개인정보보호법은 개인정보 유출이 발생하는 경우 개인정보보호위원회(이하 개인정보위)가 개인정보처리자에게 전체 매출액의 3%를 초과하지 않는 범위에서 과징금을 부과할 수 있도록 규정하고 있다. 나아가 ▲과징금 부과처분을 받은 날부터 3년이 지나기 전에 고의 또는 중대한 과실로 개인정보 유출이 발생하는 경우 ▲고의 또는 중대한 과실로 개인정보 유출이 발생해 피해 규모가 1000만명 이상인 경우 ▲개인정보위가 시정조치를 명령했는데도 이를 따르지 않아 개인정보 유출이 발생하는 경우, 전체 매출액의 10%를 초과하지 않는 범위에서 과징금을 가중 부과할 수 있도록 규정하는데, 이러한 가중적 과징금을 이른바 ‘징벌적 과징금’이라고 부른다.징벌적 과징금 규정이 도입되기 전에도 개인정보 유출과 관련해 SK텔레콤에 약 1348억원, 쿠팡에 약 4236억원 등 천문학적인 과징금이 부과된 바 있다. 지난 9월 11일부터 징벌적 과징금 규정이 본격적으로 시행되면서 향후 더욱 거대한 금액의 과징금이 부과될 경우 기업의 존립 자체가 위태로워질 수 있다는 우려가 커지고 있다.최근 과징금을 도입하는 법률은 급속도로 늘어나는 추세다. 지난 10월 1일에는 연간 3명 이상의 노동자가 산업재해로 사망하는 경우 사업주에게 영업이익의 5% 이내 과징금을 부과할 수 있도록 규정하는 산업안전보건법 개정안이 국회 본회의를 통과했다.법관 아닌 행정 부과의 헌법적 위헌성이른바 징벌적 과징금은 ‘가중’이라는 표면적인 의미에 그치지 않고, 불법행위에 대한 ‘벌칙’이라는 심층적인 법적 의미를 갖는다. 여기서 과징금이라는 제도가 형벌이나 과태료가 아님에도 불구하고 그와 마찬가지로 벌칙에 해당할 수 있는지 의문이 제기된다.이에 대해 과징금은 불법적 이익의 박탈(부당한 이익의 환수)만을 목적으로 해야 한다는 견해가 있다. 그러나 불법적 이익의 박탈을 목적으로 하는 과징금도 존재하지만, 과징금의 목적이 오직 거기에만 국한돼야 하는 것은 아니다. 또 불법적 이익의 박탈 역시 그 이익을 피해자에게 직접 지급하기 위한 것이 아니라는 점에서 보면 본질적으로 위반행위에 대한 제재에 해당한다.이처럼 과징금은 위반행위 제재를 목적으로 하는 벌칙의 일종이다. 최후의 수단에 해당하는 형벌(형법에서 정하는 벌칙)을 대신한다는 점에서는 과태료와 유사하지만, 질서위반행위규제법이 적용되는 과태료와 달리 과징금은 행정기본법과 행정절차법이 적용되는 행정처분에 해당한다.그 결과 과징금에 불복하기 위해서는 그 취소나 무효확인을 구하는 행정소송(항고소송)을 제기해야 한다. 형벌의 경우 경찰이 수사한 결과를 토대로 검사가 기소하고 법관의 판결을 통해서 비로소 벌칙이 부과된다. 과태료의 경우 일단 행정기관이 조사해서 부과하더라도 상대방이 불복하면 무효가 되고 비송사건절차에 따라 법관의 판결을 거쳐 비로소 벌칙이 부과된다. 반면 과징금은 행정기관이 조사해서 부과한 벌칙에 대해 상대방이 불복하더라도 법관은 이를 취소하거나 무효임을 확인하는 판결만 내릴 수 있을 뿐이다. 다시 말해, 상대방의 불복에도 불구하고 행정에 의한 벌칙 부과가 그대로 가능한 것이 바로 과징금이다. 이러한 과징금이 가지는 실질적 벌칙으로서의 속성은 과징금을 과연 행정기관이 부과할 수 있는지에 관한 의문을 촉발한다. 과징금은 형벌을 대신하기 위한 것이고, 형벌은 원칙적으로 법관의 판결을 통해서 부과돼야 하기 때문이다.실제 그러한 이유에서 2024년 미국 연방대법원 판결은 행정기관이 과징금을 부과할 수 있게 하는 법률 조항을 ‘배심에 의한 재판을 받을 권리의 침해’라는 이유로 위헌 선언을 내렸다.이처럼 재판을 거치지 않는 과징금 부과 자체를 허용하지 않는 미국법과 달리, 유럽에서는 법관의 판결을 통한 과징금 부과에 준하는 적법절차가 보장되는 것을 조건으로 행정에 의한 과징금 부과를 허용한다. 유럽인권협약 제6조 제1항은 공정한 재판을 받을 권리를 규정하는데, 유럽인권재판소가 과징금 부과를 형사소추로 간주함에 따라 과징금은 반드시 중립적 기관(소추기관과 구조적으로 분리되는 심판기관)에 의해 부과돼야 할 뿐만 아니라, 그에 대한 불복 절차로서 법관에 의한 재판이 반드시 보장돼야 한다.이에 따라 과징금을 부과하는 행정절차에서 소추기관과 심판기관이 구조적으로 분리돼 있다면 행정의 재량을 존중하는 통상적인 사법심사가 이뤄지는 것으로 충분하다. 하지만 소추기능과 심판기능을 겸하는 행정기관이 부과하는 과징금에 대해서는 법관이 행정기관을 대신해 과징금을 처음부터 다시 산정하고 이를 취소하거나 직접 변경할 수 있는 ‘전권사법심사’가 보장돼야 한다.국내의 경우 과징금을 부과하는 행정절차가 상대적으로 엄격하다는 공정거래위원회조차 유럽인권재판소가 요구하는 중립적인 기관에 미치지 못한다. 아울러 행정소송법의 항고소송 관련 규정은 사법심사의 넓이와 강도라는 측면에서 전권사법심사와 거리가 멀다. 결국 현재 우리나라에서 부과되는 모든 과징금은 미국이나 유럽의 관점에서 보면 위헌을 피할 수 없는바, 제도 개선을 서둘러야 한다.국고 귀속·단체소송 이중 부담 고려해야산업 현장에서 나오는 주요 불만 중 하나는 천문학적인 과징금이 피해자에게 지급되지 않고 전액 국고에 귀속된다는 점이다. 이로 인해 피해자가 손해배상을 청구하는 소송을 별도로 제기할 경우 기업에 추가적인 부담이 가중될 우려가 존재한다.이 문제는 최근 개인정보보호법을 개정해 단체소송의 대상을 기존의 ‘금지·중지 청구’에서 ‘손해배상 청구’까지 확대하려는 움직임으로 인해 더욱 중요해지고 있다.이에 대해 과징금을 재원으로 하는 별도의 기금을 설치하고 이를 통해 피해 전보나 제도의 발전 용도로 활용하자는 제안이 다양하게 이뤄지고 있다. 그러나 과징금이 가지는 실질적 벌칙으로서의 본성을 고려한다면, 과징금이 국고에 귀속되는 것은 다른 형벌이나 과태료의 경우와 마찬가지로 법리상 자연스러운 일이다.그러나 기업이 피해 전보나 제도의 발전을 위해 노력한 사정이 과징금 산정에 적극 고려되는 것은 형벌이나 과태료뿐만 아니라 과징금에 대해서도 타당한 모든 벌칙의 양형에 있어 당연한 요청이다. 이러한 점에서 현재 국회에서 논의 중인 개인정보보호법상 단체소송의 범위 확대 방안은, 피해 전보를 위한 기업의 노력이 과징금 산정에 실질적으로 반영되도록 하는 방안과 체계적으로 연동될 필요가 있다. 전체 매출액 산정의 책임주의개인정보보호법은 개인정보가 유출되지 않도록 개인정보처리자가 안전 조치 의무에 따른 안전성 확보에 필요한 조치를 다한 경우 과징금을 부과하지 않도록 규정하고 있다. 이에 대해 안전 조치 의무 위반 여부가 명확하지 않다는 점과 안전 조치 의무 위반이 있더라도 그 위반과 무관한 결과까지 책임을 지면 안 된다는 비판이 존재한다.이러한 비판은 실질적 벌칙에 해당하는 과징금 부과가 정당화되려면 반드시 상대방에게 책임이 요구된다는 원론에서는 타당하지만, 개인정보보호법에 관한 구체적인 평가에서는 적절하지 않은 측면이 있다.예를 들어 국가배상법 제5조의 ‘하자’라는 용어 역시 모호하기는 마찬가지다. 그러나 대법원은 이에 관해 결과적 불법만이 아니라 행태적 불법을 고려하고, 나아가 가해자와 피해자의 관계를 고려하는 ‘상대적 불법’의 관점에서 접근한다. 그 결과 예견 가능성과 회피 가능성을 척도로 삼고 나아가 불가항력까지 참작한다. 결국 ‘비난 가능성’이라는 주관적 귀책사유를 요구하지 않는다는 점에서 무과실책임이기는 하지만, 그렇다고 책임주의에 위반되는 결과책임은 아니다.이러한 설명은 개인정보보호법상 안전 조치 의무 위반에 대해서도 그대로 타당하며, 실제 그 의미에 관한 대법원의 판시 역시 국가배상법 제5조의 하자에 관한 법리와 일맥상통한다. 따라서 입법 자체는 문제가 없는 만큼, 앞으로 그 해석과 적용에 있어 책임이 적절하게 제한되도록 법리를 발전시키는 일이 중요하다.한편 개인정보보호법은 전체 매출액을 기준으로 과징금을 산정하되 위반행위와 관련이 없는 매출액은 제외되도록 규정하고 있다. 이에 대해 개인정보 유출은 그 본성상 매출액과 실질적 관련이 없음에도 매출액을 기준으로 하는 것이 부당하다는 지적이 있다. 아울러 일단 전체 매출액을 원칙으로 삼고 예외적으로 위반행위와 관련 없는 매출액이 제외되도록 규정해 그 증명책임을 상대방(기업)에게 전가하는 것이 부당하다는 비판도 제기된다.그러나 과징금은 불법적 이익의 박탈을 넘어 위반행위 제재를 목적으로 할 수 있으며, 이 경우 매출액을 기준으로 제재 수위를 정하는 것은 책임의 여부(책임주의)와 그 정도(비례원칙)에 부합하는 이상 금지되지 않는다.이러한 관점에서 보면 처음부터 ‘위반행위 관련 매출액’을 기준으로 과징금을 산정하는 방안과, ‘전체 매출액’을 기준으로 산정하되 위반행위와 관련 없는 매출액을 제외하는 방안은 내용상 차이가 없다. 또한 증명책임의 귀속에 있어 발생하는 차이 역시 자의적인 것이 아닌 이상 평등원칙에 위반되지 않는다.결국 입법 자체의 문제가 아니라 ‘위반행위와 관련이 없는 매출액’의 해석과 적용을 책임주의와 비례원칙에 적합하게 만드는 법리의 발전이 중요하다. 이에 관한 시행령 규정이나 개인정보위의 행정 결정은 법관을 원칙적으로 구속할 수 없다고 보는 것이 책임주의와 비례원칙을 고려한 헌법합치적 법률해석이라 할 수 있다.

