Journal Archive

국내의 경우 지속적으로 개인정보유출사고가 발생함에 따라 개인정보를 보호하기 위해 2011년에 개인정보보호법을 제정하였고, 정보통신망 이용 촉진 및 정보 보호 등에 관한 법률 제47조에 ISMS 인증과 개인정보보호관리체계 (PIMS; Personal Information Management System)³⁾ 인증에 대한 근거 조항이 마련되어 있다[22]. ISMS 인증 의무대상은 연간 매출액 또는 세입 등이 1,500억 이상이거나 정보통신서비스 매출액 100억 또는 일일평균이용자 수 100만명 이상인 사업자나 기관을 대상으로 한다. 한편, 투자자들의 의사결정에 반영될 수 있도록 정보보호 공시제도를 통해 최대 인증수수료의 40%를 감면해 주고 있다 (미래창조과학부 정보보호 공시 가이드라인 2016). 또한 한국인터넷진흥원에 의하면 인증제도 취득 시 IT관련 정부과제 입찰 시 인센티브를 부여하고, 한국기업지배구조원의 상장기업대상 ESG(Environmental Social Governance) 평가에 반영 한다[23].

한국인터넷진흥원에 따르면, 2017년 기준으로 ISMS와 PIMS 인증을 유지하고 있는 기업은 각각 532개, 68개로써 저조한 수준이다. 하지만 ISMS의 경우, 2012년에 제도권으로 편입되면서 2012년 152건에서 2017년 532건으로 의무인증 대상은 증가하는 추세에 있다. 한편, 인증에 필요한 비용이 2억원 가량 발생하고 유지하는데 추가적인 비용이 소요되기 때문에, ISMS 의무 인증 대상이 인증을 받지 않고 과태료 3,000만원을 납부하고 마는 경우도 늘고 있어 앞으로 기업의 인식변화와 정부 정책의 보완이 요구된다.

우리나라의 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제2조에서는 침해사고를 “해킹, 컴퓨터바이러스, 논리폭탄, 메일폭탄, 서비스 거부 또는 고출력 전자기파 등의 방법으로 정보통신망 또는 이와 관련된 정보시스템을 공격하는 행위를 하여 발생한 사태”로 정의하고 있다.

보안사고와 관련한 초창기 연구들은 사건연구방법론을 통한 보안사고의 주가반응에 초점을 두었으며 대다수의 연구들에서 부정적인 영향을 미친다는 결과를 제시하였다[6], [24-26]. 뿐만 아니라 동일 산업 내의 다른 기업들의 주가에서도 부정적인 영향을 미치는 것으로 나타났다[27]. 최근의 연구에서는 보안사고에 따른 기업가치 하락에 대응하기 위한 연구가 활발히 진행되고 있다. 가장 최근의 연구로 [28]는 얘기치 않은 정보보안사고는 기업 명성에 악영향을 미쳐 단기뿐만 아니라 장기적으로도 기업가치를 하락시키지만, CSR(Corporate Social Responsibility) 점수가 높은 기업들에서 부정적인 영향이 낮게 나타남을 확인하였다. 따라서 CSR 투자 활동을 강화하는 것이 부정적인 충격에 대응하는 방안이라고 주장하였다. 논문[29]는 기존의 연구들과 마찬가지로 정보유출은 기업가치에 악영향을 미치는 연구결과를 보고하였으며, 특히 명성이 낮은 기업일수록 부정적 영향이 더 크다는 결과를 제시하였다. 또한 정보유출 이후 기업들의 대응전략 유형에 따른 효과를 분석한 결과 이미지쇄신과 완화 전략 만이 기업 명성이 낮은 기업들에서 효과적임을 도출하였다. 따라서 기업의 명성은 보안사고로 발생하는 기업가치를 방어하는데 중요한 자산이라고 주장하였다. 그 외 침해 사고와 관련한 재무적 성과 측면의 연구에서는 침해 사고 직후 단기적으로는 재무적 성과에 영향을 미치지 않았지만 중장기적으로 수익성이 감소하는 것으로 나타났다[7].

