점심 장사를 막 끝낸 분식집 사장 김 사장은, 설거지장 위에 올려둔 휴대폰을 힐끗 보다가 스크롤을 멈췄다. “세 줄 요약”이라는 말머리가 먼저 들어왔다. 인공지능이 자동으로 줄였다는 그 세 줄. 하지만 그 짧은 문장 뒤에 달린 숫자, 3년·380회, 그리고 ‘비공개’라는 단어가 이상하게 오래 남았다. 공공기관 이야기라고 생각하고 넘길 법도 했지만, 그는 곧장 머릿속에 떠오르는 장면을 지울 수 없었다. 납품업체 직원이 “사장님, 지난번 견적서 다시 부탁드려요. 이번엔 메일 말고 카톡으로요”라고 말하던 순간. 그가 “뭐 어때” 하며 파일을 던져주던 습관. 그 작은 습관 하나가 어디까지 흘러가는지 그는 한 번도 상상해본 적이 없었다. 그 뉴스는 한국지능정보사회진흥원, 그러니까 디지털 정책의 심장부에서 벌어진 일이었다.
내부 직원이 2022년부터 2025년 2월까지 약 3년 동안, 기관 이메일로 외부 민간업체 사람에게 비공개 자료를 380차례 보냈다는 사실. 사업 심의 문서, 경영회의 자료, 평가위원 명단 같은 핵심 의사결정 기록이 포함됐고, 수신 주소를 잘못 적어 되돌려보낸 정황까지 감사에 잡혔다고 했다. 그 사이 기관은 해임했고, 수사도 의뢰했다. 거기서 나온 정치인의 한 마디는 더 아프게 박힌다. “보안 통제시스템이 전혀 작동하지 않았다.” 숫자는 차갑고, 평가는 단호했다. 공공기관의 일일 뿐일까. 공공이 이렇다면 민간은, 그리고 동네 가게는 과연 안전할까. ([이데일리][1]) 김 사장은 밥냄새와 기름냄새가 아직 가시지 않은 홀을 한 번 둘러보고, 카운터 아래 서랍을 열었다. 낡은 노트북이 있다. 5년째 쓰는 무료 메일에, 거래처 폴더는 ‘최종’, ‘진짜최종’, ‘진짜진짜최종’로 나뉘어 있다.
파일 이름은 제멋대로고, 누가 언제 열어봤는지 알 길이 없다. 직원 둘이 쓰는 업무용 메신저에는 영업 비밀이 통째로 오간다. 배달앱 쿠폰 코드를 공유하고, 단골 고객 전화번호를 붙여 넣고, 새로 들어온 입고가 늦어진 이유를 업체 사정까지 덧붙여 변명한다. “궁금하다고 해서 보냈다”는 뉴스 속 변명은 어쩌면 우리 식당의 대화록 어디엔가 이미 적혀 있다. 문제는 고의냐 실수냐가 아니다. 반복되느냐, 시스템이 말리느냐다. 작은 가게의 보안은 으레 ‘의지’와 ‘양심’의 영역으로 밀려난다. 하지만 보안의 첫 단계는 사람이 아니라 질문이다. 이 문서는 어디서 와서 어디로 가는가. 이 질문만 입에 붙여도 풍경이 달라진다.
김 사장은 거래처에 파일을 보낼 때 이제 스스로 묻는다. 이 파일에 고객 개인정보가 들어 있는가, 들어 있다면 이름과 전화번호는 가려졌는가, 상대는 왜 이 파일을 지금, 이 방식으로, 이 주소로 요청하는가. 요청이 전화로 왔다면 이메일로 다시 확인을 받는가, 메일이라면 도메인이 회사 주소가 맞는가, 자동완성에 뜨는 ‘비슷한 이름’에게 습관대로 보내고 있진 않은가. 보안은 복잡한 장비의 문제가 아니라, 한 번 더 확인할 이유를 생활의 중심으로 끌어오는 습관의 문제다. 그렇다고 습관만으론 모자라다. 결국 시스템이 사람보다 먼저 말려야 한다. 비용이 부담될 것 같지만, 사실 소상공인에게 필요한 장치는 생각보다 단순하다. 첫째, 문서에 ‘주소’를 붙인다. 주소란 분류 라벨이다. 가게에서도 “메뉴판, 발주서, 결산, 고객” 정도의 라벨만 붙여도 어떤 파일이 밖으로 나가선 안 되는지 한눈에 보인다.
라벨은 이름의 일부가 된다. ‘2025-09-매출-고객-개인정보포함-외부반출금지.pdf’ 같은 이름은 귀찮지만 강력하다. 보내려는 순간 파일 이름이 스스로 브레이크가 된다. 둘째, 메일과 메신저에 금지어를 심는다. 고객 전화번호 패턴, 주민번호 같은 민감한 숫자 조합, ‘평가위원’, ‘입찰’, ‘견적’, ‘대금정산’ 같은 민감 키워드가 본문이나 첨부파일에서 탐지되면, 외부 도메인으로는 전송 전에 알림을 띄우거나 승인을 요구하게 한다. 관리자는 알림만 받아도 흐름을 안다. “우리 가게는 관리자가 나뿐인데요?”라고 묻는다면, 그래서 더 필요하다. 스스로에게 승인 버튼을 누르게 하는 3초의 멈춤, 그게 통제다. 셋째, 최소권한을 기본값으로 박는다. 거래처와 공유하는 폴더는 읽기 전용으로 두고, 다운로드가 꼭 필요할 때만 일회성 권한을 준다.
