서울중앙지방법원-2021고단4809

범 죄 사 실 1. 피고인 및 관련자들의 지위 피해회사 주식회사 B(이하 ‘피해회사’)는 블록체인 기술 기반 핀테크 금융서비스를 목적으로 설립된 법인이고, C는 블록체인 결제 시스템을 전자상거래 플랫폼에 제공하는 기술 개발 등을 목적으로 설립된 싱가포르 법인이며, 주식회사 D는 C의 한국 영업을 위해 전자금융업, 전자상거래업 등을 목적으로 설립된 법인이다. 피고인은 2017. 9. 11.부터 2019. 3. 12.까지 피해회사의 보안전략팀 팀장으로서 피해회사의 정보보안 및 개인정보보호 등을 관리하는 업무에 종사하였고, 2019. 3. 13. 동종업체인 C 및 주식회사 D로 이직하여 현재까지 정보보호최고책임자(CISO) 업무를 담당하고 있다. 2. 피해회사의 영업비밀 관리 방법 피해회사는 2018년 블록체인 산업 분야 ISO/IEC 27001 인증을 취득하였고, 국내에서도 업계 최초로 정보보호 관리체계(ISMS) 인증을 취득하였다. ISO/IEC 27001 인증은 국제표준화기구(ISO : International Organization for Standardization) 및 국제전기기술위원회(IEC : International Electrotechnical Commission)에서 제정한정보보호 관리체계에 대한 국제표준이자 정보보호 분야에서 가장 권위 있는 국제 인증으로, 정보보호정책, 물리적 보안, 정보접근 통제 등 정보보안 관련 11개 영역, 133개 항목에 대해 국제 심판원들의 엄격한 심사와 검증을 통과해야 취득할 수 있는 인증이다. 또한 국내 정보보호 관리체계(ISMS) 인증은 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제47조에 따라 과학기술정보통신부장관이 정보통신망의 안전성·신뢰성 확보를 위하여 관리적·기술적·물리적 보호조치를 포함한 종합적 관리체계를 수립·운영하고 있는 업체에 부여하는 인증이다. 피해회사는 위와 같은 ISO/IEC 27001 인증 및 정보보호 관리체계(ISMS) 인증을 받기 위해 작성하였던 암호화폐 거래에 활용되는 서버 네트워크 등 인프라 시스템 운영 기술 및 경영 관련 자료를 “ISO/IEC 27001 정보보호 운영증적”이라는 제목의 문서 출력물과 “[B]프로젝트 산출물”이라는 파일로 관리하며, 문서 상단에 ‘대외비’라는 문구를 명시하고 영업비밀로 관리하고 있다. “ISO/IEC 27001 정보보호 운영증적” 문서 출력물은 폴더 외부에 붉은 색으로 ‘Confidential'이라 표시하고, 인가자 외에는 출입할 수 없도록 지문인식 출입이 가능한 통제구역 내 금고 캐비넷 안에 보관하며, 위 출력물의 문서파일은 회사 내부망을 통해서만 접속이 가능하고, 모든 접근 이력은 DLP 시스템을 통해 기록되며, 보안전략팀 임직원에 한해 접근이 가능하도록 제한하고, USB 등 외부저장매체로의 복사가 불가능하도록 하였다. “[B]프로젝트 산출물” 압축 파일 내의 개별 파일들은 재무/인사 및 보안전략팀 임원에게만 열람을 허용하고, 파일 자체에 암호를 설정하여 취급자 이외에는 열람을 금지하였으며, 취급자들에게도 출력물 열람 이외 파일복사는 금지하였다. 또한 피해회사는 소속 직원들을 상대로 정기적으로 보안 교육 및 청사 보안 관련 교육을 실시하는 등 위 영업비밀을 철저히 관리하고 있다. 위 영업비밀 자료들은 피해회사 내의 정보보호 관련 규제와 암호화폐 관련 준거성, 정보보호 서비스 수준협약 계약조건, 성과측정 등 피해회사의 약점을 파악할 수 있고, 경쟁사 입장에서는 위 자료들을 통해 기술개발과 정보보호 관리체계 구축에 발생하는 비용과 시행착오를 줄이며 단기간 내에 용이하게 경쟁우위에 올라갈 수 있는 영업상 주요한자산이다. 