영업비밀 침해를 목적으로 한 이직 소개·알선·유인과 해킹, 부정취득 뒤 사용·누설까지 제재 범위를 넓히는 법 개정안이 8월 20일 국회 본회의를 통과했다. 처벌의 빈틈을 줄이는 일과 기업 내부의 첫 유출을 막는 일은 함께 가야 한다.
확인된 사실
지식재산처에 따르면 부정경쟁방지 및 영업비밀보호에 관한 법률 개정안은 영업비밀 침해행위의 소개·알선·유인을 새로운 침해 유형으로 규정했다. 영업비밀 유출을 전제로 임직원의 이직을 알선한 브로커에게 민사적 구제와 신고포상금, 형사처벌 규정을 적용할 근거를 마련했다는 설명이다.
개정안은 영업비밀을 부정하게 취득하는 방법에 해킹을 명시했다. 전통적인 절취·기망·협박 중심의 규정에 사이버 공격을 분명히 포함하려는 취지다.
광고
부정한 방법으로 영업비밀을 얻은 사람이 이를 사용하거나 제3자에게 공개·누설한 경우의 처벌 근거도 보완됐다. 지식재산처는 별도의 부정한 목적을 입증하지 않더라도 처벌할 수 있도록 했다고 밝혔다.
현재 공식 자료가 확인한 단계는 개정안의 본회의 통과다. 법률이 이미 시행 중인 것처럼 단정하거나 기업의 모든 유출 사고에 같은 조항이 즉시 적용된다고 읽어서는 안 된다.
논설
법이 넓어져도 유출된 파일을 되돌릴 수는 없다. 기업의 첫 방어선은 누가 어떤 정보에 접근했고, 대량으로 내려받거나 외부로 옮겼는지를 사후에 재현할 수 있는 기록이다.
접근권한은 직급이 아니라 업무 필요에 따라 최소화해야 한다. 부서 이동과 프로젝트 종료 때 권한을 다시 확인하고, 퇴직 절차에서는 계정 차단 시각과 회사 장비·저장매체의 반환, 외부 공유 링크의 종료를 하나의 기록으로 묶을 필요가 있다.
이직 중개업체, 협력사와 외주 인력이 핵심자료를 다룰 때도 계약서만으로는 부족하다. 실제 접속 계정, 열람 범위, 내려받기와 반출 승인, 계약 종료 뒤 삭제 확인까지 남아야 침해가 발생했을 때 사실관계를 빠르게 좁힐 수 있다.
기록을 많이 쌓는 것 자체가 보안은 아니다. 평소와 다른 대량 접근을 누가 검토하는지, 경보 뒤 계정을 언제 제한하는지, 사고 조사와 영업비밀 보유 사실의 입증에 어떤 자료를 보존할지 책임자를 정해야 한다. 기술유출 대응의 책임 주체는 보안 도구가 아니라 권한과 절차를 설계하고 집행하는 경영진과 관리 조직이다.
