IT업계 마저⋯보안 투자 5.6%에 그쳤다 [韓 보안 불감증]

136개 IT 기업 전수조사 해보니
전체 업종 평균보다 못 미쳐

정보보호 투자액은 전체서 5.6%
IT 인력 중 정보보호 전담은 5.55%

전문가 "보안은 비용이라는 인식 때문"
"회사 경영진의 보안 인식 제고 필요"

보안은 여전히 '투자'가 아닌 '비용'이었다. 인공지능(AI)의 등장으로 사이버 위협이 고도화되고 있지만, 정보보호는 여전히 기업 경영에서 뒷순위로 밀리는 실정이다. 심지어 보안과 가장 밀접한 정보통신(IT) 업종조차, 정보보호 투자 비중이 전체 IT 자원의 20분의 1 수준에 그친 것으로 드러났다.

8일 본지가 한국인터넷진흥원(KISA)의 정보보호 공시 현황을 전수 분석한 결과, 국내 정보통신업종 기업들의 정보기술(IT) 전체 투자액에서 정보보호 투자액이 차지하는 비중은 5.6%에 불과했다. IT 부문 전체 인력 중 정보보호를 전담하는 인력의 비율도 5.55%로 집계됐다. 정보통신 기업조차 정보보호에 투자하는 재정·인적 자원이 전체 IT 자원 대비 20분의 1 수준에 그치는 셈이다.

조사 대상은 지난해 KISA에 정보보호 공시를 제출한 정보통신업종 기업 136개다. 이 가운데 외국계 기업 등 공시 제외 사유가 있는 8곳을 제외한 128개 기업의 데이터를 바탕으로 했다.

이는 전체 업종 평균에도 미치지 못하는 수치다. 같은 해 기준 전체 업종의 평균 정보보호 투자 비중은 6.05%, 정보보호 전담 인력 비중은 6.19%이었다. 전체 업종과 견주어 봤을 때도 정보통신업종의 보안 투자와 인력 운영은 상대적으로 낮은 수준에 머물고 있었다.

과학기술정보통신부는 '2024년 정보보호 공시 현황 분석 보고서'를 통해 정보통신업종의 평균 정보보호 전담 인력은 24.7명이라고 밝힌 바 있다. 그러나 IT 조직 전체가 빠르게 확장되는 데 비해 정보보호 인력의 증가 속도는 따라가지 못하고 있다. 오히려 전담 인력 ‘비율’은 줄어들고 있는 상황이다.

SK텔레콤의 대규모 해킹 사고도 이 같은 '정보보호 비용 절감'에 따른 결과였다. 지난해 SKT와 SK브로드밴드의 합산 정보보호 투자액은 이동통신3사 중 가장 낮은 수준인 867억 원이었다.

보안 전문가들은 이 같은 ‘보안 불감증’의 배경에 ‘보안은 비용’이라는 인식이 깊게 자리하고 있다고 지적했다.

박춘식 아주대 사이버보안학과 교수는 "보안을 '비용'으로 보는 건 아주 오래된 관행이다. 사고가 나지 않는 한, 보안에 관심을 잘 안 가진다"라며 "'안전 불감증'과 같은 맥락이다. 사고가 나지도 않았는데, 미리 사고를 대비하기 위해 비용을 부담하고 싶지 않은 것"이라고 설명했다.

보안 업계 관계자는 "기업들이 정보보호 투자액을 줄이는 주된 이유는, 정보보호를 '수익 창출'이 아닌 '비용'으로 인식하는 경향 때문이다. 보안 분야는 사고가 나기 전까지는 눈에 보이는 성과가 없고, 사고가 난다 하더라도 시간이 지나면 잊혀지는 경우가 많아 우선적으로 비용이 동결된다"며 "투자 효과가 즉각적으로 드러나지 않고 수치로서 증명되기 어렵다 보니, 기업 경영 상황이 어려워지면 정보보호 예산이 삭감 대상 1순위로 거론되는 경우도 많다"라고 말했다.

IT 업계에선 수익성이 높은 사업에 집중하다 보니, 이용자 보호에 소홀했다는 자성도 나온다. 한 IT 업계 관계자는 "보안 투자는 뒷단으로 갈 수밖에 없다. 당장 신사업에 투자해서 성과를 내야 하는데, 성과도 안 나오는 보안에 투자할 (유인이) 없다"고 말했다. 다른 IT 업계 관계자는 "통신 본업에 집중하지 않고 AI 등 신사업에 급급했던 것이 이유라고 본다"며 "통신 3사 중 가장 많은 가입자를 보유했지만 1인당 정보보호 투자액이 3사 중 가장 낮지 않았냐"고 했다.

전문가는 기업 경영진의 보안 인식을 높여야 한다고 강조했다. 박 교수는 "회사의 오너나 경영진의 보안 인식이 굉장히 중요하다. 결국, 보안 투자를 결정하는 건 이들(경영진)이기 때문이다"고 말했다.