[서정태의 ESG현장클리닉⑥] 정보보안은 중소·중견기업의 핵심 경영과제다

ISO/IEC 27001 정보보안경영시스템은 기업의 존립을 좌우하는 핵심 자산으로 더 이상 전산실 서버나 튼튼한 금고 안에만 머물지 않는다. 거래처 납품 단가 견적서, 핵심 제조 공정 노하우, 신제품 설계 도면, 임직원과 고객의 개인정보, 일상적으로 오가는 메일과 클라우드 속의 문서까지 눈에 보이지 않는 수많은 정보가 기업의 중요한 무형자산이다.

만약 이러한 정보가 단 한 번이라도 유출되거나 랜섬웨어에 감염되어 시스템이 멈춘다면, 단순한 복구 비용을 넘어 수십 년간 쌓아온 거래처와의 신뢰와 사업의 연속성이 위협받을 수 있다.

많은 중소기업 경영진이 "우리 같은 작은 회사를 굳이 해커가 노리겠는가"라고 방심하지만 중소기업도 사이버 공격의 주요 대상이 될 수 있다. 최근 사이버 공격에서는 보안이 상대적으로 취약한 협력업체를 먼저 공격한 뒤, 연결된 원청기업의 시스템이나 정보를 노리는 공급망 공격(Supply Chain Attack)도 중요한 보안 위협으로 부상하고 있다.

특히 대기업보다 보안 전담 인력과 자원이 부족한 중소·중견기업은 직원의 사소한 이메일 링크 클릭 한 번이나 퇴사자 계정 방치 같은 작은 틈만으로도 회사 전체가 멈춰 서는 심각한 피해를 입을 수 있다.

이러한 위험을 체계적으로 관리하기 위한 실질적 해법이 바로 국제표준인 ISO/IEC 27001 정보보안경영시스템이다. ISO/IEC 27001은 단순히 고가의 보안 솔루션이나 방화벽 장비를 사서 설치하는 것만으로 해결되는 문제가 아니다.

우리 조직의 정보자산이 무엇이고 어떤 정보보안 위험에 노출되어 있는지를 파악하여, 그에 맞는 현실적인 통제 수단을 마련하고 이를 전사적 업무 프로세스와 최고경영진의 리더십을 통해 일상적인 경영활동에 정착시키는 관리체계다.

실무 현장에서 중소기업이 이를 효과적으로 구축하려면 무엇보다 현장 중심의 접근이 필요하다. 첫 단추는 고가 장비 도입이 아니라, 흩어져 방치된 핵심 자료와 외부 공유 현황을 파악하고 목록으로 관리하는 것이다.

이후 모든 위협을 한꺼번에 막을 수 없으므로 피해가 가장 큰 위험요인부터 우선순위를 정해 한정된 인력과 예산을 집중 배분해야 한다. 

동시에 서랍 속 규정집이 아닌, 입사 시 업무에 필요한 접근권한 부여, 퇴사 시 계정과 접근권한의 신속한 회수, 외주업체 자료 제공 승인 등 일상 업무에서 실천 가능한 명확한 행동 수칙을 세워야 한다.

보안의 중요한 방어선 중 하나는 결국 사람이므로, 피싱 메일 대응과 이상 징후 신고 요령을 체계화하는 임직원 교육도 필수적이다. 나아가 일회성 도입에 그치지 않고 정기적인 내부 점검과 경영진 검토를 통해 미비점을 지속적으로 보완하고, 필요한 경우 공인된 인증기관의 제3자 심사를 통해 정보보안 관리체계의 신뢰성을 대외적으로 입증할 수 있다.

중소·중견기업이 ISO/IEC 27001 정보보안경영시스템을 구축하는 것은 단순한 대외 홍보용 명판을 얻기 위함이 아니다. 오늘날 일부 글로벌 원청기업과 대기업은 납품 계약과 입찰 과정에서 협력사의 객관적인 보안 관리 역량을 요구하고 있다. 아무리 뛰어난 기술력을 가졌더라도 보안 체계가 부실하면 글로벌 공급망 진입과 거래 유지에 불이익을 받을 수 있다. 

결국 ISO/IEC 27001 정보보안경영시스템은 불필요한 규제나 일회성 비용이 아니라, 기업의 소중한 지식재산을 지키고 공급망 내에서 거래 신뢰를 입증하는 중요한 경영수단이자 지속가능한 성장 전략이다. 정보보안을 전산 담당자 개인의 몫으로 남겨두지 않고 최고경영진의 핵심 경영과제로 삼을 때, 기업은 글로벌 공급망 재편 속에서 지속가능한 경쟁력을 확보할 수 있을 것이다.

덧붙이는 글 / 서정태 (기업전략연구원 대표) 

기업전략연구원 대표이자 경영지도사·기술지도사로, 중소·중견기업의 ESG 경영과 글로벌 공급망 평가 대응, 경영시스템 구축 분야에서 활동하고 있다. 한국산업인력공단 대한민국산업현장교수로 활동하고 있으며, 중소벤처기업부 제조혁신바우처 ESG 컨설팅을 비롯해 ESG 진단·전략 수립, EcoVadis·RBA 평가 대응, 지속가능경영보고서 작성 및 검증 등의 업무를 수행해왔다. AA1000 국제검증심사원 및 ISO 경영시스템 인증심사원으로도 활동하고 있다. 

저서로 『중소기업의 전략적 CSR 경영실무』 등이 있으며, 「중소기업의 ESG 경영이 소비자의 구매의도에 미치는 영향」 등 ESG와 중소기업 경영에 관한 연구를 발표했다.