국내의 연구에서도 침해 사고와 기업의 주가 반응에 관한 연구가 주류를 이루고 있으며 주가에 부정적인 영향을 미친다는 일관된 결론을 보고하고 있다. 논문[12]는 2003년부터 2013년까지 농협, 에스케이텔레콤, 다음 등 국내 11개 기업의 정보보안 사고 사례를 바탕으로 사건연구를 실시한 결과 보안사고 발생 하루 뒤의 주가에 직접적으로 부정적인 영향을 확인하였다. 논문[30]은 2000년부터 2015년까지 21건의 개인정보 유출사고가 발생한 상장기업을 대상으로 주가에 미치는 영향을 분석하여 개인정보 유출은 해당기업의 주가에 부정적인 영향을 미친다는 결론을 내렸으며, 투자 주체별 투자성과를 분석한 결과 외국인 및 기관투자자와는 달리 개인투자자는 순매도 매매 패턴을 보여 상대적으로 불리한 위치에 있음을 확인하였다. 논문[31]은 2011년부터 2014년까지 24개의 코스피, 코스닥 상장기업을 대상으로 한 연구에서 개인정보 유출사고 발생 시 IT서비스 및 소프트웨어와 관련한 정보보호 업체의 주가 상승을 근거로 침해사고는 관련 산업의 기업에게 까지 영향을 미친다고 주장하였다.

한편 일부 연구에서는 보안사고에 대한 주식시장의 차별적 반응에 대한 연구결과가 보고 되었다. 논문[11]은 2001년에서 2011년까지의 정보보안사고를 대상으로 조사한 결과 정보보안 사고의 발표는 전자상거래 기업에게만 장·단기간에 걸쳐 주가에 부정적인 영향을 미치는 것으로 나타났다. 논문[13]은 2005년부터 2014년까지 국내 보안사고 52건을 대상으로 사건연구를 실시하여 보안사고가 주가에 부정적인 영향을 미치는 결과를 확인하였다. 또한 기업가치를 나타내는 토빈의 큐(Tobin’s Q. 이하 토빈큐)⁴⁾가 1보다 크거나 0보다 작은 기업에서 더 높은 평균기대손실이 발생하는 것을 평판손실 때문이라고 주장하였다.

정보통신망 이용촉진 및 정보보호 등에 관한 법률 제42조에서는 정보보호(Information security)란 정당한 권한이 없는 자가 정보통신망에 접근·침입하는 것을 방지하거나 대응하고 정보의 불법 유출·변조·삭제 등을 방지하기 위한 기술적·물리적 보호조치 등으로 정의하고 있다. 국내에서는 정보보안이 정보유출, 징벌적 손해배상, 기업이미지 저하 등과 같이 기업의 안정성과 재무적 상태에 중대한 영향을 미칠 수 있기 때문에 2016년부터 정보보호 공시제도를 시행하고 있다. 이로써 정보보호는 기업에 대한 주주의 알권리 보장과 경영능력 요소로도 인정받기 시작하였다.

정보보안에 관련된 연구로 논문[32]는 대리인문제는 경영자의 재임기간동안 지나친 IT보안투자를 유발하기 때문에 장기적으로 기업의 재무구조를 약화시키는 부정적 결과를 가져온다고 주장하였다. 논문[33]은 영국, 미국, 독일과 스페인 기업들을 대상으로 ISO 27001(정보보안경영체계)인증이 기업의 주가에 미치는 영향을 사건연구를 통해 분석한 결과 의미 있는 영향을 발견하지 못하였다. 따라서 정보보호관리는 기업의 경쟁력 높이는 요소가 아닌 의무라고 주장하였다. 그러나 논문[34]는 118개의 사례를 대상으로 IT 보안에 대한 투자를 상업적 목적과 순수 보안 개선목적으로 분류하여 주가에 미치는 영향을 분석한 결과 선재적인 IT 보안투자는 상업적 이용이 목적일 때 더 높은 주가상승을 확인하였다. 또한 보안침해에 대한 대응으로써 보안투자는 순수 IT 보안개선을 목적으로 할 때 더 높은 주가상승결과를 가져왔다.