정부가 공인한 최고 권위의 정보보호 인증을 획득하고도 대규모 해킹을 당하는 역설이 반복되고 있다. 과학기술정보통신부와 개인정보보호위원회가 공동 운영하는 ‘정보보호 및 개인정보보호 관리체계’(ISMS-P)는 기업의 보안 신뢰도를 보증하는 핵심 지표로 통하지만 인공지능(AI) 공격자들의 침투 앞에서는 한계를 드러냈다. 생성형 AI로 무장한 해커들이 정교한 공격을 퍼붓는 가운데, 서류 중심 평가와 협소한 심사 범위에 머무는 인증 체계로는 한계가 명확하다는 지적이 나온다.인증은 ‘대고객 서비스’만…해커는 ‘범위 밖 기간망’ 노렸다최근 수년간 대규모 개인정보 유출 및 침해 사고를 겪은 통신·플랫폼·유통·금융 대기업 상당수는 사고 당시 유효한 ISMS-P 인증을 보유 중이었다. 시스템이 뚫린 결정적 원인은 ‘인증 범위와 실제 침해 경로 간의 괴리’다. 현행 제도는 전사 인프라가 아니라 기업이 신청한 특정 서비스·시스템 범위에 한정해 심사받는 ‘선택형 범위 설정’을 허용하고 있다. 이에 많은 기업들이 심사 부담을 줄이고자 핵심 대고객 서비스 위주로만 인증 범위를 좁혀 왔다.반면 해커는 인증 범위에서 제외된 핵심 네트워크 설비나 외주 업무망 등 사각지대를 집요하게 노렸다. 외부 유지보수 업체의 원격 계정, 통제가 느슨한 외주 개발사 가상사설망(VPN), 방치된 테스트용 서브 클라우드 등이 대표적 침투 통로다. 방어가 취약한 3·4차 협력사 직원의 PC를 악성코드로 감염시킨 뒤, 합법적 관리자 계정을 탈취해 인증 범위 내 내부망(망분리 구역)으로 침투한 것이다. 이에 정부도 뒤늦게 외부 접점 자산과 연관 설비를 인증 범위에 의무 포함하도록 제도 개편에 나선 상황이다.인증 취득 후 유지·관리 체계도 보완이 시급하다. 원칙적으로 ISMS-P는 매년 사후 심사를 거치고 중대 변경·사고 시 점검을 받아야 하지만, 부족한 심사 인력 탓에 현장 점검은 기업이 제출한 서류와 표본 샘플을 검토하는 수준에 머무는 경우가 많다. 침해 사고가 발생해도 과징금 부과와 시정 조치 요구로 마무리될 뿐 실제 인증 취소로 이어지는 사례는 극히 드물다. 부실 심사에 대한 사후 책임 추궁 역시 실효성이 낮다. 정보통신망법 등 관련 법령상 고의·중과실로 부실·부정 심사를 한 경우 인증기관 지정 취소나 심사원 자격 취소·정지 등 행정처분 규정은 존재한다. 그러나 사고 이후 심사 과정의 과실을 입증해 중징계를 내리거나 민사상 손해배상 책임을 묻기는 현실적으로 어려워, 심사가 실질적 방어 검증보다 서류상 체크리스트 충족을 확인하는 컴플라이언스 절차에 그친다는 지적이 꾸준히 제기돼 왔다.안랩 등 ‘AI 방패’ 현장 투입했지만 기술적 과제도규제의 한계를 넘기 위해 산업계는 AI 기반 보안 체계로 빠르게 전환 중이다. 안랩 등 주요 보안 기업들은 확장탐지 및 대응(XDR), 보안 오케스트레이션·자동화(SOAR) 기술을 결합해 AI 능동형 방어 시스템을 현장에 배치하고 있다. 보안 업계의 주요 도입 사례에 따르면, 대형 보안관제센터(SOC)에 AI 이상행위 탐지·자동 대응 엔진을 적용할 경우 하루 수십만건의 경보 중 단순 오탐 처리 부담이 통상 50~60% 수준 줄고 초기 대응 시간(MTTR)도 수 시간에서 수 분 이내로 최대 70%가량 단축되는 것으로 보고된다. 대규모 언어모델(LLM) 어시스턴트가 패킷 맥락을 분석해 침투 시나리오를 실시간 요약·제공하는 기술도 도입되고 있다.하지만 AI 방어 기술도 만능은 아니다. 해커가 알고리즘 패턴을 역이용해 탐지 임계치 아래로 트래픽을 흘려보내는 ‘적대적 회피 공격’이나 정상 데이터에 미세 노이즈를 섞어 공격 코드를 숨기는 기법은 탐지가 까다롭다. 정상 트래픽을 공격으로 오판해 핵심 시스템을 멈추는 가용성 침해 리스크도 기술적 숙제다. “신무기보다 기본에 충실해야”전문가들은 차세대 AI 솔루션이 도입되더라도 기본 보안이 무너지면 어떤 방패도 무용지물이라고 입을 모은다. 글로벌 보안 업계의 주요 유출 조사 보고서들에 따르면, 침해 사고의 70~80% 이상은 최첨단 제로데이 취약점이 아니라 유출 계정 악용이나 패치 지연 등 기초적인 틈새에서 시작된다.업계에서는 기본에 충실해야 한다고 조언한다. 대표적으로 예외 없는 ‘다중인증’(MFA) 도입이 있다. 단순 아이디·비밀번호는 유출된 크리덴셜 데이터와 무차별 대입 공격 앞에서 무력하므로, 임직원과 협력사 원격 접속, 인트라넷, 클라우드 콘솔 등 모든 접점에 일회용 패스워드(OTP)나 생체인증(FIDO2) 등 피싱 저항성 MFA를 강제해야 한다.‘제로 트러스트’ 기반 최소 권한 관리도 필수다. 내부자를 신뢰하는 경계선 보안을 버리고 네트워크를 세부 구역으로 쪼개는 마이크로 세그멘테이션과 최소 권한 원칙을 적용해야 외주사 PC·계정이 탈취돼도 핵심 데이터베이스로의 횡적 이동을 막을 수 있다.취약점 ‘상시 자동화 패치’도 중요하다. 주요 침투 통로는 수개월 전 패치가 공개된 ‘알려진 취약점’인 만큼, 전사 IT 자산 식별을 자동화하고 위험도 기반 우선순위를 정해 공지 즉시 테스트·배포하는 체계를 갖춰야 한다.마지막으로 외부와 차단된 ‘불변 백업’과 실전 복구 훈련이 필요하다. 랜섬웨어 표적인 온라인 백업 서버를 지키려면 물리적 격리와 관리자도 수정·삭제할 수 없는 불변 스토리지를 구축하고, 전사 다운을 가정한 모의 훈련으로 재해 복구 시간을 단축해 놓아야 한다.안랩 관계자는 “AI가 공격 속도와 생산성을 높이는 만큼 기업도 여러 보안 데이터와 위협 정보를 AI로 연계 분석해 공격 흐름과 이상 징후를 신속히 파악·대응해야 한다”며 “다중 인증·최소 권한·보안 업데이트 등 기본 수칙을 실천하고, 고객용 서비스뿐 아니라 업무 지원 시스템과 API까지 접근통제·이상행위 모니터링을 점검하며 고객정보 보관·조회 범위를 최소화해 실제 환경에서 적절히 작동하는지 지속 확인해야 한다”고 밝혔다.

