개인정보 유출 사고 대응 인사이트(2): 개인정보 유출 사태를 키우는 주범, '관망과 늑장 신고'

개인정보 유출 사고는 언젠가 어느 조직에나 발생할 수 있지만, 정작 사고가 터졌을 때 무엇을 어떻게 해야 하는지는 여전히 낯설고 막막한 경우가 많습니다. 와이즈파트너즈는 수많은 위기 현장에서 직접 목격한 경험을 바탕으로, 유출 사고의 발견부터 신고, 대응, 재발 방지에 이르기까지 기업이 반드시 알아야 할 위기관리의 핵심을 정리했습니다. 이번 시리즈를 통해 사고 이후의 혼란을 줄이고, 위기 앞에서도 흔들리지 않는 조직을 만드는 데 필요한 인사이트를 전해드리고자 합니다. 

위기 상황에서 가장 위험한 순간은 사고를 인지한 바로 그 직후다. 현장에서 지켜본 많은 기업들은 사고를 인지하고도 "이걸 진짜 신고해야 하나", "어디에, 어떻게 신고해야 하나", "괜히 일을 키웠다가 책임을 지는 건 아닌가"라며 우왕좌왕하다 결정적인 골든타임을 놓쳐 버린다.

상황을 관망하며 시간을 지체하는 이유는 명확하다. 내부 보고 라인이 복잡하고, 규제 기관 신고 절차나 대외 메시지에 대한 책임을 누구도 선뜻 지려 하지 않기 때문이다. 경영진은 정확한 증거부터 가져오라 압박하고, 보안팀은 사실 확인에 며칠을 허비한다. 그 사이 해커가 먼저 유출 사실을 외부에 공개해 버리면, 기업은 '사고로 인한 유출'이 아니라 '늑장 신고와 은폐'라는 훨씬 더 무거운 법적·사회적 비난을 감당해야 한다.

한 번 유출 사고를 겪은 기업에서 비슷한 사고가 되풀이되는 이유도 여기서 찾을 수 있다. 사고 직후에는 최첨단 보안 장비 도입에 거액을 투입하면서도, 정작 사고가 났을 때 조직이 어떻게 움직여야 하는지에 대한 '거버넌스'는 그대로 방치되는 경우가 많기 때문이다. 시스템은 새로워졌지만, 사람과 절차는 여전히 예전 그대로인 셈이다.

개인정보 보호는 정보보호최고책임자(CISO)나 IT 부서만의 싸움이 아니다. 경영진의 신속한 의사결정 체계, 그리고 법무·홍보·고객서비스·영업 등 각 부서가 사고 발생 즉시 자기 역할을 수행할 수 있는 역할과 책임(R&R)이 시스템으로 갖춰져 있지 않다면, 아무리 뛰어난 보안 솔루션도 무용지물이 되기 쉽다.

결국 관건은  '사고가 났을 때 누가, 무엇을, 언제까지 하는가'가 명확한가에 있다. 우왕좌왕하는 시간을 얼마나 줄이느냐가 사고의 파장을 결정짓는 만큼, 평시에 조직적 위기관리 거버넌스를 미리 설계해 두는 일이 그 어떤 보안 투자보다 우선돼야 한다.

와이즈파트너즈는 개인정보 유출 사고 발생 시 초기 대응부터 이해관계자 커뮤니케이션, 실전형 매뉴얼 구축까지 지원합니다. 문의: contact@yisepartners.com