전 상장사 정보보호 공시 의무화 대비, 지금 준비해야 하는 이유

STEP 1

현재 보안 운영 현황 진단

먼저 우리 회사가 어떤 정보보호 활동을 하고 있는지 확인해야 합니다. 보안 솔루션, 보안 담당자, 보안 정책, 교육, 점검, 사고 대응 이력을 한곳에 모아보는 단계입니다.

• 운영 중인 보안 솔루션 목록 정리
• 정보보호 담당자 및 역할 확인
• 보안 정책과 내부 규정 확인
• 최근 보안 점검, 교육, 사고 대응 이력 확인

STEP 2

내부정보 유출 경로 점검

기업의 중요정보는 대부분 임직원 PC에서 생성되고 이동합니다. 따라서 USB, 메일, 메신저, 웹 업로드, 출력물 등 실제 업무에서 발생하는 반출 경로를 점검해야 합니다.

• USB·외장하드 사용 현황 확인
• 외부 메일 첨부파일 반출 경로 확인
• 메신저와 클라우드 업로드 사용 현황 확인
• 출력물과 파일 반출 승인 절차 확인

STEP 3

증빙 가능한 로그와 리포트 체계 구축

정보보호 공시와 내부 감사 대응에서는 기록이 중요합니다. 누가, 언제, 어떤 파일을, 어떤 경로로 반출하려 했는지 확인할 수 있어야 합니다.

• 파일 반출 시도 로그 관리
• 보안 정책 적용 이력 관리
• 차단·승인·예외 처리 이력 관리
• 정기 리포트와 공시 참고 자료 정리

STEP 4

공시 항목별 자료 정리

마지막으로 정보보호 투자, 인력, 인증·점검, 정보보호 활동 항목별로 자료를 정리합니다. 이때 내부정보 유출 방지 활동과 DLP 운영 이력은 정보보호 활동을 설명하는 참고 자료가 될 수 있습니다.

• 정보보호 투자 비용 정리
• 정보보호 담당 인력 정리
• 인증, 점검, 교육 이력 정리
• DLP 운영 내역과 내부정보 유출 방지 활동 정리

1) 내부정보 유출 방지 체계 구축

USB, 외장하드, 메일 첨부, 메신저 전송, 웹 업로드, 출력물 등 다양한 반출 경로를 관리해 내부정보 유출 방지 체계 구축에 활용할 수 있습니다.

2) 반출 이력과 보안 로그 관리

누가, 언제, 어떤 경로로 파일을 반출하려 했는지 확인할 수 있는 로그는 내부 점검, 사고 대응, 공시 자료 준비 과정에서 참고 자료가 될 수 있습니다.

3) 업무 예외와 승인 기반 운영

정보보호는 무조건 차단만으로 운영하기 어렵습니다. 업무상 필요한 파일 반출은 승인 기반으로 관리하고, 불필요한 반출은 통제하는 방식이 필요합니다.

4) 소규모 조직도 시작할 수 있는 도입 구조

코스닥 상장사 중에는 보안 전담 인력이 적거나 일부 부서부터 보안 체계를 시작해야 하는 기업도 있습니다. 오피스키퍼는 1PC부터 도입이 가능해, 전사 확대 전 핵심 부서나 중요정보 취급 PC부터 단계적으로 내부정보 유출 방지 체계를 점검할 수 있습니다.

Q1. 정보보호 공시는 언제까지 제출해야 하나요?

정보보호 공시는 일반적으로 매년 정해진 기한 내 정보보호 공시 종합포털에 제출하는 방식으로 운영됩니다. 의무공시 기업은 제출 기한과 작성 기준을 사전에 확인하고, 필요한 자료를 미리 준비해야 합니다.

Q2. 전 상장사가 모두 정보보호 공시 대상인가요?

현재 공식 제도 기준으로는 일정 요건을 충족한 기업이 정보보호 공시 의무 대상에 포함됩니다. 다만 전 상장사로 확대되는 방향이 안내되고 있어, 코스피·코스닥 상장사는 매출 규모와 관계없이 사전 준비를 검토할 필요가 있습니다.

Q3. 정보보호 공시를 위해 DLP 솔루션이 꼭 필요한가요?

DLP 솔루션 자체가 모든 기업에 법적으로 의무인 것은 아닙니다. 다만 내부정보 유출 방지 활동, 파일 반출 통제, 로그 관리 등 증빙 가능한 운영 체계가 필요하다면 DLP 솔루션을 검토할 수 있습니다.

Q4. 코스닥 상장사 중 규모가 작은 기업도 정보보호 공시를 준비해야 하나요?

코스닥 상장사 중에는 임직원 수가 많지 않거나 보안 전담 조직이 작은 기업도 많습니다. 하지만 정보보호 공시 대상이 확대되는 흐름에서는 기업 규모와 관계없이 정보보호 투자, 담당 인력, 보안 활동, 내부정보 유출 방지 체계를 설명할 수 있어야 합니다. 따라서 소규모 상장사도 현재 보안 운영 현황과 증빙 자료 관리 체계를 미리 점검하는 것이 좋습니다.

Q5. 보안 담당자가 적은 회사도 DLP를 운영할 수 있나요?

가능합니다. 중요한 것은 처음부터 복잡한 정책을 모두 적용하는 것이 아니라, 회사의 중요정보와 반출 경로를 기준으로 우선순위를 정하는 것입니다. 예를 들어 USB 사용 통제, 외부 메일 첨부파일 관리, 웹 업로드 차단, 출력물 보안처럼 유출 가능성이 높은 경로부터 단계적으로 관리할 수 있습니다.

Q6. 오피스키퍼는 몇 대의 PC부터 도입할 수 있나요?

오피스키퍼는 1PC부터 도입이 가능합니다. 따라서 전사 도입이 부담스러운 기업도 중요정보를 취급하는 PC, 경영지원 부서, 연구개발 부서, 외부 파일 반출이 잦은 부서부터 단계적으로 시작할 수 있습니다. 특히 소규모 코스닥 상장사나 보안 전담 인력이 부족한 기업은 필요한 범위부터 내부정보 유출 방지 체계를 구축하는 방식으로 검토할 수 있습니다.

Q7. 일부 부서에만 먼저 DLP를 적용해도 괜찮나요?

회사 상황에 따라 일부 부서부터 시작하는 방식도 가능합니다. 고객정보, 계약서, 견적서, 도면, 소스코드, 인사·재무자료처럼 민감한 정보를 다루는 부서에 먼저 적용하면 내부정보 유출 위험이 큰 영역부터 관리할 수 있습니다. 이후 운영 결과와 로그를 확인하면서 적용 범위를 넓히는 방식이 현실적입니다.