“진상 조사로 시간 끌고 문서화하지 말라” 보안 사고에 대한 변호사 조언이 위험한 이유

변호사와 C레벨 임원의 역할을 기본적으로 같다. 기업에 피해를 주려는 악당으로부터 기업을 보호하는 것이다. 하지만 때때로 이 둘은 정반대 방식으로 접근해, 협업하는 대신 서로 갈등을 빚는다. 최근 에든버러대학과 인스부르크대학, 터프트대학, 미네소타대학 등이 이런 갈등이 얼마나 첨예한지 흥미로운 보고서를 내놓았다. 
 

보고서에 따르면, 사이버 보험사는 소수의 사고 대응 업체에 일을 맡기는 방식으로 수수료를 낮추고 전문 조사관을 지휘할 변호사를 선임한다. 변호사의 사고 대응 지휘에는 종종 법률적인 계약이나 사고 대응을 늦추는 커뮤니케이션이 포함되는데, 특히 IR 담당자에게 보안 개선 조치를 기록하거나 정식 보고서로 남기지 말고, 기존에 생산한 문서에 대한 접근을 제한하도록 조언하기도 한다.

보고서에는 실제 사례도 들어 있다. 예를 들어, 한 변호사는 포렌식팀에 "최종 보고서는 필요 없습니다. 초안 형태로만 작성해 주세요"라고 말했다. 또다른 변호사는 "문서에는 현재 보안 시스템에 대한 내용이나 시스템을 개선하기 위해 필요한 것 등을 솔직하게 쓰지 않는 것이 좋습니다. 이런 내용은 모두 (기업에 소송을 하는) 원고의 주장을 뒷받침하는 근거가 될 수 있기 때문입니다"라고 했다.

변호사의 이런 조언에 따라 공개되는 정보를 제한했을 때 가장 큰 문제는 기업이 정보 유출 사고로부터 아무 것도 배울 수 없다는 것이다. 보고서에서 보안 컨설턴트 브루스 슈나이어는 "유출된 데이터를 공개할 때 기업을 보호하는 방안에 대해 고민할 필요가 있다. 비행기 사고에 대한 대응과 비슷하다"라고 말했다.

필자가 이 보고서가 제시한 사실과 내용에 대해 동의하는 것은 아니지만 보고서가 지적한 부분은 자세히 들여다볼 필요가 충분하다.

무엇보다, 사례에서 언급된 변호사가 법률에 대해 지나치게 편협하고 시대에 뒤떨어진 시각을 갖고 있는 것으로 보인다. 기업을 법적 책임으로부터 보호하려는 행위가 결국 더 큰 법적 책임에 노출시키고 있는 셈이다. 또한, 이런 행위는 직접적인 이해관계가 있는 C레벨 임원(특히 CEO)이 법적 문제에 대해 변호사의 의견을 배척해야 하는 '이상하지만 어쩔 수 없는' 상황으로 밀어 넣는다. 그러나 기업을 보호하는 최종 권한과 책임은 결국 CEO와 이사회에 있다. 때로는 '이상하지만 어쩔 수 없는' 결정을 해야 한다.

변호사의 조언 관련해 이슈를 자세히 살펴보자. 일단 변호사가 우려하는 것은 사고와 관련된 문서가 해당 기업을 상대로 한 소송에서 원고쪽이 활용하는 것이다. "조사를 절대 끝내지 말고 관련된 문서 작업도 하지 말라"는 조언이 나온 이유다.

변호사의 이런 조언은 소송 상대방이 전체 그림을 못 보게 하는 것인데 매우 시대에 뒤떨어진 방식이다. 왜냐하면 이런 행위 자체가 발각될 수 있고, 그러면 결국 소송 상대방은 모든 것을 알게 된다. 정보를 숨기려는 것으로 해석될 수 있는 행동 자체가 소송 상대방에겐 최고의 선물인 셈이다. 이런 행위가 사실로 밝혀지면 더 문제다. 판사는 물론 배심원단도 분노하고, 최종적인 법원 판결에서도 기업이 불리해질 가능성이 높다.

순수하게 법률적인 방어 관점에서 봐도, 관련 정보를 문서로 남기지 않는 것은 무모하다. 민사 소송에서는 어느 정도 이익일 수 있지만, 보안 사고 관련된 규정을 만들어 강제하는 규제당국에는 어떻게 비칠까? 정보를 숨기려는 행위에 대해 정부기관이 어떻게 반응할지는 명백하다. 결국 숨기는 것은 해법이 아니다. "어차피 보게 될 정보를 원고측 변호사가 못 보도록 막는 대신 기업 이미지를 관리하는 것이 회사를 보호하는 더 현명한 방법이 아닐까?" 같은 논의를 할 필요도 없다. 법적인 위험만 놓고 봐도 이 전략은 실패했다.

더 큰 그림에서 보면, 기업의 데이터와 시스템, 다른 자산을 보호하는 것이 소송 하나의 승패보다 훨씬 더 중요하다. 이 측면에서 문서화하지 않는 행위는 결코 작은 문제가 아니다. 더 좋은 보안 전략을 수립하기 힘들어지는 것은 물론, 지난 사고에 직접 관여하지 않았던 새 직원과 계약 업체가 다음 공격에 효과적으로 대응하는 것도 불가능하게 만든다.

이는 결국 더 민감한 문제, 즉 '의사결정'을 둘러싼 갈등으로 이어진다. 일단 보안 사고가 발생하면 CISO와 CIO는 십중팔구 적절한 절차를 엄격하게 따를 것을 요구할 것이다. 반면 기업 변호사가 그렇게 해서는 안 된다고 주장한다. CEO는 기본적으로 기업을 변호해야 한다. CEO가 선임 변호사의 의견에 따라야 하는 경우도 있겠지만, 보안 사고 대응은 여기에 해당하지 않는다. 이는 오늘날 기업 이사회에 다양한 사이버보안 경험이 있는 이가 반드시 포함돼야 하는 이유이기도 하다. 이런 배경을 가진 이사가 있어야 이사회가 이 문제에 대해 법률 전문가의 잘못된 의견을 배척할 수 있는 자신감을 가질 수 있다.
editor@itworld.co.kr