이날 박종섭 법무법인 광장 정보보호그룹 전문위원은 ‘개인정보유출사고 위기대응 전략-이것만은 꼭 기억하자!’란 주제로 세션발표를 진행해 참관객들의 큰 관심을 끌었다.
박종섭 위원은 “개인정보 유출 사고라는 위기를 효과적으로 극복하면 기회가 될 수 있다. 하지만 효과적인 위기대응의 장애물들이 존재한다. 고객신뢰와 수익에 대한 가치의 충돌에서 어떤 결정을 내릴지, 혹은 여론적 사고와 법적 사고에서 소통의 혼선, 어떤 시각으로 사태를 보는지 등에 따라 위기를 기회를 변화시킬 수 있다”고 시작했다.
위기대응의 전개 과정에 대해 박 위원은 5개 단계로 구분했다. 우선 △상황인지 단계는 현 상황을 위기라고 인식하는 단계다. △상황분석단계는 발생 가능한 문제들과 대안에 대해 고민하고 각 대안들의 파급효과와 위험에 대해 고민하는 단계다.
△의사결정 단계는 전략적, 전술적 결정을 내리고 자원, 시간, 환경 등 현실적 위험을 고려한 의사결정을 내리는 단계다. △상황종결 단계는 일련의 의사결정 과정을 통해 상황이 긍정적 또는 부정적으로 종결되는 단계 마지막으로 △학습 및 개선단계다. 위기대응 과정에서 드러난 허점을 보완하는 단계다. 위기상황에서 발생한 손해를 만회할 수 있는 기회이며 유사상황 재발시 더 빠른 상황인식이 가능하게 된다.
실제 개인정보 유출 사고 현장 조사 경험이 많은 박종섭 위원은 개인정보유출 위기대응 방안에 대해 다양한 사례를 들며 다음과 같은 조언을 했다.
△명확한 위기대응 원칙을 세우자
우선 숨김없이 밝히고 고객의 피해를 최소화하는데 최선을 다해야 한다. 2013년 미국 Target사 대표는 개인정보유출 사고 직후 “최대한 투명하게, 진실되게, 가능한 빨리 소객과 소통할 것이다. 타겟은 해킹 사건으로 기억되는 것이 아니라 해킹에 어떻게 대처했느냐로 기억될 것”이라고 말했다.
△위기의 유형과 정도에 대한 합리적 예측이 필요
예상할 수 있는 개인정보 유출사고 유형을 놓고 우리 조직의 어느 부분에 취약성이 존재하는지 정도를 파악하는 것이 중요하다.
조직내에 위기대응 조직을 만들고 IT지원팀, 법무팁, 홍보팀, 고객지원팀 등과 평상시에도 위기대응을 위한 유기적인 훈련을 실시해야 한다. 개인정보 유출 상황이 발생하면 위리관리 조직이 상황을 분석-상황통제 및 대응-상황관찰 및 보고를 체계적으로 상황이 종료될 때까지 수행해야 한다.
또 박 위원은 각 단계별로 위기대응조직이 상황발생시 무엇을 해야 할지 체크리스트를 만들어 놓는 것도 중요하다고 강조했다. 특히 평상시에도 반복적인 훈련을 해야 한다고 덧붙였다.
마지막으로 박 위원은 “위기는 조직의 역량, 가치 및 문화를 총체적으로 확인시켜 줄 수 있는 기회”라고 강조했다.
박종섭 전문위원의 G-Privacy 2017 발표자료는 데일리시큐 자료실에서 다운로드 가능하다.
★정보보안 대표 미디어 데일리시큐!★
