[이코노미스트 박세진 기자] 해외 공장 지원과 공동 연구개발이 늘면서 기업의 기술 보호 범위도 넓어지고 있다. 해킹이나 산업스파이의 기술 탈취뿐 아니라 업무상 권한이 있는 직원이 자료를 공유하는 과정에서도 유출 위험이 발생한다. 필요한 기술은 제공하면서 계약과 승인 범위를 벗어난 정보는 차단하는 관리 체계가 중요해졌다.

신제익 LG이노텍 보안운영팀장은 [이코노미스트]와의 인터뷰에서 “해외 생산법인 지원이나 공동 연구개발, 협력업체와의 협업처럼 정상적인 사업 활동 과정에서 기술이 국경을 넘어 이동하는 경우가 크게 늘었다”며 “기술을 다룰 권한이 있는 사람이 업무상 자료를 전달하는 과정에서도 유출 위험이 발생할 수 있다”고 말했다.

신 팀장은 오는 24일 국가정보원이 주최하는 ‘2026 산업보안컨퍼런스’의 세 번째 세션 발표자로 나선다. 현대모비스·SK하이닉스·삼성SDI·LG이노텍·한화에어로스페이스 등 기업 11곳과 법무법인 3곳이 참여해 개발한 국가핵심기술 수출 보안점검지표를 소개할 예정이다. 계약과 자료 전송, 해외 사용 등 단계별 위험을 살펴보고 기업의 대응 방안을 논의한다.

계약은 법무, 자료는 기술 부서…‘절차 사이’의 빈틈

기업이 기술을 해외로 이전할 때는 계약 내용과 제공 범위를 확인하고 필요한 승인·신고 절차를 거쳐야 한다. 실제 자료를 전송한 뒤 해외에서 어떻게 사용하는지도 관리해야 한다. 신 팀장은 그 출발점으로 기술 제공의 목적과 범위를 명확히 정하는 일을 꼽았다.

그는 “가장 어려운 부분은 기술을 보내느냐, 보내지 않느냐가 아니라 필요한 기술은 보내되 필요한 범위만 정확하게 통제할 수 있느냐의 문제”라고 말했다.

해외 공장에 전달하는 설계 도면이나 공정 자료에는 계약상 허용 범위를 넘어서는 정보가 포함될 수 있다. 계약서에 기술 범위를 명시했더라도 실제 파일에서 해당 정보를 구분하는 작업은 별도로 필요하다.

신 팀장은 “하나의 파일에도 제공할 수 있는 정보와 제한해야 하는 정보가 섞여 있을 수 있다”며 “단순히 파일명만 확인하는 것이 아니라 실제 내용을 기술 부서와 함께 확인하고 필요하면 자료를 분리하거나 마스킹하는 과정이 필요하다”고 설명했다.

여러 부서가 서로 다른 기준으로 업무를 수행한다는 점도 변수다. 사업 부서는 일정과 고객 대응을, 연구개발 부서는 기술지원의 정확성을 중시한다. 법무 부서는 계약상 책임을, 보안 부서는 유출 위험을 살핀다. 각 부서의 검토 결과가 다음 단계로 이어지지 않으면 관리 공백이 생길 수 있다.

신 팀장은 기술 수출 과정에서 취약한 지점으로 ‘절차와 절차 사이’를 짚었다. 그는 “계약은 사업과 법무가, 수출신고는 담당 조직이, 자료 준비는 기술 부서가, 해외 사용은 현지법인이 담당한다”며 “각 부서가 자신의 업무를 제대로 수행하더라도 앞뒤 단계가 연결되지 않으면 빈틈이 생긴다”고 지적했다.

계약에 기재된 기술 범위와 실제 전달 자료가 일치하는지, 승인받은 수신자와 실제 자료를 받는 사람이 같은지 등을 연결해 확인해야 한다는 것이다. 보안 부서 역시 전송 직전 승인에 그치지 않고 계약 단계부터 사업·기술·법무 부서와 위험을 함께 검토해야 한다고 강조했다.

이번 보안점검지표도 이러한 단계별 공백을 줄이는 데 초점을 맞췄다. 계약상 제공 범위와 실제 기술자료, 수신기관의 보안 관리 체계 등을 점검하고 항목별 증빙자료와 담당 부서를 연결해 기업이 위험을 확인하도록 돕는 방식이다.

해외 생산 시설로 기술을 이전할 때는 관리 대상이 더 넓어진다. 설비와 공정 조건, 생산 데이터에 기술자의 노하우까지 이동하고 접근 인력도 늘어나기 때문이다.

신 팀장은 “해외 생산 시설의 기술 보호는 IT 시스템만으로 해결하기 어렵다”며 “물리보안과 생산망 보안, 인력 관리, 협력업체 관리, 자료관리를 함께 살펴야 한다”고 말했다.

보낸 뒤에도 관리…위험도에 따라 통제 달리해야

자료를 해외로 보낸 뒤에는 사용·복사·재제공 여부를 확인하기 어려워진다. 전송 전에는 기업이 접근권한과 전달 방식을 직접 통제할 수 있지만, 해외 기업이나 생산 시설로 넘어가면 통제력이 낮아지기 때문이다.

신 팀장은 “보내기 전에는 우리 회사가 통제할 수 있지만 보내고 나면 통제력이 상대적으로 낮아진다”며 “사용 목적과 사용기간, 접근권한, 재제공 조건, 점검 권한, 사고 통보 의무 등을 사전에 정하고 기록을 남기는 것이 중요하다”고 설명했다.

계약 종료 이후의 관리도 과제다. 자료를 반환받거나 폐기하도록 하더라도 이메일과 개인 작업 폴더, 백업 시스템 등에 복사본이 남아 있을 수 있다. 그는 “삭제확인서 한 장을 받는 것보다 자료의 생명주기를 처음부터 관리하는 것이 중요하다”고 강조했다.

유출 위험이 반드시 악의적인 행동에서 비롯되는 것도 아니다. 수신자를 잘못 지정하거나 필요 이상의 자료를 첨부하는 등 업무상 실수가 사고로 이어질 수 있다. 신 팀장은 “시스템이 아무리 안전해도 잘못된 사람에게 정확하게 전송하면 기술 유출이 될 수 있다”며 수신자 재확인과 접근권한 유효기간 설정 등 절차 개선을 주문했다.

보안 절차가 사업을 지연시키지 않도록 설계하는 일도 중요하다. 해외 공장이나 고객사의 긴급한 기술지원 요청에 매번 여러 부서의 승인을 요구하면 대응이 늦어질 수 있다. 신 팀장은 기술의 중요도와 수신기관, 수출 유형에 따라 관리 수준을 달리해야 한다고 조언했다.

이번 컨퍼런스 세 번째 세션에서는 이러한 현장의 어려움과 보안점검지표 활용 방안을 다룰 예정이다. 기존 보안인증과 증빙자료를 활용해 중복 점검을 줄이면서 필요한 통제를 유지하는 방법도 논의한다.

신 팀장은 “모든 자료와 거래에 동일한 통제를 적용하면 업무 부담만 커질 수 있다”며 “좋은 보안 체계는 정상적인 업무가 보안 절차 안에서 빠르게 처리되도록 만드는 것”이라고 말했다. 이어 “기업의 부담은 줄이면서 기술 보호 수준은 높여야 한다”고 강조했다.

ⓒ이코노미스트(https://economist.co.kr) '내일을 위한 경제뉴스 이코노미스트' 무단 전재 및 재배포 금지