인용 및 출처 : 알기쉬운 개인정보보호의 이해와 활용(저자 : 이기혁, 이강신, 박진식, 최일훈)



개인정보의 유출로 집단소송이 가능함에 따라 피해 보상금이 기업의 재무와 주가에 직접적인 영향을 미치고 있다. 따라서, 기업의 입장에서는 피해 보상금 또는 위자료 판단 기준를 살펴봄으로써 "보안 경영" 측면에서 어떠한 대비를 해야하는지 검토할 필요가 있다.


1. 개인정보 유출사고 단계별 위자료 산정시의 고려요소


사고의 단계 

영향 요소 

 사고발생 이전

 개인정보의 수집 목적

 해당 기업의 규모 및 성격

 사전 보안 조치 여부

 사고의 내용 및 경위

 유출의 주체

 개인정보 유출 사고에 있어서의 고의, 과실의 유무 및 그 정도

 유출 정보의 규모 및 성격, 전파가능성

 사고 이후의 조치

 사후조치의 신속성, 적절성

 피해자에 대한 사고의 고지 및 피해회복조치의 유무

 2차적 피해 발생 여부


2. 개인정보 유출 사례에서의 위자료 산정시 고려요소


영향 요소 

N온라인 게임업체 

K은행 사건 

L전자 사건 

1심판결 : 50만원

2심판결 : 10만원 

1심판결 : 10만원

2심판결 : 20만원 

1심판결 : 70만원

2심판결 : 30만원 

개인정보

수집목적 

   - 2심: 영리목적  - 2심: 영리목적 

사전 보안조치

여부 

     - 2심: 당시의 기준수준에
   비추어 충분하다고는 볼
   수 없으나 나름대로의 보
   보안조치를 취함

고의, 과실의 유무

및 그 정도 

 

 - 2심: 피고 직원의 단순 실

   수 및 약관상에서 개인정보

   유출시 책임 규정

 - 2심: 제3자의 범죄행위가
   직접적 원인

유출정보의 규모

및 성격, 전파

가능성 

 - 2심: 유출된 사람은 40~

   50만명으로 추산되며,

   사고기간이 5일에 불과

   

 - 1심
   * 이메일을 전송받아 열람
     한 641명은 피해자임
   * 유출된 파일이 개인의

     이메일 계정으로 전송

   * 이메일 주소는 다른 개인

     정보와 결합하지 않으면

     신분도용 등의 피해가 발

     생하기 어려움

 - 2심

   * 성명, 이메일주소, 특히

     주민번호는 신분도용의

     문제까지 발생할 수 있는

     중요 정보임

   * 암호화하지 않음

   * 정보는 결합함으로써 개

     인의 식별가능성이 커지

     는데 결합되어 유출

 - 1심
   학력사항, 자기소개 등

   개인적으로 상당히 민감

   한 정보임을 고려하되,

   원고들의 성명, 주민번호

   등 직접 불법적인 용도에

   사용되기 쉬운 정보는

   열람되지 않음

 - 2심

   * 사적인 영역의 민감한

      정보까지 침해

   * 성명, 주민번호가 열람

      되지 않음

   * 원고의 신원을 구체적

      으로 특정하기는 어려

      움

   * 원개인정보가 저장이나

      재전송이 어려운 방식

      으로 열람됨

사호조치의 신속성,

적절성 

 - 2심: 시스템 패치작업,
   비밀번호 강제변경 등의
   사후조치
 - 1심
   * 1시간 이내에 사고를 인
      지하고 이메일 발송을
      강제 중단
   * 포털사이트 운영자에게
      이메일을 회수하여 줄
      것을 요청

 - 1심
   * 게시된 지 55분 후에

     삭제

   * 1시간 38분 후에는 채용

     사이트 서버의 접속차단

 - 2심

   * 시스템 모니터링이 아

     니라 다른 인터넷 게시

     판의 모니터링을 통하

     여 이 사건 사고가 발견

   * 사고발생 후 해킹방지

     시스템을 보완하는 등

     의 조치

피해자에 대한

사고의 고지 및

피해회복 조치의

유무 

 - 1심: 별다른 보상 조치를 

   취한 바가 없음

 - 2심: 개인정보 도용의 위험
   이 완전히 제거되지 못한
   점(정보도용차단서비스가
   제3자의 정보도용 시도에
   대한 완벽한 차단책이 되지

   못하고, 서비스 제공시기도

   1년간으로 제한)

 - 2심

   * 이메일 등을 통하여

     안내하지 않음

   * 개인정보 유출여부,

     유출된 정보가 무엇인

     지 확인하여주지 않음

   * 미흡하나마 사과 및 재

     발방지를 다짐한 점

2차적 피해

발생 여부 

 - 1심: 현실적, 경제적으로

   입은 손해는 확인되지

   아니한 점

 - 2심: 실제로 도용되었다

   는 사실이 밝혀지지 아니

   한 점

 - 1심: 악용, 도용 사실이 구

   체적으로 증명되지 않음

 - 1심: 정보가 외부에 확산

   되거나 불법적인 용도에

   사용되지 않음

 - 2심

   * 2차적인 피해 확산가능

     성은 높지 아니함

   * 정보가 외부에 확산되

     거나 불법적인 용도에

     사용되지는 않음


K 은행의 경우 주민번호까지 유출되었지만 주민번호가 아닌 민감정보가 유출된 L 전자의 위자료가 더 크게 나왔다. 각 사의 대응/조치 소요 시간이 1시간 이내와 55분/1시간 38분 차이는 있지만 민감정보를 더 중요시 하는건 아닌지 생각이 든다


3. 개인정보 유출 사고시 기업의 책임을 줄이기 위한 전략


우리나라의 법원의 태도는 기본적으로 정보를 유출한 기업에 대해 상당히 관대

기업이 개인정보 유출 사고에 대해 면책되거나 책임이 경감되도록 하기 위해서는 모든 단계의 요소들에 대해 모든 사항을 고려하여 전사적 차원의 노력을 기울어야 한다.


