[창업·스타트업 이슈] 정보보호 공시 확대, 상장을 준비하는 스타트업은 투자보다 운영 기록을 먼저 남겨야 한다

성장기업의 회의실에서 정보보호는 오랫동안 개발 일정 뒤에 놓이기 쉬운 항목이었다. 그러나 2026년 10월 20일 국무회의에서 의결된 시행령 개정안은 이 순서를 바꾼다. 2027년부터 정보보호 공시 의무 대상은 유가증권시장과 코스닥시장 전체 상장법인, 정보보호 관리체계(ISMS) 인증 의무대상자 등으로 확대된다. 당장 모든 스타트업에 같은 의무가 생기는 것은 아니지만, 상장과 규모 확대를 준비하는 기업에는 보안 운영 기록이 경영 인프라가 된다는 신호다.

대상 확대의 핵심은 ‘얼마나 썼는가’만이 아니다

과학기술정보통신부 발표와 국무회의 브리핑을 대조하면 이번 개정은 기존 대상 범위를 넓히는 데서 그치지 않는다. 공시 대상 판단에서 상장법인의 최고정보보호책임자 지정 여부와 매출액 3천억 원 기준을 삭제해 전체 유가증권·코스닥 상장법인으로 넓히고, ISMS 인증 의무대상자를 포함한다. 이용자 수 산정 기준도 전년도 말 기준 직전 3개월 평균에서 전년도 평균으로 바꾸는 방향이다. 공공기관·소기업·금융사업자·전자금융사업자 등에 적용되던 제외 조건을 삭제하는 내용도 정부 입법자료에 담겼다.

따라서 공시 준비는 연말에 숫자를 모아 표를 만드는 일이 아니다. 정보기술 투자와 정보보호 투자를 어떤 기준으로 구분했는지, 전담·겸임 인력을 어떻게 산정했는지, 사고 예방과 대응 절차가 실제 조직도와 계약에 반영됐는지를 설명할 수 있어야 한다. 공개되는 항목이 기업의 보안 수준 전부를 증명하지는 않지만, 수치와 운영 체계가 서로 어긋나면 투자자와 고객의 질문은 더 구체적으로 변한다.

상장 전부터 기록 체계를 만들어야 비용이 줄어든다

프리IPO 단계에서 뒤늦게 자료를 모으면 클라우드 비용, 외주 개발비, 보안 솔루션 비용, 인건비가 한 계정에 섞여 산정 기준을 다시 만드는 일이 생긴다. 반대로 월별로 보안 관련 지출의 목적과 담당 부서를 표시하고, 인력 변동과 교육·점검 이력을 같은 기준으로 남기면 공시뿐 아니라 실사 대응도 수월해진다. 핵심은 큰 예산이 아니라 반복해서 설명 가능한 분류 규칙이다.

B2B 스타트업에도 변화가 먼저 나타날 수 있다. 공시 의무를 지는 상장 고객사는 공급망의 접근권한, 로그 보관, 취약점 조치, 사고 통지 절차를 계약 단계에서 확인하려 한다. 납품사가 공시 대상이 아니더라도 보안 문서와 실제 운영이 맞는지 묻는 요구는 강화될 가능성이 높다. 제품팀과 영업팀이 서로 다른 답을 내놓지 않도록 고객용 보안 답변서, 내부 증빙 위치, 책임자를 연결해 둘 필요가 있다.

‘대상 여부’와 ‘준비 수준’을 분리해 판단한다

첫 단계는 2027년 적용 대상에 해당하는지 법무·보안 담당자가 최신 시행령과 ISMS 의무 기준으로 확인하는 일이다. 상장 계획이 있다는 이유만으로 현재 의무가 확정됐다고 볼 수 없고, 반대로 소기업이라는 이유만으로 이후 공시·인증 요구와 무관하다고 단정해서도 안 된다. 공시 의무, ISMS 인증 의무, 고객사의 계약 요건은 서로 다른 기준이므로 한 표에 섞지 않는 편이 안전하다.

두 번째는 현재 상태를 수치로 남기는 일이다. 보안 투자, 인력, 인증, 교육, 모의훈련, 침해사고 대응을 월별 기록으로 만들고 증빙 책임자를 지정한다. 세 번째는 공시 문구와 실제 통제의 일치 여부를 점검하는 일이다. 권한 회수 기록이 없다면 ‘접근통제를 운영한다’는 선언보다 퇴사자 계정이 언제 닫히는지부터 확인해야 한다. 2027년 확대는 내년 한 번의 서류 작업이 아니라 성장기업이 보안을 경영 언어로 번역하는 출발점이다.

정보보호 공시는 화려한 인증 배지를 추가하는 절차가 아니다. 기업이 어떤 위험을 알고 어디에 사람과 비용을 배치했는지, 사고가 생겼을 때 누가 어떤 기록으로 대응하는지를 외부에 설명하는 장치다. 상장을 준비하는 스타트업의 경쟁력은 보안을 완벽하다고 말하는 데 있지 않다. 확인 가능한 기록을 축적하고, 부족한 통제를 계획과 책임자로 연결하는 데서 신뢰가 만들어진다.

기자 소개｜김용한 김용한 기자는 경영학 박사이자 경영컨설턴트로, 지자체·공공기관의 정책기획과 국비공모, 창업·마케팅 분야 교육·컨설팅을 수행해 왔다. 현재 엠아이넥스트와 국비공모랩 대표로 지역 현장의 문제를 실행 가능한 사업과 연결하는 데 주력하고 있다.