지 않았다. 따라서 투자 판단은 개별 종목의 단기 수혜보다 보안 규제의 설계 방향을 확인하는 수준에 머문다.

정책이 기술 기준을 명확히 하고 여러 부처가 공통 기준을 채택하면 기업은 보안 투자를 반복적으로 재설계하는 비용을 줄일 여지가 있다. 반대로 기준이 충돌하거나 면책 요건이 불명확하면 금융·통신 기업의 통제 체계 구축 비용과 규제 불확실성이 이어진다. 제로트러스트와 망분리 완화가 어떤 방식으로 결합되는지가 관련 산업의 수요 경로를 가른다.

투자 시 유의점

• 면책 제안이 법령, 감독규정 또는 행정지침으로 구체화되는지 확인해야 한다.
• 금융위원회의 망분리 규제 완화 범위와 적용 대상이 추가로 바뀌는지 살핀다.
• 국가망보안체계(N2SF), 제로트러스트 가이드라인, K-RMF 사이의 공통 기술 기준이 공개되는지 점검한다.
• 기업 공시에서 보안 사고 대응 비용, 내부통제 투자, 책임자 제재가 어떻게 설명되는지 비교해야 한다.

정책 채택 전까지는 기준의 문구가 변수

면책 제도가 도입되고 기술 준수 여부가 객관적으로 입증되면 보안 담당자의 채용과 의사결정 환경이 개선되는 경로가 열린다. 반면 사고 발생 뒤 책임을 면하는 절차로 오해받거나, 기준을 충족했다는 판단이 기관마다 달라지면 제도 신뢰가 약해진다. 공통 기준을 유지하면 기업의 보안 설계가 안정되지만, 부처별 요구가 계속 갈라지면 비용 절감 효과는 제한된다.

현재 확인된 것은 김창훈 교수의 제안과 각 기관이 추진 중인 보안 체계, 그리고 금융위원회의 규제 완화 방향이다. 다음으로 볼 지표는 면책 요건의 공식 문서화, 금융권 적용 범위, 기관 간 기술 기준의 정합성이다. 이 세 가지가 확인되기 전에는 정책 기대를 기업 실적이나 주가 재평가로 연결할 근거가 부족하다.

본 글은 원문 뉴스를 바탕으로 자동 요약·분석된 콘텐츠입니다. 원문 보기 (디일렉)