3. 부정경쟁방지및영업비밀보호에관한법률위반(영업비밀누설등) 및 업무상배임 누구든지 부정한 이익을 얻거나 영업비밀 보유자에게 손해를 입힐 목적으로 그 영업비밀을 취득, 사용 또는 제3자에게 누설하여서는 아니 된다. 피고인은 피해회사의 보안전략팀 팀장으로서, ‘재직 중에 취득한 회사의 모든 기업비밀을 회사의 업무와 관련된 용도에 한하여 사용하고, 어떠한 방식이로든 사·내외 어떠한 제3자에게도 누설·제공하지 않으며, 퇴직시에는 본인이 관리하고 있던 회사의 기업비밀과 관련한 일체의 자료 및 각종 시스템 접근 권한을 회사의 지시에 따라 반납 또는 파기하고, 이와 관련한 어떠한 형태의 사본도 개인적으로 보유하거나 유출하지 않겠다.’는 취지의 정보보안 서약서를 작성·제출한 사실이 있어, 위 서약서 등의 내용과 신의칙상 의무에 따라 재직 당시뿐만 아니라 퇴사 후에도 피해회사의 영업비밀 내지 영업상 주요한 자산 등에 관하여 비밀을 유지하고 퇴사 시에는 이를 반환하거나 폐기할 업무상 임무가 있었다. 그럼에도 불구하고, 피고인은 C 및 주식회사 D로 이직 후에 사용할 목적으로 피해회사에서 영업비밀로 관리하고 있는 ISO/IEC 27001 인증 및 국내 정보보호 관리체계(ISMS) 인증 심사 관련 자료들을 취득하기로 마음먹었다. 피고인은 2019. 2. 27.경 피해회사의 시스템 접근 권한이 정지되고, 같은 달 28. 피해회사 사옥출입카드를 회수 당하였으므로, 피해회사의 시스템에 정당하게 접근할 권한이 없었음에도 2019. 3. 2. 14:15경 피해회사 보안전략팀 직원인 J을 통하여 서울 강남구 K빌딩 2층에 위치해 있는 피해회사 보안전략팀 사무실 안으로 들어 가, 17:29경 위 사무실 캐비넷 안에 보관되어 있던 별지 범죄일람표1 기재 출력물이 편철되어 있는 ‘ISO/IEC 27001 정보보호 운영증적’ 폴더를 가방에 넣어 가지고 나가 피해회사의 영업비밀인 위 자료들을 취득하였다. 계속하여 피고인은 2019. 3. 3. 22:06경 피해회사 전략팀 직원 L으로 하여금 별지 범죄일람표2 기재 파일이 저장된 “[B] 프로젝트 산출물_최종.zip” 압축파일을 피고인의 이메일 주소인 (이메일 1 생략)로 전송하게 하도록 하여 피해회사의 영업비밀인 위 자료들을 취득하였다. 이로써 피고인은 부정한 이익을 얻거나 영업비밀 보유자에게 손해를 입힐 목적으로 피해회사의 영업비밀을 무단으로 취득하고, 위와 같은 업무상 임무에 위배하여 피해회사의 영업비밀 상당의 경제적 가치에 해당하는 시가 불상의 재산상 이득을 취득하고, 피해회사에 동액 상당의 재산상 손해를 가하였다. 증거의 요지 1. 피고인의 법정진술 1. M, N, J에 대한 각 경찰 진술조서 1. 조직상황 분석서(수사기록 329쪽), 정보시스템 위험평가 결과서(수사기록 334쪽), 방화벽 관리자 페이지 사용자 접근 IP제한정책 설정화면(수사기록 355쪽), O 사용자 권한관리 화면(수사기록 356쪽), P 암호키 관리내역(수사기록 357쪽), O 가상화폐거래소 네트워크 구성도(수사기록 360쪽), B 네트워크 구성도(수사기록 362쪽), 정보보호컴플라이언스 분석서(Q, 수사기록 364쪽) 1. CCTV 주요장면 캡쳐 자료(수사기록 502쪽), 이메일로 유출된 회사자료 증거(수사기록 521쪽) 1. 퇴직예정자 인사팀 및 부서장 면담기록자료(수사기록 527쪽), 2018. 2. 27.자 퇴직신청서(수사기록 528쪽), 2019. 2. 27. 21:55 A Office 365 계정 접근권한 해지 이력(수사기록 530쪽), 2017. 10. 30.