국내의 경우 논문[10]은 2001년부터 2005년 사이에 발생한 59건의 정보보안사고와 정보보안 투자 발표가 기업의 가치에 미치는 영향을 사건연구를 통해 분석하였다. 분석결과 정보보안사고는 주가에 부정적인 영향을 미치는 결과를 확인하였으나 정보보안 투자가 주가 미치는 영향을 발견할 수 없었다. 그러나 논문[18]은 한국과 미국의 금융기관을 대상으로 총 2,000개의 설문을 통해 한국금융기관에서 보안대책이 금융IT보안책임을 증가시키고, 금융IT 보안위험을 감소시켜 궁극적으로 기업성과에 긍정적인 영향을 미치는 것을 확인하였다. 반면에 미국의 경우 보안대책이 금융IT 보안책임증가에 유의한 영향을 주지는 않지만, 금융IT 보안위험감소에는 긍정적인 영향을 미쳐 기업성과를 높이는 것으로 나타났다. 논문[20]은 2009년부터 2013년까지 총 125개의 중소 · 중견기업을 대상으로 설문을 통해 수집한 400개의 표본을 바탕으로 기업의 보안투자는 단기적으로 기업의 매출에 부정적인 영향을 미치지만 장기적으로는 긍정적인 영향을 미친다는 결과를 보고하였다. 논문[19]는 정보통신기업을 대상으로 실시한 315개의 설문조사 표본을 분석한 결과 개인정보보호 이행이 균형성과지표(Balanced Scorecard)의 재무, 고객, 업무, 지속성장 관점의 기업 성과에 긍정적인 영향을 미친다고 주장하였다. 정보보호관리와 관련한 인증 측면에서는 논문[17]은 정보보호관리체계 인증을 취득함으로써 기업 이미지 제고와 홍보효과로 인해 매출액 증가와 침해사고 예방에 따른 비용절감 효과가 있다고 주장하였다. 논문[21]은 2002년부터 2015까지의 90개 표본을 대상으로 사건연구를 통해 기업의 정보보안인증 취득 관련한 언론보도가 기업의 주가에 단기적으로 긍정적인 영향을 미치고 있음을 확인하였다.

이 절은 침해사고가 야기하는 법률 리스크(Legal risk), 정부의 규제와 감시가 강화되는 제도 리스크(Regulatory risk), 그리고 기업 이미지에 타격을 주는 평판 리스크(Reputational risk)[15]에 대한 선재적 대응의 하나로써 ISMS 인증 취득이 기업가치 및 영업성과에 어떠한 영향을 주는지를 분석하는데 필요한 가설을 설정한다.

다수의 선행연구들은 정보침해 사고는 즉시, 직접적으로 시장에서 기업가치에 부정적인 영향을 미친다는 실증 분석 근거를 제시하고 있다[9, 10, 11], [13], [27-29]. 따라서 정보보호관리활동은 기업의 잠재적 보안 리스크를 줄일 뿐만 아니라[34] 비용절감과 매출액 증가 [17], [20]와 공공부문 사업자 선정 시 가산점 부여 등을 통해 기업의 영업성과를 높일 수 있을 것으로 예상된다. 또한 한국지배구조원에서 상장기업을 대상으로 한 지배구조, 사회책임경영, 환경경영의 수준(ESG) 평가에 반영하는 등의 다양한 정책적 혜택들을 고려해 볼 때 기업가치에 긍정적인 효과를 기대해 볼 수 있다. 이러한 논리를 바탕으로 다음과 같은 가설1과 가설2를 설정한다.

가설 1. 기업의 정보보호관리 활동은 기업의 영업성과를 높이는데 기여한다.

가설 2. 기업의 정보보호관리 활동은 기업가치를 높이는데 기여한다.

본 연구의 자료는 다음의 기준을 만족하는 기업을 표본으로 선정 하였다.

1) 2013년부터 2017년까지 유가증권시장에 상장된 비금융 기업2) 2013년부터 2017년까지 한국 인터넷 진흥원으로부터 ISMS 인증을 취득 또는 유지하는 기업3) 한국신용정보주식회사의 KIS-VALUE를 통해 재무제표 자료수집이 가능한 기업

표본은 2013년부터 2017년 사이 금융업종을 제외한 한국 상장기업이다. 금융업종은 업무의 특수성으로 인해서 상장법인 등의 회계처리에 관한 규정 제7조에 따라 이자 및 배당금 수익이 영업수익으로 구분되고 매출총손익을 구분하지 않는 등 일반 기업과 회계기준 및 재무제표 등에서 차이가 있기 때문에 제외하였다. 그리고 회귀모형에 포함된 모든 변수의 극단치 영향을 통제하면서 표본 손실을 최소화하기 위해 논문[35]가 제시한 상하위 1%의 값 조정(Winsorizing)을 실시하였다. 재무제표 결측치가 존재하는 기업을 제외하고 총 3,003개 표본의 패널 자료를 구축하였다. 이들 중 92개는 ISMS인증 취득 또는 유지하는 기업의 표본에 해당한다.

