해킹사고, 법률·규제·기술 '삼각편대'로 원스톱 대응…화우 정보보호센터[Invest&Law]

화우, 국내 로펌 최초 '정보보호센터' 출범
개정 개인정보보호법 시행 맞춰
선제적 보안 거버넌스 구축 지원
AI·양자암호 등 차세대 위협 대응 주도

"이제 정보보호 이슈는 단순한 개인정보 자문에 그치지 않습니다. 사고가 터지면 법률 검토와 규제 대응, 기술 분석이 동시에 돌아가야 합니다."

법무법인 화우의 이광욱 변호사(왼쪽부터)와 이수경 변호사, 이근우 변호사, 지재원 연구위원이 포즈를 취하고 있다. 윤동주 기자

29일 법무법인 화우 정보보호센터장인 이근우 변호사는 아시아경제와의 인터뷰에서 센터의 역할을 이렇게 설명했다. 화우는 2021년 9월 국내 로펌 가운데 처음으로 '정보보호센터'를 출범시켰다. 개인정보보호법 개정으로 관련 규제가 개인정보보호위원회를 중심으로 재편되고, 해킹·유출 사고 대응이 법률 자문을 넘어 기술 분석과 포렌식, 규제기관 조사 대응까지 확장되는 흐름에 맞춰 조직을 선제적으로 꾸린 것이다.

화우 정보보호센터는 법률·규제·기술 분야 전문가 30여명이 소속된 전문 조직으로, 기업의 핵심 자산인 영업비밀과 국가핵심기술 등 보다 넓은 범위의 자산을 아우른다. 신사업그룹장인 이광욱 변호사는 "기업의 프라이버시뿐만 아니라 해외 규제기관 조사 및 글로벌 분쟁까지 대비해 통합 대응하는 것이 최근의 추세"라며 "화우는 내부 디스커버리센터와 디지털포렌식센터를 유기적으로 연계해 법률·규제·기술 대응을 원스톱으로 처리하는 구조를 갖췄다"고 밝혔다.

센터는 사고가 발생하면 세 갈래로 동시에 움직인다. 법률대응팀이 사고의 법적 성격과 신고 의무, 침해 여부를 판단하면 규제대응팀은 개보위·과학기술정보통신부·방송통신위원회 등 각 기관별 신고와 조사 확대 가능성까지 고려해 초기 대응 방향을 조율한다. 기술대응팀은 현장 투입과 원인 분석, 확산 방지 조치를 맡는다.

최근 기업들의 문의도 더욱 고도화되고 있다. 오는 9월 시행되는 개정 개인정보보호법에 따라 대표자 책임 명시, CPO(개인정보보호책임자) 이사회 의결 및 신고 의무화 등 사전에 준비해야 할 과제가 많기 때문이다. 방송통신위원회 서기관을 지낸 이수경 변호사는 "해킹 사고가 나면 개인정보보호법만 볼 게 아니라 정보통신망법상 과기정통부 신고 대상인지까지 함께 봐야 한다"며 "정보보호 전체를 통합적으로 보는 체계가 필요하다"고 했다.

센터는 기업이 미처 파악하지 못한 사각지대가 대규모 해킹의 통로가 되는 만큼, 매년 정기적인 보안 인증이나 점검을 마쳤다고 안심해선 안 된다고 경고했다. 이글루코퍼레이션 출신 지재원 연구위원은 "최근 사고는 외부와 내부망을 잇는 접점, 특히 원격근무 환경에서 열어둔 연결 고리에서 많이 발생했다"며 "이제는 기존 점검만으로는 부족하고 해커 관점의 '레드팀' 방식 점검이 중요해지고 있다"고 전했다.

법무법인 화우의 이광욱 변호사(왼쪽부터)와 이수경 변호사, 이근우 변호사, 지재원 연구위원이 아시아경제와 인터뷰를 하고 있다. 윤동주 기자

센터의 강점으로는 실질적인 협업 체계가 꼽힌다. 행정소송은 서울행정법원 출신 판사, 민사소송은 송무그룹, 조사 대응은 규제 대응 인력이 함께 붙고 기술 분석이 필요하면 글로벌 보안기업 팔로알토, 이글루코퍼레이션 등과도 협업 체계를 구축하고 있다. 화우는 ISO 27001 인증도 획득·갱신하며 로펌 내부 보안 체계까지 강화해왔다. 이 변호사는 "기업에 정보보호를 조언하는 입장이라면 우리 스스로도 같은 기준을 충족해야 한다"며 "정보보호센터는 사건이 생긴 뒤 대응하는 조직이 아니라, 규제 변화와 새로운 기술 리스크를 먼저 읽고 준비하는 조직"이라고 강조했다.

화우는 향후 인공지능(AI) 보안과 위치정보, 양자내성암호 등 새로운 규제·기술 영역에서도 정보보호 이슈가 빠르게 커질 것으로 보고 있다. 센터 역시 사고 대응을 넘어 기업들이 사전에 리스크를 관리할 수 있도록 지원 범위를 넓혀갈 계획이다.

염다연 기자 allsalt@asiae.co.kr