1) 사고발생 이전 단계

- 개인정보 수집을 최소화

- 수집된 정보를 암호화

- 침해사고가 발생할 수 있는 가능성을 점검

- 개인정보 영향평가를 통해 개인정보를 활용하는 새로운 정보시스템의 도입, 기존 정보시스템의 중대

  한 변경시 시스템의 구축 운영이 개인정보 관련 법률에 부합하는지 점검

- 개인정보 라이프 사이클에 따라 개인정보에 미칠 영향에 대해 미리 조사, 분석, 평가


수집과 암호화, 취약점 점검은 다들 많이 하지만 상시적인 영향평가와 라이프사이클을 통한 분석은 자체적으로 하기엔 부담도 되지만 나름의 프로세스를 만들어 적용해보고 차후 전문업체를 통해 보완해 나가면 좋을거 같다.

일단 업무 중심적(계좌 개설, 금융상품매매 등의 whole process) 으로 필요한 개인정보 수집 여부, 이용 여부, 제공 여부 등으로 따져봐야겠다.


2) 사고발생 단계

- 최대한 사고를 빨리 탐지

- 안전하게 사고 경위를 기록

- 네트워크와 시스템으로부터 침해사고 관련 증거들을 수집

- 개인정보 유출 탐지 모니터링 시스템 구축

- 시스템을 종료하지 않은 상태에서도 실시간으로 사고에 대한 증거를 수집할 수 있는 디지털 포렌식

  기술가 요구됨

- 이상 징후와 사고 당시의 시스템 및 네트워크 상황을 안전하게 로그로 기록하고 무결성을 보장할

  수 있는 시스템 필요


개인정보 유출 탐지 모니터링 시스템은 이전에도 내 블로그에서도 이야기했지만 업무 시스템에서개인정보를 엑셀로 다운로드 받는걸 DB 이력으로 저장하고 해당 파일을 DRM 의 암호해제를 하고 다시 그 파일을 메일/USB 등으로 유출하는지 모니터링할 수 있다. 

파일명 변경 등에 대해서는 파일에 대한 인덱싱, 해시값등을 통해 고민을 해볼 필요가 있겠다


3) 사고 이후 사후처리 단계

- 피해가 다른 영역으로 전파되거나 2차적인 피해가 발생하지 않도록 차단

- 개인들이 피해로부터 회복할 수 있도록 지원

- 신속하게 관련 기관에 사고발생 신고

- 디지털 포렌식 기술을 통해 사고관련 증거를 수집, 분석함으로써 피해재발 방지대책 및 피해 경감

  을 위한 조치

- 신속하게 피해자 개개인에게 개별적으로 피해 사실을 통지

- 피해 사실을 본인이 확인할 수 있는 본인 피해 확인 서비스를 제공

- 아이디, 비밀번호를 변경하도록 요청


EBS, Nate 에서 내 개인정보가 유출되었는지 알려주는 팝업창을 본거 같은데 다 저러한 이유때문있구나.

일반 기업체의 보안 담당자들도 디지털 포렌식 기술 습득이 필요해질듯 싶다.

Posted by i kiss you
,

출처 및 인용 : 라영주 인포섹 컨설턴트, 개인정보보호 실천가이드 中

  이창범, 개인정보 보호법 中



1. 개인정보보호 내부관리계획


개인정보 보호법 시행령

제30조(개인정보의 안전성 확보 조치) ① 개인정보처리자는 법 제29조에 따라 다음 각 호의 안전성 확보 조치를 하여야 한다.

1. 개인정보의 안전한 처리를 위한 내부 관리계획의 수립·시행


1) 기업/기관 내에서 효과적으로 개인정보보호 활동을 시작하기 위해서는 가장 먼저 내부관리계획을 

    수립해야 한다.


2) 개인정보보호 내부관리계획 : 해당 조직의 특성이 반영된 내부 기준으로서의 개인정보보호 

    정책(Policy)이나 지침(guideline)을 의미.


3) 단편적이고 단발적인 보안 대책이 아닌 체계적이고 개인정보보호 실천을 위해 반드시 필요하다.


4) 개인정보 안전성 확보 조치 중의 <내부관리계획>은 개인정보 보호책임자 지정, 개인정보 보호 책임자

   와 개인정보취급자으 역할, 책임, 안전성 확보에 필요한 조치, 개인정취급자에 대한 교육 등에 관한 사항

   이 포함된 중/장기 관점의 계획이라고 할 수 있다.

개인정보 보호책임자의 업무 중 <개인정보 보호 계획>은 매년 반복적으로 수립해야 할 개인정보 보호

교육, 시스템 정기점검, 시설/장비 도입 및 교체, 개인정보 처리관행 개선 등에 관한 사항이 포함된 

연도별 계획이라고 할 수 있다.


<내부관리계획>은 개인정보처리자가 내부 "규정" 또는 "지침"의 형태로 수립/운영

<개인정보 보호 계획>은 개인정보 보호책임자가 입안의 책임을 지며 보통 "계회", "사업" 등의 형태로 존재


2. 내부관리계획 예제


제1장 총칙

제1조(목적)

제2조(적용범위)

제3조(용어정의)

제2장 내부관리계획의 수립 및 시행

제4조(내부관리계획의 수립 및 승인)

제5조(내부관리계획의 공표)

제3장 개인정보보호책임자의 의무와 책임

제6조(개인정보보호책임자의 지정)

제7조(개인정보보호책임자의 의무와 책임)

제8조(개인정보취급자의 범위 및 의무와 책임)

제4장 개인정보보호 조직 구성/운영

제9조(개인정보보호 조직)

제10조(역할별 의무와 책임)

제5장 개인정보의 처리단계별 기술적/관리적 보호조치

제11조(물리적 접근제한)

제12조(개인정보취급자의 접근 권한 관리 및 인증)

제13조(개인정보의 암호화)

제14조(접근통제)

제15조(접근기록의 위변조 방지)

