정부가 정보보호 공시의 신뢰성을 높이기 위한 사후검증에 공식 착수했다. 과학기술정보통신부는 8월 8일 2025년도 정보보호 공시 기업 가운데 국민 생활과 밀접한 서비스를 제공하는 40개사를 선정해 8월부터 11월 말까지 약 3개월간 공시의 정확성을 점검한다고 밝혔다. 이번 점검은 8월 11일부터 공표되는 사안으로, 공시 제도의 실효성을 높이고 사회적 신뢰를 확보하는 데 초점을 맞춘다.
올해 공시는 의무공시 666개사와 자율공시 107개사 등 총 773개사가 참여했다. 정부와 KISA는 이 가운데 일일 평균 이용자 수 100만 명 이상이거나 기간통신사업자에 해당하는 기업을 중심으로 표본을 추출해 정보보호 투자와 인력 등 핵심 항목을 원자료 수준에서 대조한다. 검증은 회계·감리 전문성을 갖춘 ‘공시 검증단’이 수행하고, 결과는 별도의 외부 전문가 심의위원회에서 최종 판단한다. 중대한 오류가 적발되면 해당 기업은 전자공시시스템(isds.kisa.or.kr)에 정정공시와 사유서를 제출해야 하며, 검증 방해나 수정공시 미이행 시 최대 1천만 원의 과태료가 부과된다.
검증 대상에는 삼성전자, 네이버, 카카오, 쿠팡을 비롯해 SK텔레콤·KT·LG유플러스 등 통신 3사와 네이버클라우드, 우아한형제들, 지마켓, 티맵모빌리티, 넥슨코리아, 롯데쇼핑, 지에스리테일, 빗썸코리아, 안랩, 삼성에스디에스, LG전자, SK브로드밴드, LG CNS, 포스코DX, 메가존클라우드, LG헬로비전, 딜라이브, LS일렉트릭, SK텔링크, 드림라인, 한국케이블텔레콤, CMB 등 총 40개사가 포함됐다. 정부는 최근 SK텔레콤 침해사고를 계기로 KT, LG유플러스와 대형 온라인·플랫폼 사업자에 대한 긴급 현장 점검도 병행했으며, 현재까지 특이사항은 없다고 밝혔다.
이번 조치는 ‘공시를 위한 공시’를 넘어 실제 집행된 투자와 인력 운영이 공시 수치와 일치하는지를 따져 묻는 절차라는 점에서 의미가 크다. 기업 입장에서는 회계 정합성이 입증된 근거자료를 사전에 준비하는 것이 리스크를 줄이는 최선의 대응이다. 정보기술(IT)과 정보보호 부문별 투자액은 자산대장(감가상각비)과 비용원장(차변 금액), 전담 인건비로 구분해 집계하고, 인건비는 급여·상여·퇴직급여·4대보험 등 손익 항목과 대사해야 한다. 재고 변동이 있는 제조업의 경우 손익계산서의 매출원가와 시산표 제조원가가 불일치할 수 있어 ‘성격별 분류’를 통해 당기 제조원가를 재구성하는 절차가 요구된다.
투자 항목의 분류 기준도 명확하다. IT 측면에서는 정보처리시스템 구입·임차, 유지보수, 서비스 이용료, 외주용역비, 컨설팅 비용, 교육·훈련비, 통신회선 이용료 등이 포함되며, 정보보호 측면에서는 방화벽·암호화 등 보안시스템의 구입·임차와 유지보수, 보안 서비스 이용료, 보안 외주·컨설팅, 보안 교육·훈련비, 보안 관련 회선 이용료 등을 각각 계정과 증빙별로 분리해야 한다. 더불어 자산화된 급여는 감가상각비로 투자금액에 포함되므로 동일 인건비의 중복 계상 위험을 사전에 제거해야 하고, 급여성 복리후생비나 퇴직급여(DC·DB형)는 인별 원시데이터 또는 합리적 배부근거로 귀속을 검증해야 한다.
인력 통계는 연평균 기준으로 산정하되, 조직도와 업무기술서를 토대로 정보기술 인력과 정보보호 인력을 구분하고 겸업 인력의 분류 원칙을 명시해야 한다. 내부 인력 뿐 아니라 외주 용역 인력도 계약서와 원장 기록을 통해 월별 투입 공수와 비용의 적정성을 교차 검증해 누락이나 과대계상을 방지할 필요가 있다. 장기·단기 계약을 불문하고 공수 기준으로 포함하되, 정보기술과 정보보호가 혼재된 계약은 분리가 불가능한 경우 정보기술로 분류하는 보수적 기준을 적용하는 것이 권고된다.
2025년에는 사전점검 단계에서 ‘IT/보안 분류 항목을 키워드로 변환해 제출’하도록 요구하며, 필요 시 수정공시를 통해 정합성을 보완하는 절차를 도입했다. 이는 공시 데이터의 질을 높이고, 검증단이 핵심 포인트를 신속히 식별하도록 설계된 변화다. 또한 자율공시 기업에는 ISMS 인증심사 수수료 30% 할인, 공시 우수기업 선정 및 장관 표창, K-ESG 성과진단 연계 등 인센티브가 제공되어, 투명한 공시가 곧 비용 절감과 평판 자산 확대로 이어지는 선순환을 만든다.
실무 포인트는 분명하다. 첫째, 재무·보안·IT·구매가 참여하는 공시 협의체를 구성해 계정체계, 자산대장, 외주계약, 인력대장을 하나의 소스오브트루스로 묶어야 한다. 둘째, 비용원장과 시산표를 월별로 도식화하고, 회계 주석과 공시 항목 간의 연결고리를 명시적으로 맵핑해 검증단의 질문을 선제적으로 차단해야 한다. 셋째, 보안 투자와 인력 증감이 침해사고 대응력, 인증·점검 실적, 대외 협력(C-TAS, 모의훈련 참여 등)으로 이어진 사실을 주석에 서술해 정량·정성 지표의 연계를 보여줘야 한다. 넷째, 플랫폼·통신·커머스 등 DAU가 큰 업종은 외주 인력의 공수와 비용 간 합리성을 월 단위로 재확인해 분식 의혹 소지를 없애야 한다. 이러한 준비는 사후검증 리스크를 낮출 뿐 아니라, 내년 공시와 대외 평가까지 한 번에 대비하는 ‘보안-재무 통합 거버넌스’의 출발점이 된다.
정부는 올해 검증을 통해 얻은 시사점을 반영해 제도 고도화와 대상 확대를 예고했다. 공시가 기업의 부담으로만 작동하지 않도록, 공시 우수기업 가점과 ISMS 수수료 감면 등 보상 장치를 병행하는 정책 시그널도 유지된다. 결과적으로 필수 인프라를 제공하는 통신·클라우드 기업과 대규모 트래픽을 처리하는 플랫폼·커머스 기업은 보안투자의 투명성과 효율성을 동시에 증명해야 하는 국면에 들어섰다. 공시는 더 이상 ‘연례 보고’가 아니라, 고객 신뢰와 사업 연속성을 담보하는 경영 시스템이라는 점이 확인됐다.
댓글
0