[비즈니스포스트] 기업의 개인정보 유출 사고에 대한 책임을 대폭 강화하는 개정 개인정보보호법 시행이 한 달 앞으로 다가오면서 SK텔레콤, KT, LG유플러스 등 이동통신 3사의 보안 경영에도 한층 속도가 붙을 것으로 보인다.

최근 통신사의 개인정보 유출과 침해사고가 반복돼 온 데다 인공지능(AI) 발달로 해킹 수법이 더욱 고도화될 가능성도 커지고 있어 보안 조직과 시스템 정비, 선제적 투자를 확대해야 할 필요성이 커지고 있다.

개정 개인정보보호법 시행으로 제재 수위와 최고경영자(CEO)의 책임이 함께 높아지는 만큼, 정보보호는 비용이 드는 지원업무를 넘어 가입자 신뢰와 기업가치를 지키는 핵심 경영 경쟁력으로 자리잡을 것으로 전망된다.

11일 통신업계 취재를 종합하면 이동통신 3사는 정보보호 조직과 보안 시스템을 재정비하고, 중장기 투자계획을 마련하는 등 사후 대응에서 사전 예방 중심으로 보안체계를 전환하고 있다.

이 같은 기업들의 움직임은 개인정보보호법 개정으로 보안 사고 발생 때 기업이 감당해야 할 부담이 커지는 데다, 개인정보 보호에 대한 CEO의 관리·감독 책임도 한층 강화되기 때문으로 분석된다.

개정 개인정보보호법이 오는 9월11일부터 시행되면 최근 3년 동안 고의 또는 중대한 과실로 법 위반을 반복하거나 고의·중과실로 1천만 명 이상의 대규모 피해를 일으킨 기업에는 전체 매출의 최대 10%까지 과징금을 부과할 수 있다. 기존 상한은 전체 매출의 3%였다.

과징금 산정 기준도 강화됐다. 개인정보보호위원회는 직전 사업연도 매출과 직전 3개 사업연도 평균 매출 가운데 높은 금액을 기준으로 과징금을 산정하도록 제도를 바꿨다.

특히 개정법은 개인정보 보호를 보안 담당 조직만의 문제가 아니라 CEO가 직접 챙겨야 하는 경영 책임 영역으로 끌어올렸다.

개정법은 CEO를 개인정보 처리와 보호의 최종책임자로 규정하고 관리·감독 의무를 명확하게 부여했다.

개인정보보호책임자(CPO)가 개인정보 보호에 필요한 전문인력을 관리하고 관련 예산을 확보하도록 의무화했으며, 개인정보 보호와 관련된 주요 사항을 CEO와 이사회에 직접 보고하도록 했다. 

개인정보 보호 투자의 규모와 인력 배치, 관리체계가 CEO와 이사회의 직접적 감독 대상이 되는 셈이다.

이에 따라 개인정보 보호가 사고 발생 뒤 사내 보안 조직이 수습하는 업무를 넘어 CEO가 투자와 조직, 내부통제 체계를 지속적으로 점검해야 하는 경영 현안으로 바뀔 것으로 전망된다.

기업의 사전 예방 투자도 중요해진다. 개정법은 개인정보 보호 관련 예산과 인력, 설비·장치 등에 투자하고 이를 운영한 기업에 과징금을 의무적으로 감경하도록 했다. 

선제적 보안 투자가 사고 발생 가능성을 낮추는 것뿐 아니라, 사고가 발생했을 때 기업이 부담하는 제재 수준에도 영향을 미치게 된 셈이다.
  정재헌 SK텔레콤 사장은 2025년 대규모 유심(USIM) 개인정보 유출사고 이후 정보보호 체계를 대대적으로 손질하고 있다.

SK텔레콤은 2029년까지 5년 동안 정보보호에 약 7천억 원을 투자해 보안 아키텍처와 운영·대응 역량, 고객 보호체계를 강화하고 관련 전문인력도 확대한다.

정보보호최고책임자(CISO) 체계를 CEO 직속으로 두고 통합보안센터를 전사 보안 컨트롤타워로 운영하고 있다. CISO가 주요 보안 현안을 경영진과 이사회에 직접 보고하도록 하고, 공격자 관점에서 방어체계를 검증하는 모의해킹 전담조직 ‘레드팀’도 운영한다.

기술 측면에서는 모든 접근을 지속적으로 검증하는 '제로 트러스트' 원칙을 적용해 보안체계를 재설계하고 있다. 시스템과 네트워크 접근 권한을 세분화해 공격 확산을 막고 인공지능(AI)을 활용한 보안 취약점 진단과 보안관제, 위협 탐지·분석 자동화도 확대한다.

이 같은 계획을 구체적 실행과제로 옮기고 있다. SK텔레콤은 거버넌스·문화와 정보보호 아키텍처·기술, 개인정보보호 등 3개 영역에서 모두 257개의 정보보호 혁신과제를 추진하고 있으며 2026년 6월 기준 171개를 완료했다.

박윤영 KT 사장도 대규모 투자를 앞세워 예방형 보안체계 구축에 나섰다.

박 사장은 지난 7월 취임 100일을 맞아 앞으로 3년 동안 정보보호 분야에 4조 원 이상을 투자한다는 청사진을 제시했다.

제로 트러스트 기반 보안체계를 도입하고, 네트워크와 IT로 분산돼 있던 보안 운영도 통합한다. CISO와 CPO를 분리하고, 외부 전문가를 영입하는 한편 정보보안 인력도 2배로 확대한다.

단말과 네트워크에서 발생하는 이상행위와 공격 징후를 실시간으로 탐지하는 시스템을 확대하고, 해킹으로 내부 시스템 일부가 뚫리더라도 피해가 다른 시스템으로 번지지 않도록 접근 범위를 세분화하는 보안체계도 강화하고 있다.

홍범식 LG유플러스 사장도 사후 대응 중심의 보안체계를 선제 대응 방식으로 전환하고 있다.

LG유플러스는 앞으로 5년 동안 정보보호 분야에 7천억 원을 투자한다. 정보보안센터를 전사 보안 컨트롤타워로 두고 정보보안과 개인정보보호 업무도 통합 관리하고 있다.

2027년까지 전사 제로 트러스트 아키텍처 전환을 목표로 모든 사용자와 단말의 접근을 지속적으로 검증하고, 이상행위가 탐지되면 접근을 차단하는 방식으로 보안 수준을 높이고 있다.

AI를 활용한 위협 예측과 이상행위 분석, 자동 대응 기능도 고도화해 장기적으로 AI 기반 보안관제센터(SOC) 체제로 전환한다는 계획을 세웠다.

8월에는 운영형 보안 서비스(MDR) 전문기업 파고네트웍스를 인수해 위협 탐지·대응 역량을 보강하고, 보안운영 플랫폼 ‘딥액트’를 활용한 선제 대응력을 높이고 있다.

익명을 요구한 통신업계 한 관계자는 비즈니스포스트에 “개정 개인정보보호법은 기업의 사전 투자를 늘리고 예방체계를 강화하려는 취지를 담고 있다”며 “관련 의무가 구체화되면 기업들도 정보보호 투자와 사전 예방체계 구축에 더욱 속도를 낼 것”이라고 말했다. 조승리 기자