슈어소프트테크가 자동차 소프트웨어 검증을 넘어 인공지능(AI)·로봇 분야로 사업을 확대하며 이익을 키우고 있지만, 자회사 수익성 개선은 과제로 남아 있다. 올해 상반기 연결대상 자회사 5곳이 모두 순손실을 기록했기 때문이다. 자회사 기술을 활용한 산업 특화 AI 사업을 추진하는 만큼 이들 회사의 사업 확대가 수익성 개선으로 이어지는지가 과제다.슈어소프트테크의 연결대상 종속회사는 총 5곳이다. ▲모비젠 ▲슈어데이터랩 ▲그래피카 ▲미국법인 브이큐브드 솔루션즈(V-cubed SOLUTIONS INC.) ▲중국법인 칭다오 슈어소프트 테크(Qingdao Suresoft Tech) 등 5곳이다. 이들 회사는 올해 상반기 모두 순손실을 냈다. 모비젠과 슈어데이터랩은 산업 특화 AI 사업의 기술 기반을 담당하는 자회사다. 모비젠은 빅데이터·AI·클라우드 기술을, 슈어데이터랩은 데이터 소프트웨어 역량을 제공한다. 그래피카와 브이큐브드 솔루션즈는 소프트웨어 개발·공급업을 영위하며, 칭다오 슈어소프트 테크는 데이터 통신장비 제작·공급한다. 자회사별 지분 구조에는 차이가 있다. 6월 말 기준 슈어소프트테크는 미국·중국법인 지분을 각각 100% 보유하고 있다. 그래피카와 슈어데이터랩 지분율은 각각 98.15%, 85.57%다. 모비젠에 대한 슈어소프트테크의 지분율은 50.54%이며, 모비젠의 자기주식을 제외하면 52.83%다.자회사 5곳 모두 적자…모비젠 상반기 순손실 12억원자회사 가운데 매출 규모가 가장 큰 모비젠은 상반기 매출 148억1854만원을 기록했지만 순손실 12억31만원을 내며 적자를 면치 못했다. 지난해는 연간 매출 317억2936만원과 순이익 28억8785만원을 기록했지만, 올해 상반기에는 적자를 낸 모습이다. 슈어데이터랩의 상반기 매출은 1억4952만원, 순손실은 4억3719만원었다. 지난해 연간 순이익 2억3439만원을 기록했던 것과 달리 올해 상반기에는 손실이 발생했다. 그래피카도 올해 상반기 매출 3억1051만원에 순손실 3억8676만원을 기록했다. 칭다오 슈어소프트 테크는 매출 13억261만원, 순손실 1억8628만원을 냈다. 브이큐브드 솔루션즈는 매출이 없었고 순손실은 1005만원을 기록했다. 슈어소프트테크는 상반기 연결 기준 영업이익 23억3988만원, 순이익 21억185만원을 기록했지만, 연결대상 자회사 5곳은 모두 순손실을 낸 모습으로, 이들 자회사의 순손실을 단순 합산하면 약 22억2000만원에 달한다. 자회사 적자가 지속되고 추가 자금 지원까지 필요해질 경우 슈어소프트테크의 재무 여력에 부담이 될 수 있다. 6월 말 미국법인·중국법인·그래피카의 자본총계는 모두 마이너스였다. 자산보다 부채가 많아 자본금이 전액 잠식된 상태다.그래피카의 자본총계는 지난해 말 마이너스 10억4523만원에서 올해 6월 말 마이너스 14억3199만원으로 악화했다. 같은 기간 부채는 약 16억3165만원에서 약 22억3191만원으로 늘었다. 상반기 순손실이 발생하면서 자본 결손도 확대됐다.중국법인의 자본총계는 마이너스 2억8159만원에서 마이너스 5억767만원으로, 미국법인은 마이너스 7억1938만원에서 마이너스 7억8326만원으로 각각 악화했다. 다른 자회사인 슈어데이터랩은 자본총계를 보면 지난해 말 6억8605만원에서 올해 6월 말 2억4886만원으로 줄었다. 모비젠의 자본총계는 약 231억6461만원으로 자본잠식 상태는 아니다. 자회사들의 자본 감소에도 슈어소프트테크의 연결 자본총계는 지난해 말 1219억2725만원에서 올해 6월 말 1240억4601만원으로 약 21억원 증가했다. 다만 자회사 적자가 지속될 경우 연결 이익과 자본 축적에 부담이 될 수 있다는 분석이다.

개인정보 유출 사고 발생 시 민간 기업에는 천문학적 과징금이 부과되는 반면, 대규모 국민 정보를 다루는 공공기관에는 수억원대 처분에 그치는 ‘제재 격차’를 두고 형평성 논란이 일고 있다. 동일한 개인정보 유출 피해가 발생했음에도 주체가 민간인지 공공인지에 따라 책임의 잣대가 달라지는 구조적 모순이 사이버 보안 생태계 전반의 신뢰를 떨어뜨리고 있다는 지적이 나온다.벌어지는 공공·민간 제재 격차개인정보보호위원회(이하 개인정보위)의 제재 수위가 높아지면서 민간 기업을 향한 처분도 전례 없는 수준으로 거세지고 있다. 올해 상반기에만 개인정보위가 민간 기업에 부과한 과징금 규모는 7000억원에 육박하는 것으로 나타났다. 이는 개인정보위 출범 이후 2020년부터 2025년까지 6년 동안 부과한 전체 과징금 합계와 비교해도 2배 가까이 뛴 수치다. 전체 매출액을 기준으로 제재금을 산정하도록 법이 정비된 데 이어, 지난 9월부터는 법이 정한 중대·반복 위반 요건에 해당할 경우 전체 매출액의 최대 10%까지 부과할 수 있는 징벌적 과징금 특례까지 시행되면서 당국의 영향력과 기업의 재정적 압박은 더욱 커진 상태다.반면 국민 대다수의 민감 정보를 취급하는 공공 부문에서 대형 유출 사고가 발생했을 때 부과되는 제재 수위는 민간 기업과 비교해 현격하게 낮은 수준이다.개인정보위는 소스코드 개발 오류로 민감 서류가 노출된 행정안전부 ‘정부24’에 과징금 2억7300만원을 부과하는 데 그쳤다. 나아가 농촌진흥청 및 소속 기관 시스템을 위탁 관리하던 수탁업체의 관리 부실로 57만4000여 건에 달하는 개인정보가 유출되는 일도 있었지만, 부과된 과징금은 8250만원에 불과했다. 이는 오픈채팅 이용자 개인정보 유출 사고(6만5000여 건)로 과징금 151억4196만원과 과태료 780만원, 유출 통지 시정명령 처분을 받았던 카카오 사례와 비교하면 극명한 대비를 이룬다.개인정보위의 각 제재 의결 내용을 살펴보면 정보의 유출 규모나 피해의 심각성에는 큰 차이가 없음에도 사고 주체가 공공인지 민간인지에 따라 제재 수위가 극명하게 엇갈리는 양상이 확인된다.행정안전부가 운영하는 정부24의 경우, 교육부 NEIS(교육행정정보시스템) 연계 민원서류 및 국세청 납세증명서 서식 변경 과정에서 ‘법인 발급’ 테스트를 누락하는 등 소스코드 개발 오류를 방치했고, 주민등록증 발급 상황 조회 서비스의 본인인증 모듈 취약점을 조치하지 않아 1230여 명의 민감 정보가 타인에게 노출됐다. 여기에 그치지 않고 유출 사실을 인지하고도 정당한 사유 없이 72시간을 경과해 지연 통지하거나, 개인정보처리방침에 수탁업체를 누락한 법 위반 항목들이 추가로 적발됐다. 또 농촌진흥청 등의 시스템을 위탁 관리하던 수탁업체는 네트워크 저장장치를 외부 IP로 접근 가능한 상태로 방치하고 관리자 계정만으로 접속할 수 있게 허술하게 운영하다 해커의 공격을 받아 57만여 건에 달하는 대규모 개인정보가 다크웹에 유출되는 일이 벌어졌다. 농진청 등 위탁 기관 역시 용역 종료 시 자료미보유확약서만 받고 실제 파기 여부를 점검하지 않는 등 수탁자 관리·감독 의무를 소홀히 한 것으로 나타났다.민간 기업 유사 사례인 카카오 오픈채팅 유출 사건은 플랫폼 설계 단계부터 내재된 구조적 취약점이 도화선이 됐다. 카카오는 익명성을 홍보하며 오픈채팅 서비스를 운영했지만 일반채팅과 동일한 ‘회원일련번호’로 이용자를 식별할 수 있게 체계를 구현했고, 특히 2020년 8월 이후 생성된 오픈채팅방 게시판에 암호화된 임시ID를 입력하면 평문으로 노출되는 취약점을 방치했다.해커들은 이 취약점과 외부에 공개된 분석 프로그램 등을 악용해 회원일련번호와 휴대전화번호 등을 결합하는 방식으로 대규모 개인정보 파일을 생성·판매한 것으로 조사됐다. 이처럼 공공 부문은 ▲프로그램 개발 오류 ▲인증 취약점 방치 ▲수탁사 관리 감독 부실 등이 복합적으로 작용했는데도 처분 수위가 수천만원대에 머물렀다. 반면 민간 플랫폼은 ▲서비스 설계 결함 ▲미흡한 사후 대응이 맞물려 수백배에 달하는 과징금 폭탄을 맞았다. 유출 규모가 카카오의 9배에 달하는 공공 부문 사고에 100분의 1도 안 되는 과징금이 부과되는 등 민간 기업에는 엄격한 잣대를 대면서 공공 부문에는 상대적으로 낮은 처분을 내리는 형평성 문제가 드러나고 있다는 지적이 나온다.공공 제재도 강화…과거 처분엔 법 적용 한계개인정보위는 공공기관의 제재가 미흡하다는 지적에 대해 단계적으로 관리 체계를 강화하고 있다고 해명했다. 사고 발생 당시의 법률과 위반 행위 유형도 고려해야 한다는 입장이다.최근 3년간 초·중·고와 교육청에서는 310만건의 개인정보가 유출된 것으로 알려졌다. 2023년 초에는 해커가 특정 인터넷 주소를 무작위로 대입하는 방식으로 경기도교육청의 온라인 시스템에 침입해 학생들의 전국연합학력평가 성적정보 약 297만건을 유출했다. 개인정보위는 같은 해 7월 경기도교육청에 과태료 2160만원을 부과하고, 개인정보처리시스템 일제 점검과 관리 체계·매뉴얼 정비, 취급자 교육 강화 등을 권고했다. 조사에서는 ▲온라인 시스템 접근 통제 미흡 ▲안전한 인증 수단 미적용 ▲보안 패치 미적용 ▲접속 기록 미점검 ▲보유기간이 지난 성적정보 미파기 등 전반적인 관리 부실이 확인됐다.경기도교육청에 과태료 처분만 내려진 것은 개인정보 유출 규모가 작거나 위반 사실이 가벼워서가 아니라 법률상 적용할 수 있는 제재에 한계가 있었기 때문이다. 당시 개인정보보호법상 경기도교육청 사고에서는 주민등록번호가 아닌 학생들의 성적정보가 유출돼 과징금 대신 과태료가 부과됐다. 