자 정보보안서약서(수사기록 564쪽), C CISO 명함 사본(수사기록 607쪽), D 정보보호최고책임자(CISO) 명함(수사기록 315쪽), 2018 O 내부 모의해킹 보고서(수사기록 1326쪽), 2018 O 외부 모의해킹 보고서(수사기록 1360쪽) 1. ISO/ISE 27001 인증서(수사기록 318쪽), 정보보호관리체계 인증서(수사기록 650쪽) 1. 수사보고(주식회사 D 영장집행결과보고, 수사기록 864쪽), 수사보고(영업비밀 관련 정리 및 검토, 수사기록 1411쪽) 1. 주식회사 B 고소보충자료(수사기록 1276쪽) 1. 지식재산권 침해사건 자문의견서 회신(수사기록 1482쪽) 법령의 적용 1. 범죄사실에 대한 해당법조 구 부정경쟁방지 및 영업비밀보호에 관한 법률(2019. 1. 8. 법률 제16204호로 개정되기 전의 것) 제18조 제2항(영업비밀 취득, 포괄하여), 형법 제356조, 제355조 제2항(업무상배임, 포괄하여) 1. 상상적 경합 형법 제40조, 제50조 1. 형의 선택 업무상배임죄에 대하여 징역형을 선택하되, 구 부정경쟁방지 및 영업비밀보호에 관한 법률(2019. 1. 8. 법률 제16204호로 개정되기 전의 것) 제18조 제5항에 의하여 같은 법 제18조 제2항에서 정한 벌금형을 병과함 1. 노역장유치 형법 제70조 제1항, 제69조 제2항 1. 집행유예 형법 제62조 제1항(징역형에 대하여) 1. 사회봉사명령 형법 제62조의2 1. 가납명령 형사소송법 제334조 제1항 양형의 이유 피고인이 수사단계에서 범행을 부인하였으나 이 법정에서는 범행을 자백하고 있다. 피고인이 피해회사를 퇴직할 당시 주식회사 D는 싱가폴법인 C의 한국 영업과 관련된 회사로 보이고, 피고인도 그와 같이 인식하고서 2개 회사의 명함을 사용하였던 것으로 보인다. 피고인은 싱가폴법인 C의 한국 영업 등을 위해 활용할 수 있을 것이라는 생각에서 피해회사의 영업비밀을 무단 취득하였던 것으로 보임에도, 마치 자신은 피해회사와 동종업체인 싱가폴법인 C와는 전혀 무관하여 이 사건 영업비밀 무단 취득으로 인해 피해회사에 별다른 손해가 발생할 위험이 없다는 식으로 변명하고 있다. 피해회사는 피고인이 다른 회사로 이직한다는 사정을 알고서 2019. 2. 27.경 피고인을 면담하고 같은 날 피고인의 피해회사 시스템 접근 권한을 정지하고 그 다음날 피고인으로부터 피해회사 사옥출입카드를 회수하였음에도, 피고인은 피해회사의 정상적인 근무일이 아닌 토요일과 일요일에 부하직원들을 출근하도록 하여 그들의 도움을 얻어 이 사건 영업비밀을 무단 취득하였고, 그 과정에서 피고인은 부하직원들에게 자신이 마치 피해회사의 자료를 취득하는 것에 대해 피해회사의 허락이 있었던 것처럼 행동하였다. 피해회사는 약 2년간 70억 원 이상의 정보보호활동 비용을 투입하여 O 가상화폐거래소 서비스를 시작하였다. 국내 가상화폐취급업소 250여개 중 정보보호관리체계(IMS) 인증을 받은 곳은 6개 업체에 불과하고, IMS 인증과 함께 블록체인 산업분야 ISO/IEC27001 인증을 모두 받은 곳은 O가 유일하다. 피고인은 피해회사에서 보안전략팀 팀장으로 근무하였으므로 블록체인 기술 기반 핀테크 금융서비스와 관련한 정보보안의 중요성을 누구보다 잘 인식하고 있었을 것임에도 피해회사의 이 사건 영업비밀을 무단 취득한 것이다. 피고인은 양식을 참조하려는 생각에서 이 사건 영업비밀을 취득하였다고 주장하고 있다. 이 사건 범행으로 인해 피해회사에 구체적인 손해가 발생하였다거나 그 손해액을 추정할만한 뚜렷한 근거는 없다. 피고인은 피해회사로부터 용서를 받지 못하였다. 피고인은 형사처벌을 받은 전력이 없다. 그밖에 형법 제51조에서 정한 제반 양형조건을 참작하여 주문과 같이 형을 정한다.