Publicly Disclosed Corporate Security Governance in Critical-Service Firms: Accountability Structures and Disclosure-Specificity Signals

현대 사회에서 특정 기업들은 독특한 위치를 차지하고 있습니다. 이들은 사회를 움직이게 하는 필수적인 시스템을 운영합니다. 전력을 공급하여 불을 밝히고, 기차를 움직이며, 디지털 네트워크를 연결하고, 돈의 흐름을 관리하는 기업들이 바로 그들입니다. 이들의 업무가 매우 중요하기 때문에, 정부와 대중은 이들이 안전하고 회복 탄력성을 갖추며 문제에 대비할 것을 기대합니다. 이를 보장하기 위해, 이 기업들은 위험을 신중하게 관리하고 어떻게 관리하고 있는지 대중에게 알릴 것을 요구받습니다. 이러한 공적인 알림을 '공시(disclosure)'라고 부릅니다. 이는 회사가 무엇을 할 계획인지, 누가 책임을 지는지, 그리고 어떻게 자신들의 업무를 점검하는지를 글로 써 내려가는 행위입니다. 그러나 계획을 쓰는 것과 실제로 그것을 따르는 것 사이에는 결정적인 차이가 있습니다. 어떤 회사는 안전한 시스템을 갖추지 않은 채 상세한 안전 계획 문서를 발표할 수 있는데, 이는 마치 사람이 운동을 하겠다는 약속을 써놓고 정작 체육관에는 한 번도 발을 들이지 않는 것과 같습니다. 외부 관찰자들의 과제는 이 기업들의 내부로 들어가 실제 기계 장치를 직접 볼 수 없다는 점입니다. 그들은 오직 기업이 공유하기로 선택한 문서만을 읽을 수 있습니다. 이는 말하는 것과 행하는 것 사이의 간극을 만들며, 연구자들은 기업의 진정한 안전 상태를 이해하기 위해 이 간극을 신중하게 헤쳐 나가야 합니다.

파리 국립 고등 광산 학교(École Nationale Supérieure des Mines de Paris)의 연구원인 카림 하디(Karim Hardy)의 최근 연구는 이 필수적인 기업들이 공적 보고서에서 정확히 무엇을 말하고 있는지를 지도화하고자 했습니다. 이 연구는 에너지, 운송, 디지털 인프라, 금융과 같은 핵심 서비스를 제공하는 유럽 전역의 24개 상장 기업에 초점을 맞췄습니다. 연구원은 이 기업들의 공적 문서 31개를 수집하였으며, 대부분 2025년도 연례 보고서였습니다. 그는 매우 구체적인 질문들을 염두에 두고 이 문서들을 읽었습니다. 이 연구는 이 기업들이 실제로 얼마나 잘 수행하고 있는지를 추측하려 하는 대신, 더 단순하고 정밀한 질문을 던졌습니다. 즉, 기업들이 자신들의 안전 규칙에 대해 이야기할 때 얼마나 구체적인가 하는 점입니다. 연구원은 보안을 감독하기 위해 이사회에 누가 앉아 있는지부터, 공급업체를 어떻게 다루는지, 그리고 실수로부터 어떻게 배우는지에 이르기까지, 안전 관리의 10가지 서로 다른 영역을 살펴보았습니다. 문서에 언급된 각 내용은 네 가지 세부 수준 중 하나로 분류되었습니다. 가장 낮은 수준은 안전하겠다는 막연한 약속이었습니다. 다음 단계는 책임 있는 특정 개인이나 집단을 명시하는 것이었습니다. 가장 높은 단계는 점검, 피드백, 성공 측정 방법이 포함된 작동하는 시스템에 대한 명확한 설명이었습니다.

결과는 이 기업들이 무엇을 공유하고자 하는지에 대한 명확한 패턴을 드러냈습니다. 보고서에서 발견된 가장 일관되고 상세한 정보는 안전 리스크가 회사의 전반적인 비즈니스 전략과 어떻게 연결되어 있는지에 관한 것이었습니다. 거의 모든 기업, 즉 24개 중 23개 기업이 보안을 주요 리스크 관리 계획에 통합하는 구체적이고 명명된 프로세스를 설명했습니다. 그들은 누가 책임을 지는지, 그리고 이것이 전체적인 그림에 어떻게 부합하는지를 명확히 밝혔습니다. 이는 이 기업들에게 있어 보안과 비즈니스 전략 사이의 연결 고기에 대해 이야기하는 것이 표준화되고 잘 정의된 관행이 되었음을 시사합니다. 그러나 연구원이 외부 파트너 및 공급업체를 어떻게 관리하는지를 살펴보았을 때, 그림은 극적으로 변했습니다. '제3자 거버넌스'로 알려진 이 영역은 구체적인 세부 사항이 기술될 가능성이 가장 낮았습니다. 16개 기업이 공급업체에 대한 어느 정도의 감독을 언급했지만, 검토된 문서에서 이를 전혀 언급하지 않은 기업도 5곳이 있었습니다. 언급을 한 기업들 사이에서도, 내부 전략에 관한 내용보다 묘사가 덜 상세한 경우가 많았습니다. 이것이 이 기업들이 공급업체 관리에 실패하고 있다는 의미는 아닙니다. 단지 공적 문서가 내부 계획에 비해 이 부분의 업무에 대해 동일한 수준의 구체적인 세부 사항을 보여주지 않는다는 것을 의미할 뿐입니다.