제16조(보안프로그램의 설치 및 운영)

제17조(출력복사시의 보호조치)

제6장 정기적인 자체감사

제18조(자체감사 주기 및 절차)

제19조(자체감사 결과 반영)

제7장 개인정보보호 교육

제20조(개인정보보호 교육 계획의 수립)

제21조(개인정보보호 교육의 실시)

제8장 개인정보보호 유출 시 사고 대응

제22조(개인정보 유출 탐지 시 보고체계 수립)

제23조(개인정보 유출 탐지 시 통보 등 처리체계 수립)


개인정보 보호 계획 예제 (출처 : 페이스북 지인)


1. 내부/외부 규정 및 지침 제정 현황

1.1 내부 규정 및 지침

1.2 개인정보보호 규정 및 지침

1.3 기타법령 관련

1.4 내부 규정 개정 계획

2. 개인정보보호 운영현황

2.1 개인정보보호협의회 운영 현황

2.2 이사회 보고

2.3 CISO, CPO 선임 현황

3. 개인정보보호 내부통제

3.1 내부통제 현황

3.2 외부수탁업체

3.3 본사/지점

4. 기타점검

4.1 개인정보관리 자가 점검

4.1.1 '2012 개인정보관리 자가 점검결과

4.1.2 '2013 개인정보관리 자가 점검계획

4.1.3 미완료 항목에 대한 이행현황 및 계획

4.2 개인정보보호 수준 자가진단

4.2.1 '2012 개인정보보호 수준 자가진단 결과

4.2.2 '2013 개인정보보호 수준 자가진단 계획

5. 보안 취약점 점검 수행 결과/계획

5.1 주요 취약점 점검 결과

5.1.1 금융보안연구원/코스콤 취약점 점검 결과

5.1.2 상반기 취약점 점검 결과

5.1.3 연간 취약점 정기평가 점검 결과

6. 개인정보보호 KPI 현황

6.1 '2012 측정결과

6.2 '2013 계획

7. 개인정보보호교육

7.1 '2012 교육실시 결과

7.2 '2013 교육실시 계획

8. '2013 개인정보보호 관련 프로젝트 


3. 개인정보보호 조직 구성


- 개인정보보호 책임자(CPO)를 지정

- 관련 부서들을 총괄/조율

- 개인정보보호 업무를 수행하는 실무 담당자 구성

- 개인정보보호 책임자는 임원이나 정보주체의 고충처리를 담당하는 부서의 책임자가 바람직

- IT보안부서, 개인정보취급부서, compliance 대응부서 등 관련 조직을 중식으로 협의체 정례화


4. 개인정보 흐름 및 위험 분석


- 개인정보 흐름 분석은 개인정보 생명주기(Life Cycle : 수집 - 저장 - 이용 - 제공 - 파기)에 따라 개인정보

   의 최초 수집 채널, 보유 형태, 개인정보 처리자의 이용/제공 현황, 파기 방법 등을 분석

- 개인정보 흐름상에서 상존하는 취약점 식별

- 취약점의 위험 분석을 통해 발견된 高 위험군의 서비스나 또는 업무 프로세스, 개인정보 처리자 등에 대해

   서는 보호조치를 집중 적용/관리가 필요

- 업무 목적 내에서 필요한 최소한의 개인정보를 도출함으로써 불필요하거나 과도한 개인정보의 수집을 원

   천적으로 제한토록 할 수 있다.


5. 개인정보보호법에 따른 기술적 보호대책


구분 

기술적 보호대책 

법률적 근거 

필수 

 - 접근 권한관리(IAM/DB접근제어) 
 - 방화벽

 - 침입탐지시스템

 - 망분리/NAC

 - 시행령 제30조 1항 2. 개인정보에 대한 접근 통제 및 접근 권한의 제한 조치

필수 

 - 개인정보 전송관리 시스템

 - 시행령 제30조 1항 3. 개인정보를 안전하게 저장·전송할 수 있는 암호화 기술의 적용 또는 이에 상응하는 조치

필수 

 - 로그 수집 및 위/변조 방지 솔루션 

 - 시행령 제30조 1항 4. 개인정보 침해사고 발생에 대응하기 위한 접속기록의 보관 및 위조·변조 방지를 위한 조치

필수 

 - 패치관리시스템(PMS)

 - PC 매체제어 및 백신 프로그램

 - 시행령 제30조 1항 5. 개인정보에 대한 보안프로그램의 설치 및 갱신

필수 

 - SOC(Security Operation Center) 또는
   물리보안 영역

 - 시행령 제30조 1항 6. 개인정보의 안전한 보관을 위한 보관시설의 마련 또는 잠금장치의 설치 등 물리적 조치

필수

 - 영구삭제(S/W, H/W, 문서파기) 솔루션

 - 법 제21조 (개인정보의 파기)
 - 시행령 제16조 (개인정보의 파기방법)

필수 

 - 암호화(DRM/DB암호화/파일암호화)

   솔루션

 - 시행령 제21조 (고유식별정보의 안전성 확보 조치)

선택 

 - 개인정보유출시스템(DLP)

 - 시행령 제30조 1항 3. 개인정보를 안전하게 저장·전송할 수 있는 암호화 기술의 적용 또는 이에 상응하는 조치

 - 시행령 제30조 1항 5. 개인정보에 대한 보안프로그램의 설치 및 갱신


2011년 버전의 책 내용이라 보완이 필요.

