ESG MEMO Vol.12 ’21.10.24	ESG 개인정보보호 국내외 우수기업 사례분석

▣ 메타버스/대체불가토큰(NFT) 시장 거래규모가 폭발적으로 증가하는 등 가상자산에 대한 주목도가 높아지며 관련 기업의 개인정보・데이터 보안 문제 역시 중요하게 대두됨

○ MZ세대를 중심으로 가상현실을 활용하는 ‘메타버스’ 영역이 활성화되고 있음. PwC, 스태티스타 등 글로벌 컨설팅·리서치 기관은 향후 메타버스 관련 시장 성장성을 매우 크게 평가

○ 메타버스 시장규모가 증가하면서 대체불가토큰(NFT)이 함께 주목. NFT 시장규모의 경우 2018년 대비 2020년 약 8배 이상 증가했으며, 2021년 2분기까지의 거래액은 약 12억 달러 이상으로 2020년 1년 치 거래액의 5배를 초과

(자료: PwC, Seeing is Believing)	(자료: NonFungible.com)

* 주1: 메타버스는 가상을 의미하는 메타(Meta)와 현실을 뜻하는 유니버스(Universe)가 합쳐진 말로, 현실세계와 동일한 문화·경제활동이 이뤄지는 가상세계를 의미. 네이버 제공 제페토가 국내 대표적인 메타버스 플랫폼.

* 주2: NFT란 Non-Fungible Token의 약자로 토큰마다 블록체인 기술로 고유 인식 값이 부여되어 ‘희소성’ 개념이 적용 가능한 가상자산을 뜻함. 디지털 자산이 투자자산으로서의 가치를 가지게 될 수 있음을 의미.

▣ MSCI는 ESG 평가에서 사회 분야 중요이슈로 프라이버시・데이터보안 평가 중

○ 사회(S) 분야 평가 카테고리: 노동관행, 인적자본 개발, 보건/안전, 공급망 노동 기준, 제품안전・품질, 화학물질 안전성, 소비자 금융 보호, 개인정보 및 데이터 보안, 책임투자, 보건 및 인구 통계 리스크(demographic risk) 등

○ 동 분야 산업별 평가가중치는 통신서비스(23.7%), 금융(10.3%), IT(9.9%), 임의소비재(7.6%) 순

순위	세부산업	가중치	순위	세부산업	가중치
1	인터넷·직접판매(임의소비재)	29.0%	11	상품 전문점(임의소비재)	21.5%
2	양방향 미디어 서비스(통신서비스)	28.9%	12	애플리케이션 소프트웨어(IT)	21.0%
3	대체 운송(통신서비스)	27.3%	13	IT 컨설팅/기타(IT)	20.7%
4	무선 이동통신 서비스(통신서비스)	26.1%	14	시스템 소프트웨어(IT)	20.6%
5	통합 이동통신 서비스(통신서비스)	25.9%	15	교육 서비스(임의소비재)	18.8%
6	홈 엔터테인먼트(통신서비스)	25.0%	16	홈가구 소매(임의소비재)	18.3%
7	인터넷 서비스, 인프라(IT)	23.0%	17	자동차(임의소비재)	17.0%
8	컴퓨터·전자장비(임의소비재)	22.4%	18	주택자재 전문점(임의소비재)	16.0%
9	데이터 처리 및 아웃소싱(IT)	22.2%	19	잡화점(임의소비재)	15.7%
10	케이블·위성(통신서비스)	22.0%	20	백화점(임의소비재)	15.3%