이에 개인정보위는 과징금 규정을 정비해 안전 조치 의무 위반에 따른 개인정보 유출 등에 경제적 제재를 강화하고, 공공기관을 포함한 모든 개인정보처리자에 과징금 규정을 적용하도록 했다.개인정보위 측은 “2023년 9월 이후 공공기관의 개인정보 유출에 대해 최대 20억원의 과징금 제재를 도입했고, 올해 9월부터는 중대·반복 유출사고에 대해 최대 50억원까지 과징금 제재를 상향했다”며 “공공기관의 개인정보보호법 위반에 대해서는 전면 공표제와 보호수준 평가 연계 확대 등 책임성 강화를 위해 노력하고 있다”고 설명했다. ‘세금 돌려막기’ 국고 환수 구조공공과 민간의 과징금 격차에는 산정 방식의 차이도 영향을 미친다. 민간 기업은 매출액을 기준으로 과징금을 산정하는 반면, 매출액이 없거나 산정하기 어려운 경우에는 별도의 정액 기준을 적용받는다.공공기관은 매출액이 없거나 산정하기 어려운 주체로 분류돼 매출액 연동 방식이 아닌 별도의 정액 과징금 기준을 적용받는다. 현행법상 공공기관의 과징금 상한은 원칙적으로 최대 20억원이며, 법에서 정한 중대·반복 위반 등 가중 요건을 충족하면 최대 50억원까지 높아진다. 이처럼 법 조문에서 과징금 산정 방식과 상한을 다르게 설정하고 있어 유출 규모와 피해가 비슷하더라도 사고 주체에 따라 제재 수준에 차이가 발생한다.더 큰 문제는 공공기관에 대한 과징금 처분이 지닌 행정적·재정적 모순에 있다. 국고금 관리법과 국가재정법에 따르면 행정청이 징수한 과징금을 포함한 모든 세외수입은 다른 법률에 특별한 규정이 없는 한 기관이 직접 사용할 수 없으며 전액 국고에 납입돼야 한다. 아울러 개인정보보호법은 과징금을 내야 할 자가 납부기한까지 내지 않을 경우 국세 강제 징수의 예에 따라 강제 징수해 국가 재정으로 귀속하도록 규정하고 있다. 이에 공공기관이 관리 부실의 책임을 물어 과징금을 납부하더라도, 그 재원은 결국 국민 세금으로 조성된 기관 운영 예산에서 지출되며 납부된 제재금은 고스란히 다시 국고로 환수되는 ‘세금 돌려막기’식 순환 구조가 되풀이되고 있다. 법률상 강제 징수 절차를 거쳐 국고로 수납돼도 사고 발생 기관의 예산만 소모될 뿐 해당 기관이나 사고 책임자 개인에게 재정 불이익이 돌아가지 않는다.전문가들은 공공 부문의 개인정보 유출 사고에 대해서는 실효성이 떨어지는 정액 과징금 부과 방식에만 의존할 것이 아니라 실질적인 인적·제도적 책임 추궁 방안으로 패러다임을 전환해야 한다고 제언한다.김태오 국립창원대 법학과 교수는 “개인정보의 경제적·사회적 가치 측면에서 공공기관과 민간 기업이 보유한 정보의 본질에 차이가 있는 것은 아닌데, 과징금을 일률적으로 매출액 기준으로 산정하다 보니 제재 수준에서 격차가 발생한다”고 말했다.개인정보보호법상 과징금 제도는 법 위반으로 얻은 부당이득을 환수하는 데 주안점을 뒀지만, 해킹 등 외부 침해 사고의 경우 기업이 직접적인 경제적 이익을 얻는 구조가 아니어서 단순 매출액 연동 방식은 법리적·현실적 괴리를 낳는다고 짚었다. 김 교수는 “공공기관의 경우 기관별 특성과 운영 구조에 맞춰 공공기관 경영평가상의 감점 등 불이익을 부과하거나 관련 공무원에 대한 징계 조치를 연계하는 등 실질적인 예방 및 억제력을 갖춘 제재 수단을 다각도로 마련할 필요가 있다”고 강조했다.나아가 현행 제도의 근본적인 개선 방향으로 산정 기준의 다변화도 주문했다. 김 교수는 “궁극적으로는 위반행위와 무관한 전체 매출액을 기준으로 과징금을 산정하는 방식에서 벗어나, 유출된 데이터의 건수나 유출 규모에 비례해 합리적으로 제재를 가하는 기준을 해외 주요 사례 등을 참고해 적극 검토할 필요가 있다”고 진단했다.

꾸준한 실적과 성장 잠재력을 갖추고도 시장에서 제값을 인정받지 못하는 기업들이 있다. ‘밸류업 레이더’는 탄탄한 사업 기반에도 기업가치 대비 주가가 저평가된 기업을 발굴한다. 재무구조와 신사업 경쟁력, 주주환원 정책 등을 분석해 저평가의 원인과 재평가 가능성을 짚어본다. 숫자와 현장의 목소리를 통해 시장이 미처 발견하지 못한 기업의 숨은 가치를 조명한다. <편집자주> 자동차 소프트웨어의 오류를 찾아내던 슈어소프트테크가 인공지능(AI)과 로봇의 안전성을 검증하는 기업으로 사업 영역을 넓히고 있다. 자동차·국방·원자력 등 작은 오류가 큰 사고로 이어질 수 있는 산업에서 쌓은 검증 역량을 AI 분야에 접목하는 전략이다. 올해 상반기 매출 증가와 영업이익 흑자 전환으로 성장세를 이어가고 있다. 이를 지속적인 현금 창출과 주주가치 제고로 연결하는 일은 과제로 남아 있다.자동차 검증에서 개발까지…연 매출 1000억원 눈앞슈어소프트테크는 소프트웨어 시험·검증 자동화 도구와 제3자 검증 서비스를 제공한다. 프로그램이 요구사항에 맞게 작동하는지 확인하고, 개발 과정에서 발생한 결함을 찾아 사고 위험을 줄이는 사업이다. 자동차를 비롯해 국방·원자력·철도·항공 등 높은 안전성과 신뢰성이 필요한 산업이 주요 대상이다.경쟁력의 기반은 자체 개발한 검증 도구와 20여 년간 축적한 산업별 경험이다. 소프트웨어 내부 구조를 분석하는 기술뿐 아니라 해당 소프트웨어가 적용되는 장비의 작동 방식까지 이해해야 정확한 검증이 가능하다. 회사는 자동화 도구를 라이선스·유지보수·구독 방식으로 공급하고, 이를 활용한 검증 서비스도 함께 제공한다.자동차 소프트웨어는 회사의 핵심 성장 영역이다. 슈어소프트테크는 소프트웨어 중심 자동차(SDV) 전환에 대응해 자동차 제어기 시험·검증 경험을 축적하고, 자동차용 시험검증 솔루션으로 사업을 확대했다. 최근에는 차세대 차량의 일부 제어기 소프트웨어를 직접 개발하며 자동차 소프트웨어 종합 엔지니어링 파트너로 역할을 넓히고 있다.슈어소프트테크의 제품군별 매출 현황을 보면 올해 상반기 ‘고신뢰·고위험 소프트웨어 개발(Mission Critical SW Development)’ 매출 18억1700만원이 2024년 이후 새롭게 반영됐다. 기존 검증 역량을 개발 사업으로 확장한 성과가 매출로 나타나기 시작한 셈이다.매출도 매년 증가했다. 올해 상반기 연결 매출(영업수익)은 466억7113만원으로 전년 동기보다 21.5% 증가했다. 영업이익은 23억3988만원으로 지난해 상반기 19억86만원의 영업손실에서 흑자로 돌아섰다. 반기순이익도 21억185만원을 기록하며 흑자 전환했다.연간 매출은 ▲2023년 632억8997만원 ▲2024년 888억322만원 ▲2025년 939억3769만원 등으로 증가했다. 이러한 성장세에 힘입어 연 매출 1000억원 진입을 바라볼 수 있는 규모까지 성장했다. AI 응답 품질부터 로봇 안전까지…새 시장 공략신사업의 중심에는 AI 자체를 검증하는 사업과 AI를 활용해 기존 검증을 고도화하는 사업이 있다. AI 모델이 의도한 성능을 내는지 확인하는 동시에, 검증 작업의 자동화 수준을 높여 사업 범위를 확장하는 구상이다.슈어소프트테크는 올해 4월 AI 에이전트와 챗봇의 기능·응답 품질을 자동으로 시험하고 평가하는 플랫폼 ‘베리파이에이’(VERIFAI-A)를 정식 출시했다. 고객 상담과 업무 지원, 예약·검색 등에 AI 에이전트가 활용되면서 ▲대화의 흐름을 제대로 이어가는지 ▲외부 도구와 정상적으로 연동되는지 ▲답변이 일관적인지 등을 확인할 필요도 커지고 있다. VERIFAI-A는 기존 방식으로 점검하기 어려운 이러한 품질 문제를 체계적으로 반복 평가해 AI 서비스의 신뢰성을 검증하도록 설계됐다.로봇 분야에서도 협력을 확대하고 있다. 지난 7월에는 영창로보테크와 피지컬 AI 기반 로봇 솔루션 공동 개발·사업화를 위한 업무협약을 체결했다. 소프트웨어 개발·검증 역량과 로봇 기술을 결합해 산업 현장으로 사업을 넓히려는 행보다. 이번 협약을 통해 ▲로봇 자율주행·제어 소프트웨어 개발 ▲산업용 로봇 설계·제작 ▲하드웨어·소프트웨어 연동 기술 고도화 ▲실제 환경 기반 검증 체계 구축 등을 공동 추진한다.이 분야의 매출 증가도 확인된다. 제품군별 매출 현황에서 올해 상반기 Vertical AI 매출은 166억1200만원으로 전년 같은 기간보다 36.8% 증가했다. AI 신뢰성 검증(Trustworthy AI) 매출은 18억6900만원으로 176.4% 늘었고, 피지컬 AI·로봇 매출은 1억2400만원에서 10억5200만원으로 확대됐다.주주환원은 현금 창출과 함께 검토해야배당을 통한 주주환원은 아직 이뤄지지 않고 있다. 재무적으로는 환원을 검토할 기반을 갖췄다는 평가다. 6월 말 연결 기준 현금및현금성자산은 약 240억원, 단기금융상품은 약 175억원으로 합계 약 415억원이다. 단기금융상품은 통상 정기예금 등 단기간에 자금을 운용하는 금융상품을 의미하지만 상품 만기와 담보 설정에 따라 자금 활용에는 제약이 있다. 이익잉여금은 589억원을 기록했다. 지난해 영업활동으로 발생한 현금흐름을 보면 179억원으로 전년의 95억원보다 증가했다. 올 상반기 부채비율은 약 38.4%로 지난해 말 약 46.8%보다 낮아졌다. 슈어소프트테크는 연구개발과 사업 운영에 필요한 자금을 고려해야 한다고 밝혔다. 회사는 반기보고서를 통해 “재무안정성과 미래 성장동력 확보를 위해 연구개발·사업 투자에 집중해왔다”며 “시험자동화 기업부설연구소를 확장해 소프트웨어 시험·검증 자동화에 대한 기술 연구를 진행하고 있고, 소프트웨어 검증용 도구 개발 및 임베디드 엔지니어링 기술 등을 연구개발했다”고 설명했다.

