쿠팡, 매출 대비 정보보호 투자 비율 0.2% 기록

보안 투자 현황 및 글로벌 비교

쿠팡의 2024년 기준 매출 대비 정보보호 투자 비율은 약 0.2% 수준입니다. 이는 글로벌 이커머스 기업들과 비교해 현저히 낮은 수치입니다.

• 아마존: 매출 대비 약 1.01.4% 투자 (쿠팡의 57배 수준)
• 알리바바: 매출의 약 1.5% 내외를 보안 및 데이터 컴플라이언스에 투입

정보보호 거버넌스의 문제점

차경훈 한국투명성기구 정책위원은 이번 사태를 단순한 보안 사고가 아닌 '디지털 거버넌스의 붕괴'로 정의했습니다. 구체적인 결함으로는 다음 사항들을 꼽았습니다.

1. 내부통제 실패: 퇴직자의 인증키가 장기간 방치되었으며, 비인가 접근을 약 5개월 동안 탐지하지 못했습니다.
2. 형식적 모니터링: 로그 모니터링과 경보 체계가 구축되어 있었으나 실제 위험을 조기에 식별하는 수준에는 미치지 못했습니다.
3. 조직문화 결여: 최고경영진의 보안 의지 부족과 프라이버시를 경시하는 조직문화가 리스크를 키웠습니다.

사고 대응의 부적절성

쿠팡은 초기 피해 규모를 4,500건으로 신고했다가 10일 만에 3,000만 건 이상으로 정정했습니다. 또한 '유출'이라는 표현 대신 '노출'이라는 완화된 용어를 사용하여 사건의 심각성을 낮추려 했다는 비판을 받았습니다.

책임 구조의 비대칭성

김범석 쿠팡 의장이 한국 법인 등기이사에서 물러나 있는 지배구조 역시 문제로 제기되었습니다. 실질적 의사결정권자가 국내 법인 등기이사에서 제외되어 있어, 중대한 사고 발생 시 책임 추적성과 투명성이 저하되는 '권한-책임 비대칭 구조'가 형성되어 있습니다.