* 주1: 표에 제시된 가중치는 통신, 금융, IT, 임의소비재 산업 중, 금융업을 제외한 세 개 산업의 세부 산업 가중치 비교임

* 주2: ESG 평가 가중치의 합은 환경(E), 사회(S), 지배구조(G) 각 평가요소의 합이 100%로 이뤄짐

○ 개인정보보호 리더기업은 네이버, 카카오, LG유플러스, 알파벳, 아마존, MS 등

산업	기업명	국가	평가일자	ESG등급	개인정보보호 등급
양방향 미디어 서비스	네이버	대한민국	May-21	AAA	리더
	카카오	대한민국	Sep-21	A	리더
	알파벳	미국	Jun-21	BBB	리더
	Z홀딩스(네이버・야후재팬)	일본	Feb-21	AA	리더
	바이두	중국	Sep-20	BB	리더
	페이스북	미국	Nov-20	B	보통
인터넷· 직접 판매	아마존닷컴	미국	Dec-20	BBB	리더
	라쿠텐그룹	일본	Dec-20	BBB	보통
	알리바바그룹홀딩스	중국	Dec-20	BB	보통
무선이동통신 서비스	LG유플러스	대한민국	Jun-21	B	리더
	소프트뱅크	일본	Jun-21	AA	리더
	KDDI	일본	Jan-21	AAA	리더
	SKT	대한민국	Sep-21	A	보통
	버라이즌커뮤니케이션스	미국	Aug-21	A	보통
	AT&T	미국	Jul-21	BB	보통
메타버스 (기타)	마이크로소프트	미국	Mar-21	AAA	리더
	제페토(네이버)	대한민국	May-21	AAA	리더
	텐센트뮤직엔터테인먼트	중국	Mar-20	BB	리더
	페이스북	미국	Nov-20	B	보통
	유니티 소프트웨어	미국	Jun-21	BB	보통
	알리바바그룹홀딩스	중국	Dec-20	BB	보통
	소니그룹	일본	Dec-20	AAA	-
	텐센트홀딩스	중국	Apr-21	BBB	보통
	이프랜드(SKT)	대한민국	Sep-21	A	보통
	엔비디아	미국	Oct-20	AAA	-

▣ 각종 ESG 평가에서 개인정보보호 유출 등 사고 발생 시 등급에 큰 영향

○ 어도비 해킹 사건(2013)

-  ’13.10월, 포토샵 등 서비스를 제공하는 소프트웨어 회사 어도비에서 해킹 사건 발생. 당초 유출 데이터 건수는 290만 건으로 알려졌으나, 이후 밝혀진 내용에 따르면 3,800만 명에 이르는 고객의 데이터가 해킹된 것으로 드러남

- 어도비는 데이터유출 의심고객에 대한 개별 이메일 발송과 전체 가입자에 대한 비밀번호 변경 권고, 사법기관과의 공조수사 등 적극적 후속 조치를 취함

⇨ 현재 MSCI 등급은 AA, 프라이버시・데이터보안 ‘리더’ 등급

⇨ 서스테이널리틱스 ESG 등급 ‘LOW(스코어 10.8)’, 소프트웨어・서비스업 9위(891社 중)

○ 페이스북 고객정보 유출 사건(2016, 2019, 2021)

- 2016년, 영국 정치 컨설팅업체 케임브리지 애널리티카가 정치광고 목적으로 약 8천여 만 명의 페이스북 이용자 데이터를 불법으로 수집한 것이 드러남

- 2019년, 2억 6,700만 명의 정보 유출 사고 발생. 이용자 정보를 부적절하게 사용했다는 이유로 미 정부로부터 약 6조 원의 벌금을 부과받은 지 5개월 만에 다시 정보 유출 사고가 발생해 기업 신뢰도에 타격

- 2021년, 5억 3천여 만 명의 이름, 연락처, 생일, 거주지 등의 개인정보 유출. 수습 단계에서 해당 기업은 유출된 데이터를 ‘오래된 데이터’라고 일축하는 등 시장에 신뢰를 주지 못했다는 평가

⇨ 현재 MSCI 등급은 B, 프라이버시・데이터보안 ‘보통’ 등급

⇨ 서스테이널리틱스 등급 ‘MEDIUM(28.8)’, 소프트웨어・서비스업 818위(891社 중)

○ 이베이 고객정보 유출 사건(2014)

- 2014년, 이베이(회원 수 약 1억 4,500만 명)는 해킹으로 인해 회원 비밀번호, 이메일, 전화번호 등 개인정보 유출 사건 발생

⇨ 현재 MSCI 등급은 A, 프라이버시・데이터보안 ‘낮음(LAGGARD)’ 등급

⇨ 서스테이널리틱스 등급 ‘LOW(16.7)’, 소프트웨어・서비스업 83위(891社 중)

▣ 우수(리더) 등급 기업의 개인정보・데이터보안 정책 사례

❶ <국내> 네이버(양방향 미디어 서비스): 거버넌스(CISO-CPO 별도 지정, C레벨 프라이버시위원회 운영), 365-24 감시체계 구축, 협력사 개인정보역량 강화를 위한 교육 실시

○ 거버넌스: 정보보호조직 분리를 통해 CISO와 CPO가 개별 부서 담당

* CISO(Chief Information Security Officer, 최고 정보보호 책임자)와 CPO(Chief Privacy Officer, 최고 개인정보 책임자)는 각각 회사의 정보정책·데이터보안과 고객 개인정보 보안을 분담하며 회사는 CISO와 CPO 분리를 통해 광범위한 정보보안 이슈에 효율적으로 대응