예금자보호한도가 1억원으로 확대되면서 저축은행의 자금조달 불안을 덜어주는 안전판은 마련됐다. 하지만 업권의 본질적인 과제는 여전히 건전성 회복이다. 부동산 프로젝트파이낸싱(PF) 부실 정리와 연체채권 관리가 이어지는 상황에서 신규 대출을 공격적으로 늘리기는 쉽지 않다. 수신을 안정적으로 확보하는 것과 이를 대출로 운용해 수익을 내는 일은 별개의 문제라는 뜻이다.저축은행은 예금과 대출의 금리 차이로 수익을 낸다. 예금자보호한도 상향으로 예금자의 불안이 일부 완화돼 수신 기반이 안정되더라도, 대출자산의 건전성이 뒷받침되지 않으면 수익성 회복으로 이어지기 어렵다. PF와 브릿지론 등 부동산 관련 여신의 부실 위험이 남아 있는 상황에서는 예금을 확보해도 이를 운용할 우량 대출처를 늘리는 데 한계가 있다수신 안정보다 급한 연체율 관리금융감독원에 따르면 지난 6월 말 저축은행업권 연체율은 6.26%로 지난해 말보다 0.22%포인트 상승했다. 특히 기업대출 연체율은 8.38%에 달했다. 기업대출 비중이 높은 저축은행의 특성상 부동산 경기 회복 지연과 사업장 정상화 속도가 업권 건전성 지표를 좌우하고 있다는 분석이 나온다.연체율이 높아지면 저축은행은 회수 가능성이 낮아진 채권에 대비해 충당금을 더 쌓아야 한다. 이는 당기순이익을 줄이는 직접적인 요인이다. 연체채권이 늘어나는 상황에서 신규 대출 심사를 완화하기도 어렵다. 가계대출은 총부채원리금상환비율(DSR) 규제와 차주의 상환 부담이, 기업·개인사업자 대출은 담보가치 하락과 경기 불확실성이 발목을 잡고 있다.상반기 순이익이 개선됐다고 해서 건전성 우려가 해소된 것은 아니다. 저축은행업권의 상반기 순이익은 7658억원으로 늘었지만, 대출 확대에 따른 이자이익보다 유가증권 관련 이익 증가와 부실여신 감축에 따른 대손비용 감소 영향이 컸다. 수익성 회복이 곧바로 여신 건전성 회복을 뜻하지는 않는 이유다.다만 건전성 지표가 일방적으로 악화하고 있는 것만은 아니다. 6월 말 고정이하여신비율은 8.16%로 지난해 말보다 0.27%포인트 낮아졌다. 고정이하여신은 회수 가능성이 낮다고 분류된 부실 여신을 뜻한다. PF를 비롯한 부실채권을 매각·상각하고 충당금을 쌓아온 결과가 일부 반영된 것으로 풀이된다.정상 PF는 늘지만, 토지대출은 ‘경고등’금융당국의 ‘부동산 PF 현황’에 따르면 올해 6월 말 금융권 PF대출 잔액은 115조8000억원으로 전 분기보다 3000억원 증가했다. PF대출 잔액이 증가한 것은 2023년 말 이후 처음이다. 부실 사업장 정리와 함께 사업성이 있는 곳에는 신규 자금 공급이 늘면서 전체 PF 시장은 정상화 국면으로 옮겨가는 모습이다.증가세는 은행권이 이끌었다. 은행권 PF대출 잔액은 45조2000억원으로 한 분기 사이 2조원 늘었다. 착공 이후 단계인 본PF는 39조원에서 42조5000억원으로 증가한 반면, 착공 전 단계의 브릿지론은 4조2000억원에서 2조7000억원으로 줄었다. 사업 진행 단계에 따라 자금 공급이 정상 사업장 중심으로 재편되고 있다는 의미다.반면 저축은행의 토지담보대출 연체율은 3월 말 30.03%에서 6월 말 35.16%로 5.13%포인트 상승했다. 같은 시점 저축은행의 일반 PF대출 연체율은 3.63%로 집계됐다. 토지담보대출은 통상 착공 전 토지 매입 단계에서 취급되는 만큼, 사업 초기 단계의 부실 위험이 여전히 크다는 점을 보여준다.저축은행·여신전문금융회사·상호금융을 합친 중소금융권의 토지담보대출 연체율도 32.20%로 전 분기보다 0.32%포인트 올랐다. 전체 금융권 PF대출 연체율이 4.56%로 전분기보다 0.09%p 하락한 것과 대조적이다. PF 시장 전반의 지표가 개선되더라도 사업 초기 단계의 부실 위험은 저축은행 등 중소금융권에 상대적으로 더 크게 남아 있다는 의미다.PF 정리 속도 내야 여신 정상화 저축은행업권은 부실채권 매각과 상각, PF 사업장 재구조화 등을 통해 건전성 개선에 나서고 있다. 부실화한 PF 대출은 자체 상각하거나 민간 부실채권(NPL) 투자회사와 펀드에 매각해 장부 부담을 덜고, 사업성이 있는 PF 사업장은 대주단 협약과 만기 연장, 신규 자금 투입 등을 통해 정상화하는 방식이다.다만 PF 정리는 채권을 장부에서 덜어내는 데 그치지 않고 사업장의 분양·매각 여건과 시행사·시공사의 자금 상황까지 함께 풀려야 한다. 사업성이 낮은 사업장을 제때 정리하지 못하면 추가 부실로 이어질 수 있고, 반대로 손실을 감수한 매각을 서두르면 저축은행의 자본여력이 약화될 수 있다. 저축은행별 자본력과 PF 익스포저 차이가 큰 만큼 건전성 회복 속도도 엇갈릴 가능성이 크다.금융당국은 PF 사업장을 사업성에 따라 분류해 정상화가 어려운 곳은 경·공매와 재구조화를 통해 정리하고, 정상 사업장에는 신규 자금 공급을 늘린다는 방침이다. 저축은행업계 역시 공동 매각과 NPL 펀드 활용 등을 통해 부실채권을 줄이고 있지만, 시장의 매수 수요와 부동산 경기 회복이 뒷받침돼야 정리 속도를 높일 수 있다.한국은행은 지난 6월 금융안정보고서에서 “상호금융·저축은행 등 비은행예금취급기관과 보험회사는 자금조달 안정성이 약화됐다”고 평가했다. 이어 “특히 비은행예금취급기관은 예금 인출 확대에 대비해 가용 유동성과 비상자금 조달계획을 보강해야 한다”고 제언했다.

예금자보호한도가 1억원으로 상향된 지 1년이 지났지만 저축은행업권이 기대했던 ‘머니무브’(자금 이동) 효과는 제한적인 것으로 나타났다. 제도 시행 직후에는 수신이 일시적으로 늘었지만 상승세가 이어지지는 않았다. 지난해부터 이어진 증시 활황에 시중은행과의 금리 격차까지 좁혀지면서 저축은행 예·적금으로 돈이 대거 이동할 유인이 크지 않았다는 분석이 나온다. 기대와 달랐던 ‘1억원 한도 상향’ 효과한국은행 경제통계시스템에 따르면 지난 7월 말 저축은행 수신잔액은 105조2141억원으로 집계됐다. 예금자보호한도 상향 직전인 지난해 8월 말 102조3866억원과 비교하면 2조8275억원(2.76%) 늘었다. 같은 기간 예금은행 총수신잔액은 2725조1031억원에서 2899조3819억원으로 174조2788억원(6.40%) 증가했다. 저축은행 수신 증가율이 예금은행의 절반에도 미치지 못한 셈이다.예금자보호한도는 지난해 9월부터 기존 5000만원에서 1억원으로 확대됐다. 금융회사별로 원금과 이자를 합쳐 1인당 1억원까지 보호받을 수 있게 되면서, 상대적으로 높은 금리를 주는 저축은행으로 자금이 이동할 것이라는 기대가 나왔다. 그동안 5000만원을 넘는 여유자금을 여러 금융회사에 나눠 넣던 예금자가 저축은행 한 곳에 더 많은 돈을 맡길 수 있게 됐기 때문이다.금융당국이 예금보험제도 개선을 검토하면서 실시한 사전 연구용역에서는 보호한도를 1억원으로 높일 경우 저축은행 예금이 16~25%가량 늘어날 수 있다는 추산도 나왔다. 하지만 실제 수신 증가율은 이보다 크게 낮았다. 보호한도 확대만으로는 증시 투자 열기와 금리 경쟁력, 개별 저축은행의 건전성 우려를 넘어서기 어려웠다는 분석이 나온다.당초 시장에서도 전망은 엇갈렸다. 나이스신용평가는 한도 상향을 앞둔 지난해 8월 보고서에서 단기적으로 은행과 저축은행 간 대규모 자금 이동 가능성은 높지 않다고 진단했다. 2024년 이후 두 업권의 월평균 정기예금 금리 격차가 약 0.21%포인트에 그쳐, 예금자가 거래처를 바꿀 만큼의 유인이 크지 않다는 이유에서다. 1년간의 수신 흐름은 이 같은 단기 전망에 가까웠다.실제 제도 시행 직후에는 일시적으로 자금이 유입됐다. 지난해 9월 말 저축은행 수신잔액은 105조165억원으로 한 달 만에 2조6299억원 늘었다. 하지만 10월 말에는 103조5094억원으로 줄었고, 이후 5개월 연속 감소했다. 올해 들어 저축은행들이 수신 방어에 나서면서 잔액은 다시 늘었지만, 보호한도 상향이 지속적인 수신 확대로 이어졌다고 보기는 어렵다. 증시로 예금 빠지고 금리 매력도 저하저축은행 수신의 가장 큰 변수는 증시다. 지난해부터 국내외 증시가 강세를 이어가면서 예·적금보다 높은 수익을 기대할 수 있는 주식과 상장지수펀드(ETF) 등 위험자산에 대한 관심이 커졌다. 예금자보호한도 확대는 원금 손실 우려를 줄이는 제도지만, 기대수익률이 높은 투자처가 부각된 국면에서는 예금 유치 효과가 제한될 수밖에 없다.금리 경쟁력도 저축은행 수신 확대를 이끌 만큼 크지 않다. 저축은행중앙회에 따르면 79개 저축은행의 1년 만기 정기예금 평균 금리는 지난 10월 13일 기준 연 3.78%다. 5대 은행의 1년 만기 정기예금 최고금리인 연 3.50~3.65%보다 0.13~0.28%포인트 높은 수준에 그친다. 예금자 입장에서는 금리 차이가 크지 않은 만큼 거래 편의성과 안정성 인식이 높은 시중은행을 떠나 저축은행으로 자금을 옮길 유인이 제한적일 수 있다.업권에서는 제도 효과를 단기 수신 잔액만으로 판단하기는 이르다는 입장도 나온다. 예금자보호한도 확대가 금융시장 불안 상황에서 예금 인출을 막고 수신 기반을 안정시키는 심리적 안전판 역할을 할 수 있다는 것이다. 다만 평상시에는 금리와 건전성, 자본시장 수익률 등 복합적인 요인이 예금 흐름을 좌우하는 만큼 한도 상향만으로 머니무브를 기대하기는 어렵다는 설명이다.예보 관련 비용 부담도 저축은행업권의 고민이다. 예금보험료는 금융회사가 영업정지나 파산 등으로 예금을 지급하지 못할 때 예금보험공사가 예금자에게 보호한도 내 원리금을 지급하기 위해 금융회사로부터 걷는 보험료다. 저축은행업권이 올해 상반기 납부한 예금보험료는 3873억원으로 같은 기간 당기순이익 7658억원의 50.6%에 해당한다.예금보험료율을 높여야 한다는 논의도 진행 중이다. 현재 저축은행 보험료율은 0.40%다. 예금보험공사가 의뢰한 연구용역 중간 결과에서는 저축은행 예금보험료율을 0.54%로 올리는 방안이 제시됐다. 현행 법정 상한을 웃도는 수준인 만큼 실제 반영을 위해서는 법령 정비와 업계 의견수렴이 필요하다.저축은행업계 관계자는 “예금자보호한도 상향에 따른 자금 이동이 미미한 상황에서 최근 논의되는 예금보험료율 상향까지 현실화되면 저축은행업권의 비용 부담이 더 커질 것으로 보인다”고 말했다.