종속변수: 기업가치는 토빈큐(Tobin’Q)를 이용하여 측정한다. 자산의 대체원가 대비 시장가치를 나타내는 비율로서 무형자산 비중이 높은 IT기업의 기업가치를 나타내는데 적합한 측정방법이다[36]. 일반적으로 토빈큐의 값이 클수록 기업가치가 높게 평가되는 것으로 해석할 수 있다. 또 다른 종속변수인 기업의 영업성과 대용치는 당기순이익을 총자산으로 나눈 비율인 자산순이익률(ROA)을 사용한다[37].

관심변수: 기업의 정보보호관리를 나타내는 대용치로는 ISMS인증의 취득 또는 유지 여부로 측정한다. 2013년부터 정보통신망법에 따라 ISMS인증제도가 의무화되었다. 그에 따라 ISMS 인증 취득 기업은 급격히 증가하고 있다.

통제변수: 두 모형의 통제변수로는 공통적으로 기업의 특성을 나타내는 부채비율(LEV), 매출액성장율(GRW), 외국인지분율(FORE), 기업업력(AGE), 연도더미(YEAR), 산업더미(IND)를 선정하였다. 그리고 기업가치의 대용치인 토빈큐(TOBINQ)를 종속변수로 설정한 가설 2의 모형에 기업의 수익성을 나타내는 통제변수로써 자산순이익률(ROA)을 포함시켰다.

부채비율(LEV)은 자본조달순위이론[38]에 따르면 기업은 외부에서 자본을 조달하기보다는 기업 내부의 자본 사용을 선호하기 때문에 기업가치와 음(-)의 관계가 예상되지만, 신호이론[39]에 의하면 기업의 부채발행은 채권자들에게 투자에 대한 긍정적인 신호로 해석될 수 있어 기업가치와 양(+)의 관계 또한 예상되었다. 자산순이익률(ROA)과 매출액성장율(GRW)은 기업의 미래성장 가능성을 나타내기 때문에 기업가치와 양(+)의 관계가 예상하였다[40]. 외국인지분율(FORE)은 경영투명성을 나타내는 지표로써 기업가치를 높일 수 있어 기업가치와 양(+)의 관계가 예상하였다[41]. 기업업 력(AGE)은 기업의 수명주기에 따라 수익성 및 가치 관련성이 차별적으로 작용할 수 있고[42], 기업의 나이와 성장 간에는 음(-)의 관계를 보인다는 연구결과[43]를 바탕으로 기업가치와 음(-)의 관계가 예상되었다. 기업규모(SIZE)의 증가에 따른 대리인 문제와 정보불균형은 비용을 증가시키는 요인으로 작용하기 때문에 기업가치와 음(-)의 관계가 예상되었다 [44]. 마지막으로 산업간 차이를 통제하기 위해 한국표준산업분류⁵⁾ 중분류를 따르는 산업더미(IND)와 연도에 따른 경기변동영향을 통제하기 위해 연도더미(YEAR)를 모형에 포함하였다.

본 연구는 기업의 정보보호관리 활동이 기업가치 및 영업성과에 영향을 미치는지를 분석하기 위해 패널자료를 바탕으로 통합회귀분석을 실시하였다. 식(1)은 영업성과(ROA)를 종속변수로 설정한 회귀모형이고, 식(2)는 기업가치(TOBINQ)를 종속변수로 하는 회귀모형이다.

