[기업보안이야기⑩] 산업보안 : 자동차 영업비밀 유출사례

산업기술 유출, 대부분 전·현직 직원 소행

협력업체 보안도 시스템 및 교육도 중요

[보안뉴스=백봉원 ASIS International Korea Seoul 사무총장] 최근 국내 엔진 설계기술 업체가 국내 굴지의 자동차 회사들의 엔진관련 핵심 기술 및 표준자료를 빼돌려 중국 자동차 업체 등에 유출시킨 혐의로 조사를 받고 있다.

이들은 ‘G’사에서 퇴사하면서 해당 기술을 유출해 몰래 보관해 오다가 2011년 중국 자동차 제조회사 3곳으로부터 엔진개발 사업을 의뢰받고 이를 유출시킨 것으로 알려졌다.

국정원 통계에 따르면 산업기밀 유출의 주체 중 79%가 전·현직 직원이었다. 특히 스카우트 등 이직과정에서 핵심 정보를 빼돌리는 경우가 많았으며, 기업 인수합병(M&A)을 통해 산업기밀이 유출되는 경우도 있었다.

중국 상하이자동차의 쌍용차 인수, 대우자동차를 인수하려 했던 포드자동차의 경우에도 기업정보만 입수한 뒤 인수를 포기한 사례도 있다. 필자 역시 회사가 매각되는 당시에 인수하려는 회사들에게 시작모델, 신차를 전면 공개하는 부분은 아쉬웠던 기억으로 남아 있다.

영업비밀은 미공개 정보로서 독립된 경제적 가치가 있어야 하며 외부에 노출되면 회사가 피해를 입을 수 있는 영업활동에 관련된 제반사항(생산방법, 판매방법, 기술정보 등)을 포함한 회사소유의 기술상·경영상, 기타 유용한 정보 자료가 해당된다.

즉, 경제적으로 회사에 유해로운 결과를 초래할 수 있는 자료를 포함해 회사의 명예를 실추시키거나 임직원의 사기를 떨어뜨려 생산성을 저해시킬 수 있는 모든 자료로 문서, 매뉴얼, 도면, 녹화 또는 녹음테이프, 디스켓, 사진, 지도, 파일 등의 형태로 되어 있는 자료와 CD, USB 등 저장매체에 저장된 자료 등이다.

그러나 이미 학술지, 언론, 업계에 알려져 있다면 영업비밀이 될 수 없으며 영업비밀 보호를 위해서 상당한 노력으로 비밀을 유지해야 한다. 영업비밀 보유자, 사용자 등이 비밀로 유지할 의사만 가지고는 부족하다. 객관적으로 비밀임을 표시하고 접근하는 자를 제한하는 등의 노력이 필요하다.

이를 위해 임직원들의 인식(Concept)을 높이기 위해 지속적인 교육과 홍보가 요구되며 직원들의 관심, 호응도를 높이기 위해 이해하기 쉽고 실천할 수 있도록 하는 방법이 바람직하다.

전에 다녔던 회사에서 보안업무와 관련한 일을 하면서 가장 기억에 남는 사건이 하나 있다. 바로 Tagaz Korea(이하 ‘T’사) 기밀유출 사건이다. 보안조직이 회사 내부뿐만 아니라 외부에서도 존재감이 커지는 무렵에 발생된 이 사건은 당시 보안조직 위상에 커다란 영향을 미치게 된 사건으로 기억하고 있다.

2007년 12월 모 정부기관 직원 2명이 보안부서를 방문해 약 1,000페이지 분량의 엔진관련 자료에 대한 기밀여부 확인을 요청 받았다. 아마도 당시에 그 기관은 ‘T’사가 엔진 시제품을 단기간(1년)에 개발된 것에 주목하고 기술유출관련 탐문 수사하던 중에 ‘T’사 내부 자료를 입수하고 확인하던 중이었다.

자료 확인결과, 당시 회사자료와 일치되는 기밀자료로 확인됐고 회사에 재직했던 임원을 포함한 총 85명이 ‘T’사로 이직해 근무하고 있다는 사실을 알게 되었다. ‘T’사와 관련된 조사는 해당 모 정부기관의 고위직이 회사경영진을 만나 수사에 대한 적극적인 협조를 요청하며 본격적으로 수사가 시작됐다.