일단 대략적인 관점에서 정리 ㅜㅜ

Posted by i kiss you
,

출처 및 인용 : 염흥렬 순천향대학교 교수, 개인정보보호 실천가이드 中



개인정보 보호법으로 변화되는 주요 사항(자료출처 : 행정안전부)


항목 

AS-IS

개인정보 보호법 시행 이후 

이전 법 규율

- 정보통신, 금융 등 분야별 개별

  법에 의해 규율 

- 공공 민간 통합 규율, 법적용 대상 확

  대(헌법기관, 지방공사, 공공기관, 중

  앙행정기관, 교육 기관 등) 

보호 범위

- 전자적으로 처리되는 개인정보
  파일 
- 전자적으로 처리된 개인정보에 더해
  종이문서까지 보호 범위 확대 

 수집 이용 및 제공 기준

- 분야별 개별법에 따른 처리 기준 

- 공공과 민간을 망라한 일관성있고 표준
  화된 개인정보처리 원칙 제시 

고유식별번호 처리 제한 

- 민간 사용을 제한하는 규정 없음 

- 원칙적으로 처리를 금지했으나, 별도

  동의나 법령의 근거가 있을 경우 예외

  인정 

영상정보처리기기 규제 

- 공공기관이 설치 운영하는 CCT

  V 에 한해 규율 

- 민간까지 확대했으며 CCTV 외에 

  네트워크 카메라도 포함 

 유출통지

- 관련 제도 없음  - 의무화 

 집단분쟁조정

- 관련 제도 없음 

- 집단분쟁조정 도입(재판상 화해 효력

  부여) 

단체소송 

- 관련 제도 없음 

- 단체소송 도입 

위원회 

- 국무총리 소속 공공기관개인정
  보심의위원회(공공부문 정책

  심의) 

- 대통령 소속 개인정보보호위원회 설치
  및 운영(공공 및 민간부문 개인정보보호
  정책 심의 및 의결 기구) 


기업의 개인정보안 전략의 변화

1. 최고경영책임자의 개인정보보호 인식 강화

- 고객의 집단소송 제기로 인한 피해배상 규모가 훨씬 더 크다는 것을 인식

- 개인정보보호 문제가 IT 부서 책임자 또는 최고보안책임자 만의 몫이 아니라 최고경영책임자

  의 몫이 되어야 함을 인식해야 함

- 조직의 개인정보보호 정책 수립, 보호해야 할 자산에 대한 위협 요인 분석, 위협 요인을 

  제거하기 위한 대응책 마련에 대한 관리체계가 지속적으로 유지되도록 직접 챙겨야 함


2. 최고경영책임자에 의한 예산의 확보와 조직 운영 지원

- 별도의 개인정보보호최고책임자 임명해 책임과 권한을 동시에 부여    

- IT 부서와 개인정보보호 부서와는 독립적으로 운영

- 조직의 개인정보보호 정책을 새로운 IT 위협환경에 적응하도록 지속적으로 업데이트

예를 들어 개인정보 DB 암호화, 임직원들의 문서 보안 정책 적용(DRM : Digital Rights

Management) 등


- IT 부서와 개인정보보호 부서 간의 정보 교류와 협력 채널도 원활하게 작동토록 지원


3. 개인정보관리체계와 개인정보보호영향평가의 상시적인 관리체계의 운영

- 개인정보보호영향평가((PIA : Privacy Impact Assessment) : 정보시스템 구축 시에 개인정보보호를

  위해 고려해야 하는 필수 사항을 정의하고 이를 반영하기 위한 것임

- 개인정보관리체계를 운영을 통해 개인정보보호 정책을 구현

- 상시적인 개인정보체계를 유지해야하며 이를 위한 전담 조직은 개인정보최고책임자 하부에 

  두어야 함

- 정보시스템 신규 구축 시 개인정보보호 파일을 구축해야 한다면 반드시 개인정보보호영향

  평가를 통해 먼저 개인정보보호 기능이 IT시스템 초기 설계 시에 반영 되도록 해야 함

개인정보보호영향평가는 공공에 한하므로 민간 기업은 금감원 규정과 같은 "보안성 심의

평가" 제도를 운영해야 함


- 자체 또는 제3자의 기관에 의한 사후 감사 기능의 활성화 필요(디지털 포렌식 툴의 설치/운영)

포렌식이라고 해서 거창한 것은 아니다.

당장 내부적으로 할 수 있는 것은 업무시스템에서 엑셀로 다운로드 받을 때 '파기일자', 

'다운로드 목적' 등을 사용자가 입력하게 하고 그 정보를 DB 에 저장해서 통제하면된다.

부가적으로 DRM 과 연동한다면 관제 시스템으로의 확대가 가능하다.

Posted by i kiss you
,

스크랩 당시 기사에 저작권 표시가 없어 내용을 카피함

원본 보러가기




[Cover Story] "당당하게, 거침없이, 뻔뻔하게"… 실리콘밸리 협상王의 3대 원칙

샌프란시스코=이신영 기자 | 2013/03/16 03:04

[미식축구 샌프란시스코 49ers 구단주 유기돈] "당당하게, 거침없이, 뻔뻔하게"… 실리콘밸리 협상王의 3대 원칙 야후·유튜브·페이스북… 최고재무책임자 두루 거치며, 신화적 대형 인수·합병 주도… 美 메이저 스포츠 역사상 최초의 아시아人 구단주 변신 벤처로 간 까닭은? 세상에 두 번 다시 안 올 역사를 바꾸는 현장 절감… 장기적 성공 방정식의 답은 가능성 있는 中企와 창업 안전한 길 걷긴 싫었다… MS같은 큰 회사 택했다면 중간 매니저밖에 못했을 것… 유튜브 매각할 때는 서무 직원조차 돈방석 앉아 보스를 빛나게 하라… 그가 오기 전 일터에 오고, 그가 가기 전엔 퇴근 말라… 그러면 그가 당신을 빛낸다


"거기서 지금 뭐 합니까? 동작 그만!"

지난 2006년 10월 초 새벽 3시 미국 캘리포니아의 한 레스토랑 야외 주차장. 칠흑 같은 어둠이 깔린 주차장에서 대화를 나누는 흑인과 동양인에게 한 경찰관이 달려왔다. 후드 점퍼와 야구 모자 차림의 두 남자에게 경찰관은 "지금, 뭐 하는 겁니까?" 하고 다그쳤다. 동양인이 쥐꼬리만 한 목소리로 "인수·합병을 진행 중인데요" 하며 종이 계약서를 경찰관에게 내밀었다. 계약서에는 세계 최대 동영상 사이트 유튜브가 회사를 구글에 16억5000만달러(당시 2조원)에 판다는 내용이 담겨 있었다. 멋쩍어진 경찰관은 "계속하세요"라며 경찰차를 몰고 주차장을 빠져나갔다.