연구는 또한 이 기업들이 "전략 중심" 기업이나 "회복력 중심" 기업과 같이 뚜も 뚜렷하고 예측 가능한 그룹으로 나뉘는지 조사했습니다. 연구원은 안정적인 유형의 기업이 나타나는지 확인하기 위해 상세한 공시의 반복되는 조합을 살펴보았습니다. 내부 전략과 외부 보고 모두에 강점이 있는 기업처럼 자주 나타나는 패턴이 있었지만, 이러한 패턴들은 너무 많이 겹쳐서 깔끔한 범주를 만들어내지 못했습니다. 한 기업은 특정 영역에서는 강하고 다른 영역에서는 약할 수 있으며, 하나의 라벨에 딱 들어맞지 않을 수도 있습니다. 연구는 이 기업들을 경직된 유형으로 강제로 분류하려는 시도가 오해를 불러일으킬 수 있다고 결론지었습니다. 대신, 가장 정직한 설명은 이 기업들이 내부 안전 계획을 말하는 데 있어서는 공통된 언어를 공유하지만, 외부 관계에 대해 얼마나 많이 공개하는지에 대해서는 크게 다르다는 것입니다.

이 연구의 중요한 발견 중 하나는 정보의 출처 자체였습니다. 연구원은 이 보고서들에서 발견된 거의 모든 구체적인 세부 사항이 사이버 보안 및 정보 기술과 연결되어 있다는 것을 발견했습니다. 연구원이 분석에서 컴퓨터, 데이터, 또는 디지털 네트워크에 대한 언급을 모두 제거하자, 사용 가능한 정보의 양이 급격히 줄어들었습니다. 발견된 수백 개의 구체적인 세부 사항 중, 디지털 보안에 명시적으로 관한 것이 아닌 것은 아주 적은 부분만이 남았습니다. 이는 이 기업들이 공적 보고서에서 안전에 대해 이야기할 때, 주로 디지털 위협에 대해 이야기하고 있음을 시사합니다. 건물의 물리적 보호, 사기 방지, 또는 비디지털 사건에 대한 위기 관리와 같은 다른 중요한 측면들은 문서에서 훨씬 덜 눈에 띄었습니다. 이것이 다른 영역들이 무시되고 있다는 뜻은 아니지만, 공적 기록이 디지털 세계 쪽으로 심하게 치우쳐져 있다는 것을 의미합니다.

연구는 쓰인 것과 실제로 일어나는 것 사이에 엄격한 선을 긋도록 주의를 기울였습니다. 연구원은 보고서에 상세한 설명이 있다고 해서 그것이 현실에서 잘 작동한다는 것을 증명하는 것은 아니라고 강조했습니다. 기업은 완벽한 계획을 세울 수 있지만 여전히 실행에 실패할 수 있습니다. 반대로, 어떤 기업은 강력한 시스템을 갖추고 있음에도 불구하고 공적 보고서에 이를 상세히 기술하지 않을 수도 있습니다. 이 연구는 안전, 회복력, 또는 효과성을 측정한 것이 아닙니다. 그것은 오직 공적 문서에 사용된 단어들의 구체성만을 측정했습니다. 이 경계를 명확히 함으로써, 이 연구는 폐쇄된 조직의 문 뒤에 무엇이 있는지에 대한 가정을 하지 않으면서, 대중에게 보이는 모습에 대한 신뢰할 수 있는 지도를 제공합니다. 이 작업은 공적 보고서가 기업 거버넌스를 들여다보는 창을 제공하지만, 그 창은 기업이 보여주기로 선택한 것만을 보여주며, 종종 그 전시물은 디지털 영역에 과도하게 집중되어 있다는 점을 상기시켜 줍니다.