표 2는 주요변수들의 기술통계량과 관심변수인 정보보호관리체계(ISMS)의 인증 취득 기업과 일반 기업 간의 평균의 차이를 분석한 T-test 결과를 보여주고 있다. 종속변수인 기업가치(TOBINQ)와 영업성과(ROA)는 정보보호관리체계(ISMS)인증 취득 기업의 평균이 일반 기업에 비해 유의수준 1%에서 각각 0.589와 0.043 만큼 높게 나타나 본 연구의 가설을 지지하는 결과를 보여준다. 그 외 변수들로는 성장률(GRW), 외국인지분율(FORE)과 기업규모(SIZE)는 정보보호인증 취득 기업에서 통계적으로 유의하게 높은 결과를 보였다. 또한 기업업력(AGE)은 정보보호인증 취득 기업의 평균(31.865)이 비인증기업의 평균(39.513)에 비해 7.648만큼 유의수준 1% 수준에서 낮게 나타났다. 다시 말해서 정보보호인증을 취득한 기업의 기업가치와 성장성은 높고 기업규모(SIZE)가 큰 반면에 기업업력(AGE)은 짧은 것으로 나타났다.

표 3은 분석에 사용된 주요 변수들 간의 방향성과 강도를 보여주는 상관계수 값을 표시하고 있다. 본 연구의 종속변수인 토빈큐(TOBINQ)와 영업성과(ROA)는 관심변수인 정보보호인증(ISMS)변수와 양(+)의 상관관계를 나타낸다. 따라서 본 연구의 가설과 일치하는 결과를 보여준다. 또한 종속변수들 모두 매출액성장율(GRW), 외국인지분율(FORE)과도 양(+)의 상관성을 보인 반면에 부채비율(LEV) 음(-)의 상관관계를 보여준다. 그러나 기업규모(SIZE)는 토빈큐(TOBINQ)와 음(-)의 상관관계를, 영업성과와는 양(+)의 상관성을 나타내 서로 다른 결과를 보여 주었다. 이는 기업의 규모는 규모의 경제와 우월적 시장 지위로 수익성에 긍정적인 영향을 미치지만 투자자들에게는 상대적으로 저평가 받을 수 있음을 시사한다. 기업업력(AGE)은 토빈큐(TOBINQ)에서만 통계적으로 유의한 음(-)의 상관계수(-0.112)값을 나타내 선행연구를 지지하는 결과를 보였다.

표 4의 패널A는 가설1(기업의 정보보호관리 활동은 기업의 영업성과를 높이는데 기여한다)을 검정하기 위한 통합회귀분석 결과를 보여준다. 관심변수인 정보보안인증(ISMS)은 모든 모형에서 유의수준 1% 내의 양(+)의 회귀계수 값(0.056, 0.034)을 나타내 가설1을 지지하는 결과를 보여준다. 따라서 정보보호관리 활동은 기업의 영업성과에 긍정적인 영향을 미치는 것을 확인할 수 있다. 주요통제변수들은 모두 통계적으로 유의한 회귀계수 값을 가지며 부채비율(LEV)과 기업업력(AGE)은 음의 회귀계수 값을 나타낸다. 두 회귀모형 모두에서 F값은 1% 이내에서 통계적으로 유의하기 때문에 모형은 적합하다고 할 수 있다.

표 4의 패널B는 가설2(기업의 정보보호관리 활동은 기업가치를 높이는데 기여한다)를 검정하기 위한 통합회귀분석 결과를 제시한다. 모형1과 모형2로 나누어 분석하는 이유는 주요 통제변수를 제외할 때와 모두 포함시켰을 때 주요변수의 통계분석결과의 일관성을 살펴보기 위함이다. 관심변수인 정보보안인증(ISMS)은 통제변수를 제외할 때(모형1)와 모두 포함할 때 (모형2)각각 유의수준 1%와 10% 수준에서 통계적으로 유의한 양(+)의 회귀계수 값(0.280, 0.171)을 나타냈다. 따라서 본 연구의 가설1을 지지하는 결과를 보여주었다. 주요 통제변수들은 유의한 회귀계수 값을 나타내고 있으며 기업업력(AGE)과 기업규모(SIZE)만 음(-)의 회귀계수 값(-0.005, -0.219)을 나타냈다. 이 결과는 기업수명주기 이론과 대리인 이론을 지지하는 결과로서 기업의 성장율은 성장기와 성숙기를 거쳐 점차 둔화되고 기업규모가 커짐에 따라 정보비대칭의 수준이 높아져 기업가치에 부정적인 영향을 미치게 됨을 시사한다. 두 회귀모형 모두에서 F값은 1% 이내에서 통계적으로 유의하기 때문에 모형은 적합하다고 할 수 있다.