미국·영국 보안 투자 25%인데 우리는 6%, 초라한 성적표
보안은 경쟁력…여전히 비용 중심으로 인식하는 한계
보안 전문가들 "기업과 사회 전반에 내재된 '문화'로 정착시켜야"

[서울=뉴시스] 정병혁 기자 = 6일 서울시내 SKT 매장에 유심 교체 안내문이 붙어있다. SK텔레콤 유심 정보 해킹 사태의 파장이 계속되저 유통·물류업계도 보안을 강화하고 나섰다. 유통업계에 따르면 이마트, 롯데마트 등은 계열사들의 통합아이디 서비스에서 SKT와 SKT 알뜰폰 고객의 본인인증을 중단했다. CJ대한통운과 롯데글로벌로지스 등 물류업계도 시스템 보안 상황을 점검하고 있다, 2025.05.06. jhope@newsis.com

[서울=뉴시스]송혜리 기자 = #SK텔레콤은 해킹으로 가입자 유심(USIM) 정보가 유출됐다. 현재까지 유출이 확인된 개인정보는 이용자의 휴대전화번호, 가입자식별번호(IMSI), 유심 인증키 및 기타 유심 관련 정보 등 총 25종에 달한다.

#잡코리아는 아르바이트 구인구직 플랫폼 알바몬 서비스의 '이력서 미리보기'기능에서 비정상 접근시도를 통해 이력서 정보가 유출된 사실을 인지하고 관계기관에 신고했다.

#CJ그룹의 IT 계열사인 CJ올리브네트웍스의 디지털 인증서가 해킹으로 유출된 사실이 드러났다. 이 인증서는 코드사인(Code Signing) 인증서로, 소프트웨어를 개발하거나 배포할 때 사용한다.

이처럼 최근 주요 기업에서 해킹으로 인한 개인정보 유출 사고가 연이어 발생하면서 보안에 대한 경각심이 커지고 있다. 하지만 보안 투자와 인식은 여전히 제자리걸음이라는 지적이 나온다.

정보호보 투자 단 6%뿐…'성숙'단계도 3%에 그쳐

최근 발표된 시스코 '2025 사이버보안 준비 지수'에 따르면, 국내 기업 가운데 사이버보안 위협에 충분히 대응할 준비가 된 '성숙 단계'에 이른 곳은 단 3%에 그친 것으로 나타났다.

구체적으로 국내 기업의 보안 수준은 ▲성숙3% ▲발달 17% ▲형성 52% ▲초기 28%로 집계됐다. 전년도 대비 성숙 단계는 1%p 감소했고, 초기 단계는 3%p 증가해 전반적인 준비 수준이 후퇴한 모습이다.

이에 따라 응답자의 46%는 "1~2년 내 보안 사고로 인해 비즈니스에 차질이 발생할 것"이라고 예상했다. 그런데도 전체 기업의 93%가 IT 인프라 업그레이드를 계획하고 있지만, 사이버보안에 IT 예산의 10% 이상을 투입한 기업은 33%에 불과했다.

과학기술정보통신부 통계에서도 국내 기업들의 정보보호 투자 비율은 전체 정보기술(IT) 투자 대비 평균 6%에 불과한 것으로 나타났다. 이는 미국·유럽의 평균 투자 비율인 25%에 크게 못 미치는 수치다.

업종별 편차도 심해, 정보보호 투자 규모는 삼성전자, KT, 쿠팡 순으로 높았으며, 상위 10대 기업 중 절반이 정보통신업으로 나타났다. 정보보호 전담인력에서도 삼성전자, KT, 삼성SDS 순으로 많았으며, 상위 10대 기업 중 상당수가 정보통신업인 것으로 분석됐다. 

정보보호 투자액 전체 상위 10대 기업(사진=과기정통부) *재판매 및 DB 금지

기업들은 왜 '보안' 하지 않는가…"투자해서 돈 되는 항목 아니라서"

기업들이 보안 투자에 소극적인 이유는, 수익을 창출하지 않는 '지출 항목'으로 인식하기 때문이다.

