범부처 정보보호 종합대책, 글로벌 빅테크에 사각지대 작성일 11-09 45 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">정보보호 공시 의무, 해외 기업은 공란 제출<br>국내법인 매출 쪼개면 ISMS 인증 의무도 제외<br>해외 기업 편법으로 빠져나가 역차별 우려</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="YZ4CaqtWwy"> <p contents-hash="6a0340f9ddbc7680e4741d38cdb98d249ee35501f1b74da6c1351af680d1805f" dmcf-pid="G58hNBFYsT" dmcf-ptype="general"> [이데일리 권하영 기자] 정부가 연이은 해킹 및 정보유출 사고를 계기로 ‘범부처 정보보호 종합대책’을 내놨지만, 국내 기업과 달리 해외 기업에는 적용이 요원하다는 지적이 제기됐다. 특히 정보보호 공시 의무 확대와 과징금 상향 등의 조치는 해외 기업이 편법으로 빠져나갈 여지도 있어 국내 기업 역차별이 우려된다.</p> <figure class="figure_frm origin_fig" contents-hash="bcb5ba0745528b8a62e56ed9f9b136d58a8a49c6212311f9c33a7c941fa49237" dmcf-pid="H16ljb3GIv" dmcf-ptype="figure"> <p class="link_figure"><img alt="배경훈 부총리 겸 과학기술정보통신부 장관이 22일 서울 종로구 정부서울청사에서 열린 합동브리핑에서 범부처 정보보호 종합대책을 발표하고 있다.(사진=연합뉴스)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202511/09/Edaily/20251109144251576naif.jpg" data-org-width="670" dmcf-mid="W6N3Sd4qDW" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202511/09/Edaily/20251109144251576naif.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 배경훈 부총리 겸 과학기술정보통신부 장관이 22일 서울 종로구 정부서울청사에서 열린 합동브리핑에서 범부처 정보보호 종합대책을 발표하고 있다.(사진=연합뉴스) </figcaption> </figure> <div contents-hash="52d8a37f5cdc2e4bf6076d633bd7ae55ea197546489b4206864b8c320b3ea17d" dmcf-pid="XtPSAK0HwS" dmcf-ptype="general"> 9일 정부와 업계에 따르면 최근 과학기술정보통신부는 현행 정보보호 공시 의무를 전체 상장사로 확대하기 위한 정보보호산업진흥법 개정안 마련에 착수했다. 이는 지난달 22일 발표된 범부처 정보보호 종합대책의 일환으로, 현재 666개 상장사가 대상인 공시 의무를 약 2700여개 전체 상장사로 확대하는 것이 골자다. 2016년 도입된 정보보호 공시는 보안 투자 활성화를 위해 기업의 정보보호 관련 투자·인력·인증·활동 현황을 공개하는 제도로, 2022년 매출 3000억원 이상 등 기업은 의무화됐다. </div> <p contents-hash="afb775461b4d1f04dd27e132adb6a86adfecdaa24261d0489ab1ec327b0336f8" dmcf-pid="ZFQvc9pXml" dmcf-ptype="general"><strong>정보보호 공시, 외국계 기업은 매년 ‘공란’ 제출</strong></p> <p contents-hash="0efb58d8a9cb6f0a5129d8fe3ce2bdc37c114324cbd9f770dba7c198d84e2fb7" dmcf-pid="5l7cM1Tssh" dmcf-ptype="general">문제는 해외 기업의 경우 공시 의무 대상이어도 매년 공란에 가까운 자료만 제출하고 있다는 점이다. 2025년 6월 기준 정보보호 공시에 따르면, 공시 의무 대상인 마이크로소프트(MS)·구글·메타·오라클 등 글로벌 빅테크의 한국법인들은 구체적인 정보보호 투자액과 인력 현황을 일체 공개하지 않고 있다. </p> <p contents-hash="36b223b4560603eeff888c4332db2a6e1f46b0a96787d3057cf972997b2a6570" dmcf-pid="1SzkRtyOIC" dmcf-ptype="general">외국계 기업은 국내법인을 설립해도 보안 조직과 시설이 해외에 있어 한국 내 정보보호 현황을 취합하기 어렵다는 게 공통적인 이유다. 일례로 구글은 “당사 투자는 글로벌 차원에서 이뤄진다”며 정보보호 투자액과 관련 인력을 밝히지 않았고, 메타도 같은 이유로 “해당 사항 없음”으로 자료를 제출했다. </p> <p contents-hash="b593d39470c7d81a4bd0de328d14b0d82bfd4ef8dc184be5de62a9064b385659" dmcf-pid="tvqEeFWIrI" dmcf-ptype="general">정부는 이번 공시 의무 확대를 해외 기업에도 똑같이 적용하겠다는 방침이지만, 정작 해외 기업들의 불성실한 공시를 개선시킬 방안은 요원하다.</p> <p contents-hash="ad790dccd7a1fdf29b9223d87cc9108309bbe35af505e7168b9328d9555be420" dmcf-pid="FTBDd3YCIO" dmcf-ptype="general">과기정통부 관계자는 “해외 기업의 정보보호 공시를 구체화하도록 제도 개선을 검토했으나, 한국 법인의 투자와 인력이 없는 부분까지 개입하긴 어렵다”며 “차선책으로 글로벌 본사 정보를 제출하게 한다 해도, 검증할 방법이 없어 실효성이 떨어진다는 판단”이라고 말했다.