야후·유튜브·페이스북을 거쳐 아시아 최초의 미국 메이저 스포츠 구단주가 된 유기돈 샌프란시스코 49ers 구단주는‘열정을 직업으로(passion to profession)’가 삶의 모토라고 했다. 지난 8일 샌프란시스코 남동쪽 해변에 있는 49ers의 홈구장에서 그가 손으로 미식 축구공을 튕기며 활짝 웃고 있다. / 샌프란시스코=이신영 기자

[미식축구 샌프란시스코 49ers 구단주 유기돈] "당당하게, 거침없이, 뻔뻔하게"… 실리콘밸리 협상王의 3대 원칙 야후·유튜브·페이스북… 최고재무책임자 두루 거치며, 신화적 대형 인수·합병 주도… 美 메이저 스포츠 역사상 최초의 아시아人 구단주 변신 벤처로 간 까닭은? 세상에 두 번 다시 안 올 역사를 바꾸는 현장 절감… 장기적 성공 방정식의 답은 가능성 있는 中企와 창업 안전한 길 걷긴 싫었다… MS같은 큰 회사 택했다면 중간 매니저밖에 못했을 것… 유튜브 매각할 때는 서무 직원조차 돈방석 앉아 보스를 빛나게 하라… 그가 오기 전 일터에 오고, 그가 가기 전엔 퇴근 말라… 그러면 그가 당신을 빛낸다


야구 모자 차림의 동양인이 바로 재미 교포 한국인 유기돈(42·Gideon Yu) 당시 유튜브의 최고재무책임자(CFO)이고, 후드 점퍼 차림 흑인은 데이비드 드러몬드(Drummond) 구글 최고전략책임자(CSO)였다. 유기돈씨는 야후와 유튜브, 페이스북의 CFO를 차례로 역임한 데 이어 2012년 2월부터는 미식축구 샌프란시스코 포티나이너스(49ers)팀의 공동 구단주를 맡아 다시 화제를 모았다. 미국 메이저 스포츠 역사상 최초의 아시아인 구단주가 된 그는 지난 2월 수퍼볼(Superbowl·결승전)에서 팀을 준우승으로 이끌었다.

"두 유색 인종이 그 후줄근한 옷차림이었으니 경찰이 의심할 법도 했죠." 유기돈씨는 7년 전의 주차장 협상을 회상하며 껄껄 웃었다. "경찰이 떠난 뒤 드러몬드와 손뼉을 치며 유쾌하게 계약을 마쳤어요." 주차장에서 만난 것은 자정이 돼서야 에릭 슈미트 구글 CEO가 이사회에서 인수대금을 확정했는데, 그곳이 유튜브와 구글의 중간 지점으로 서로 잘 아는 곳이어서였다고 한다.

유기돈씨는 실리콘밸리의 '협상왕' 중 한 사람이다. 야후의 CFO로 일하며 인수·합병 40건을 성사시켰고, 페이스북 CFO 시절엔 마이크로소프트와 리카싱 청쿵(長江)그룹 회장에게 지분 3억7500만달러어치를 팔아 세계적 기업으로 도약하는 발판을 마련했다. 그가 지금까지 손에서 쥐락펴락한 자금이 100억달러에 이른다고 했다. 그는 "유튜브를 구글에 매각했더니 인터넷이 바뀌었고, 페이스북에 자금을 댔더니 세상이 변했다"고 했다. 유튜브 매각 협상이 종료되고 나서 에릭 슈미트 CEO가 그에게 귓속말로 "우리가 유튜브를 더 비싸게 살 수 있었다는 사실을 알았으면 좋겠네!" 하며 껄껄 웃자 유씨는 이렇게 맞받아쳤다고 한다. "저희가 유튜브를 더 싸게 팔 수 있었다는 사실도 회장님이 아셨으면 좋겠는데요!"

 

[미식축구 샌프란시스코 49ers 구단주 유기돈] "당당하게, 거침없이, 뻔뻔하게"… 실리콘밸리 협상王의 3대 원칙 야후·유튜브·페이스북… 최고재무책임자 두루 거치며, 신화적 대형 인수·합병 주도… 美 메이저 스포츠 역사상 최초의 아시아人 구단주 변신 벤처로 간 까닭은? 세상에 두 번 다시 안 올 역사를 바꾸는 현장 절감… 장기적 성공 방정식의 답은 가능성 있는 中企와 창업 안전한 길 걷긴 싫었다… MS같은 큰 회사 택했다면 중간 매니저밖에 못했을 것… 유튜브 매각할 때는 서무 직원조차 돈방석 앉아 보스를 빛나게 하라… 그가 오기 전 일터에 오고, 그가 가기 전엔 퇴근 말라… 그러면 그가 당신을 빛낸다


그는 '실리콘밸리 100인'(비즈니스인사이더·2013년) '반드시 알아야 하는 인사'(포브스·2011년)에 선정되기도 했다.

"솔직히 기업 가치를 매기는 데 '과학적' 방법은 없어요. 페이스북 CFO 시절 마이크로소프트에 지분을 팔 때 사내에서 페이스북의 가치로 100억달러가 어떠냐는 이야기가 나왔는데, 50억을 얹어서 150억달러로 하기로 결정했어요. 그런데, 150억을 불렀더니 그들이 바로 받아들이는 거예요. 이런 큰 협상을 하려면 말이죠, 진짜 거침없이, 한 치도 두려움 없이 원하는 것을 묻고 또 물어야 합니다. 아무리 미쳤다고 주위에서 쳐다봐도 협상자의 눈을 똑바로 쳐다보면서 150억달러라고 당당하게 말해야 하는 것이죠. 제 협상 원칙은 품질 좋은 제품을 먼저 갖추고, 우리의 스토리를 한 치 오차도 없이 상대방에게 정확히 전달하며, 마지막으로 '우리 가치가 이 정도나 되니 더 돈을 받아야 되겠다!'고 부끄러움 없이 당당하게 요구하는 것입니다."