게다가 보안의 특성상 '문제가 발생하지 않으면 성과가 보이지 않는' 구조이다 보니 투자 대비 효과(ROI)를 정량화하기 어렵고 이에 따라 경영진의 설득도 쉽지 않다. 보안 투자가 실질적 경쟁력으로 작용해야 하는 시대임에도 불구하고 국내 기업 전반에서는 여전히 보안을 비용 중심으로 인식하는 한계가 존재하는 것이다.

보안 위협에 대한 대응이 사고 발생 이후에야 본격화되는 후행적 접근 방식도 문제로 지적된다. '사고가 나야 보안을 한다'는 말이다. 실제 침해 사고를 겪기 전까지는 경각심이 낮고, 사전 예방보다 사후 대응에 초점을 맞추는 기업이 많다.

경영진의 낮은 보안 인식 역시 주요 원인 중 하나다. 보안 문제를 기술부서의 전담 영역으로 한정하고, 조직 차원에서 전략적으로 다루지 않는 경향이 여전하다. 여기에 더해 보안 전문가 인력 확보의 어려움도 지속되고 있으며, 특히 중소기업의 경우 보안 담당자가 없거나, 타 부서가 보안을 겸임하는 경우가 일반적이다.

홍준호 성신여대 융합보안공학과 교수는 "보안 분야는 투자도 중요하지만, 무엇보다 인력 부족이 더 큰 문제"라며 "대기업조차 보안 인력이 10명도 안 되는 경우가 많고, 5명 미만인 곳도 적지 않으며, 현장에서는 인력 양성이 제대로 이뤄지지 않는다는 불만이 많다"고 지적했다.

한편으론 복잡한 보안 인증 및 규제 대응 부담도 투자 소극성의 한 요인이다. 게다가 ISMS, ISMS-P 등 보안 인증 제도는 기업의 정보보호 체계 강화를 목표로 하고 있지만, 실제 현장에서는 문서 작성과 관리 체계 수립 등 형식적 요건에 집중되는 경우가 적지 않다. 이로 인해 기업들이 인증을 '받기 위한 준비'에만 몰두하고, 정작 실질적인 보안 역량 강화로 이어지지 못하는 구조적 한계가 있다는 지적이 나온다.

보안 전문가들은 보안이 일회성 대응이나 비용 항목이 아니라, 기업과 사회 전반에 내재된 '문화'로 정착돼야 한다고 입을 모은다.

한 보안 전문가는 "현대 사회는 네트워크와 통신, 사이버 공간에 기반한 초연결 구조 위에 작동하고 있고, 이 시스템이 멈추는 순간 단순한 불편을 넘어 경제 활동과 정치 시스템 전반이 마비될 수 있는 구조"라며 "국민 생활과 밀접한 통신사, 포털사, 전력·에너지 기업 등은 사이버 방위산업체 수준의 보안관리 체계로 포함돼야 하며, 이들을 보호하고 지원하는 정책이 수립돼야 할 시점"이라고 말했다.

이어 "최근 잇따른 해킹 사고 속에서 민간에 책임을 떠넘기는 듯한 구조는 더 이상 유지되기 어렵다"면서 "정부 역시 실질적인 보호 주체로서 역할을 강화하고, 보안 취약 기업이나 핵심 인프라 제공 기업에 대한 공동 관리 체계를 확립해야 한다"고 말했다.

인력 양성도 관건이다. 그는 "현재 사이버 보안 인력은 수요에 한참 못 미치고 있고, 처우는 열악하다"며 "보안 인력을 사명감에만 의존할 것이 아니라, 정부가 직접 지원하고 체계적으로 육성하지 않으면, 지금은 시작에 불과한 사이버 재난이 연쇄적으로 터질 수 있다"고 경고했다.

☞공감언론 뉴시스 chewoo@newsis.com

Copyright © 뉴시스. 무단전재 및 재배포 금지.