그러나 조사를 본격적으로 시작한지 얼마 지나지 않은 2008년 초 어느 날, 갑자기 그 정부기관에서는 더 이상의 조사가 어렵다는 말과 함께 인천지검에 수사를 의뢰하여 조사를 진행해 줄 것을 요청했다(당시 미국의 ‘리먼’ 사태로 인한 경제위기 시절, 외자유치에 따른 정부 정책으로 ‘T’사 건에 대한 더 이상의 조사 진행은 곤란하다는 실무자의 말을 들었다).

그러는 가운데 2008년 6월 충남 보령시가 ‘T’사와 자동차 부품을 생산하는 공장 설립과 관련한 MOU를 체결하면서, 해당 정부기관은 회사에서 자체조사 및 수사를 인천지검에 의뢰하라며 빠져버렸다. 당시에 외자유치를 위한 보령시의 희망으로 좋은 조건으로 임대해 준 부지가 경쟁사가 될 수도 있는 ‘G’사 변속기를 만드는 공장 바로 옆이었고 그 크기도 2배 이상의 좋은 조건이었다.

보안부서는 수사 진행을 위해 인천지검 관계자와 몇 차례 접촉을 했지만, 정부기관으로부터 증거자료를 넘겨받지 못한 인천지검은 증거 부족의 이유로 조사가 힘들다는 말만 되풀이했다. ‘왜 정부기관에서 증거자료를 넘겨주지 않는지?’ ‘왜 수사에 적극적인 모습이 아닌지?’ 이해하기 힘들었다.

2009년 1월, 보안부서는 할 수 없이 해당회사 ‘T’사 문제를 국내 기밀유출 수사에 있어 가장 정평이 나 있는 서울 OO지검의 J검사와 고소관련 협의를 하게 되었다. 그러나 마찬가지로 정부기관에서 보유하고 있는 자료를 확보하지 못하는 한, 증거부족으로 수사 진행이 어렵다는 말만 되돌아왔다(추후 검토 의뢰를 받았을 때 ‘자료 Copy를 절대 하지 말아 달라’는 기관의 부탁을 잘 협조해준 것을 나중에 두고두고 후회했다).

공식적인 수사권이 없는 기업 보안부서에서는 더 이상의 자체 조사는 어려웠다. 고작 할 수 있는 일은 ‘T’사의 직원들에 대한 접촉 시도와 그 회사에서 퇴직한 일부 직원들로 얻을 수 있는 정보 수집이 고작이었다.

그렇게 8개월이 지난 9월 어느 날, 불시에 서울 OO지검에서 ‘T’사를 압수수색했고 증거물로 컴퓨터, 외장하드에서 차량의 설계도면 및 엔진부품도면 등이 확보됐으니 확인해 달라는 요청을 받았다.

갑작스런 통보에 어이가 없었다. 회사에서 일하던 직원들이 이직한 ‘T’사 직원과의 정보유출 대비차원이었는지는 모르겠지만, 그 동안 지속적인 협의를 통해서 진행하던 사건을 갑자기 일방적으로 진행한 것에 당황스러웠다. 그런데 진짜 문제는 압수수색 하루 전, 러시아 Tagaz 본사에서 신차 발표회가 있었고 회사 T차량과 유사한 신차를 이미 1,700대나 생산했다는 사실이었다.

서울ㅇㅇ지검에서 본격적인 조사가 진행됐다. 조사과정에서 ‘T’사에 근무하던 실장 이 새벽에 자살하고, 자살한 실장의 후배인 3대 일간지의 하나인 ‘D’일보 기자가 ‘T차량 기술유출’ 건으로 1면 특종을 실으면서 사건은 확대되고 수사 부담은 점점 더 커져갔다.

결국 2명이 구속되고 7명이 기소되면서 사건은 일단락되었고 법원의 가처분 결정으로 차량의 국내 생산 시판은 막을 수 있었으나 자료는 이미 유출됐고, 회사 내외부에 많은 문제점을 확인할 수 있는 계기가 됐다.  

나중에 안 일이지만 정부기관에서 가져온 자료는 ‘T’사에 불만을 품은 한 직원이 기관의 직원에게 제공한 것으로 확인됐고 ‘T’사는 국내에서 차체와 엔진 등을 제작, 핵심부품을 러시아로 반출한 뒤 조립 생산하여 시판할 계획이었음이 밝혀졌다.

