최근 SK텔레콤과 예스24 등 잇따른 해킹 사태를 거치면서 국내 기업의 사이버보안 역량에 대한 의구심이 커지고 있다. 한국은 국가경쟁력 평가 사이버보안 분야 순위에서도 69개국 중 40위에 그쳤다. 기업들이 사이버보안에 충분한 투자를 하지 않고 전담 인력 배치도 하지 않는 등 안일하게 대응한 탓이라는 지적이 나온다.
스위스 국제경영개발대학원(IMD)이 최근 발표한 국가경쟁력 평가 중 사이버보안 부문에서 한국은 40위에 머물렀다. 2023년 24위, 지난해 20위에서 순위가 추락했다. 이 같은 결과의 주요 배경으로는 기업의 보안 투자 부족이 우선 꼽힌다. 한국인터넷진흥원(KISA) 정보보호공시 종합 포털에 따르면 2023년 기준 국내 기업의 평균 정보보호 투자액은 29억여원으로 집계됐다. 이동통신 3사와 네이버, 카카오 등 주요 IT 기업의 매출 대비 정보보호 투자 비율은 0.5%가 채 되지 않는다.
기업 내 사이버보안 전담인력이 부족한 것도 보안 역량 저하의 한 원인이다. 지난 4월 과학기술정보통신부가 발표한 ‘2024 사이버보안 인력수급 실태조사’를 보면 국내 기업의 사이버보안 인력 중 보안 업무를 전담하는 이는 10명 중 3명이 채 안 됐다. 보안 업무를 전업으로 담당하는 인력이 있는 기업은 28.4%에 불과했고, 다른 업무까지 겸업하는 인력이 63.8%, 외부 인력을 사용하는 경우가 7.8%였다. 보안 관련 고위험 산업인 정보통신업 내에서도 보안 업무만 담당하는 인력이 있는 경우는 53%에 그쳤다.
업계 관계자는 “해외에 비해 한국은 보안 전담 인력이 매우 적은 편”이라며 “개발자나 IT 시스템 운영 담당자가 겸업을 하기도 한다. 중소기업일수록 인력이 부족해 사고에 취약할 수밖에 없는 구조가 된다”고 말했다.
해킹 피해 사례가 이어지자 기업 정보보호 역량을 강화하기 위한 법안도 발의됐다. 김상훈 국민의힘 의원이 지난 11일 발의한 정보통신망 이용촉진 및 정보보호 등에 관한 법률 개정안에는 정부가 부여하는 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증 기준을 강화하는 내용이 담겼다. 이동통신사 등 고위험 산업군에 보다 엄격한 인증 기준을 적용하고, 정보보호 관련 법령을 중대하게 위반할 경우 인증을 취소할 수 있도록 했다. 서류심사 중심이었던 사후관리에 현장심사를 병행하고, 인증을 이행하지 않으면 과징금을 부과하는 내용도 포함했다.
엄흥열 순천향대 정보보호학과 교수는 “보안 사고를 없앨 유효한 대책 마련을 위해서는 투자가 필수적”이라며 “정부 차원에서 기업에 일정 부분 투자 지원을 할 수 있도록 국회 입법 등 관련 논의가 이뤄져야 한다”고 말했다. 엄 교수는 “위험 상황에 대응할 수 있는 정보보호 전담 인력의 충분한 확보도 필요하다”며 “정보보호 공시에서 전담·겸직 인력을 구분해 표기하는 것을 의무화하는 등의 방식도 가능할 것”이라고 덧붙였다.
양윤선 기자 sun@kmib.co.kr
GoodNews paper ⓒ 국민일보(www.kmib.co.kr), 무단전재, 수집, 재배포 및 AI학습 이용 금지
