영업비밀 유출 위험 진단은 무엇부터 확인하는가

핵심 인력이 경쟁사로 옮긴다는 이야기가 돌면 그때부터 확인 요청이 들어옵니다. 이 사람이 어떤 자료를 열람할 수 있었는지, 최근에 무엇을 내려받았는지. 요청은 대체로 급합니다.

문제는 그 시점에 확인 가능한 범위가 이미 정해져 있다는 점입니다. 접근 기록이 한 달치만 보관되는 시스템이라면 그 이전의 열람 여부는 확인 대상에서 빠집니다. 자료가 어디에 몇 벌 복사되어 있는지 파악되지 않은 상태라면, 무엇이 빠져나갔는지도 특정하기 어렵습니다.

영업비밀 유출 위험 진단은 이런 확인을 사고가 나기 전에 미리 진단해 보는 절차입니다. 아직 아무 일도 없을 때 사고 상황을 가정하고, 지금 그 일이 벌어졌다면 회사가 어디까지 확인할 수 있는지를 점검합니다. 진단을 시작할 때 가장 먼저 묻는 것도 보안 수준이 아니라 확인 가능한 범위입니다.

진단은 네 단계를 순서대로 밟습니다

1. 무엇을 지킬 것인지부터 정합니다

지켜야 할 자료의 목록이 없으면 진단할 대상도 없습니다. 설계 도면, 원가 산출 자료, 고객별 거래 조건, 소스 코드처럼 밖으로 나갔을 때 손해가 생기는 자료를 구체적으로 지정하는 일이 먼저입니다. 부서마다 중요하다고 답하는 자료가 달라서 이 단계에서 시간이 꽤 걸립니다.

이 작업은 법적으로도 의미가 있습니다. 부정경쟁방지 및 영업비밀보호에 관한 법률은 영업비밀을 공공연히 알려져 있지 않고, 독립된 경제적 가치를 가지며, 비밀로 관리된 정보로 정의합니다. 세 요건 가운데 분쟁에서 자주 다투어지는 쪽은 마지막입니다. 회사가 그 자료를 비밀로 관리해 왔다는 사실이 확인되어야 보호를 주장할 수 있습니다. 관리했다는 사실은 규정 문서만으로는 입증되지 않습니다. 접근 권한 설정, 등급 표시, 반출 승인 이력처럼 시스템에 남은 기록이 근거가 됩니다.

2. 그 자료가 실제로 어디에 있는지 확인합니다

규정에는 보관 위치가 정해져 있습니다. 진단은 규정이 정한 위치 대신 실제로 파일이 놓여 있는 위치를 봅니다.

문서 서버에 원본이 있어도 담당자 PC 바탕화면, 부서 공유 폴더, 개인 클라우드, 협업 도구 대화방에 사본이 흩어져 있는 경우가 흔합니다. 사본이 놓인 자리마다 접근 권한과 기록 방식이 다릅니다. 원본만 통제하고 사본의 위치를 모르면 자료가 복사되어 나가도 회사는 알 수 없습니다.

3. 지금 누가 열 수 있는지 대조합니다

권한 목록과 재직자 명부를 나란히 놓으면 대체로 차이가 나옵니다. 퇴직자 계정이 로그인만 막히고 폴더 권한은 남아 있거나, 부서를 옮긴 직원이 이전 부서 자료에 그대로 접근하는 경우입니다.

여러 사람이 함께 쓰는 공용 계정도 확인 대상입니다. 공용 계정으로 남은 기록은 누가 한 일인지 특정되지 않습니다. 사고가 나면 그 시간대에 누가 무엇을 했는지 확인할 수 없게 됩니다.

4. 나가는 경로마다 기록이 남는지 봅니다

자료가 밖으로 나갈 수 있는 길은 생각보다 여럿입니다. 외장 저장장치, 메일 첨부, 웹 업로드, 인쇄, 메신저 전송, 외부 원격 접속. 경로별로 세 가지를 확인합니다. 차단되어 있는가, 차단되지 않았다면 기록이 남는가, 그 기록은 언제까지 보관되는가.

진단에서 실제로 중요한 것은 뒤의 두 가지입니다. 차단은 업무 편의 때문에 예외가 생기기 마련이고 예외 구간에서 기록마저 없으면 나중에 확인할 방법이 없습니다. 보관 기간도 같이 봐야 합니다. 유출을 몇 달 뒤에 알게 되는 경우가 드물지 않은데, 그 사이에 기록이 지워졌다면 조사 자체가 성립하지 않습니다.

진단에서 확인하려는 것은 유출이 있었는가가 아닙니다. 유출이 생겼을 때 회사가 그것을 확인할 수 있는가입니다.

단계마다 판단이 갈리는 지점

기록이 남아 있다는 사실과 행위가 확인됐다는 사실은 다릅니다. 외장 저장장치 연결 기록은 장치가 연결됐다는 것까지 보여 줍니다. 어떤 파일이 복사됐는지는 그 기록만으로 알 수 없습니다. 연결 시각 전후의 파일 접근 흔적, 파일 목록, 이후 사용 이력을 함께 놓고 봐야 반출 여부를 판단할 근거가 생깁니다. 진단에서 여기까지 들어가지는 않습니다. 사고가 났을 때 이 확인이 가능한 상태인지만 표시해 둡니다.

진단은 개인을 들여다보는 작업이 아닙니다. 점검 대상은 회사 자산과 시스템 설정입니다. 임직원 개인 자료를 열람하는 일과는 성격이 다릅니다. 범위와 방법을 미리 정하고 관련자에게 알린 뒤 진행하는 편이 안전합니다. 이 절차를 건너뛰면 진단으로 확보한 자료를 나중에 쓰기 어려워집니다.

진단이 끝나면 무엇부터 손대야 할까

항목별 합격 여부를 나열한 표는 실무에서 잘 쓰이지 않습니다. 자료의 중요도, 그 자료에 닿을 수 있는 사람 수, 확인 기록의 유무를 겹쳐 보면 손댈 순서가 나옵니다.

중요도가 높은데 기록이 없는 항목이 1순위입니다. 사고가 나면 확인 자체가 불가능한 구간입니다.

중요도가 높고 접근 인원이 많은 항목이 그다음입니다. 권한 정리만으로도 위험 범위가 줄어듭니다.

기록은 남지만 보관 기간이 짧은 항목은 설정 변경으로 해결되는 경우가 많습니다. 들이는 비용에 비해 효과가 큰 쪽입니다.

진단에서 확인되지 않는 항목이 나왔다고 해서 지금 유출이 일어나고 있다는 뜻은 아닙니다. 그런 일이 생겼을 때 회사가 사실관계를 확인할 수 없는 구간이 어디인지를 보여 주는 결과입니다. 그 구간을 미리 줄여 두면 실제로 확인이 필요해진 순간에 조사할 수 있는 범위가 넓어집니다.

※ 해당 게시물은 생성형 AI를 이용해 제작되었고, 전문가 검토 후 게시하였습니다.