기업 위기 대응…"복구 넘어 고객 구제로 끝나야"

기업의 위기 대응은 시스템 복구를 넘어 고객 피해를 해결하고 달라진 모습을 증명할 때 마무리된다는 목소리가 나왔다. 사고 경위를 숨김없이 설명하고 실효성 있는 개선 대책을 마련하는 데 힘을 쏟아야 한다는 것이다.

한국미디어경영학회는 28일 서울 중구 프레스센터에서 '기업의 경영 위기와 대응 원칙' 세미나를 열었다. 안정민 한림대 교수는 이날 기업이 사고 수습을 마친 시점과 고객의 문제가 해결된 시점은 다르다고 강조했다. 2024년 7월 전 세계 IT 대란을 부른 크라우드스트라이크는 문제가 된 업데이트를 78분 만에 되돌렸지만 고객들은 그보다 훨씬 오랜 시간 피해를 수습해야 했다는 설명이다.

안 교수는 기업이 도산하더라도 고객 피해를 파악하고 구제할 수 있는 체계가 필요하다고 주장했다. 영국 'KNP 로지스틱스' 그룹은 2023년 6월 랜섬웨어 공격을 받은 뒤 3개월 만에 도산했다. 내부 IT 인력이 있었지만 재무 시스템을 복구하지 못했다.

안 교수는 "은행에 서류 제출이 안 돼 자금 대출이 불가능했다"며 "시스템을 복구하는 동안에도 핵심 업무와 자금 흐름을 유지할 계획이 필요하다"고 말했다.

호주의 전자처방전 전송 서비스 업체 '메디시큐어'는 2024년 랜섬웨어 공격으로 1290만 명의 민감정보가 유출됐다. 비용 부담을 이유로 유출 정보 분석을 포기했다.

안 교수는 "(메디시큐어는) 유출 정보 분석에 돈이 많이 들어서 못 하겠다고 했다"며 "그대로 기업은 파산했다"고 말했다. 이어 기업이 파산하더라도 피해자 보호가 이어질 수 있도록 법적 근거와 재원 마련 방안을 고민해야 한다고 했다.

안 교수는 설명의 투명성도 강조했다. 2023년 랜섬웨어 공격을 받은 영국도서관은 내부 시스템의 취약점과 관리상 문제를 담은 검토보고서를 공개했다. 안 교수는 법적 책임과 사회적 비난에 대한 우려로 기업이 사고를 숨기려 할 수 있다며 잘못을 인정하고 공개하는 행위가 존중받는 문화가 필요하다고 말했다.

안 교수는 정부 대응에도 변화가 필요하다고 지적했다. 규제를 얼마나 강화했는지가 아니라 실제 사고 피해를 얼마나 줄였는지로 정책 성과를 측정해야 한다는 주장이다. 또 해킹과 같은 비상 상황에 제대로 대처하려면 개별 기업을 넘어 정부와 업계 차원의 준비가 필요하다고 했다.

안 교수는 "사고가 일어난 뒤 즉흥적 판단이 어려우니 누가 판단하고 결정을 내릴지 반복적인 훈련이 필요하다"며 "개별 기업 대응만으론 한계가 있고 국가와 업계 차원에서 공동 위험을 점검해야 한다"고 말했다.

신민수 한양대 교수는 지난해 4월 발생한 SK텔레콤 유심 해킹 사고 대응을 설명·해결·증명의 관점에서 분석했다. 신 교수는 SK텔레콤이 신뢰를 완전히 회복한 것은 아니지만 해외 통신사와 비교하면 대응이 상대적으로 우수했다고 평가했다. 피해 해결 측면에서는 신규 가입 중단과 위약금 면제에 따른 손실을 감수하고 고객의 별도 신청 없이 전체 고객에게 요금 할인과 데이터 혜택을 제공한 점을 꼽았다.

디지털 취약계층을 찾아가는 상담·교육도 다른 나라에서는 보기 어려운 조치라고 했다. 변화를 증명한 사례로는 외부 전문가가 참여하는 고객신뢰위원회와 고객자문단을 꾸리고 올해 7월 첫 정보보호백서를 발간한 점을 들었다. 일회성 기자회견에 그치지 않고 이행 여부를 장기적으로 확인할 수 있는 약속을 남겼다는 분석이다.

신 교수는 한국산업의 고객만족도(KCSI) 이동전화 부문 1위와 번호이동 가입자 순증을 신뢰 회복의 근거로 제시했다. 사고 경위 설명은 부족했다는 지적도 내놨다. 수년간 이어진 침투를 발견하지 못했고 사고 초기 고객들은 어떤 정보가 유출됐으며 어떻게 대응해야 하는지 알기 어려웠다는 것이다. 무료 유심 교체 발표 이후 이어진 수급·예약 혼선도 약속의 실행 가능성에 의문을 남겼다고 짚었다.