2025년은 개인정보 유출 사고가 유독 잦았던 한 해였습니다. 4월 S통신사에서 2,300만 명 규모의 유심 정보가 유출되었고(개인정보보호위원회는 역대 최대인 1,348억 원의 과징금을 부과했습니다), 8월에는 L카드사에서 297만 명의 고객 정보 유출 사고가 잇따랐습니다. 특히 금융당국은 L카드사 사고를 '내부 통제 부재'로 규정했습니다.
이런 흐름 속에서 정부는 관계부처 합동으로 정보보호 종합대책을 내놓았고, 그 핵심 후속 조치 중 하나가 '정보보호 공시 의무화 확대' 인데요. 상장기업이라면 반드시 알아둬야 할 변화라, 배경부터 차근히 알아보겠습니다.
정보보호 공시란 무엇인가요?
정보보호 공시는 기업이 정보보호에 얼마를 투자했고, 어떤 인력과 인증 체계를 갖추고 있는지를 외부에 공개하도록 하는 제도입니다. 2016년 자율공시로 도입돼 2022년부터 의무화되었는데요. 목적은 투자자와 이용자가 "이 기업이 내 정보를 안전하게 지킬 역량이 있는가"를 판단할 근거를 제공하는 것입니다.
2025년에는 의무 대상 666개사를 포함해 773개사가 공시에 참여했고, 정보보호 부문 총투자액은 2조 4,230억 원으로 집계됐습니다.
무엇이, 언제부터 바뀌나요?
가장 큰 변화는 대상 범위의 전면 확대입니다. 그동안 매출 3,000억 원 이상 상장사 등 일부 기업만 공시 의무가 있었지만, 정보보호산업법 시행령 개정으로 코스피·코스닥 상장 법인 전체가 대상이 됩니다.
과기정통부 추산에 따르면 유가증권·코스닥 상장 법인(약 1,715개사)과 ISMS 인증 의무 기업(약 389개사) 등이 새로 편입될 예정입니다.
무엇을 공시해야 하나요?
정보보호산업법에 따른 공시 항목은 크게 세 가지입니다.
- 정보보호 투자액 및 투자 항목별 세부 현황
- 정보보호 전담 인력, 규모 및 전체 인력 대비 비중
- 정보보호 관련 인증·평가 현황
국내 기업의 IT 투자 대비 정보보호 투자 비중은 평균 6.29%로 미국(약 13.2%)의 절반 수준이고, 같은 통신 3사 안에서도 4.2%에서 7.4%까지 편차가 큰데요. 금액 자체보다 그 투자가 실제 어떤 보안 통제로 이어졌는지가 관건이라고 볼 수 있습니다.
여기서 핵심은 증적, 즉 누가 언제 어떤 정보에 접근했는지 남는 기록입니다. 앞서 L카드 사의 사고가 '내부 통제 부재'로 지적된 것처럼, 공시가 확인하려는 건 결국 한 가지입니다. '우리 정보 자산이 어디에 있고, 거기에 누가 접근했는지 추적할 수 있는가?'
기업은 무엇부터 준비해야 할까요?
대부분 기업의 가장 민감한 정보는 '문서' 형태로 개별 PC, 공유 폴더, 메일함에 흩어져 있습니다. 이 영역이 통제의 사각지대로 남아 있으면, "특정 문서에 누가 언제 접근했는지 이력을 제출하라"는 요구 앞에서 답이 막힙니다.
문서중앙화는 이렇게 흩어진 문서를 개별 PC가 아닌 중앙 서버에서 통합 관리하는 방식으로 문서 접근·편집·반출 전 과정에서 접근 통제 및 감사 로그를 자동적으로 수집할 수 있습니다.
공시가 결국 확인하려는 것은 '제대로 통제하고 있고, 그 사실을 증명할 수 있는가' 인데요. 문서중앙화는 그 증명의 기반을 미리 갖추게 해줍니다.
지금이 점검할 시점입니다
2027년 첫 공시까지, 사실 시간이 그리 넉넉하지는 않습니다. 접근 이력은 지금부터 차곡차곡 쌓아 두어야 나중에 공시 자료로 쓸 수 있습니다. 이제 정보보호 공시는 일부 대기업만의 숙제가 아니라, 모든 상장사가 갖춰야 할 기본 경영 요건으로 자리 잡아가고 있습니다. 그 첫걸음을 사이버다임이 함께 준비하겠습니다.
출처
1. 「정보보호 공시 의무, 코스피·코스닥 상장 법인 전체로 확대」, 대한민국 정책브리핑
2. 「정부, 내년부터 정보보호 공시 의무 '전면 확대'…전체 상장사 적용」, ESG경제
3. 「모든 상장사, 2027년부터 정보보호 공시 의무화」, 보안뉴스
4. 「과기정통부, 2025년 기업 정보보호 투자·인력 등 공시 현황 분석 보고서 공개」, 중앙뉴스미디어
5. 「'2조 4234억 썼지만…' 국내 기업 정보보호 투자」, 비즈한국
6. 「2025년 '개인정보유출의 해'라는 오명 쓰게 될까」, 디지털포용뉴스
7. 「[점선면] 롯데카드·KT 해킹 사태, '예고된 인재'라고?」, 경향신문
8. 「2025년 한국 데이터 유출 사건 총정리」, NordVPN
#정보보호공시 #정보보호공시의무화 #정보보호산업법 #상장사공시 #ISMS인증 #문서중앙화 #감사로그 #기업보안 #데이터보안 #사이버다임
2025년은 개인정보 유출 사고가 유독 잦았던 한 해였습니다. 4월 S통신사에서 2,300만 명 규모의 유심 정보가 유출되었고(개인정보보호위원회는 역대 최대인 1,348억 원의 과징금을 부과했습니다), 8월에는 L카드사에서 297만 명의 고객 정보 유출 사고가 잇따랐습니다. 특히 금융당국은 L카드사 사고를 '내부 통제 부재'로 규정했습니다.
