일본의 기업 총무 담론은 최근 하나의 단어로 수렴합니다 — 사이버 레질리언스(Cyber Resilience). "뚫리지 않는 시스템을 만든다"가 아니라, "뚫려도 사업을 멈추지 않는다"는 발상의 전환입니다. 대형 식품기업이 사이버 공격을 받은 뒤에도 공급을 멈추지 않은 사례를 다루며, 전문지 『월간총무』는 이렇게 못 박습니다. "사이버 공격은 더 이상 정보시스템 부서만의 기술 문제가 아니다."
이 전환에는 배경이 있습니다. 일본의 개인정보 유출 보고는 2024년도에 2만 1,007건으로 사상 최다를 기록했습니다. 전년 대비 58% 급증입니다. 데이터 사고가 총무·경영의 상시 의제가 된 것은 당연한 귀결입니다.
한국도 같은 길입니다. 한때 IT팀 구석의 과제였던 개인정보보호가, 이제 경영이 직접 지켜야 할 신뢰 자산이 되었습니다. 이유는 단순합니다 — 데이터를 잃으면 돈을 잃고, 돈보다 먼저 신뢰를 잃기 때문입니다.
방어의 시대는 끝났다
완벽한 방어는 없습니다. 규모와 무관하게, 뚫리는 것은 시간문제라는 것이 업계의 냉정한 전제가 됐습니다. 국내 사이버 침해사고 신고는 2023년 1,277건에서 2025년 2,383건으로 2년 만에 87% 늘며 역대 최고를 기록했습니다. 그래서 질문이 바뀝니다. "어떻게 막을 것인가"에서 "뚫렸을 때 얼마나 빨리 회복하고, 피해를 얼마나 줄일 것인가"로.
이 전환은 세 가지 관점의 이동을 요구합니다.
- 기술 → 경영: 방화벽을 몇 대 샀느냐가 아니라, 누가 어떤 데이터에 접근하는지 경영이 아느냐.
- 방어 → 회복: 사고를 0으로 만드는 것이 아니라, 사고가 나도 72시간 안에 통지·복구하는 체계를 갖췄느냐.
- 비용 → 자산: 보안은 지출이 아니라, 파트너가 당신에게 데이터를 맡길 수 있게 하는 투자다.
법은 이미 매출을 겨누고 있다
관점의 전환을 재촉한 것은 법입니다. 2023년 9월 시행된 개정 개인정보 보호법은 과징금 산정 기준을 "위반행위 관련 매출"에서 "전체 매출액의 3%"로 끌어올렸습니다. 2026년 2월에는 고의·중과실이나 반복·대규모 침해 시 상한을 **전체 매출액의 10%**까지 여는 개정안이 국회를 통과했습니다. 유출 한 번이 회사의 연매출 전체를 과징금의 모수(母數)로 삼는다는 뜻입니다. 개인정보는 대차대조표에 잡히지 않지만, 사고가 나면 손익계산서를 관통합니다.
숫자가 이를 증명합니다. 2025년 개인정보위가 부과한 과징금은 40건, 1,677억 원 — 전년 대비 172% 급증했습니다. 유출 신고 건수 자체도 뛰었습니다.
과징금의 무게는 특정 기업의 사례에서 실감됩니다.
| 기업 | 과징금 | 사유 | 시점 | | --- | --- | --- | --- | | 쿠팡 | 6,246억 원 | 유출 약 3,750만 명 + 활동기록 무단수집 | 2026-06 | | SK텔레콤 | 1,348억 원 | 유심 해킹, 전체 이용자 2,324만 명 정보 유출 | 2025-08 | | 메타(Meta) | 216억 원 | 민감정보 무단수집 | 2024-11 | | 카카오 | 151억 원 | 오픈채팅 개인정보 유출 | 2024-05 | | 골프존 | 75억 원 | 개인정보 유출 | 2024-05 |
랜섬웨어 피해의 약 94%가 중견·중소기업에 집중됩니다. 보안 투자 여력이 큰 대기업보다, 오히려 자원이 부족한 기업이 표적이 됩니다. "우리는 작아서 괜찮다"는 가장 위험한 착각입니다.