그의 삶의 모토는 '열정을 직업으로(passion to profession)'이다. 하버드대 경영대학원(MBA)을 졸업한 뒤 닷컴(dot-com) 창업 붐이 불었을 때 갓 창업한 IT 벤처기업 두 곳에 입사했다가 쫄딱 망했지만 후회하지 않았다. 그는 실패한 경험을 바탕으로 자기가 좋아했던 야후·유튜브·페이스북에 차례로 입사하며 승승장구했다.

포티나이너스 입사도 순전히 내면의 열정을 따른 결과였다. "과거 첫 일터인 한 투자은행에서 만난 제 친구가 이렇게 조언하더군요. '너처럼 미식축구를 사랑하고, 첨단 IT를 좋아하고, 비즈니스를 천직으로 여긴다면 49ers에 가야 하지 않겠어?'라고요. 그래서 생면부지의 구단 소유주인 제드 요크(York) 회장을 찾아갔죠. 지금 저는 꿈의 직장에 와 있습니다."

그의 손에서 49ers는 '대박'이 터졌다. 미국 은행들과 미식축구(NFL) 사무국으로부터 자금 12억달러를 끌어내 첨단 구장을 새로 건립 중이기 때문이다. 12억달러는 미국 스포츠 구단이 사업을 위해 외부에서 끌어들인 자금 중 사상 최대 규모라고 그는 말했다.

Weekly BIZ는 지난 8일 샌프란시스코 캔들스틱(Candlestick) 구장의 회의실에서 그를 만났다. 검게 그은 피부와 다부진 몸매는 진짜 미식축구 선수 같았다.

"토요일 아침에 잠에서 깨면 월요일 출근 날부터 기다려져요, 매우, 매우. 진짜 매우 열심히 일하고 그걸 즐겨요."

유기돈 샌프란시스코 포티나이너스(49ers) 구단주는 서울에서 태어나 한 살 때 목사인 아버지를 따라 미국 테네시주 내슈빌(Nashville)시로 이주했다.

"1970년대 초 미국의 보수적인 남부 지방은 한인이나 히스패닉 같은 소수민족이 거의 없었지요. 내슈빌의 완벽한 소수민족으로 자란 것이죠."

게다가 돈도 없었다. 그의 아버지는 교회에서 나오는 사례금을 받지 않았고, 컴퓨터 프로그래머인 어머니가 버는 돈으로 근근이 생활했다.

고교 때 참가한 국제수학경시대회에서 1등을 차지해 수재(秀才) 소리를 듣던 그는 스탠퍼드대(산업공학과) 입학 허가서를 받았지만, 학비 2만5000달러를 감당하지 못해 망설였다. 하지만 그 사이 아버지는 아들 몰래 입학 허가서에 서명해 학교에 보냈다.

"아버지가 '너를 스탠퍼드 같은 명문대에 보내기 위해 미국에 오는 희생을 감수한 것'이라며 '내가 학교에 가서 무릎을 꿇어서라도 사정하겠다'고 하시더라고요. 아버지는 제 인생의 영웅입니다."

장학금과 아르바이트, 학자금 대출로 대학을 졸업한 그는 투자은행에서 잠시 근무한 뒤 하버드대 경영대학원을 다녔다. 그런데 그가 29세 때 대학원을 나와 선택한 길은 작은 벤처기업이었다. 전자상거래 회사 '더맨닷컴(TheMan.com)'을 비롯한 2개 벤처기업에서 CFO로 차례로 일했다. 그러나 두 곳 모두 2년을 못 채우고 망했고, 그는 5만달러 빚더미 위에 앉았다.

샌프란시스코 49ers 제공

[미식축구 샌프란시스코 49ers 구단주 유기돈] "당당하게, 거침없이, 뻔뻔하게"… 실리콘밸리 협상王의 3대 원칙 야후·유튜브·페이스북… 최고재무책임자 두루 거치며, 신화적 대형 인수·합병 주도… 美 메이저 스포츠 역사상 최초의 아시아人 구단주 변신 벤처로 간 까닭은? 세상에 두 번 다시 안 올 역사를 바꾸는 현장 절감… 장기적 성공 방정식의 답은 가능성 있는 中企와 창업 안전한 길 걷긴 싫었다… MS같은 큰 회사 택했다면 중간 매니저밖에 못했을 것… 유튜브 매각할 때는 서무 직원조차 돈방석 앉아 보스를 빛나게 하라… 그가 오기 전 일터에 오고, 그가 가기 전엔 퇴근 말라… 그러면 그가 당신을 빛낸다


◇"안정적인 기업에 입사하면 세상을 바꿀 수 없다"

―왜 대기업에 입사하지 않았나요?

"왜냐하면 전 세상에 두 번 오지 않을 역사의 한 단면을 그려나가고 있다고 믿었기 때문입니다. 창업 기업이야말로 세상을 바꿀 길이었습니다. 첫 두 곳에서 실패를 맛본 뒤 한 지인이 '무엇에 열정을 느끼느냐'고 묻더군요. 그래서 '인터넷과 기술이다'고 답했죠. 그랬더니 지인이 '가장 많이 이용하는 인터넷 서비스 기업에 입사해 보라'고 하더군요. 답은 야후(Yahoo)였어요. 야후에서 빚도 다 갚았지요(웃음). 유튜브에 입사할 때도 하루 3시간씩 유튜브를 보다가 입사한 것이고, 유튜브를 구글에 매각했을 때쯤 페이스북에 중독된 걸 깨닫고 페이스북에 들어갔습니다."

―유튜브와 페이스북도 한때 작은 벤처기업이었잖아요?