개인정보 유출 기업에 부과하는 과징금 상한이 전체 매출액의 10%로 높아지면서, 제재 강화가 보안 투자와 사고 예방으로 이어질지를 둘러싼 논쟁이 커지고 있다. 대규모 피해와 반복 위반을 막겠다는 취지지만, 해킹 피해를 본 기업에 전체 매출을 기준으로 고액의 과징금을 부과하는 것이 합리적인지에 대한 우려도 나온다. 기업의 귀책 정도와 사전 보안 투자, 피해 규모와 대응 노력을 충분히 반영해야 한다는 지적이다.개정 개인정보보호법과 시행령이 지난 9월 11일 시행되면서 개인정보 유출에 대한 과징금 제재 기준이 강화됐다. 기존에는 과징금 상한을 전체 매출액의 3%로 규정했지만, 개정법은 고의·중과실로 1000만명 이상의 피해를 유발하거나 과징금 처분 후 3년 이내에 고의·중과실로 같은 유형의 위반행위를 반복했을 때, 시정명령을 이행하지 않아 관련 위반행위가 발생한 경우 전체 매출액의 최대 10%까지 과징금을 부과할 수 있도록 했다.이처럼 강화된 제재 속에서 열린 국회 국정감사에서는 기업들의 해킹 사고와 보안 관리 실태를 향한 여야 의원들의 질타가 이어졌다. 지난 6일 국감장에는 이종현 SK텔레콤 정보보호최고책임자(CISO)·이상운 KT 정보보안실장·홍관희 LG유플러스 정보보안센터장 등 이동통신 3사 보안 책임자들이 증인대에 섰다. 특히 해킹 은폐 의혹으로 경찰 조사를 받고 있는 LG유플러스를 향한 쓴소리가 쏟아졌다. 최주희 티빙 대표 역시 최근 발생한 개인정보 유출 사고와 관련해 고개를 숙였다.송경희 개인정보보호위원회 위원장은 13일 정무위원회 국정감사 인사말에서 “9월부터 매출액의 10%까지 부과되는 징벌적 과징금이 시행되고, 신고 지연이나 피해 확산을 방조하는 행위에 대한 제재도 강화됐다”며 “새로운 과징금 체계가 효과적으로 운영되도록 만전을 기하겠다”고 강조했다. 아울러 개인정보보호위원회(이하 개인정보위)는 조사에 협조하지 않는 기업에는 이행강제금을 부과하고, 증거를 은닉·폐기하는 행위에 별도 과징금을 부과하는 방안을 검토하기로 했다. 중요 사건의 경우 전담 조사단을 구성한다는 방침이다. 현실화한 징벌적 제재IT 서비스 대중화와 인공지능(AI) 확산으로 해킹이 일상화하면서 개인정보 유출 사고와 관련한 과징금·과태료 규모도 빠르게 커지고 있다. 기업데이터연구소 CEO스코어가 개인정보위의 과징금·과태료 부과 현황을 조사한 결과, 2024년부터 올해 8월까지 기업에 부과된 과징금과 과태료는 총 9899억원으로 1조원에 육박했다.연도별 부과액은 2024년 615억원에서 지난해 1682억원으로 늘었고, 올해는 8월까지 7602억원으로 급증했다. 올해 부과액은 지난해 연간 규모의 약 4.5배, 2024년의 12배를 웃돈다. 최근 3년간 누적 부과액 가운데 올해 발생한 금액이 차지하는 비중은 76.8%에 달했다.과징금·과태료 규모가 급증한 배경에는 대규모 개인정보 유출 사고와 함께 개인정보보호 의무 위반에 대한 제재 강화가 영향을 미친 것으로 풀이된다. 2023년 개인정보보호법 개정으로 과징금 상한이 높아진 데 이어 올해 5월에는 과징금 산정 기준이 강화됐다. 지난 9월부터는 대규모 피해나 반복적인 고의·중과실 위반 등 일정 요건에 해당하면 전체 매출액의 최대 10%까지 과징금을 부과할 수 있게 됐다. 제재 규모가 이미 큰 폭으로 늘어난 가운데 새로운 과징금 체계까지 시행되면서 향후 과징금 산정 기준과 기업의 책임 범위를 둘러싼 논의도 이어질 전망이다.개인정보위가 내린 대규모 과징금 처분을 보면 외부 침입 자체뿐 아니라 기업의 보안 관리상 의무 위반이 주요 제재 근거로 작용했다.쿠팡은 전 직원이 대체 인증 서명키를 이용해 회원정보에 접근한 사건과 관련해 ▲인증키 관리 ▲접근 통제 ▲이상 트래픽 탐지·차단 등에서 문제가 드러났다. 개인정보위는 관련 위반 사항을 종합해 과징금 4236억원을 부과했다. SK텔레콤도 ▲내부망과 관리망 등의 분리·운영 ▲서버 계정 정보 관리 ▲유심 인증키 암호화 등에서 안전 조치 의무 위반이 확인돼 과징금 1348억원을 부과받았다. 두 사례 모두 침입과 유출을 막기 위한 안전 조치가 적절했는지가 처분의 핵심 근거가 됐다. 공정거래법식 과징금 산정 한계이런 상황에서 강화된 매출액 연동 과징금 체계가 개인정보 유출 사고에 적용되는 방식을 두고 제도적 검토가 필요하다는 지적이 나온다. 기업이 얻은 부당이득을 환수하는 제재와 사고 예방을 위한 의무 위반 제재는 성격이 다른 만큼, 과징금 산정 기준도 이를 반영해야 한다는 주장이다.홍대식 서강대 법학전문대학원 교수는 북유럽 일부 국가의 소득 연동형 벌금 제도를 예로 들었다. 핀란드의 일수벌금제는 범죄의 경중에 따라 벌금 일수를 정하고, 하루 벌금액은 피처분자의 소득 등을 반영해 산정한다. 같은 범죄라도 소득이 높은 사람에게 더 큰 금액을 부과해 경제적 부담을 실질적으로 높이는 방식이다. 부유한 사람에게 소액의 벌금을 부과하면 행동을 바꿀 만큼의 억제 효과를 얻기 어렵다는 판단이 바탕에 있다.홍 교수는 국내 개인정보보호법의 매출액 연동 과징금에도 기업 규모에 따라 제재의 억제력을 달리하려는 논리가 작용한다고 진단했다. 그는 “부유한 사람에게 적은 과태료를 부과하면 억제가 잘되지 않는다는 점에서 핀란드의 사례는 억제라는 목적을 아주 강조한 것”이라며 “억제보다 예방에 힘을 실어야 할 개인정보보호법이 이와 같은 형태를 취하고 있다는 점에서 개선과 고민이 필요해 보인다”고 말했다. 개인정보보호법의 핵심 목적이 기업의 안전 조치 의무 준수와 사고 예방이라면, 기업 규모에 비례해 제재액을 높이는 방식이 실제 예방 효과와 어떻게 연결되는지 살펴봐야 한다는 게 홍 교수의 논리다.홍 교수는 현행 과징금 산정 체계가 공정거래법의 모델을 참고했다는 점에도 주목했다. 공정거래법상 과징금은 위반행위로 얻은 부당이득을 환수하고 사회적 피해를 바로잡는 성격을 갖는다. 반면 개인정보보호법 위반은 개인정보를 침해해 이익을 얻는 경우뿐 아니라 기업이 보안상 주의 의무를 소홀히 해 외부 공격에 피해를 보는 경우도 포함한다. 실제 피해가 발생했는지, 피해 규모가 어느 정도인지, 위반행위가 고의였는지 등 위반 유형과 책임 수준도 다양하다.홍 교수는 “개인정보보호법 위반행위는 공정거래법보다 유형이 다양하고, 여러 위반행위에 맞게 제재 수준도 정해야 한다”고 말했다. 이어 “현재 과징금 산정 기준이 충분히 정립되지 않은 상황에서 획일적인 기준을 적용하면 위반 내용과 제재 금액 사이의 균형이 맞지 않을 수 있다”며 “행정당국의 기준 정립과 법원 판단을 통해 산정 원칙을 구체화할 필요가 있다”고 덧붙였다.그렇다고 해서 개정법이 과징금 상한만 높인 것은 아니다. 사고 발생 전 예산·인력·설비 등을 투자하고 보호체계를 강화한 기업에는 일정 요건을 충족할 경우 과징금 부과 기준 금액의 최대 40%를 감경할 수 있도록 했다. 고의 또는 중대한 과실에 따른 위반은 사전 투자에 따른 감경 대상에서 제외된다. 개인정보위는 투자 규모와 지속성, 실제 보호체계 운영 등 정성·정량 지표를 종합적으로 판단한다는 방침이다. 위반행위의 구체적인 내용과 정도, 피해 규모 등을 고려해 추가 감경할 수 있는 근거도 마련한다.해킹 사고 이후 이동통신 3사도 보안 투자 확대를 약속했다. SK텔레콤은 향후 5년간 7000억원을 투입하고 보안 전담 인력을 2배로 늘리겠다고 밝혔다. KT는 같은 기간 1조원 규모의 정보보안 투자 계획을 발표했고, LG유플러스도 5년간 7000억원을 투자하기로 했다.해외 주요국도 개인정보 침해에 대한 제재 기준을 두고 위반의 성격과 책임 정도 등을 고려하고 있다. 