사고는 밖이 아니라 안에서도 온다
유출의 원인을 뜯어보면, 대비의 방향이 보입니다. 2025년 유출 사고의 62%는 해킹이었지만, 4분의 1은 내부의 업무 과실이었습니다. 방화벽만으로는 막을 수 없는 몫입니다.
- 해킹62%
- 업무 과실25%
- 시스템 오류5%
- 기타·미상8%
바깥의 공격은 기술로 막고, 안의 과실은 권한과 기록으로 막습니다. 누가 어떤 데이터에 접근할 수 있는지 좁히고, 누가 무엇을 열람·다운로드했는지 흔적을 남기는 것 — 이것이 회복탄력성의 절반입니다.
B2B에서 개인정보보호는 '신뢰의 통화'다
B2C가 소비자의 클릭을 얻는 게임이라면, B2B는 파트너의 신뢰를 얻는 게임입니다. 그리고 신뢰는 점점 더 데이터 거버넌스로 증명됩니다. 공급사·고객사와 데이터를 주고받는 순간, 상대는 반드시 묻습니다 — "당신은 우리 직원·고객의 정보를 어떻게 지키는가."
이 질문에는 문서가 아니라 구조로 답할 수 있어야 합니다. 우리(한국피플소프트)가 채용·복지 플랫폼을 설계하며 택한 원칙은 그래서 단순합니다.
- 가장 강한 보안은 '적게 갖는 것' — 주민등록번호 등 고유식별정보와 민감정보는 아예 수집하지 않습니다. 갖지 않은 데이터는 유출될 수 없습니다.
- 접근은 최소로, 기록은 전부 — 행 수준 보안(RLS)으로 권한을 최소화하고, 누가 무엇을 열람했는지 접속기록을 남깁니다.
- 법은 한 번 지키고 끝이 아니다 — 개정 법령을 분기마다 자동 대조해 방침의 최신성을 유지합니다.
핵심은 특정 제품이 아니라 태도입니다. 데이터를 적게 갖고, 접근을 좁히고, 흔적을 남기고, 사고를 전제로 대비하는 것 — 규모와 예산에 관계없이 오늘 시작할 수 있는 일입니다.
오늘 점검할 여섯 가지
거창한 인증서가 먼저가 아닙니다. 아래 여섯 가지가 갖춰졌는지가 먼저입니다.
- 최소수집 — 주민번호·민감정보는 아예 받지 않는다. 안 받으면 안 샌다.
- 최소권한·접근통제 — 꼭 필요한 사람만, 외부 접속은 안전한 인증수단으로.
- 접속기록 — 열람·다운로드 흔적을 남기고 정기 점검(민감정보 처리 시 2년 보관).
- 파기 스케줄 — 보유기간을 정하고 자동으로 지운다. 안 지우면 리스크가 쌓인다.
- 72시간 유출 대응계획 — 사고를 전제로 통지·복구 절차를 미리 문서화한다.
- 법령 상시 모니터링 — 개정을 분기마다 대조해 방침의 최신성을 유지한다.
가장 적게 가진 회사가, 가장 믿을 수 있다
보안의 역설은 여기에 있습니다. 데이터를 많이 쌓을수록 사업이 강해질 것 같지만, 실제로는 잃을 것이 많아질 뿐입니다. 반대로, 꼭 필요한 것만 갖고 그것을 투명하게 지키는 회사는 파트너에게 가장 안전한 선택지가 됩니다.
뚫리지 않는 회사는 없습니다. 뚫려도 멈추지 않고, 애초에 잃을 것을 적게 둔 회사가 있을 뿐입니다. 그 회사가 다음 10년의 얼라이언스를 이끕니다.
자료 출처
- 개인정보보호위원회, 「2024년 개인정보 유출 신고 동향 분석결과」(2025-03) 및 유출 신고·조사·처분 사례집(2026-05)
- 과학기술정보통신부·한국인터넷진흥원(KISA), 「2025년 사이버 위협 동향 및 2026년 전망」(2026-01)
- 국회 정무위원회 자료(개인정보위 제출), 2021–2025 과징금·유출 현황
- 일본 개인정보보호위원회(PPC) 연차보고 — 유출 보고 건수(2024년도)
- 『월간총무』 온라인, "사이버 레질리언스" 특집(2026-07)