earticle

영어

This study evaluates the effectiveness of the Information Security Disclosure System and proposes directions for policy improvement. Previous research has mainly focused on the legal framework or case studies, lacking empirical verification of the relationship between security incidents and disclosure behavior. To address this gap, this study analyzed 102 companies that experienced data breaches, hacking, or other incidents between January 2023 and December 2024, examining their disclosure status over three years (t−1, t, t+1). The results show that security incidents had minimal impact on disclosure rates, which were determined by legal obligations. In contrast, security investment and dedicated personnel increased steadily after incidents. These findings indicate that the current disclosure system does not sufficiently enhance response capabilities or preventive measures in affected companies. Based on this analysis, the study proposes four key policy improvements: introducing incident-based mandatory disclosure, expanding the scope of obligated entities, integrating quantitative and qualitative indicators into evaluations, and strengthening verification mechanisms with enhanced post-management to ensure the reliability and effectiveness of disclosures.

한국어

본 연구는 정보보호 공시제도의 실효성을 평가하고 정책 개선 방향을 제시하기 위해 수행되었다. 기존 연구는 공시제도의 법적 구조나 개별 사례 분석에 치중하여, 보안사고와 공시 행태 변화 간의 실증적 관계를 충분히 검증하지 못했다. 이에 본 연 구는 2023년 1월부터 2024년 12월까지 개인정보 유출·해킹 등 보안사고를 겪은 102개 기업을 표본으로 선정하고, 사고 전후 3 개 연도(t−1, t, t+1)의 공시 여부와 내용 변화를 분석하였다. 분석 결과, 보안사고 경험은 공시율 변화에 미미한 영향을 미쳤 으며, 공시 여부는 법적 의무에 크게 좌우되었다. 반면 사고 이후 투자와 보안 인력은 지속적으로 증가하였다. 이러한 결과는 현 공시제도가 사고 발생 기업의 대응 역량 강화나 예방 조치 향상에 충분히 기여하지 못하고 있음을 시사하며, 이에 따라 사 고 기반 의무공시 도입, 공시 의무 대상 확대, 정량·정성 지표 결합, 공시 검증 강화와 사후관리 강화 등 실효성을 높이는 정 책 개선안을 제안하였다.