유럽연합(EU)의 일반개인정보보호법(GDPR)은 위반 유형에 따라 전 세계 연간 매출액의 4%를 과징금 상한으로 정하고 ▲위반의 성격과 중대성 ▲고의·과실 여부 ▲피해 완화 노력 ▲감독기관과의 협조 등을 함께 고려하도록 규정한다.중국 개인정보보호법은 위반 정도가 심각한 경우 5000만 위안 이하 또는 전년도 매출액의 5% 이하의 과징금을 부과할 수 있도록 한다. 중국 행정처벌법은 위반으로 발생한 피해를 스스로 제거하거나 줄인 경우, 조사에 협조해 공적을 세운 경우 등에 처벌을 감경하거나 경감할 수 있도록 하고, 위반이 경미하고 신속하게 시정돼 피해가 발생하지 않은 경우에는 처벌을 면제할 수 있는 근거도 두고 있다.미국은 포괄적인 연방 개인정보보호법에 일률적인 매출액 연동 과징금 기준을 두기보다 연방거래위원회(FTC)법 등 개별 연방법과 주별 개인정보보호법을 통해 기업을 규제한다. FTC는 개인정보보호 약속 위반이나 소비자에게 피해를 초래한 불공정·기만 행위 등을 근거로 법적 조치를 할 수 있다. 캘리포니아주에서는 소비자 개인정보보호법(CCPA) 등 주별 법제에 따라 주 법무장관과 캘리포니아 개인정보보호국이 집행을 담당한다. “사전 투자·귀책 반영해야”제재 강화의 취지에는 공감하면서도 기업의 책임에 맞는 기준을 마련해 시장의 수용성을 높여야 한다는 목소리가 나온다. 이성엽 고려대 기술경영전문대학원 교수는 과징금이 본래 불법행위로 얻은 부당이득을 환수하는 성격이 강했지만, 최근에는 이익을 얻지 않은 의무 위반까지 제재하면서 징벌적 성격이 커졌다고 분석했다. 그러면서 위반행위와 관련 없는 매출까지 제재 기준에 포함하기보다 위반행위와 관련된 매출액을 기준으로 삼는 것이 합리적이라고 제언했다.이 교수는 “불법행위로 이익을 얻었다면 매출을 과징금 산정 기준으로 볼 수 있지만, 해킹에 따른 개인정보 유출처럼 이익이 없는 상황에서는 타당하지 않다”며 “피해 규모나 정보의 민감성, 기업의 책임과 대응 노력을 기준으로 봐야 한다”고 짚었다. 또 “모든 해킹이 기업의 안전 조치 미흡으로 발생했다고 단정해서도 안 된다. 공격을 당한 기업과 해커를 동일선상에 놓고 봐서도 안 된다”고 말했다. 그러면서 보안 조치 미흡과 유출 사이의 인과관계가 인정되면 제재하면서도 기업이 처분 근거를 다투고 책임 정도를 소명할 수 있도록 절차적 권리를 보장해야 한다고 강조했다.그동안의 보안 투자와 관리 체계 강화 노력을 과징금 산정 과정에 반영해야 한다는 업계 요구도 있다. 한 IT 업계 관계자는 “과징금 산정 과정에서 기업의 위반 정도뿐 아니라 평소 보안 투자와 관리 체계 강화 노력, 사고 예방·대응 노력도 충분히 고려해야 한다”고 말했다.

생성형 인공지능(AI) 기술이 급격히 고도화되면서 사이버 보안 전선이 송두리째 흔들리고 있다. 해커들이 악의적으로 개조된 AI를 무기 삼아 공격 비용을 크게 낮추고 공격 주기를 분·초 단위로 단축하는 동안, 방어의 최전선에 선 기업들은 사후 징벌적 과징금과 경직된 보안 인증 규제라는 이중고에 짓눌려 있다. AI 활용 해킹이 국가 기간망과 금융권을 위협하는 비상 상황에서 정부 정책이 실질적인 방어 역량 강화가 아닌 ‘처벌과 서류 점검’에 머물러 있다는 지적이 나온다.철옹성 시중은행마저 비상사이버 범죄 생태계의 판도를 바꾼 것은 생성형 AI의 등장이다. 다크웹에서는 보안 필터링이 제거된 공격 전용 대규모 언어모델(LLM)인 ‘웜GPT’(WormGPT)와 ‘사기GPT’(FraudGPT) 등이 월 수십달러 수준의 구독형 서비스로 거래되고 있다. 고도의 코딩 능력이 없는 비전문가도 자연어 프롬프트 몇 줄로 악성코드를 제작하고 타깃 맞춤형 공격을 설계할 수 있는 시대가 열렸다.가장 치명적인 변화는 공격의 정교화와 속도다. 과거 해커 조직이 특정 기업 임직원을 속이기 위해 수주에 걸쳐 조직도와 업무 메일 패턴을 분석하던 ‘스피어 피싱’(표적형 피싱)은 이제 AI가 수초 만에 수만 건씩 자동으로 생성해 낸다. 실제 ▲기업의 공문 양식 ▲내부 결재 서식 ▲실무자의 어투까지 완벽하게 모사해 기존 스팸 차단 필터를 무력화한다.AI 기반 공격의 위력은 이미 국내 최고 수준의 방어 체계를 갖춘 금융권에서도 감지되고 있다. 최근 주요 시중은행들은 비인가 외부 IP로부터 AI 봇을 활용한 대규모 크리덴셜 스터핑(Credential Stuffing·탈취된 계정 정보를 무차별 대입하는 기법) 및 API 취약점 탐색 징후를 연이어 포착하고 긴급 대응에 나섰다.금융위원회·금융감독원은 정부서울청사에서 제2차 긴급상황대응 회의를 열고 금융권 AI 해킹 침해사고 점검 결과를 발표했다. 이에 따르면 신한은행 침해사고 전후로 사고 발생이 확인된 금융사는 은행·저축은행·상호금융·여전업·전금업·온투업·가상자산사업자 등 전체 업권에 걸쳐 총 16개사다. 성명, 연락처, 주민등록번호, 이메일 주소 등 현재까지 확인된 금융사 정보 유출 규모는 약 10만건이다. 당국은 “현재도 금융사들이 공유된 인터넷주소(IP) 등을 바탕으로 침해 발생 여부를 확인 중”이라며 “사고 발생 금융사 수는 이보다 더 확대될 수 있다”고 밝혔다.문제는 방어 인력의 한계다. 보안관제센터(SOC)에 하루 수십만 건씩 쏟아지는 경보 중 AI가 생성한 지능형 위협 패킷을 정밀 식별해 내는 작업은 극심한 피로를 유발하는 것으로 알려졌다. 머신러닝 기반 보안 솔루션이 도입되고는 있으나 오탐을 걸러내고 차단 정책을 확정하는 최종 단계는 여전히 인간의 몫이다. 24시간 교대 근무와 만성적인 인력난 속에 공격의 진화 속도를 방어 인력의 인지 속도가 따라가지 못하는 병목 현상이 발생하고 있다. ‘털린 기업엔 과징금 폭탄’…능동적 방어 막는 처벌의 역설공격자의 무기는 재래식 소총에서 극초음속 미사일로 진화했지만, 정부의 대응 기조는 여전히 ‘사후 징벌적 과징금’에 머물러 있다는 지적이 나온다.개인정보보호위원회는 개인정보 유출 사고에 대한 기업의 책임을 대폭 묻기 위해 과징금 산정 기준을 ‘위반 관련 매출액’에서 ‘기업 전체 매출액의 최대 3%’로 확대한 데 이어, 최근에는 징벌적 성격의 과징금 특례까지 도입하며 법 제도를 한층 강화했다. 특히 고의나 중과실로 3년 내 위반을 반복하거나 1000만명 이상의 대규모 유출 피해를 일으킨 경우, 전체 매출액의 최대 10%까지 과징금을 가중 부과할 수 있도록 상한선을 대폭 끌어올렸다. 규제 수위가 글로벌 최고 수준으로 높아지면서, 보안 방어선이 뚫려 유출 사고를 낸 기업들은 단순한 이미지 실추를 넘어 기업의 존폐를 위협할 만한 천문학적인 과징금 리스크를 마주하게 됐다.산업계에서는 이러한 사후 규제 일변도의 정책이 오히려 기업의 보안 체질을 약화시킨다고 입을 모은다. 고도의 국가 배후 해킹 조직이나 최첨단 AI 공격 도구를 동원한 침투는 현존하는 어떤 글로벌 솔루션으로도 100% 원천 차단을 확신하기 어렵다. 그럼에도 침해 사고가 발생하면 피해 기업을 잠재적 범죄자로 간주해 징벌적 과징금부터 부과하는 구조가 고착화됐다는 지적이다.재계 관계자는 “은행에 무장 강도가 침입해 금고가 털렸는데 수사당국이 범인을 쫓는 대신 ‘문단속을 완벽히 하지 않았다’며 은행에 영업이익을 몰수하는 수준의 벌금을 물리는 것과 다르지 않다”며 “결과 책임만을 묻는 징벌적 정책은 사고 발생 시 신속한 신고와 정보 공유를 위축시키고 기업이 어떻게든 사고를 내부적으로 은폐하려는 유인만 키울 뿐”이라고 밝혔다. 