[데스크 시각] 보안 대기업은 ‘왜 없을까?’

SK텔레콤의 해킹 사건으로 이용자들의 불안감이 최고조다.

이전에 사소한 해킹 피해라도 있었던 이용자라면 그 느끼는 감정이 더 클 수밖에 없다.

SKT 망을 이용하는 알뜰폰 가입자를 고려할 때 국민의 절반 이상이 직접 피해자이고, 가족 등을 포함하면 사실상 전 국민이 직접 당사자인 셈이다.

특히 이번 사건은 모든 우리 모든 일상의 접점이 되는 스마트폰과 관련된 사고라는 점에서 그 여파를 가늠하기조차 힘들다.

물론 당사자인 SKT는 물론 정부에서도 대책 마련과 복구에 총력을 다하는 만큼 실제 2차 피해로까지 연결되는 경우는 드물 것으로 생각한다. 혹여 피해가 발생하더라도 ‘유심 보호 서비스’에 가입하면 이후 발생하는 피해 100%를 보상하겠다고 하니, 28년 SKT 가입을 유지해 온 기자도 일단은 한숨 놓인다. 유심 대란이라고 하니 이번 주말이나 다음 주 정도 가까운 대리점을 방문해 교체할 생각이다.

‘그런데, 앞으로는?’에 대한 불안감까지 모두 해소되지는 않는다.

이동통신사의 고객정보 유출은 이전에도 있었다.

KT와 LG유플러스도 과거 해킹 공격으로 각각 830만, 30만 건의 고객 개인 정보가 유출된 전적이 있다. 당시에도 지금에 못지않은 혼란이 이어졌던 거로 기억된다.

사고 이후 이통사들은 나름대로 대비했고, 사고 이전보다는 보안 수준도 개선했다고 한다. 정보 보호 예산도 이전보다 일부 늘었다.

문제는 최근의 보안 위협이 이전과는 비교할 수도 없을 만큼 다양해지고, 강해졌다는 점이다. 게다가 스마트폰의 이용범위는 금융·쇼핑·교통은 물론 업무까지 일상의 전 영역에 걸쳐 있다. 더 고도화된 위협이 더 넓은 일상에 영향을 미칠 수 있게 된 것이다.

이런 변화를 고려할 때 이통3사의 정보 보호 예산은 사실상 크게 줄어든 것이라는 게 전문가들의 분석이다.

한국인터넷진흥원(KISA)과 이동통신 3사에 따르면 매출 대비 정보 보호 투자액은 0.3~0.4%대다. 금액으로는 632억~1218억 원이다. 그나마 정보 보호에 많은 돈을 쓴다고 하는 이통사들조차 이 정도 수준인데, 다른 기업군들은 말할 필요도 없다.

통상 예상 편성에서 보안 순위는 중대성 평가에서 밀리거나 축소되는 경우가 많다. 지난해나 올해처럼 경영 상황이 어려울수록 더하다.

정보기술(IT) 업계에서 매출로 대기업을 구분할 때 ‘제조업 1조 원, 소프트웨어 1000억 원, 정보보안 100억 원 이상’이라는 말이 있다. 그만큼 정보보안 사업으로 돈을 벌기 힘들다는 현실을 꼬집는 비유다. 투자 측면에서는 그만큼 정보보안에 돈을 쓰지 않는다는 얘기다.

일반적으로 대부분 기업은 물론 공공기관까지 보안 투자를 비용으로 본다. 1억 원을 쓰던, 100억 원을 투자하던 차이를 구별하기 힘들다고 생각한다. 사고만 없다는 전제하에.

막상 사고가 터지면 1억 원으로 막을 사안을 100억 원, 100억 원으로 막을 사안은 1조 원으로 막아야 한다는 점은 사고(思考) 밖에 존재한다. 이미 대형 보안사고는 기업의 존립까지 좌우한다. 그 정도는 점점 더 강해질 것이다.

매번 보안 사고가 발생하면, 당시에는 재발 방지를 위해 공격적 투자를 약속한다. 실제 보안 사고가 났던 이통사들도 예산을 늘리기는 했다. 그런데 그 금액이 최근 보안 위협에 어느 정도 부합되는지는 물음표가 붙는다.

특히 인공지능(AI)이나 클라우드 등 기술 발전에 따라 보안 위협은 더 고도화되고, 정교해지고 있다. 유일한 방법은 선제 투자로 최신 동향에 꾸준히 대비하는 것이다. 그러기 위해 정보보호 예산을 ‘비용이 아닌 투자’로 보는 인식전환이 전제돼야 한다. 오랜 기간 얘기됐지만, 변하지 않는 전제다. 이번에는 아니길 빈다.