또 상기 유출된 기술자료들은 대부분 직원들이 퇴직 전에 자료를 USB 등에 복사하여 몸에 감춰 반출한 것으로 확인됐으며 당시에 ‘G’사의 경영악화로 Technology Security 프로젝트들이 지연 또는 취소되지 않고, 미리 추진됐더라면 예방이 가능했던 것은 아니었을까 하는 아쉬움이 남는다.

어찌되었던 간에 그러한 정보검색 행위에 대한 정기적인 모니터링 및 외부저장장치 사용 등 보다 철저한 통제와 설비 투자가 있었더라면 어느 정도는 미연에 방지할 수도 있었던 케이스로 기억하고 있다.

그런데 무엇보다도 아쉬운 점은 이미 정보를 알고 있었고 증거자료도 확보했던 해당 정부기관의 적극적인 수사가 적기에 제대로 이루어졌더라면 자료유출은 물론 러시아 현지에서의 차량 생산을 막을 수도 있었다는 것이다.

사건 조사 이후에 관리 소홀에 대한 이유를 들어 기업에 모든 잘못을 전가하는 부분과 손실금액을 크게 부풀려 달라는 요청으로 피해를 입었던 기억은 아직도 고스란히 남아 있다.

결국 그들은 원하는 것을 얻었고 한껏 고무됐던 보령시민과 국가를 상대로 벌린 일종의 기만행각에도 그 회사는 지금도 국내에서 사업을 부분적으로 진행하고 있는 것으로 알고 있다. 이 외에 몇 가지 유출사건을 추가로 언급해 보고자 한다.

#사례 1.

조립라인 비정규직 직원인 ‘H’군은 전반부 야간작업을 마치고 식사를 하러 식당으로 이동 중, 한 쪽에 위장막이 벗겨진 채로 전시되어 있는 신차를 발견하고 전면 사진 후면사진 옆면사진 등 4장을 찍어 본인이 가입하고 있는 카페에 게시한다. 나중에 확인한 사항이지만 ‘H’군은 자동차를 무척 좋아했고 정규직으로 전환하기 위해 남들보다 더욱 열심히 근무하는 직원이었다.

다음날 보안부서에 어느 한 직원으로부터 제보가 들어왔다. ‘보배드림’이라는 사이트에 회사의 신차 모델이 게시되었다는 것이다(사실 신기하게도 국내 회사들의 신차는 양산하기 1~2개월 전에는 ‘보배드림’, ‘오토스파이넷’ 등의 사이트에 경쟁하듯이 신차와 관련된 사진들이 자주 올라온다. 해당 사이트에 법적으로 적극 대응하도록 하는 체계를 갖추어야 한다).

보안부서는 바로 조사에 착수했고, 조사가 시작된 지 만 하루가 채 안된 다음날 해당부서 책임자로부터 연락을 받았다. 비정규직 직원 1명이 ‘자기소행’이라며 자백하고 선처를 요청한다는 내용이었다.

내용은 지극히 단순했다. ‘차를 좋아해서 카페에 자랑하고 싶은 마음에 사진을 찍어 게시한 사건’이었다. 그러나 이미 차량 디자인은 유출됐고, 많은 관리상의 문제점들이 노출되어 당사자는 물론 관리책임자들도 징계를 피할 수가 없었다.

사고 이후에 생산라인의 신차 관리 규정을 재정립하고 비정규직을 포함한 공장 전 직원들을 대상으로 교육 프로그램 강화했으며, 사고사례로 다른 공장에 전파되는 등의 재발 방지를 위한 노력들이 계속됐다.

그러나 차라리 예방적인 차원에서 위장막 관리만 잘 했더라면, 또 사고 전에 비정규직 직원들에게 교육만 되었다면 ‘소 잃고 외양간 고치는 식’의 반복되는 조치는 피할 수 있었다는 것에 아쉬움이 많이 남았다.

#사례 2.

보안부서의 업무영역인 정보보안에 있어 업무적으로 가장 대립할 수 있는 분야가 마케팅 홍보분야다. 영업에 종사하는 직원들은 고객들에게 새로운 제품의 정보를 최대한 빨리 고객들에게 제공해 타사에게 뺏길 수 있는 잠재고객들을 확보하려는 성향이 강하다. 따라서 신제품에 대한 사진의 유출을 조사하다 보면 의외로 회사 내부 영업직원이 홍보 또는 영업의 목적으로 유출하다 적발하는 경우가 빈번했다.