"네. 유튜브에 입사한 2006년에 66㎡(약 20평)의 큰 방에 직원 65명이 같이 일했어요. 2007년에 입사한 페이스북은 150명뿐이었고요. 그래서 우리 부모님을 이해시키는 데 엄청 힘들었어요. 거의 불가능했죠. 부모님은 왜 마이크로소프트 같은 큰 회사에 안 가느냐는 거였어요. 하지만 저는 우리가 역사를 바꾸는 현장에 있다는 것을 절감했습니다. 인터넷을 사랑했고요. 저에겐 도전할 만한 값어치가 있었습니다. 큰 리스크였지만 저는 안전한 길을 택하기 싫었어요. 전 제 열정이 부르는 대로 따라가고 싶었어요. 사실 전 제 사회생활 내내 열정을 따라갔고 거기에서 큰 희열을 느꼈습니다.

히트 수가 하루 3억건에 불과했던 유튜브는 지금은 40억건으로 늘었고, 페이스북은 직원이 4000명에 이용자 수가 10억명을 돌파했습니다. 만약 마이크로소프트에 입사했으면 중간 매니저밖에 못 했을 거예요. 엄청 큰 회사에서 손톱만 한 거 한다고 세상이 바뀌지는 않는다고 생각합니다. 재산 증식 측면에서도 이점이 있어요. 대기업은 연봉은 작지만, 주식으로 돈을 못 벌잖아요? 유튜브 매각 때는 서무 직원조차 100만달러 돈방석에 앉았지요(웃음)."

―한국도 젊은이들의 창업을 독려합니다.

"예전 직장 상사가 이런 조언을 했어요. 장기적으로 욕심을 내야 한다(be a long term greedy)고요. 소규모 전투에선 져도 되지만, 최종적으로 전쟁에서 이기려면 장기적으로 성공 방정식을 작동해야 하는 겁니다. 그 답은 성장 가능성이 큰 중소기업 입사와 창업입니다."

―실리콘밸리 같은 창업 문화를 한국에 정착해야 한다는 목소리가 있는데, 두세 가지 조언을 부탁합니다.

"우선 실패를 포용하는 것입니다. 말하기 너무 쉽지만 너무 하기 힘들어요. 한국의 누군가 실패를 포용해야 한다고 하면, 이걸 인정해야 합니다. 만약 당신의 아들이 삼성에 갈 기회를 버리고 신생 벤처기업에서 일했는데 그 회사가 망했다, 그것에 대해 어떻게 생각하겠느냐? 그걸 인정할 수 있느냐? 이런 질문에 대해 '아, 다른 사람이라면 몰라도 내 아들은…' 하는 마음으로는 아무것도 변화시킬 수 없어요. 둘째, 나이에 초점을 맞추지 말고 아이디어에 초점을 맞춰야 합니다. 창업은 젊은이들이 하는 겁니다. 나이 든 이를 존경하지 말라는 것이 아닙니다. 다만 나이에 상관없이 좋은 아이디어가 있다면, 그 아이디어를 실현하기 위해 좋은 팀을 만들자는 겁니다. 말로는 쉽게 동의할 수 있지만, 실천은 훨씬 어렵습니다."

―인생의 원칙이 있다면 뭡니까?

"두 가지 정도가 있어요. (잠깐 머뭇거리더니) 첫째, 회사 직원으로서 보스를 빛나게 하라입니다. 보스가 오기 전에 일터에 와라. 그가 퇴근하기 전까지 가지 마라. 그가 기분 좋은 일을 찾고, 그의 삶을 편안하게 해주는 방법을 찾아라. 보스를 빛내면 항상 보스가 당신을 빛내게 되어 있습니다. 또 하나는, 다른 사람이 원하는 당신이 되지 말라는 것입니다. 누구도 당신만큼 당신을 아는 사람이 없거든요."

◇"실리콘밸리의 첨단 기술을 스포츠와 융합하겠다"

―가장 친한 친구가 누구인가요?

"세계에서 가장 친한 친구는 잠시 월트 디즈니에서 근무할 때 한 투자은행에서 만난 친구인데, 제가 그의 고객이었죠. 지금은 실리콘밸리의 한 벤처기업 사장인데요. 그런데 어느 날 그 친구가 말하더군요. '야, 잠깐만. 넌 미식축구를 사랑하고, 비즈니스를 좋아하고, 기술을 좋아하지. 그런데 포티나이너스는 이 모든 걸 다 하지 않느냐?"고 말이죠. 처음엔 완전히 미친 생각이었죠. 전 기술 전문가였거든요.

사람이 열정을 따라 움직일 수 있다고 믿는 사람은 많지 않아요. 그런데 만약 당신이 취미를 일로 삼을 수 있다면 어떨까요? 열정을 직업으로 말입니다. 그래서 포티나이너스의 오너인 제드 요크(York)를 만났죠."

마침 요크는 새 스타디움을 지을 자금을 어떻게 마련할까 고민하고 있었고, 유기돈씨는 그 고민부터 들어주기 시작했다. 그는 공동 구단주 직함을 받으면서 구단 지분 1%를 사들였다.

49ers는 수퍼볼 우승을 5차례나 차지한 명문팀이다. 포브스에 따르면 49ers의 구단 가치는 2011년 9억9000만달러에서 지난해 11억7500만달러로 올라 미국 미식축구팀 33개 가운데 9위다. 전 세계 스포츠 구단을 통틀어 가치가 26위이며, 지난해 매출 2억4500만달러(약 2685억원)를 올렸다.

―49ers에선 어떤 일을 하고 싶으세요?

"이런 걸 한번 생각해 보세요. 만일 당신이 엄청난 49ers 팬이라고 합시다. 그런데 난데없이 구단에서 '구장에서 하고 싶은 최고 경험이 뭐예요? 한번 만들어 보세요. 우리가 돈을 대드릴게요' 하고 제안이 온 겁니다. 다른 사람이 아닌 바로 저를 위해서 최고의 스포츠 경험을 만들어 선사하는 겁니다. 물론 다른 사람도 좋아했으면 좋겠지만요. 게다가 이런 일을 5번이나 수퍼볼을 우승한 49ers 같은 팀을 위해 하고, 거기에 모든 자원과 브랜드를 쓸 수 있다니요. 완전 대박(super), 재밌습니다."