직원에게는 장부 폴더 전체가 아니라 본인 업무와 연관된 서브폴더만 보이게 한다. 권한 구조를 ‘최소’로 시작하면, 나중에 늘리는 건 쉽다. 반대로 넓게 열어두면 줄이기가 지옥이다. 넷째, 외부업체와의 계약서에 데이터의 경계를 한 줄 넣는다. 쿠폰 협업, 포장재 인쇄, 홍보대행 같은 작업을 맡길 때 “고객정보는 제공하지 않으며, 불가피한 경우 제공 범위·보관기간·파기 기준을 사전 합의한다”라는 약속을 문서에 박아둔다. 모호하면 관성이 이긴다. 관성은 언제나 더 많이, 더 오래, 더 아무 데나 보관한다. 다섯째, 로그가 말하게 한다. 파일이 외부로 나갈 때, 낯선 장치에서 접속할 때, 새벽 두 시에 대량 다운로드가 발생할 때, 여러분의 휴대폰이 진동해야 한다. 로그를 매일 보라는 뜻이 아니다.
이상 징후를 사람이 아니라 시스템이 먼저 알아채도록 알림의 기준을 정하라는 말이다. 이때 중요한 건 ‘이상’의 정의다. 우리 가게의 평소 패턴이 무엇인지, 어느 시간대에 누가 무엇을 하는지 알아야 이상을 붙잡는다. 보안은 결국 나를 아는 일이다. 여섯째, 비정상 요청을 거절하는 대화법을 준비한다. “전화로 급히 부탁드려요”라는 말은 대부분 악의가 없다. 하지만 체계는 악의가 없어도 무너진다. 그래서 대답을 미리 정해 둔다. “우리 매장은 모든 파일을 회사 도메인 이메일로만 보냅니다. 메신저는 링크만 드릴게요.
주소 다시 한 번 보내주세요.” 거절의 문장은 길수록 부드럽고, 반복할수록 안전하다. 뉴스 속 사건은 거대한 기관의 이야기지만, 방법은 작은 가게의 언어로 번역된다. 거기서도 가벼운 호기심과 급한 부탁이 수백 번의 유출로 쌓였다. 조직의 ‘마비’는 어느 날 갑자기 오지 않는다. 오늘의 작은 예외가 내일의 규칙이 되고, 그 규칙이 일상이 되면, 통제는 사고가 터지고서야 존재를 드러낸다. 김 사장은 저녁 장사를 준비하며, 거래처 단톡방에 짧은 공지를 올렸다. “이제부터 견적·정산 파일은 이메일로만 드립니다. 고객정보 포함 자료는 외부 전송 금지입니다. 필요한 경우 사전에 요청 부탁드립니다.” 누구도 불평하지 않았다. 오히려 “그게 맞죠”라는 답이 돌아왔다.
보안은 나 혼자 지키는 싸움처럼 보이지만, 사실은 관계의 규칙을 다시 쓰는 일이다. 다음 날 아침, 그는 POS에서 엑셀을 뽑아 ‘고객’ 라벨을 붙였다. 파일 이름을 바꿔 저장하는 데 10초가 걸렸다. 메일 설정에서 자동완성 제안을 끄고, 외부 도메인 전송 시 확인 팝업을 켰다. 직원 둘에게는 각자 폴더만 보이도록 권한을 줄였다. 아무도 감탄하지 않았고, 매출도 즉시 오르지 않았다. 하지만 그는 알았다. 이건 비용이 아니라, 새는 물을 막는 첫 번째 수건이라는 걸. 디지털 시대의 신뢰는 맛과 친절만으로 완성되지 않는다. 어디서 와서 어디로 가는지, 그 길을 묻는 태도 위에 선다.
세 줄 요약은 빠르게 지나간다. 그러나 작은 가게가 살아남는 방식은 느림과 확인, 그리고 단호함이다. 오늘도 우리는 수많은 ‘보내기’ 버튼 앞에 선다. 그 버튼을 누르기 전, 파일 이름 한 줄이, 라벨 하나가, 알림 한 번이 우리를 말릴 수 있어야 한다. 공공기관의 실패에서 배우는 가장 값싼 수업료는, 남의 실패를 내 제도로 가져오는 일이다. 뉴스는 남의 일처럼 스쳐가지만, 규칙은 내 일처럼 자리 잡는다. 김 사장은 마지막으로 스스로에게 메일을 보냈다. 제목은 이렇게 적었다. “외부 반출 금지: 우리는 오늘부터, 다르게 보낸다.” ([서울경제][2]) [1]: https://www.edaily.co.kr/News/Read?mediaCodeNo=257&newsId=02715846642301432&utm_source=chatgpt.com "3년간 380건 기밀 유출…NIA 직원, 내부정보 외부로 반복 전송" [2]: https://www.sedaily.com/NewsView/2GXY7ROLNA?utm_source=chatgpt.com "“NIA 직원, 내부정보 줄줄 내보냈다…3년간 380건” | ...".