사이버침해 사고가 정보보호 기업의 가치에 미치는 영향

국문 초록 (Abstract)

우리나라는 ICT 기술의 발달로 빠른 정보화 사회로의 변화와 정보 공유를 통해 편리한 생활을 누리고 있다. 하지만 우리의 생활을 윤택하게 해주는 ICT 기술을 바탕으로 지금까지 정보시스템 마비, 사이버 공격, 정보 유출 등 여러 건의 다양한 사이버침해 사고가 있었다. 이러한 사이버 공격에 대해 최근에는 개인정보 유출에 대한 사고 대상기업의 재무적 가치 하락과 관련된 연구가 많이 선행되었다.
사이버 침해 사고 발생 시 기업의 단기적인 기업가치 하락과 대내외 신뢰도 및 평판도 하락으로 인한 영업환경 악화 등을 감소시키기 위하여 사이버 공격에 대해 사전에 예방하고 침해 사고 발생 시 빠른 대응을 위하여 정보보호를 위한 솔루션과 정보보안 서비스를 정보보호 기업으로부터 제공받고 있다.
이에 본 연구에서는 지금까지의 개인정보 유출에 의한 피해기업 대상이 아닌 실제 사이버공격에 의한 사이버침해 사고 발생 시 반대급부를 얻을 수 있는 정보보호 기업에 대한 가치 변화 여부를 국내 정보보호 기업의 주가 변화에 대한 연구를 통하여 사건연구(Event Study) 방법과 가설 검증을 통해 연구하였다. 사이버침해 사고는 온라인 및 오프라인에 보도된 실제 사이버공격에 의한 침해사고를 대상으로 하였고, 대상 정보보호 기업은 주가변화를 통한 기업 가치변화를 확인, 검증할 수 있는 국내 주식시장에 상장된 29개 기업으로 선정하여 모집단에 대해 추정하였다. 사건연구방법에서 정보보호 기업의 가치변화 연구는 주가지수와 연동한 시장조정수익률모형을 사용하였고 가설검증은 통계패키지인 R-프로그램을 활용하여 95% 신뢰도로 검증하였다.
그 결과 사이버침해 사고는 침해사고에 대한 보도일(D일) 기준으로 D-1일에서 D+3일까지의 5거래일까지 정보보호 기업에 대한 누적평균수익률이 주가지수 대비 단기간 증가하였고 그 이후에는 유의미한 차별성이 없었다. 반면에 정보보호 기업과는 다르게 사이버 침해사고에 의한 IT 대표기업의 기업 가치에 미치는 영향은 통계적으로 유의미하게 없었다. 또한 정보보호 기업의 업종과 사이버침해 사고의 피해대상 개수, 현재 또는 과거에 발생한 사이버침해 사고 여부와 관계없이 침해 사고에 대한 보도 공지는 대상 정보보호 기업의 가치에 동일하게 영향을 주었다.
지금까지 사이버침해 사고와 사고대상 기업의 재정적 가치변화에 대한 연구와 개인정보의 중요성이 확대되면서 개인정보 유출 사고에 대한 정보유출 대상기업의 주가 변화를 통해 개인정보 유출 사고가 대상 기업에 미치는 영향을 연구하는 기존의 연구범위를 넓혀 다양한 사이버 공격으로 인한 사이버침해 사고에 대하여 정보보호 기업의 가치에 미치는 영향을 연구하였다는데 의의를 갖는다.
하지만 기업 가치를 주가와 비교하기 위해 국내 상장기업으로 한정하여 전체 정보보호 기업에 대해 통계 추정한 한계점이 있으며 상장 정보보호 기업의 주가에 대하여 사이버침해 사고 이외의 다른 호재나 악재를 본 연구에 반영하지 않았음을 밝힌다.

다국어 초록 (Multilingual Abstract)

Due to the development of ICT technology, we are enjoying convenient life through change to information society and sharing information.
However, based on ICT technology that will enrich our lives, there have been a number of cyber infringement accidents, including paralysis of information system, cyber attacks, and leakages of information.
Many studies have been conducted on such cyber attacks, those involving a falling financial value of an accident target company for personal information leaks lately.
Protecting short-term company value reduction and worsening business environment due to a decrease in domestic and international credibility and reputation in the event of a cyber breach, solutions and information security services are provided to prevent cyber attacks and to respond swiftly in case of cyber infringement.
In this study, the case study has been conducted by event-study methodology on domestic information security companies about changes in the company's share price that can be compensated for cyber attacks, not for victim companies of personal information leakage.
Cyber-infringing accidents were targeted at actual cyber attacks reported online and offline, and estimated the population of information security firms value by selecting 29 companies that could identify changes in corporate value through stock price changes.
In the event study method, the value change study of information protection companies used a Market Adjusted Return Model linked to the stock price index, and hypothesis testing was verified with 95% confidence using the statistical package R program.
As a result, based on the day of reporting on cyber infringement accidents the cumulative average return on information Security companies was increased for a short period 5 days during D-1 to D+3 , and there was no significant difference afterwards.
On the other hand, unlike information security companies, there was no impact on the company value of IT representative firms by cyber-infringing accidents. In addition, the reporting notice of an infringement accident, regardless of the industry of the information protection firm, the number of victims of cyber-infringement incidents, and whether they were currently or have occurred in the past, has equally affected the value of the target information security firms.
This study is meaningful in that it has expanded the scope of research limited to changes in the value of victim firms of cyber-infringing accidents and personal information leaks and investigated the impact on information security companies regarding various cyber attacks.
However, there are limitations on this study because it was conducted statistical estimation not all information security companies but selected companies. And regarding information security company stock price, it did not reflect any favorable or adverse factors other than cyber infringements.

목차 (Table of Contents)

• 제 1 장 서 론 1
• 제 1 절 연구 배경 및 목적 1
• 제 2 절 연구 범위 및 방법 2
• 1. 연구의 범위 2
• 2. 연구의 방법 3
• 제 3 절 논문 구성 4
• 제 2 장 정보보호와 기업가치 연구동향 5
• 제 1 절 정보보호와 기업가치 5
• 제 2 절 관련 연구 5
• 1. 연구 동향 5
• 2. 국외 연구 6
• 3. 국내 연구 11
• 제 3 장 가설 및 연구 모형 18
• 제 1 절 가설 설정 18
• 제 2 절 연구 방법 및 연구 모형 19
• 제 4 장 실증 분석 22
• 제 1 절 자료 수집 22
• 1. 정보보호 기업 22
• 2. 사이버침해 사고 45
• 제 2 절 검증 및 분석 48
• 1. 검증 및 분석 방법 48
• 2. 검증 및 분석 49
• 제 5 장 결 론 75
• 제 1 절 연구 요약 및 시사점 75
• 제 2 절 연구의 의의 77
• 제 3 절 연구의 한계와 과제 77
• 부 록 83
• Abstract 94