이런 흐름 속에서 정부는 관계부처 합동으로 정보보호 종합대책을 내놓았고, 그 핵심 후속 조치 중 하나가 '정보보호 공시 의무화 확대' 인데요. 상장기업이라면 반드시 알아둬야 할 변화라, 배경부터 차근히 알아보겠습니다.
정보보호 공시는 기업이 정보보호에 얼마를 투자했고, 어떤 인력과 인증 체계를 갖추고 있는지를 외부에 공개하도록 하는 제도입니다. 2016년 자율공시로 도입돼 2022년부터 의무화되었는데요. 목적은 투자자와 이용자가 "이 기업이 내 정보를 안전하게 지킬 역량이 있는가"를 판단할 근거를 제공하는 것입니다.
2025년에는 의무 대상 666개사를 포함해 773개사가 공시에 참여했고, 정보보호 부문 총투자액은 2조 4,230억 원으로 집계됐습니다.
가장 큰 변화는 대상 범위의 전면 확대입니다. 그동안 매출 3,000억 원 이상 상장사 등 일부 기업만 공시 의무가 있었지만, 정보보호산업법 시행령 개정으로 코스피·코스닥 상장 법인 전체가 대상이 됩니다.
과기정통부 추산에 따르면 유가증권·코스닥 상장 법인(약 1,715개사)과 ISMS 인증 의무 기업(약 389개사) 등이 새로 편입될 예정입니다.
정보보호산업법에 따른 공시 항목은 크게 세 가지입니다.
국내 기업의 IT 투자 대비 정보보호 투자 비중은 평균 6.29%로 미국(약 13.2%)의 절반 수준이고, 같은 통신 3사 안에서도 4.2%에서 7.4%까지 편차가 큰데요. 금액 자체보다 그 투자가 실제 어떤 보안 통제로 이어졌는지가 관건이라고 볼 수 있습니다.
여기서 핵심은 증적, 즉 누가 언제 어떤 정보에 접근했는지 남는 기록입니다. 앞서 L카드 사의 사고가 '내부 통제 부재'로 지적된 것처럼, 공시가 확인하려는 건 결국 한 가지입니다. '우리 정보 자산이 어디에 있고, 거기에 누가 접근했는지 추적할 수 있는가?'
대부분 기업의 가장 민감한 정보는 '문서' 형태로 개별 PC, 공유 폴더, 메일함에 흩어져 있습니다. 이 영역이 통제의 사각지대로 남아 있으면, "특정 문서에 누가 언제 접근했는지 이력을 제출하라"는 요구 앞에서 답이 막힙니다.
문서중앙화는 이렇게 흩어진 문서를 개별 PC가 아닌 중앙 서버에서 통합 관리하는 방식으로 문서 접근·편집·반출 전 과정에서 접근 통제 및 감사 로그를 자동적으로 수집할 수 있습니다.
공시가 결국 확인하려는 것은 '제대로 통제하고 있고, 그 사실을 증명할 수 있는가' 인데요. 문서중앙화는 그 증명의 기반을 미리 갖추게 해줍니다.
2027년 첫 공시까지, 사실 시간이 그리 넉넉하지는 않습니다. 접근 이력은 지금부터 차곡차곡 쌓아 두어야 나중에 공시 자료로 쓸 수 있습니다. 이제 정보보호 공시는 일부 대기업만의 숙제가 아니라, 모든 상장사가 갖춰야 할 기본 경영 요건으로 자리 잡아가고 있습니다. 그 첫걸음을 사이버다임이 함께 준비하겠습니다.
출처
1. 「정보보호 공시 의무, 코스피·코스닥 상장 법인 전체로 확대」, 대한민국 정책브리핑
2. 「정부, 내년부터 정보보호 공시 의무 '전면 확대'…전체 상장사 적용」, ESG경제
3. 「모든 상장사, 2027년부터 정보보호 공시 의무화」, 보안뉴스
4. 「과기정통부, 2025년 기업 정보보호 투자·인력 등 공시 현황 분석 보고서 공개」, 중앙뉴스미디어
5. 「'2조 4234억 썼지만…' 국내 기업 정보보호 투자」, 비즈한국
6. 「2025년 '개인정보유출의 해'라는 오명 쓰게 될까」, 디지털포용뉴스
7. 「[점선면] 롯데카드·KT 해킹 사태, '예고된 인재'라고?」, 경향신문
8. 「2025년 한국 데이터 유출 사건 총정리」, NordVPN
#정보보호공시 #정보보호공시의무화 #정보보호산업법 #상장사공시 #ISMS인증 #문서중앙화 #감사로그 #기업보안 #데이터보안 #사이버다임