[창간 10주년] “기밀유출 90% 이직때 발생… 초기 대응이 관건”

“핵심기술 유출 이렇게 대비하라”…변호사 5인 지상좌담

기업이 오랜 기간 연구하고 쌓아온 핵심 기술은 신종 코로나바이러스 감염증(코로나19) 사태 이후를 지탱할 중요한 자산이다.

기업들은 지속가능한 발전의 원천인 기술 보호에 많은 투자를 하고 있다. 다만 대기업과 달리 중소기업은 대응력이 부족한 게 현실이다. 기술을 훔치는 수법은 갈수록 교묘해지고 있어 이에 대한 철저한 대비가 필요하다.

정부도 산업기술의 유출방지 및 보호에 관한 법률(산업기술보호법) 등 관련법 개정을 통해 기업의 성장동력 보호를 지원 중이다. 2월부터는 외국 기업이 국가 핵심기술을 보유한 국내 기업을 인수할 때 정부 승인을 받도록 했다. 그러나 크고 작은 기술 유출 사고가 계속되고 있다.

이투데이는 산업기술 보호 분야 전문 변호사 5인과 지상좌담을 통해 현 상황을 진단하고, 기술 유출을 효과적으로 예방하기 위한 해법을 제시한다. 전문가 5인은 김지현 법무법인 태평양 변호사(사법연수원 26기), 이광욱 법무법인 화우 변호사(28기), 임보경 법무법인 세종 변호사(30기), 임형주 법무법인 율촌 변호사(35기), 장선 법무법인 광장 변호사(29기)다.

좌담은 ①산업기술보호법 등 제도적 보완점 ②기술유출 방지를 위한 핵심 포인트 ③내부 역량 체크 및 외부 도움 방법 ④유출 사고 발생 시 대응 등 네 가지 질문에 대한 답변으로 진행됐다.

김지현 "인적ㆍ물적 관리 시스템 강화"

①국가 핵심기술의 수출이나 거래와 관련한 규제에 있어 ‘수출’의 의미에 대해 다소 폭넓은 해석을 해 산업부에 신고 또는 승인을 받도록 하고 있다. 그런데 실제로 어느 정도의 이전 행위까지 수출 등에 해당하는 것으로 해석해야 하는지에 대해 해석상 논란이 되고 있어 입법적으로 규정하고 예외사유도 명확히 한정할 필요가 있다.

②해당 기업의 실정이나 기술 분야에 가장 맞는 시스템 운영과 사후적 관리, 지속적 시스템 보완 등이 필요하다. 결국 사람의 문제이고, 기술 유출의 90% 이상은 이직이나 퇴직 과정에서 생기는 만큼 임직원의 입퇴사 시점에서의 관리가 가장 중요하다. 퇴직 시 관리 프로그램의 체계적 정비도 필요하다. 아울러 교육, 컴플라이언스 활동 등을 통한 상시적 관리 역시 중요할 것으로 보인다.

③제도적, 인적, 물리적 관리시스템을 만들고 각 시스템이 제대로 작동하는 준법경영이 자리 잡도록 할 필요가 있다. 제도적 관리는 기업의 영업비밀관리 규정, 보안 규정, 관련 사규 영역, 인적 관리는 직원의 입퇴사 프로세스 관리, 입퇴사 관련 규정, 각종 비밀유지 계약 및 서약, 각종 교육 시스템의 문제이고, 물리적 관리 영역은 보안 조치나 전산자원 관리, 컴퓨터 보안 시스템 등 접근 통제와 관리의 영역이다.

④신속한 대응과 피해 최소화를 위한 법적 대응책 마련이다. 어떤 상황에서 어느 정도 유출된 것인지를 진단하고 그에 맞게 대응책을 마련해야 하므로 포렌식 수단 등을 통한 정확한 분석과 그에 맞춰 민·형사상의 대응 방향을 신속히 결정해야 한다. 특히 형사적 수단의 적극적인 활용과 시기가 가장 중요한 대응책이 될 수 있으므로 사건 초기 실체 파악과 더불어 형사적 조치가 가능한지에 대한 입장 정리가 필요하다.

이광욱 "기술보호 기업에 인센티브를"

①급변하는 기술환경 변화를 반영해 국가 핵심기술을 발굴, 변경하고 조정하는 실질적 조치는 미흡하고 국가 핵심기술 보유기관이 보호조치를 잘 이행하고 있는지를 점검할 수 있는 행정력 등이 부족한 것이 현실이다. 아울러 산업기술이 유출됐을 경우 신속한 법적 구제를 받을 수 있는 수단도 충분하지 않아 보인다. 법률 정비 외에도 산업기술 보호에 적극적인 기업에 인센티브를 주는 당근 정책도 병행해야 한다.

