유출 사태 뒤, 외부 전문가 7명이 들어왔다 9월 15일 열린 회의 테이블에 앉은 7명은 쿠팡 직원이 아니었습니다. 정보보호, 법률, 경영, IT 분야에서 온 외부 전문가들입니다. 쿠팡이 이날 공식 출범을 알린 '정보보호 자문위원회'의 첫 회의였습니다. 회사는 이 위원회를 개인정보 유출 사태 이후 객관적이고 신뢰할 수 있는 정보보안 체계를 구축하기 위한 노력의 일환이라고 설명했습니다.
쿠팡이 15일 밝힌 내용에 따르면, 정보보호 자문위원회에는 외부 전문가 7명이 참여합니다. 공동위원장은 두 명입니다. 한 명은 과학기술정보통신부 네트워크정책실장과 정보통신산업진흥원장을 역임한 허성욱 한국CPO포럼 회장이고, 다른 한 명은 브렛 매티스 쿠팡 정보보호 최고책임자입니다. 위원으로는 강유민 김·장 법률사무소 고문, 곽진 아주대학교 교수, 김현경 서울과학기술대학교 교수, 안정호 법무법인 세종 변호사, 양제열 경희대학교 교수, 장항배 중앙대학교 교수가 위촉됐습니다. 법률사무소와 대학이 함께 들어간 구성입니다.
시간 순서로 보면 이렇습니다. 개인정보 유출 사태가 먼저 있었고, 그 뒤에 이 위원회가 만들어졌습니다. 쿠팡은 위원회 출범 배경을 설명하면서 유출 사태를 직접 언급했습니다. 첫 회의는 출범을 알린 15일 당일에 열렸습니다. 이 자리에서 쿠팡은 그간 추진해 온 고객 데이터 보호 관련 활동 내용을 위원들에게 공유했습니다. 회사가 무엇을 해왔는지 외부 위원들이 확인하는 절차가 첫 안건이었다는 뜻입니다. 쿠팡은 이를 바탕으로 앞으로 활발한 소통을 이어 나갈 방침이라고 밝혔습니다.
이 위원회의 구조에서 눈에 띄는 것은 공동위원장 체제입니다. 회사 밖에서 온 전문가와 회사 안에서 보안을 총괄하는 임원이 같은 자리를 나눠 맡았습니다. 브렛 매티스 공동위원장이 맡고 있는 정보보호 최고책임자는 기업의 정보보안 전략과 정책을 총괄하는 최고 임원입니다. 위원회가 다루는 범위도 정해졌습니다. 법과 제도의 변화, 보안 위협 동향을 파악하고, 회사의 보안 현안과 정책 전반에 대해 자문합니다. 개별 사고 대응이 아니라 정책과 프로세스 층위를 본다는 것입니다. 쿠팡은 자문 결과를 사내 보안 정책 및 업무 프로세스에 적극적으로 반영할 방침이라고 했습니다.
위원회는 첫 회의 이후 분기마다 정기회의를 엽니다. 1년에 네 번입니다. 이름 그대로 자문 기구라는 점도 함께 볼 지점입니다. 쿠팡은 자문 결과를 정책에 반영할 방침이라고 밝혔지만, 위원회가 어떤 권한을 갖는지, 자문 내용과 반영 결과를 외부에 공개하는 절차가 있는지는 이번 발표에 담기지 않았습니다. 현재까지 공개된 것은 위원 명단과 회의 주기, 자문 범위입니다.
쿠팡 관계자는 "최고 전문가들의 탁월한 경험과 지식을 적극 수용해 보안 체계 개선 활동을 거듭해 갈 것"이라며 "글로벌 스탠다드를 뛰어넘는 수준의 노력을 기울이겠다"고 말했습니다. 이 발언은 회사 측 설명입니다. 위원회가 실제로 어떤 자문을 내놓았고 그것이 정책으로 옮겨졌는지는 아직 공개된 내용이 없습니다. 판단할 근거는 앞으로 쌓이는 회의 결과입니다.
출범 발표에서 확인된 사실은 세 가지입니다. 외부 전문가 7명, 분기별 정기회의, 그리고 보안 정책 전반이라는 자문 범위입니다. 이용자 입장에서 확인할 수 있는 지점은 다음 분기 회의입니다. 명단과 일정이 공개된 만큼, 자문이 실제 정책 변경으로 이어지는지가 같은 방식으로 확인될 수 있습니다. 9월 15일 그 회의 테이블에 외부인 7명이 앉은 것은 시작 시점입니다. 분기마다 같은 테이블이 다시 차려집니다.