❷ <국내> LG유플러스(무선이동통신 서비스): 거버넌스(C레벨 전사보안 협의체 운영, 보안관련 사고 모니터링 및 이상행위 감지 시 ‘보안사고 긴급대응반’ 운영

○ 거버넌스: CISO 지정, C레벨 전사보안협의체 운영을 통해 정보 관련 주요 이슈 협의

구분	주재	참석대상	논의내용
품질관리 Committee	CEO	· CFO, CHO, CSO, CRO, 부문장 · 품질관련 부서 및 안전/보안 부서 그룹장	· 전사적 주요 보안 이슈 협의 · 보안 KPI 추이 공유
전사보안 & Compliance 협의회	CISO	· CISO · 주무부서 팀장 및 실무자	· 조직별 보안이슈 개선 및 현황 · 전사적 보안 Risk 협의
보안 & Compliance 실무협의회	보안 전략팀장	· 보안전략팀장 · 안건 해당 주무부서 팀장 및 실무자	· 실무적 보안 업무 논의 · 보안 Risk 개선현황 등

❸ <국내> 대한항공(운송서비스): 통합보안운영센터 운영을 통해 실시간 대응체계 구축

○ 통합보안운영센터 운영: 24시간 365일 운영되는 통합보안운영센터(Security Operation Center)에서 데이터 침해와 사이버 공격에 실시간 대응. 보안사고 발생 시 관련 부서 즉각적 대응을 위한 절차 마련, 시행 중

❹ <미국> 알파벳(인터넷·직접 판매): 내장보안(Built-in Security) 정책 운영을 통한 사용자 보호, C레벨에서의 정보보안 이슈 관리와 CISO-CPO 별도 지정

○ 내장보안(Built-in Security) 정책 시행: 구글이 제공하는 모든 서비스 내에 내장보안 인프라 시스템 구축. 데이터 암호화·클라우드 컴퓨팅 보안·피싱 이메일 차단 등 세 가지 측면에서 보안 시스템 항시 운영

❺ <미국> 아마존(인터넷·직접 판매): C레벨에서 정보보안 관련 이슈 총괄 및 관리, 개인정보&데이터 보안에 대한 체계적 대응 프로세스 수립·활용

○ 방지 → 탐지 → 대처 → 해결의 전략적 보안 절차 운영: 데이터보안 이슈 처리 절차를 4단계로 나누어 체계적으로 보안&개인정보 문제에 접근

○ 모든 AWS 서비스 제공에 강화된 정보보호 규정인 EU GDPR 준수

* EU GDPR: 18년 5.25부터 시행된 EU의 개인정보보호 법령으로, 정보주체의 권리와 기업의 책임성 강화를 골자로 함. 개인정보의 EU 역외 이전 요건 명확화 요구.

❻ <미국> 마이크로소프트(IT): 거버넌스(프라이버시 7원칙, CISO 지정), 통합보안시스템 구축(제로 트러스트, 애저 보안 시스템)을 통해 모든 접근요청에 대한 MS 데이터보안 시행

○ 제로 트러스트(Zero Trust) 보안플랫폼 구현: 마이크로소프트 독자적인 보안 플랫폼 구축, 개별 기업에 서비스 제공. 기존의 보안을 신뢰하지 않는 전제에서 모든 접속과 행위를 검증하여 경계 없는 보안체계 구축

* Zero Trust: 이미 침해당했다는 전제에서 생체인식 등 암호 없는 인증을 통해 모든 접근을 검증하는 강력한 인증 보안방식을 구현. 최소한의 인증으로 연결된 모든 기기에서 사용자의 개인정보 보호

○ 애저 보안 센터(Azure Security Center) 서비스 구축: 마이크로소프트에서 제공하는 클라우드 서비스 애저(Azure) 내에 통합 인프라 보안관리 시스템 구축, 클라우드 이용사에 제공. MS 클라우드 이용 고객사의 클라우드 데이터 항시 보안시스템

❼ <일본> KDDI(통신서비스): 거버넌스(정보보안위원회 운영), 정보 보안관련 리스크감소를 위한 이니셔티브 활용·활동(Activity) 수행, 정보보안 관련 단체 활동

○ 거버넌스: 정보보안위원회(Information Security Committee) 설치 및 운영을 통해 전사적으로 데이터 유출 예방과 허가되지 않은 외부 접근을 막기 위한 방안을 개발·이행

