정보보호 의무공시 제도: 투자·인력·인증을 공개하는 기준과 준비
정보보호 의무공시의 대상 기준, 투자·인력·인증 공시 항목, 미이행 제재와 기업 준비 체계를 정리한다.
2026-08-14 · 최초 발행 2025-06-28
보안 투자 현황을 공개하는 제도
정보보호 의무공시는 일정 규모 이상의 기업과 기관이 정보보호 투자 현황 및 활동 내역을 공개하도록 하는 제도다. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제45조의3을 근거로 2016년부터 시행됐다.
이 제도는 정보통신서비스 제공자의 정보보호 투자를 유도하고, 서비스 이용자가 보안 수준을 판단할 수 있도록 하는 데 목적이 있다. 주요 정보통신 인프라를 운영하는 조직이 보안에 어떤 자원을 투입하는지 투명하게 드러내는 장치이기도 하다.
공시 대상이 되는 사업자 기준
정보통신서비스 제공자 가운데 다음 조건 중 하나 이상에 해당하면 의무공시 대상이 된다.
사업 분야 기준에는 ISP, IDC, 상급종합병원처럼 주요 정보통신 인프라를 운영하는 기업과 기관이 포함된다. 연간 매출액 3,000억 원 이상인 기업도 대상이 될 수 있으며, 전년도 직전 3개월을 기준으로 일일평균 이용자 수가 100만 명 이상인 사업자 역시 해당한다.
대표적인 업종과 조직으로는 KT, SKT, LG유플러스 등의 ISP, 네이버·카카오·NHN 등의 대형 데이터센터 운영 기업, 서울대병원·세브란스병원 등의 상급종합병원이 있다. 대형 포털, 게임사, 전자상거래 기업도 대상 범주에 포함될 수 있다.
투자부터 침해사고 대응까지 공개하는 항목
공시는 보안 예산만 제시하는 문서가 아니다. 조직이 보안에 얼마나 투자하고 있으며, 이를 담당할 인력과 관리체계를 어떻게 갖추고 있는지를 함께 보여준다.
정보보호 투자 현황에는 전체 매출액 대비 정보보호 투자 비율과 기술적·물리적·관리적 보안 조치별 투자 내역이 들어간다. 인력 현황에서는 정보보호 전담 인력의 수와 비율, CISO(정보보호최고책임자) 지정 여부를 확인한다.
인증 영역은 ISMS 인증 취득 여부와 ISMS-P, ISO 27001 등 국내외 정보보호 인증 현황을 다룬다. 임직원 대상 정보보호 교육 및 인식 제고 활동도 공시 대상이며, 침해사고 대응 조직과 절차, 대응 훈련 및 모의훈련 실적 역시 함께 제시한다.
제출과 공개가 이어지는 과정
공시는 매년 회계연도 종료 후 3개월 이내에 해야 하며, 일반적으로 3월 말까지 진행된다. 기업은 자사 홈페이지에 내용을 공개하고, 한국인터넷진흥원(KISA)에 제출하며, KISA의 정보보호 공시 사이트에도 게재한다.
공시가 만드는 변화
기업에는 정보보호 예산을 확보하는 근거가 생기고, 보안 활동을 투명하게 보여 줌으로써 고객 신뢰도를 높일 수 있다. 정기적인 공시 준비 과정은 임원진의 보안 인식을 높이고, 정보보호 관리체계를 점검하는 계기가 된다.
이용자는 기업별 보안 투자 현황을 비교해 서비스를 선택할 수 있으며, 자신의 정보를 위탁하는 기업의 보안 수준을 확인할 수 있다. 기업 간 보안 경쟁이 촉진되면 전반적인 보안 수준을 간접적으로 끌어올리는 효과도 기대할 수 있다.
국가와 산업 측면에서는 기업의 정보보호 투자 증가가 관련 산업의 성장으로 이어질 수 있다. 주요 인프라 운영 기업의 보안 수준을 높이고, 정보보호의 중요성에 대한 사회적 인식을 확산하는 기반이 된다.
