현장에서는 당장 우리 회사가 의무 대상에 들어가는지, 시스템 투자와 회계 분류를 어디서부터 손대야 하는지 혼선이 적지 않습니다. 코스피와 코스닥 상장 법인의 실무진이 미리 파악해 두어야 할 변화의 핵심과 실무 준비 사항을 차근차근 짚어보겠습니다.
의무화 대상 확대 배경과 추진 방향
그동안 정보보호 공시는 매출액 3,000억 원 이상인 대형 IT 기업이나 주요 기간통신사업자, 클라우드 서비스 제공자 등 일부 특정 요건을 충족한 기업에 한정되어 적용되었습니다. 그러나 디지털 전환이 가속화되면서 제조, 유통, 바이오 등 업종을 가리지 않고 침해사고 피해가 확산되는 실정입니다.정부 정책 로드맵에 따라 2027년을 기점으로 코스피 및 코스닥 상장사 전반으로 정보보호 공시가 단계적으로 의무화될 예정입니다. 이는 투자자에게 기업의 사이버 침해 대응 역량과 보안 투자 규모를 투명하게 공개하도록 유도하여 시장 신뢰를 확보하려는 취지입니다.
자산 규모나 매출액에 따라 단계적 도입 방식이 논의되고 있으므로, 중견 규모 상장사라도 현재 공시 기준선과 향후 입법 세부안을 주기적으로 모니터링해야 합니다.
기업 공시 서식에 반영되는 4대 핵심 항목
정보보호 공시제도는 단순히 보안 정책을 서술하는 데 그치지 않고, 정량화된 수치와 구체적 조직 현황을 보고서 형태로 기재하도록 요구합니다. 실무에서 가장 비중 있게 다뤄지는 항목은 크게 네 가지입니다.- 정보보호 투자 현황: 전체 IT 예산 중 순수 정보보호에 배정된 예산과 실제 집행 실적을 투명하게 산출해야 합니다.
- 정보보호 전담 인력 구성: 사내 IT 인력 대비 전담 보안 인력의 비율과 자격증 보유 현황, 외부 위탁 인력 관리 실태가 포함됩니다.
- 각종 보안 인증 획득 현황: ISMS(정보보호 관리체계) 또는 ISMS-P, ISO/IEC 27001 등 국내외 공인 인증의 취득 및 갱신 상태를 기재합니다.
- 이용자 보호 및 침해 대응 활동: 보안 취약점 점검 주기, 임직원 대상 보안 교육 이수율, 모의해킹 훈련 실적 등을 객관적 근거와 함께 정리합니다.
코스피·코스닥 상장 기업의 실무적 대응 과제
의무화가 정착되면 공시 내용의 적합성 검증과 허위 공시에 대한 제재 위험이 뒤따르게 됩니다. 실무진은 다음 세 가지 영역을 우선 정비해야 합니다.첫째, 회계상 IT 계정과 보안 계정의 엄격한 분리입니다. 소프트웨어 라이선스 비용이나 방화벽 장비 감가상각비, 보안 관제 외주비용 등을 명확한 기준에 따라 별도 코드로 집계하는 절차가 선행되어야 합니다.
둘째, CISO(정보보호 최고책임자)의 독립적 위상 정립입니다. 현행 법령상 일정 규모 이상의 상장사는 CISO 겸직이 제한되거나 이사회 보고 의무가 강화되어 있으므로, 내부 규정을 사전에 점검해 권한과 책임을 명시해야 합니다.
셋째, 코스닥 상장 준비 기업이나 새내기 상장사의 내부 통제 정비입니다. 상장 심사 과정에서도 거버넌스와 IT 내부 통제는 필수 확인 요소인 만큼, 공시 의무화 시점 이전부터 자율 공시 체계를 시험 운영해 보는 것이 유리합니다.
신뢰할 수 있는 공식 안내 및 법령 확인
제도 도입 일정과 세부 시행령 개정 내용은 관계 부처의 공식 발표를 통해 최종 확정됩니다. 공식 안내 창구를 통해 최신 고시와 가이드라인을 주기적으로 확인하시기 바랍니다.- 기업 공시 작성 서식 및 전자공시 시스템 안내:
정부24 민원 및 제도 안내 - 상장법인 공시 제도 및 규정 조회:
인터넷등기소 법인 안내
FAQ
Q. 자율 공시와 의무 공시는 법적 효력에서 어떤 차이가 있나요?자율 공시는 기업이 자발적으로 보안 투자 노력을 홍보하기 위해 선택적으로 제출하는 반면, 의무 공시 대상에 포함되면 정해진 기한 내에 공시하지 않거나 허위 사실을 기재할 경우 과태료 등 행정 제재가 부과될 수 있습니다.
Q. 보안 솔루션을 외주 업체에 100% 위탁하는 경우에도 인력 공시가 인정되나요?
사내 상주하는 외주 인력이나 전문 관제 업체의 용역은 공시 가이드라인에 따라 일정 기준을 충족할 때 외주 인력 항목으로 별도 산정할 수 있습니다. 다만 정규직 전담 인력 비율과 구분되어 평가되므로 가이드라인의 세부 기준을 꼼꼼히 확인해야 합니다.