②기술유출을 방지하기 위해서는 △철저한 보안 인프라 구축 △개발인력에 대한 실질적 보상시스템 정립 △제품별로 적절한 지식재산권 보호 방안 강구 △개발ㆍ제조 프로세스의 모듈화 등 시스템을 사전에 구축하고 있어야 한다. 하나라도 소홀하면 기술은 유출될 수밖에 없다. 경제적 투자 외에도 경영진의 관심과 의지가 무엇보다 중요하다.

③체크리스트를 구비해 정기적으로 모니터링하는 작업이 필요하다. 보안 인프라와 관련해서는 모의 해킹 등 외부 정보기술(IT) 업체의 실사를 받는 것도 좋다. 로펌이나 회계법인 등에 모두가 윈윈할 수 있는 보상 액수와 지급 방법 등에 관한 자문을 미리 구하는 것도 방법이다.사전 컨설팅을 통해 효율적이고 안전한 모듈화 프로세스에 관한 청사진을 얻을 수도 있다.

④기술유출 사실을 알게 된 즉시 △유출원(어느 부서에서 누구로부터 어떠한 방식으로) △유출된 기술 △누구에게 전달됐는지 △유출로 인한 회사의 피해 정도 등 사실관계를 확인해야 한다. 이후 국내외 사안인지, 경쟁사로 기술이 넘어갔는지, 회수가 가능한 기술인지, 승소 가능성 등 규범적 판단을 보태 법적 조치 여부를 결정해야 한다. 법적 조치를 하기로 했다면 피해 최소화를 고려해 형사·민사·행정 소송 중 선택해야 한다. 언론 대응도 필수적으로 고려해야 한다. 사내 기술보호 취약점이 발견된 경우 보완 대책을 강구해야 한다.

임보경 "개인 USB 사용 못하게 통제해야"

①최근 도입된 자료제출명령제도의 경우 자료 소지자가 제출을 거절할 정당한 이유가 있는 경우를 예외규정으로 두고 있다. 그럴 때 자신의 영업비밀임을 이유로 자료제출을 거부하면 제출명령이 발령되지 않을 수 있다. 따라서 특허법의 경우처럼 영업비밀임을 이유로는 자료 제출을 거부하지 못하도록 규정하고 제출명령 불응에 대한 제재를 규정할 필요가 있다.

②회사의 중요한 기술자료는 직원들이 개인적으로 저장, 보관하지 못하도록 중앙서버를 통해 관리하는 것이 바람직하다. 특히 출장 등 직원들이 개별적으로 자료를 저장해 소지해야 할 경우 개인 저장장치를 사용하지 못하도록 해야 한다. 회사에서 교부하는 저장장치만 사용하도록 하되 읽기만 가능하고 복제가 불가능한 보안 저장장치를 사용하는 것이 바람직하다. 직원들이 퇴사한 경우 사용하던 PC나 노트북은 바로 재사용하는 것보다 일정 기간 보유하거나 포렌식 등을 통해 자료의 유출 가능성 여부를 확인해야 한다.

③기술자료에 대한 비밀 표시나 등급별 관리 등과 같은 물리적 보안조치는 기업이 내부적으로 체크하거나 전문 보안업체의 협력을 받아 처리할 수 있는 부분이다. 그 외에 비밀유지계약이나 전직금지약정 등과 같은 사전적 보호조치에 해당하나 법률문서의 작성이 필요한 경우는 전문적 로펌의 자문을 받는 것이 필요하다. 특히 기술유출이 의심되는 정황이 발견된 경우에는 초기 단계에서부터 자문을 받아 가장 바람직한 처리 방향을 모색하는 것이 중요하다.

④민사소송 절차를 통해 기술유출 사실을 입증하는 것은 매우 어려운 것이 현실이다. 따라서 기술유출 사건의 성패는 형사절차를 통한 증거확보의 성공 여부에 좌우되는 것이 일반적이다. 특히 형사절차를 통한 증거확보는 압수수색이 실효적으로 진행되는지에 따라 성패가 좌우된다. 회사 내부에서도 기밀을 유지하면서 법적 조치를 준비하는 것이 매우 중요하다. 더불어 피해자 측 입장에서 수집할 수 있는 기초 증거자료를 충분히 확보해야 한다.