어느 날 인터넷 사이트 ‘보배드림’, ‘오토스파이넷’ 게시판에서 신차의 전면 및 후면 사진이 유포되고 있는 사실을 발견하고 보안부서로 직원이 제보하는 사건이 발생하였다. 위 사실과 관련하여 보안부서는 경찰의 협조를 얻어 사진 유포자 확인을 의뢰했고, 영업소에 근무하고 있는 직원이 신차관련 교육 시에 앞에 세워진 신차의 사진을 촬영하여 인터넷 사이트 ‘보배드림’에 유포한 사실이 확인됐다.

이 사건 역시 신차를 전시하면서 관련 팀의 관리 소홀로 당시 주변에는 전시된 신차를 관리하는 직원조차 배치하지 않았으며 신차가 전시됐음에도 불구하고 촬영 등에 대한 교육 부재 등으로 결국 관련자 및 책임자는 사규에 의해 징계조치를 받게 됐다. 또한, 촬영당사자는 징계와 더불어 경찰에 고발되어 형사처벌까지 받게 된 사건이다.

이 사건으로 신규개발차량 운영 Procedure를 재정립하는 계기가 되었으며, 전 직원들을 대상으로 산업기밀 관련법 및 산업기밀보호 관련 안내서를 제작, 배포해 재교육을 실시하게 됐다.

#사례 3.

협력업체의 생산중단 요인 등의 리스크는 해당기업의 리스크로 바로 연결된다. 또, 회사 내에서 협력업체 직원들이 같이 공유하는 시스템을 갖춤으로써 협력업체의 Security Quality를 끌어 올리는 것도 해당기업을 위해 매우 주요한 사안임을 잊어서는 안 된다.

협력업체 P사는 자동차 내의 외장 플라스틱 사출 전문기업으로 자사 직원들의 Communication 활성화 및 동호회 성격의 인터넷 카페 ‘N’ 사이트 내에 개설해 운영했고 정보공유를 목적으로 P사 여직원이 카페내의 영업정보란에 해당기업 생산계획, 발주현황을 정보공유 차원에서 입력해 유포된 사건이 발생했다.

인터넷 카페 운영자가 승인한 사람만 접속할 수 있어 게시판 내용을 확인 가능할 수 있는 것으로 생각하고, 다른 사람들이 자료를 볼 수 있을 것이라고는 생각하지 못하고 게시한 사건이다.

물론 생산정보 유포에 대해 결코 악의적인 의도는 없는 것으로 조사결과 확인됐지만, 이미 한 직원의 실수로 인해 관련자료들은 유출되어 당사자는 책임을 피할 수 없었다.

결국 당사자는 그 회사에서 징계 및 인사조치됐고, 이를 계기로 협력업체 전체에 사례전파와 재발 방지를 위한 보안교육이 실시됐다. 또한 회사는 협력업체와의 Communication System의 문제점을 분석해 수정, 보완하는 계기가 됐다.

대부분의 기업들은 협력업체와의 Communication을 위해 정보 전달 시스템이 운용되고 있으며 이를 통해 협력업체에 생산정보 등을 전달하는 수단으로 활용하고 있다. 아무리 기업이 관리를 완벽하게 한다 해도 협력회사까지 체계적으로 관리하는 것은 한계가 있다. 그러나 협력회사 문제가 기업 문제로 직결된다는 차원에서 기업들은 협력업체의 보안체계 지원에도 관심을 가져야 할 것이다.  

[영업비밀 보호를 위한 행동수칙]

(가) 일반적인 유의사항

- 비밀이 포함된 문서나 자료 또는 폐지, 휴지는 반드시 폐기하며 단 한 장이라도 함부로 버리지 말아야 한다.

- 작은 정보라도 경쟁사에 큰 도움이 될 수 있다는 것을 명심해야 한다.

- 통제구역은 알 필요도 없고 갈 필요도 없으며 무단으로 출입하지 말아야 한다.

- 퇴근 때나 자리를 잠시 비울 때에는 방치되는 영업비밀관련 자료가 없도록 하는 것이 좋다.

- 전출 또는 퇴직 시 보유하고 있는 모든 비밀문서는 반납해야 한다.

- 내 주변에 누군가가 기밀을 탐지하고자 기도하고 있을 가능성을 항상 명심하여 보안상의 허점은 없는지 살펴보고 점검하는 것이 좋다.

- 보안의 취약한 부분은 항상 보안담당자에게 통보하고 조치하며, 보안사고 발생 시 은폐하지 말고 Security 부서에 즉시 보고하여 대처해야 한다.