○ KDDI 본사 및 EU지사는 보다 강도 높은 정보보호를 요구하는 EU GDPR을 완전히 준수

○ E-learning 트레이닝, 위험 평가 프레임워크 관리 등 정보보안 리스크 감소를 위한 이니셔티브 참여, 보안 문제 해결을 위한 단체 활동 시행

* KDDI 참여 단체(Cross-industry initiatives)

① ICT-ISAC Japan

② Forum of Incident Response and Security Teams (FIRST)

③ Nippon CSIRT Association (Nippon Computer Security Incident Response Team Association)

◀ 요 약 ▶

❶ 메타버스/NFT 시장규모 확대, 메타버스 시장 활성화. 가상현실 활용도가 증가하면서 기업에게 프라이버시&데이터 보안은 더욱 신경 써야 할 문제

❷ MSCI, 서스테이널리틱스 등은 사회분야 중요이슈로 개인정보보호 분야를 평가. 특히 통신서비스, 금융, IT, 임의소비재(전자상거래 등) 업종에서 평가 비중 높음

❸ 개인정보보호 리더기업은 △(양방향미디어) 네이버, 카카오, Z홀딩스, 바이두, △(인터넷·직접판매) 아마존닷컴, △(무선이동통신) LG유플러스, 소프트뱅크, KDDI, △(메타버스) MS, 제페토, 텐센트뮤직엔터 등

❹ 동 분야 등급이 높은 기업들의 특징은 거버넌스(C레벨 개인정보 위원회, CISO-CPO 별도 지정 등), 개인정보 침해 여부 항시 모니터링 우수기업, 정보보안 대응체계 구축·운영 등

내용문의: 전국경제인연합회 ESG T/F 송재형 팀 장(02-3771-0328, olson24@fki.or.kr)

전국경제인연합회 ESG T/F 조병철 연구원(02-3771-0448, bccho1024@fki.or.kr)

<참조: 데이터 보안 우수기업 주요 공통 사례>

기업	△거버넌스	△대응프로세스	△상시통합보안센터	△정례 보안 교육
네이버	CISO, CPO 별도 지정, C레벨 프라이버시 위원회 운영	①전사공통 ②서비스단계별 ③글로벌진출 ④보안/인프라 네 영역으로 구분, 네이버와 관계사에 통일성 있는 정보 이슈 대응체계 구축	365-24 감시시스템 구축	협력사 정보역량 강화를 위한 교육 진행
LG유플러스	전사보안협의체 운영. CISO 전사보안 협의회 주관	상황 발생 시 ‘보안사고 긴급대응반’ 운영	보안사고 대응을 위한 365일 24시간 보안 실시간 모니터링	임직원, 협력사 대상 보안사고사례 및 정보보호 교육실시
대한항공	-	①보안정책 ②실태점검 ③이상징후 탐지/모니터링 ④ 정보보호 시스템 구축 등 정보보호 관리체계 운영	24시간 365일 운영되는 ‘통합보안운영센터’	상반기_정보보안 교육 하반기_개인정보보호 교육 정례 실시
카카오	CISO, CPO 별도 지정, 정보보안 관련 별도 조직 담당. 정보보호위원회 운영	‘개인정보보호 점검 관리 시스템’ 구축, 운영. 사전 위험요소 제거를 목표	24-365 운영되는 긴급전화상담신고센터 운영	전사원 대상 정보보호 서약절차 진행, 정기 정보보호 교육 실시, 세부 주제 별 수시교육 진행
알파벳(구글)	CISO, CPO 별도지정	Built-in Security, 구글 제공 모든 서비스 내 보안 인프라 구축	24/7 운영되는 데이터센터에서 모든 상황에 대한 모니터링 시행
아마존	감사위원회 데이터보안 주요 이슈 점검, CISO 데이터보안이슈 총괄	방지→탐지→대처→해결에 이르는 전략적 보안 절차 수립·운영	Built-in Security, 제공 서비스 내에 내장보안 시스템 운용
MS	CISO 데이터보안 이슈 총괄, 프라이버시 7원칙 수립	Zero Trust 아키텍처 구현, ‘모든 접속과 행위 검증’	‘애저 보안 센터’ 서비스 제공
KDDI	정보보안위원회 운영	24시간 365일 외부 사이버공격과 네트워크 모니터링 조직 운영		사내 전직원 보안교육 및 가치사슬 관리를 위한 외부 파트너사 관리교육 시행