채찍만 휘두르는 정부, 세액공제 등 당근도 필요사후 처벌 공포에 기업의 보안 투자는 실질적 위협 방어가 아닌 ‘면피용 규제 준수’로 왜곡되고 있다는 지적이 나온다. 과징금 감경을 받기 위해 대형 로펌의 법률 자문료와 서류 작성 용역비에 큰 비용을 쓰면서도, 정작 신종 위협을 실시간 탐지하는 차세대 보안 솔루션 도입 예산은 뒤로 밀리는 기현상이 벌어지고 있다는 것이다.실제로 김재섭 국민의힘 의원이 금융감독원에서 받은 ‘금융권 정보보호 예산 및 인력 현황’에 따르면 지난해 ▲국민 ▲신한 ▲하나 ▲우리 ▲농협 등 5대 은행이 정보보호에 쓴 돈은 2144억원으로 조사됐다. 2024년(2197억원)보다 2.4% 감소한 규모다. 같은 기간 5대 은행 당기순이익(연결기준)은 15조1500억원에서 15조8049억원으로 늘었지만 정보보호 투자액은 줄어든 것이다. 순이익 대비 정보보호 투자액 비율은 계속 하락하고 있다. 2021년 1.51%이던 이 비율은 2024년 1.45%로 떨어진 뒤 지난해 1.36%로 내려간 것으로 나타났다.전문가들은 정책의 중심축을 ‘사후 처벌’에서 ‘선제적 예방 및 투자 유인’으로 전면 전환해야 한다고 강조한다. 기업이 과징금을 방어하기 위한 서류 작업에서 벗어나, 자체적인 AI 방패를 두를 수 있도록 정책적 지원책이 뒷받침돼야 한다는 것이다.산업계가 꼽는 최우선 과제는 세액공제 확대다. ▲차세대 AI 보안 인프라 구축 ▲확장탐지 및 대응 ▲보안 오케스트레이션·자동화(SOAR) 기술 도입 및 인력 채용 비용 등을 세액공제 대상에 포함해야 한다는 요구다. 기업 최고경영진과 이사회가 보안을 단순 비용이 아닌 기업 경쟁력을 지키는 자산으로 인식하도록 제도적 유인을 제공해야 한다는 취지다.이와 관련해 지난해 국회 과학기술정보방송통신위원회 소속 이해민 조국혁신당 의원은 ‘조세특례제한법 일부개정안’(이하 정보보호 세액공제법)을 대표 발의하기도 했다. 정보보호 세액공제법은 기업이 ▲정보보호 시스템 설비 투자 ▲보안 컨설팅 및 보험 가입 ▲정보보호 전문인력을 채용하는 경우 소득세 또는 법인세를 감면해주는 내용을 담고 있다. 개정안에 따르면 중소기업은 정보보호 인력을 신규 채용하는 경우 1인당 최대 1000만원까지 세액공제를 받을 수 있으며, 보안 설비 투자에 대해서는 최대 25% 까지 공제 혜택이 주어진다. 중견기업과 대기업도 혜택을 받을 수 있다. 중소에서 중견으로 전환된 지 3년 이내인 기업은 20%, 기존 중견기업 및 대기업은 15%가 적용된다. 개정안은 정보보호 투자를 강제하는 것이 아닌 인센티브를 통해 자발적인 투자를 유도하고자 했다. 하지만 현재 국회에서 계류 중이다. 위정현 중앙대 경영학과 교수는 정부의 징벌적 과징금 방침에 대해 “정부 기관조차 해킹에 뚫리는 현실에서 피해 기업에 매출 10% 규모의 과징금을 물리는 것은 근본적인 해결책이 될 수 없다”고 비판했다. 위 교수는 “생성형 AI를 악용한 해외 해커들의 공격 기법이 급속도로 고도화되는 반면, 국내 기업들의 IT 보안 인프라와 방어 역량은 이를 따라가지 못하고 있다”며 “기업들이 고의로 손을 놓은 것이 아닌 만큼 대비할 시간을 주고, 해킹 방지 연구개발(R&D) 투자에 대한 세액공제 등 세제 혜택을 지원해 자발적인 보안 투자를 유도해야 한다”고 강조했다.이원태 국민대 특임교수는 “AI 시대에 완벽한 방어가 어렵다는 점은 이해하지만 ‘과도한 과징금’에만 논의가 집중되면 고객정보 보호에 대한 기업의 책임과 예방투자 유인이 약해질 수 있다”며 “완벽한 방어의 한계와 합리적 보안조치 이행 여부는 구분해야 하며, 실제 예방 노력과 관리 소홀, 사고 후 대응을 살펴 개별 과징금의 적정성을 판단해야 한다”고 짚었다.이어 “정부는 통제된 AI 보안 점검, 화이트해커의 취약점 신고·조치, 기업 간 위협정보 공유 및 중소기업의 진단·수정 연계 지원을 강화해야 한다”면서 “기업 역시 형식적인 점검 여부나 보고서 양에 매몰되지 말고, 현장 인력에 권한과 자원을 부여해 실제 약점을 고치고 핵심 서비스 복구 시간을 단축하는 데 집중해야 한다”고 덧붙였다.

'에디터 레터'를 쓰다 보면 마땅한 글거리가 떠오르지 않을 때가 있다. 지금처럼 마감일이 돼서야 노트북을 열 때가 특히 그렇다.기자가 글을 쓰는 이유는 '데드라인' 때문이라는 우스갯소리가 있다. 그러나 마감이 닥쳤다고 없던 글감이 벼락처럼 떠오르진 않는다. 그럴 때 손 쉬운 키워드가 '대통령'이다. 대통령의 말과 행동은 언제나 뉴스가 되고 정책에는 국민의 삶이 걸려 있다. 마침 이번 주 커버스토리도 정부의 행정규제 만능주의에 대한 문제 제기다. 그 명분에 기대 다시 대통령을 소환해 본다.국이재명 대통령이 최근 소통에 부쩍 공을 들이고 있다. 소셜미디어(SNS)가 대표적이다. 지난 8월 37건이었던 엑스(X·옛 트위터) 게시물은 9월 116건으로 세 배 넘게 늘었다. 이달 들어서도 12일까지 68건의 글을 올렸다.주제도 다양하다. 서민과 사회적 약자의 어려움을 이야기하고, 주요 정책 현안에 직접 입장을 밝힌다. 정부가 거둔 성과를 알리고, 함께 일한 이들의 노고를 치하하는 일도 빼놓지 않는다. 대통령이 직접 국민에게 정책을 설명하고 이해를 구하는 것은 긍정적으로 평가할 만하다.다만 대통령이 SNS에 글을 자주 올린다고 지지율이 오르진 않는다. 한국사회여론연구소(KSOI)가 지난 12~13일 실시한 조사에서 이 대통령의 국정운영 긍정 평가는 34.9%에 그쳤다. 부정 평가는 58.8%였다. 특히 같은 조사에서 대통령이 SNS 소통을 계속하는 데 동의하지 않는다는 응답자는 46.8%로, 동의한다는 응답(37.6%)보다 많았다. 소통은 상대방의 이야기를 듣고, 자신이 틀렸을 가능성까지 받아들이는 과정이다. 대통령이 하고 싶은 이야기를 국민에게 전달하는 것과 국민의 이야기를 대통령이 듣는 것은 전혀 다른 일이다.국정은 반대를 무릅쓰고 결단해야 할 때도 있다. 하지만 정책을 반대하는 목소리가 크다면 먼저 그 이유를 살펴야 한다. 정책의 취지가 옳다는 확신만으로 그 수단과 결과까지 정당화되는 것은 아니다.부동산 정책이 대표적이다. 정책에 대한 반대를 기득권의 저항으로만 해석해서는 문제를 풀 수 없다. 선의로 설계한 정책이라고 반드시 좋은 결과를 가져오는 것은 아니다. 시장은 정부의 의도보다 참여자들의 기대와 행동에 반응한다.자본시장 정책도 마찬가지다. 단기 매매에 치중하는 개인투자자의 행태를 지적할 수는 있다. 그러나 투자자의 선택을 탓하기에 앞서 왜 장기투자에 대한 신뢰가 부족한지부터 돌아봐야 한다. 기업의 불투명한 지배구조, 미흡한 주주환원, 시장의 공정성에 대한 불신을 해소하는 일은 정부의 몫이다.14일 청와대의 2기 참모진 인선이 마무리됐다. 강훈식 비서실장 후임으로 임광현 국세청장이 임명됐다. 앞서 이달 1일에는 하준경 경제성장수석이 정책실장으로 승진했다.좋은 참모는 대통령이 듣기 싫어하는 말이라도 해야 할때는 하는 사람이다. 정책의 부작용을 숨기지 않고, 반대하는 이들의 주장 속에서 일리가 있는 부분을 찾아 전달하는 사람이다.정권이 출범한 지 1년 4개월이 지났다. 앞으로 3년 8개월이 남았다. 아직 해야 할 일이 많고 바로잡을 기회도 충분하다.청와대 2기 참모진이 보여줘야 할 것은 정책 집행 속도만이 아니다. 지금까지 추진해 온 정책에서 무엇이 잘못됐는지 돌아보고, 필요하다면 대통령에게 방향을 바꿔야 한다고 말할 수 있어야 한다.대통령이 SNS에 글을 몇 개 더 올리는 게 소통이 아니다. 반대하는 국민의 이야기를 진지하게 듣고, 엇나간 정책은 과감히 수정해야 한다. 잘 말하는 것보다 잘 듣는 것. 그게 진짜 소통이다.