- 내방객의 사무실 출입은 최대한 억제해야 한다.

- 공유폴더를 사용하는 경우에는 반드시 암호를 설정해야 한다.

- 바이러스 검색 및 예방 소프트웨어를 설치하고 초기 동작 시에 작동토록 하며 항상 최신 버전을 유지하도록 자동 업데이트 하는 것이 좋다.

- 시스템을 사용하지 않을 때나 자리를 비울 때는 반드시 로그아웃해야 한다.

- 외부로 메시지(e-mail, Data 등)를 전송할 때는 반드시 회사에서 지급한 계정만을 사용해야 한다.

(나) 피해야 할 행동

- 업무편의를 이유로 의도적으로 비밀등급을 하향 조정해서는 안 된다.

- 직위 등을 내세워 절차나 규정을 무시하지 않도록 해야 한다.

- 우리 부서에는 비밀이 될 만한 문서가 없다고 생각해서는 안 된다.

- 문서를 필요 이상으로 복사, 이면지로 사용하거나 함부로 휴지통에 버리면 안 된다.

- 영업비밀, 연구자료 등이 포함된 중요문서를 충분한 보안성 검토 없이 무단 폐기하여 외부로 반출되도록 해서는 안 된다.

- 퇴근 시 자료 및 서류를 책상 위에 그대로 방치하면 안 된다.

- 여행 시 술집 등에서 접촉하는 상대방에게 신원 확인 없이 자신이 알고 있는 회사 비밀을 과시하고 자랑하거나 업무내용을 알려주면 안 된다.

- 퇴직한 옛 동료나 혈연, 지연, 학연 등으로부터 요청을 받고 대외 보안이 요구되는 회사 비밀자료를 제공해서는 안 된다.

- “규정은 규정이고 현실은 현실이다, 보안수칙은 업무를 저해하는 번거로운 것이다”라고 생각, 보안수칙 및 절차를 무시해서는 안된다.

- 사내 정보를 허가되지 않은 개인용 컴퓨터 또는 Web Hard 등 저장매체에 저장, 사용해서는 안된다.

- 직원 사용자 ID를 타인에게 대여하거나 Password를 알려주면 안된다.

(다) 영업비밀 보호를 위한 임직원의 책임

- 영업비밀 보호정책 및 이와 관련된 회사 내의 모든 규정들을 준수해야 함.

- 재직기간 동안이나 퇴직 후에도 권한 없이 이루어지는 모든 규정들을 준수해야 함.

- 영업비밀의 유용성과 보전성, 보안성을 해치는 어떠한 행위에도 관여하지 않아야 함.

- 영업비밀 침해가능성에 대해 회사의 경영진이나 Security부서로 통보해야 함.

- 회사의 전산 및 통신자원을 회사의 업무적인 용도로만 사용해야 함.

- 영업비밀은 화재, 도난, 파괴로부터 보호되고 외부인의 접근을 방지할 수 있는 적절한 보안영역 내에 보관해야 함.

- 영업비밀을 보관하고 있는 부서(팀)장은 누설, 도난, 분실, 손괴 등의 방지를 위한 감독을 이행해야 함.

(라) 영업비밀의 지출, 대출, 열람

- 업무상 영업비밀을 사외로 지출할 경우에는 영업비밀 지출 승인서를 작성해 비밀지출 승인권자의 승인을 득하여 지출해야 함.

- 사외로 지출된 영업비밀은 업무 종료 후 지출부서가 회수하여 파기해야 함.

- 영업비밀을 대출하거나 열람하게 할 경우에는 보안성 여부에 대한 검토가 이루어져야 함.

※ 이런 사람이 산업 스파이??

- 업무와 관련 없는 질문을 수시로 하는 사람

- 사진장비를 지나치게 많이 사용하는 사람

- 주요부서에서 근무하다 갑자기 사직하는 사람

- 업무를 빙자해 주요 기밀자료를 복사해 개인적으로 보관하는 사람

- 특별한 사유 없이 일과 후나 공휴일에 빈 사무실에 혼자 남아 있는 사람

- 기술 습득보다 고위관리자, 핵심기술자 등과의 친교에 관심이 높은 연수생

- 연구활동보다 연구 성과물 확보에 지나치게 집착하는 연구원

[글_ 백 봉 원 ASIS International Korea Seoul 사무총장

(메일 : jhpaik100@daum.net / 카페 : http://cafe.naver.com/securitycso)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>