</p> <p contents-hash="4eac3b4a815741e406d82a1ec5da592fd4efd43508d3df906c0b4e756f7b893e" dmcf-pid="3ybwJ0Ghms" dmcf-ptype="general">실제 정부는 정보보호 공시 실효성을 강화하기 위해 한국인터넷진흥원(KISA)의 공시 심의·검증 절차 및 이에 따른 수정 공시를 이행하지 않을 시 최대 1000만원의 과태료를 부과할 수 있도록 2023년 법 개정까지 마쳤으나, 그동안 해외 기업을 대상으로 한 검증은 한 번도 진행되지 않았다. 본사가 외국에 있을 경우 심의를 위한 직접 파견이 현실적으로 어려워서다. 올해 기준 정보보호 공시 검증 관련 예산은 4.5억원에 불과해, 검증 대상을 대폭 확대하기에는 예산도 제한적이다.</p> <p contents-hash="8febd326d41a5666c1f8179cab570ba56a3ef068bc213df09630225ea91622a6" dmcf-pid="0WKripHlDm" dmcf-ptype="general"><strong>과징금 상향에도 해외기업 매출 축소 신고가 현실</strong></p> <p contents-hash="49e7065192a20d0adeacfac1fae5d072265e3d45c50af5b65c3ce6beb9c46d19" dmcf-pid="pY9mnUXSIr" dmcf-ptype="general">정부가 심사를 강화하겠다고 한 정보보호관리체계(ISMS) 인증 제도 역시 해외 기업 대상으로는 한계가 있다. 정보통신망법상 정보통신서비스 부문 매출액 100억원 이상 또는 일간활성이용자수(DAU)가 100만명 이상인 기업은 ISMS 인증을 의무적으로 받아야 하지만, 국내 법인 매출을 제대로 공개하지 않는 기업들이 많기 때문이다.</p> <p contents-hash="24d827d5f4c0ff113688554c3914df8bb4687fcd38f0a1efe27776715b4b3a9b" dmcf-pid="UG2sLuZvEw" dmcf-ptype="general">해외에 본사를 둔 글로벌 기업은 국내 법인에서 발생한 매출을 어떻게 분류하느냐에 따라 ISMS 인증 의무를 피해가는 경우가 적지 않다. 일례로 글로벌 여행 플랫폼 기업인 아고다의 국내 법인이자 전자지급결제대행사(PG)인 아고다페이먼트코리아는 2023년 기준 매출액이 486억원에 달했지만, 정보통신서비스 부문 매출은 100억원을 넘기지 않았다는 이유로 인증 대상에서 제외됐다.</p> <p contents-hash="6ea226b1fd4a6ea1f15729ef3c1260b7a2ad91d94a4fbc2f6557a79462a390e5" dmcf-pid="uHVOo75TED" dmcf-ptype="general">이처럼 글로벌 기업들의 부정확한 매출 구조는 정부가 추진하는 과징금 상향 등 정보보호 제재 강화 정책에 있어서도 사각지대를 만들 수 있다. </p> <p contents-hash="d7cd1d6be696f7bbee224c3580936585efb2bd8b1d81c41f752cacb350056d3a" dmcf-pid="7XfIgz1yIE" dmcf-ptype="general">범부처 정보보호 종합대책에 따르면, 정부는 현재 해킹 지연 신고나 반복적 정보 유출 등 보안 의무 위반에 대해선 과태료·과징금 상향, 이행강제금 및 징벌적 과징금 도입을 추진하고 있다. 그러나 해외 기업들은 국내 매출 일부를 해외 법인 매출로 이전하는 등 편법을 통해 매출 규모를 축소하는 경우도 있어 문제다. 보통 과징금 산정 기준이 매출액의 일정 퍼센트로 잡히기 때문이다.</p> <p contents-hash="fca33a17a1e4bd29a5d0b2feb07cef5316c8cc15ce66ea26656a31d55d0b7439" dmcf-pid="zVj0vJ8BEk" dmcf-ptype="general">예컨대 국내 데이터 트래픽 점유율이 네이버(4.9%)의 6배(31.2%)인 구글코리아의 지난해 신고 매출액은 3869억원으로 네이버(10조7377억원)의 28분의 1에 불과하며, 이에 따라 구글코리아가 납부한 법인세도 172억원에 그쳤다.</p> <p contents-hash="8055a1e305cca81591c40c81bb066b1c4145bc8228c77c35fcd0e1d8001a9334" dmcf-pid="qfApTi6bwc" dmcf-ptype="general">과기정통부 관계자는 “보안 사고에 대한 정부 직권조사 확대나 CEO 책임 및 CISO(최고정보보호책임자) 권한 강화 등 범부처 종합대책으로 추진하는 사안 모두 국내외 무관하게 적용된다”면서도 “해외 기업의 편법 문제는 다른 영역”이라고 말했다.</p> <p contents-hash="390a46ef9731460b310ab093bfcffc1952fd3d958f12e09e38beddb3bccfcf0f" dmcf-pid="B4cUynPKOA" dmcf-ptype="general">업계 관계자는 “정부가 법 개정으로 과징금을 상향한다 해도, 해외 기업은 매출 자체를 적게 신고할 경우 빠져나갈 구멍이 생긴다. 국내 기업이 역차별을 받는 셈”이라며 “법적 강제력 체감은 국내 기업이 훨씬 높을 수밖에 없다”고 지적했다.</p> <p contents-hash="f7e93c4dc64407138ef323ba1a04cf29e85176f8b682e0c735a17f1b51a9d62d" dmcf-pid="b8kuWLQ9sj" dmcf-ptype="general">권하영 (kwonhy@edaily.co.kr) </p> </section> </div> <p class="" data-translation="true">Copyright © 이데일리. 무단전재 및 재배포 금지.</p> 관련자료 이전 ‘불꽃야구’ 예측불허 대전에 유희관 VS 박찬호 조카, 현장 긴장감 ‘최고조’ 11-09 다음 [이준기의 과·알·세]AI가 설계하고, 로봇이 실험한다…‘실험실 자동화’ 대전환 물결 11-09 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