임형주 "주기적인 영업비밀 교육 필요"

①2월 개정을 통해 산업기술보호법의 절차적 제도들이 대폭 보완됐다. 특히 기술유출 사건에 대한 형사처벌이 대폭 상향됐다. 무엇보다 유관기관인 국가정보원에 조사 권한이 부여돼 산업기술 보유 기업에 대한 보호가 확대됐다. 앞으로의 과제는 새롭게 마련된 제도들을 잘 운용해나가는 것이다. 특히 수사와 재판 절차가 신속히 이뤄져야 하고 피해 회사의 수사 대응, 공판절차 지원 시스템이 있으면 더욱 좋을 것이다.

②기초작업은 인적 리스크를 줄이는 것이다. 기술이 발전하면서 정보보안 관련 기술들도 상당히 진보했고, 사실 많은 기업이 기술적 조치는 갖추고 있다. 그러나 이를 제도적으로 뒷받침하지 못하고 사람을 관리하지 못하면 큰 의미가 없다. 기술유출 사건의 상당수는 사람의 부주의와 실수로부터 시작된다. 직원들에게 주기적으로 영업비밀에 관한 교육을 하고, 유출 시도가 항상 모니터링되고 있다는 사실을 인지시키는 것이 매우 중요하다.

③입퇴사 과정에서 기술보호를 위한 절차와 서식들이 잘 마련돼 있는지 체크해볼 필요가 있다. 내부 역량만으로는 진단 및 제도개선이 어렵거나 전자증거에 대한 포렌식 등 실질적 조사가 필요하거나 그 과정에서 개인정보 침해 이슈 등이 생길 때 로펌에 관련 업무를 의뢰하는 것이 좋다.

④기술유출 사건은 조기에 발견하고 회사 차원에서 통일적으로 대응하는 것이 가장 중요하다. 여러 루트로 조사하거나 시간이 지체되면 내부 정보가 흘러나가 증거인멸의 우려가 있기 때문이다. 기술유출 사건의 발생을 인지하면 쉬쉬하거나 덮으려고 하지 말고 유출한 자에게 정보가 들어가지 않는 범위 내에서 신속하게 유출 사실을 알리고 관련기관, 법률 전문가에게 도움을 요청하는 것이 바람직하다.

장선 "中企, 특허청 산하 보호센터 활용을"

①국가의 핵심 기술을 보호한다는 명분으로 국가 핵심기술의 범위를 다소 광범위하게 지정하는 경향이 있다. 이는 기업의 영업상 자유에 상당한 제약이 돼 급변하는 산업 환경 변화에 즉각적으로 대응하는 데 어려움을 줄 수 있다. 핵심기술의 범위가 과도하게 지정되지 않도록 기업의 의견을 고려하는 등 운용의 묘를 살릴 필요가 있다.

②물리적 보안시스템의 구축만으로 기술 유출 대부분을 차단할 수 있는 것으로 오해하는 경향이 있다. 그러나 직원의 행동을 규율하는 회사 내부적 제도 정비가 더 근본적인 대비책이라는 점을 유의해야 한다. △사내규정·보안규정 등이 제대로 갖춰져 있는지 △핵심 임직원으로부터 보안서약서·비밀유지서약서 등을 제대로 받고 있는지 △회사 중요 정보에 ‘대외비’ 등 비밀 표시를 제대로 하고 있는지 △회사 간 중요 거래에 있어 상대방과 비밀유지계약을 체결하고 있는지 △임직원 퇴사 시 보유자료의 반납, 폐기 등을 위해 필요한 절차를 마련해 두고 있는지를 확인하고 미비점을 보완해야 한다.

③기술유출 방지를 위한 제도, 시스템 구축은 기업별, 업종별로 개별적인 특수성이 있다. 관련 분야에 경험이 많은 로펌과의 협력으로 실사를 통해 회사의 개별적인 문제점을 확인하고 대비책을 마련할 수 있다. 중소기업의 경우에는 특허청 산하의 영업비밀보호센터로부터 도움을 받는 것을 고려할 수 있다.

④기술유출 분쟁은 민사 문제와 형사 문제가 서로 얽혀 있고, 기술 및 법률과 관련된 다양한 문제들이 동시에 쟁점이 되는 복합적인 분쟁이다. 이러한 분쟁의 성질을 고려하지 않은 사건 초기의 부분적인 대응은 전체의 흐름을 망치는 결과를 초래하는 경우가 많다. 사건의 초기부터 전체에 대한 포괄적인 대응책을 마련하는 것이 필요하다. 종합적인 도움을 제공하는 로펌을 선정해 신속하게 대응하는 것을 고려할 필요가 있고 국가정보원으로부터 협조받을 수 있다는 점을 알아 둘 필요가 있다.