[2026 개인정보보호 우수사례-3] KOTRA, 기관장 주도의 실천 캠페인... 일상 속 스며든 보안 문화

C등급에서 S등급으로 3년 만에 최고 수준 달성... 경영진 의지가 빚은 결실
세계 86개국 132개 무역관 아우른 관리망 및 업적평가 연동으로 실행력 제고

[보안뉴스 조재호 기자] 국내외 기업 고객과 해외 바이어를 이어주는 대한무역투자진흥공사(KOTRA)가 정보보안 및 개인정보보호 경영시스템(ISO 27001, 27701) 국제표준 동시 획득에 이어 보호수준 평가 S등급을 달성했다. 경영진의 리더십과 촘촘한 관리체계를 바탕으로 86개국 132개 무역관을 연결하는 방대한 정보 네트워크 속에서도 암호화 실행과 생애주기 관리를 업적 평가에 연동시키는 등 전사적인 보호 문화 확산이 빛을 발했다는 평가다.

이번 성과는 지난 2023년 C등급에서 출발해 2024년 A등급을 거쳐 3년 만에 이뤄낸 비약적인 결실이라는 점에서 공공기관 개인정보보호 관리의 모범사례로 주목받고 있다. KOTRA는 1962년 무역진흥과 국내외 기업 간 투자 지원을 위해 설립된 산업통상자원부 산하 준정부 기관이다. 전 세계 방대한 네트워크를 관리하는 만큼 철저한 정보보안이 필수적이다.

전 세계 86개국 네트워크 아우르는 촘촘한 보호 체계와 실행력
KOTRA의 핵심 경쟁력은 국내외 고객과 해외 바이어, 투자가를 잇는 방대한 데이터를 안전하게 다루는 개인정보보호 체계에 있다. 공사는 해외 86개국 132개 무역관과 국내 12개 지방지원본부에서 수집되는 고객 정보 관리를 위해 2011년부터 부서별 개인정보보호 책임자 및 담당자 214명을 지정해 운영 중이다. 이들은 각지에서 생성되는 개인정보의 암호화와 생애주기 관리를 현장에서 직접 이행하며 방어망을 구축하고 있다.

이러한 전사적 보호 체계의 근간에는 기관장을 비롯한 경영진의 전폭적인 관심과 투자가 자리하고 있다. 지난해 AI무역투자본부장(CPO)가 주재한 ‘개인정보보호 협의체’를 신설해 부서 간 공조 체계를 한층 공고히 했다. 특히, 개인정보 암호화 실행 여부와 생애주기 관리 실적을 부서 업적 평가와 연동시켜 현업의 실행력을 획기적으로 끌어올렸다. 지난 2024년부터는 우수 기여자를 발굴해 연말 특별유공 포상도 시행하고 있다.

조직 문화 혁신을 위한 노력도 돋보인다. 지난해 9월, 강경성 사장 주도로 ‘개인정보보호 실천 다짐식’을 개최해 전 임직원의 실천 의지를 모았다. 또, 표어 공모전과 사내 퀴즈대회, 출근길 캠페인, 실천 수칙 스티커 배포를 비롯해 로비와 엘리베이터에 연중 실천 수칙 영상을 송출해 자료 파기와 암호화 등 일상 속 자연스러운 보호 활동을 장려하고 있다. 실무진의 법규 준수를 돕기 위해 부서별 맞춤형 컨설팅, 수집 동의서 검토, 위탁 계약 체결 지원 등 현장 밀착형 지원도 병행 중이다.

AI 시대 대비한 선제적 예방 중심 패러다임 전환
KOTRA는 규제 준수를 넘어 급변하는 기술 환경에 맞춘 미래형 보안 체계 구축에도 박차를 가하고 있다. 2025년 개인정보 유출 기관에 대한 경영평가 페널티 정책 발표에 발맞춰 실제 유출 사례를 각색한 시나리오 기반 모의훈련을 실시해 경각심을 고취했다. 나아가 2026년 대대적인 개인정보보호법 개정에 선제 대응하고자 지난 4월 사장고 부서장, 외부 전문가가 참여하는 ‘KOTRA 개인정보보호 전략회의’를 열어 기관의 보안 패러다임을 사후 대응에서 ‘사전 예방 중심’으로 완전히 전환했다.

AI 고도화에 따른 보안 위험에도 선제적으로 대비하고 있다. 2024년부터 AI 보안 솔루션을 가동해 생성형 AI 사용 시 데이터 입출력을 실시간 관리 중이며, 올해는 ‘AI 경영시스템 국제표준(ISO 42001)’ 인증 획득을 추진한다. 내년에는 ‘AI 수출비서’ 등 신규 서비스 도입에 맞춰 데이터 유출 위험을 원천 차단할 ‘개인정보 필터링 솔루션’을 추가로 구축할 계획이다.

강경성 KOTRA 사장은 “이번 S등급 획득은 임직원들의 적극적인 참여로 이뤄낸 값진 결실인 만큼 앞으로도 일상 업무 속에서 개인정보보호를 철저히 실천해 나가겠다”고 말했다.

[조재호 기자(zephyr@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다