공시 수준에서 드러나는 차이
기업 유형별 공시 현황은 투자와 인력 비중, 보유 인증에서 차이를 보인다.
| 기업 유형 | 매출 대비 투자 비율 | 정보보호 인력 비율 | 주요 인증 현황 |
|---|---|---|---|
| 대형 포털 | 평균 3~5% | 전체 직원의 5~7% | ISMS-P, ISO 27001 |
| 통신사 | 평균 2~4% | 전체 직원의 3~5% | ISMS, ISO 27001 |
| 상급종합병원 | 평균 1~3% | 전체 직원의 1~2% | ISMS, 의료기관 보안 인증 |
네이버는 매출 대비 약 5%의 정보보호 투자율과 보안 백서 발간 사례가 제시된다. KB국민은행은 금융 정보보호를 위한 전문 인력 확충과 지속적 투자 공시를, 서울대병원은 의료정보 보호를 위한 관리체계 구축 및 공시를 사례로 볼 수 있다.
형식적인 공시는 구체적인 투자 내역 없이 대략적인 수치만 공개하는 형태로 나타난다. 홈페이지에서 찾기 어려운 위치에 게시하거나 법정 기한을 넘겨 공시하는 경우, 필수 항목 일부가 빠진 경우도 개선 대상이다.
미이행에 따른 제재와 부담
공시 의무를 위반하면 3,000만 원 이하의 과태료가 부과될 수 있다. 미공시 또는 허위공시에 대해서는 시정명령이 내려질 수 있으며, 위반이 지속되면 추가 제재 가능성도 있다.
법적 제재 외의 부담도 있다. 의무 불이행은 기업 이미지와 신뢰도를 떨어뜨릴 수 있고, 정부 및 민간의 정보보호 관련 평가에서 감점 요인이 될 수 있다. 보안에 대한 불신이 커지면 고객 이탈 가능성도 커진다.
확대와 고도화가 예상되는 영역
의무공시 대상은 중견기업과 공공기관으로 확대되는 추세이며, 금융·의료·교육처럼 개인정보를 많이 취급하는 분야로도 확대될 것으로 예상된다. 중소기업을 위한 자율공시 제도의 활성화도 전망된다.
공시 항목은 개인정보 보호, 사이버 위협 대응 역량, 클라우드와 AI 등 신기술 보안 대응으로 범위가 넓어질 수 있다. EU GDPR, 미국 SEC 사이버보안 공시 규정 등과의 연계가 거론되고 있으며, 글로벌 스탠다드에 맞춘 공시 체계와 다국적 기업의 일관된 공시 요구도 증가할 것으로 보인다.
공시 준비를 운영 체계로 만드는 방법
공시 업무를 일회성 문서 작업으로 다루면 투자 내역과 인력 현황을 마감 직전에 취합해야 한다. 정보보호 공시 전담 인력과 조직을 구성하고, 투자·인력 데이터를 지속적으로 관리하며, 회계연도 종료 후의 준비 일정을 미리 수립할 필요가 있다.
공시 내용은 구체적이고 상세하게 공개할수록 신뢰도 제고에 도움이 된다. 이해관계자의 피드백을 수렴하고, 매년 공시 내용과 공개 방식을 개선하는 흐름도 필요하다.
공시 자료는 외부 공개에만 쓰이지 않는다. 우수한 정보보호 투자를 경쟁력으로 활용할 수 있고, 취약 영역을 찾는 내부 개선 지표가 될 수 있다. 다른 기업의 공시와 비교하면 조직의 보안 목표를 설정하는 벤치마킹 자료로도 활용할 수 있다.
정보보호 의무공시는 ISP, IDC, 상급종합병원처럼 정보통신 인프라의 핵심을 담당하는 조직이 보안 투명성을 확보하는 수단이다. 매출 3,000억 원 이상 또는 일일 이용자 100만 명 이상을 보유한 기업은 투자, 인력, 인증을 공개하며 이용자 신뢰와 정보보호 생태계 발전에 기여할 수 있다.