핵심 요약
- 외부 해킹 사고에도 CISO·CPO가 정직·면직·5년 취업제한까지 받을 수 있는 현행 체계가 도마 위에 올랐다.
- 유럽은 DPO(개인정보보호책임자) 신분 보장 강화 추세; 국내는 2023년 CPO 형사처벌 조항을 폐지하고 기업 과징금으로 전환했다.
- AI 등장으로 취약점 악용 공격 주기가 1주일 → 24시간으로 급감, ‘완벽 방어’는 더 이상 현실적 기준이 아니다.
- 전문가들은 처벌 중심이 아닌 빠른 회복 지원 체계로의 전환을 촉구한다.
- 처벌 압박이 계속되면 보안 책임자 자리가 기피 직군으로 전락해 인재 공백이 심화될 수 있다.
해킹 당해도 ‘내 커리어가 날아간다’
SKT 유심 해킹 사태(미토스 충격) 이후 ‘회복 탄력성’이 보안 업계 화두로 떠올랐다. 그런데 사고 수습에 매달려야 할 보안 담당자들은 동시에 다른 싸움을 하고 있다. 처벌이다.
금융권에서는 특히 인적제재 강도가 높다. 전자금융거래법·지배구조법 등에 따르면 해킹 사고로 고객정보가 유출된 금융사의 CISO·CPO는 정직, 면직, 5년간 금융권 취업제한까지 받을 수 있다. 내부 횡령·비리가 아닌 ‘외부 공격을 막지 못한 실수’인데도 같은 수위의 제재가 적용된다.
12일 보안 업계에 따르면 지난해 통신·금융·유통 분야 대형 해킹 사고에 대한 금융당국·개인정보보호위원회의 제재 논의가 진행 중이다. 사고 기업들 사이에서는 긴장감이 감돈다.
유럽은 DPO 신분 보장, 한국은?
글로벌 흐름은 반대 방향이다. EU는 GDPR 체계 아래 DPO의 신분 보장을 강화하는 방향으로 움직인다. 담당자에게 책임을 집중시키기보다 조직 전체의 책임으로 분산시키는 구조다.
국내도 변화가 전혀 없는 건 아니다. 개인정보보호법에는 과거 CPO에 대한 형사처벌 조항이 있었다. 이 조항은 논란 끝에 2023년 폐지됐다. 대신 기업 전체에 매출의 최대 3%까지 과징금을 부과할 수 있도록 했다. 사고 책임을 개인이 아닌 조직 단위로 보겠다는 취지다.
한 보안 전문 변호사는 “해킹을 완벽히 막을 수 있다는 생각 자체가 허상이란 인식이 확산되면서, 막지 못했다고 개인을 가혹하게 처벌하는 대응은 시대에 맞지 않는다는 인식도 생기고 있다"고 말했다.
AI가 공격 속도를 바꿨다
핵심은 AI의 등장이 공격 생태계를 근본적으로 바꿨다는 점이다. 미토스(MITRE ATLAS 등재 AI 위협)가 보여주듯, AI는 취약점을 탐지하고 익스플로잇을 생성하는 속도를 비약적으로 높인다. 과거엔 취약점 악용 공격까지 1주일이 걸렸다면 이제는 24시간 내로 줄어들었다.
현존 패치 주기와 탐지 체계로는 이 속도를 따라잡기 어렵다. 사고 자체를 ‘있어서는 안 될 실패’로 보는 처벌 문화는 이 현실과 충돌한다.
한 대기업 CISO는 “방어 실패의 원인은 예산 한계, 인력 부족, 연계 부서 비협조 등 복합적"이라며 “악의적 목적이 없는 사고에 대해 담당자의 생계와 커리어를 위태롭게 하는 것은 지나치고, 이런 상황이 계속되면 보안 책임자 자리는 기피 대상이 될 수밖에 없다"고 말했다.
실무자가 볼 핵심 포인트
| 구분 | 내용 |
|---|---|
| 현행 리스크 | 외부 해킹 실패 시 CISO·CPO 정직·면직·5년 취업제한 가능 |
| 법 변화 | CPO 형사처벌 조항 2023년 폐지 → 기업 과징금(매출 3%)으로 전환 |
| 글로벌 기준 | EU, DPO 신분 보장 강화 / 조직 책임 분산 방향 |
| AI 변수 | 공격 주기 1주일 → 24시간으로 단축, 완벽 방어 기준 자체가 비현실적 |
| 구조 개선 방향 | 처벌 중심 → 빠른 회복 지원 체계로 전환 필요 |
보안 사고를 당한 기업이 제재 압박을 받는 동시에 빠른 회복도 해야 하는 구조적 딜레마, AI 위협이 현실화될수록 이 문제는 더 선명해질 것이다.
원문: AI 위협 현실되는데… 보안 담당자는 ‘처벌 대응’에 밤샌다 — 강현주 기자, 보안뉴스 (2026.05.12)