그의 기본적인 아이디어는 스포츠와 IT를 결합하는 것이다.

"스포츠 게임 많이 보러 가세요? 만약 경기장 밖에 있으면, 기술의 혜택이 어디든 다 있습니다. 극장과 쇼핑센터에서 스마트폰을 쓰고, 모바일 쿠폰으로 스타벅스에서 커피를 사죠. 그런데 스포츠 구장에 가봐요. 아무것도 없어요. 스마트폰도 소용없고, 모바일 결제도 하지 못하고, 방금 놓친 장면을 스마트폰으로 즉시 재생해 다시 볼 수도 없어요. 이 모든 것을 우린 할 겁니다. 좌석에서 음식도 배달하게 할 겁니다. 첨단 기술이 녹아든 스포츠 관람이죠. 사람들은 아직도 구장에 올 때 집에서보다 불편한 것을 감수하고 옵니다. 만약 집에서 TV를 보는 것 이상의 경험을 구장에서 제공하면 어떠냐는 것, 그게 우리 목표입니다."

◇"실무자급 직원이라도 훌륭한 포인트를 지적하면 거기에 눈높이를 맞춰라"

―구단 직원 200명에게 가장 강조하는 게 무엇입니까?

"'매우 강력한 의견을 가지고 자존심을 버리고 토론하라'는 것입니다. 의견이 달라 누군가 반대하더라도 감정적이거나 공격적으로 받아들이지 말라는 뜻입니다. 의견이 다를 수 있지만, 최고의 정답을 만들기 위해선 토론이 필요하죠. 또 최고의 직원으로부터 정수(精髓)를 뽑아내고 싶다면, 그들의 의견을 솔직하게 묻고 생각을 깊이 존중해야 해요. 저는 아무리 실무자급 직원이라도 제가 몰랐던 훌륭한 포인트를 지적하면 '내 생각을 바꾸고 당신의 지적에 눈높이를 맞추겠습니다'라고 대답해요. 이런 문화가 엮이고 엮여 완성된 조직이 되는 겁니다."

그는 과거 야후·페이스북 등에서 일한 동료 임원 여러 명을 구단에 스카우트했다. "업계에서 비판을 받지 않느냐"고 물었더니, "미식축구 최고의 '인재 집단'을 만들기 위해선 다소 이기적일 수 있지만 '친정' 사정에 관심을 뚝 끊고 내 팀에만 관심을 쏟아야 한다"고 했다.

그는 고교 시절 "완전 공부벌레였다"고 했다.

"스탠퍼드에 처음 왔을 때는 과학 쪽으로 진출할 생각이었어요. 그런데 당시 친하게 지내던 친구가 투자은행에 취직할 생각이라고 해서 저는 '투자은행? 그게 뭐예요?' 하고 물어봤어요. 그랬더니 그 친구가 '기본적으로 비즈니스를 위한 과학'이라고 하는 것이었습니다. 그래서 자세히 들여다보니까 진짜 과학보다 더 재미있더라고요. 수학과 과학, 비즈니스와 경제를 모두 결합한 것이더라고요. 진짜 흥미로웠어요. 그래서 재무에 관심을 갖게 됐어요. 대학 2학년 때 정말 재미있어서 스탠퍼드를 통틀어 돈에 관한 강의를 다 들었습니다."

유기돈의 ADVICE

1다른 사람이 원하는 당신이 되면 안 됩니다

당신이 품고 있는 열정을 직업으로 만드세요. 내면에서 진심으로 느끼는 열정을 찾아 그 길을 따라가십시오.

2직장에서 최고가 되려면 당신의 상사를 빛나게 하세요

그가 나오기 전에 출근하고 그가 퇴근하기 전까지 가지 말고 그를 어떻게 도울 수 있을까 생각하세요. 상사가 빛나면 당신도 빛날 것입니다.

[미식축구 샌프란시스코 49ers 구단주 유기돈] "당당하게, 거침없이, 뻔뻔하게"… 실리콘밸리 협상王의 3대 원칙 야후·유튜브·페이스북… 최고재무책임자 두루 거치며, 신화적 대형 인수·합병 주도… 美 메이저 스포츠 역사상 최초의 아시아人 구단주 변신 벤처로 간 까닭은? 세상에 두 번 다시 안 올 역사를 바꾸는 현장 절감… 장기적 성공 방정식의 답은 가능성 있는 中企와 창업 안전한 길 걷긴 싫었다… MS같은 큰 회사 택했다면 중간 매니저밖에 못했을 것… 유튜브 매각할 때는 서무 직원조차 돈방석 앉아 보스를 빛나게 하라… 그가 오기 전 일터에 오고, 그가 가기 전엔 퇴근 말라… 그러면 그가 당신을 빛낸다



3협상은 꾀를 부리지 말고 단순하게 하세요

상대방에게 거침없이 요구하는 데 창피함을 느끼면 안 됩니다. 주위에서 미쳤다고 해도 "그래 나 미쳤다"고 대답하는 배짱을 기르세요.

4매우 강력한 의견을 가지되 자존심은 버리고 토론하세요

내 의견에 누가 반대해도 감정적으로 받아들이지 마세요. 그래야 최고의 정답을 만들기 위한 토론이 가능합니다.

5실패를 포용하세요

내 자녀가 대기업에 갈 기회를 버리고 신생 벤처기업에서 실패해도 그걸 격려하고 인정해 주세요. 그것이 실리콘밸리 같은 창업 문화를 만드는 첫걸음입니다.

Posted by i kiss you
,

한국경제신문 S&F 경영학 시리즈


저작권 때문에 링크로...

바로가기

Posted by i kiss you
,