[서울=뉴시스]


[서울=뉴시스]송혜리 기자 = 최근 국내 대기업을 겨냥한 대형 보안 사고가 잇따라 발생하며 국민 불안이 커지고 있다.
보안 전문가들은 "요즘 기업들은 인공지능(AI), 로봇 같은 첨단 기술에는 수천억원을 아낌없이 투자하면서도, 정작 그 기술을 지탱할 보안에는 매우 소극적"이라고 지적한다. 보안을 단순한 비용이 아닌 기업 생존을 위한 핵심 투자로 인식하지 않는 한, 이 같은 사고는 앞으로도 계속 반복될 수밖에 없다는 경고다.
최근 잇따른 보안 사고들은 단순한 기술적 실수라기보다는, 위협을 과소평가한 '인식 부족'과 사후 처벌에만 의존한 '대응 한계'가 겹친 결과라는 분석도 나온다. 이제 보안은 단SMEC 주식
순히 공격을 막는 데 그쳐서는 안 되며 위협을 조기에 인식하고 선제적으로 탐지해 실제 피해를 사전에 차단하는 체계로 패러다임 자체를 전환해야 할 시점이라는 목소리가 커지고 있다.
韓 기업 보안 투자, 글로벌 수준에 한참 못 미쳐

과학기술정보통신부 통계에 따르면 국내 기업들이 정보보호에 쓰는 예산은 GS리테일 주식
전체 IT 투자 대비 평균 6% 수준에 불과하다. 이는 미국·유럽의 평균 투자 비율인 25%에 비해 4분의 1도 안 되는 수치다. 글로벌 주요 기업들이 보안을 비즈니스 핵심 경쟁력으로 인식하며 공격적인 투자를 확대하는 것과 대조적이다.

업종별 편차도 두드러졌다. 정보보호 투자 상위 10대 기업 중 절반이 정보통신업에 속야마토2다운로드
했으며 투자 규모는 삼성전자, KT, 쿠팡 순으로 높았다. 중소기업 상당수는 여전히 전담 인력조차 확보하지 못한 채 최소한의 보안 조치에만 의존하는 실정이다.
글로벌 IT기업 시스코 조사결과에서도 국내 기업 중 사이버보안 위협에 충분히 대응할 준비가 된 '성숙 단계' 기업은 단 3%에 불과했다. 이는 전년도보다 1%포인트 감소한 수치로 보비치밸류
안 역량이 오히려 후퇴했음을 보여준다.
국내 기업들이 보안 투자에 소극적인 이유는 보안을 수익을 창출하지 않는 지출 항목으로 인식하기 때문이다. 보안 시스템은 문제가 발생하지 않으면 그 효과가 눈에 보이지 않는 구조여서 경영진 입장에서는 투자 대비 효과(ROI)를 수치로 설명하기 어렵다. 이로 인해 단기적 비용 절감이 우선되는 경영 의사결알라딘꽁머니
정에서 보안 예산은 뒷순위로 밀릴 수밖에 없다.
하지만 사이버 공격은 기업의 신뢰와 매출, 주가에 직격탄을 날리는 '경영 리스크'다. 최근 SK텔레콤, KT, 롯데카드 등 대형 사고가 보여주듯 보안 투자는 단순한 비용이 아니라 기업 생존을 위한 필수 경쟁력으로 인식돼야 한다는 지적이 나온다.
전문가들 "정부·기업 모두 보안 패러다임 전환해야"

그러다 보니 현재의 보안체계와 환경은 정교해진 사이버 공격을 막기에는 역부족이라는 지적도 잇따르고 있다.

KT 해킹 사건만 봐도 기존 통신 네트워크의 기본 체계를 무력화한 전례 없는 사례로 평가된다. 공격자는 건물 내 전파 도달률을 높이는 데 쓰이는 초소형 기지국(펨토셀)을 악용해 KT 휴대전화 가입자들의 데이터를 가로채고, 무단 소액결제를 시도했다. 수사당국은 차량에 설치된 불법 렘토셀을 확보했지만 해커가 본사 코어망에 어떻게 접속해 여러 인증 단계를 우회했는지는 아직 수사 중이다.
SK텔레콤 사례도 충격적이다. 해커가 다단계 보안망을 뚫고 최소 3년 전부터 가입자 정보가 저장된 시스템에 접속해 있었던 사실이 확인됐다.
이에 따라 보안 전문가들은 "지금처럼 사후 대응에만 의존하는 방식에서 벗어나, 위협 인식→선제 탐지→피해 예방으로 이어지는 보안 패러다임의 근본적 전환이 필요하다"고 입을 모은다.
무엇보다 현재 법적 의무와 정부 규제에 대응한 '체크리스트' 위주의 국내 보안 관리 체계를 수술하지 않으면 빠르게 진화하는 해킹 수법에 속수무책일 수밖에 없다는 경고다. 급변하는 사이버 공격 양상에 실시간 대응하기보다는 정부 가이드라인과 규정을 통과하기 위한 형식적 보안에 집중하다 보니 실질적 방어력이 떨어진다는 것이다.
대표적인 예가 ISMS·ISMS-P 인증 제도다. 이 제도는 기술·관리적 취약점을 점검하고 데이터 암호화 여부를 확인한다. 그러나 SK텔레콤을 비롯해 ISMS·ISMS-P 인증을 모두 취득한 기업들이 잇따라 사고를 당하면서 인증 제도의 실효성 논란이 거세지고 있다. 롯데카드 역시 사고 한달 전인 8월 국내 최고 수준 보안관리체계인 'ISMS-P' 인증 획득 사실을 대대적으로 알린 바 있다.
보안 업계 관계자는 "사고 발생 시 법제와 가이드라인 준수 여부에 따라 처벌 수위가 달라지기 때문에 보안 관리자가 능동적으로 체계를 설계하기 어렵다"며 "기업이 자유롭게 보안 체계를 구축하도록 유도하고 대신 사후 처벌을 강화하는 방향으로 정책을 전환해야 한다"고 말했다.
반복 사고 기업 '징벌적 과징금' 제재

정부도 제도 정비에 착수했다. 기업과 기관이 스스로 보안에 적극 투자하도록 유도하기 위해 징벌적 과징금 도입 등 강력한 사후 규제를 확대하는 방향으로 제도 개선에 나섰다. 개인정보보호위원회는 '개인정보 안전관리 체계 강화 방안'을 마련해 본격 추진에 나섰다. 해당 방안의 핵심은 기업이 보다 선제적이고 자율적인 안전조치를 취할 수 있도록 인센티브를 제공하는 동시에 반복적인 사고에 대해서는 엄정한 처벌로 경각심을 높이는 투트랙 전략이다. 이를 통해 동일한 유형의 해킹이 반복되거나 개인정보 유출 사고가 여러 차례 발생한 기업에 대해서는 과징금 가중 등 엄정한 제재를 통해 경각심을 높인다. 장기적으로는 징벌적 과징금 제도의 도입을 검토, 보안 투자를 소홀히 한 기업에 실질적 책임을 묻는 방향으로 제재 체계를 강화할 방침이다. 금융위원회도 국민이 금융회사에 신뢰를 가질 수 있도록 전방위적인 점검과 제도개선을 즉시 착수하겠다고 밝혔다. 가장 먼저 금융회사 최고경영자(CEO) 책임 하에 전산시스템과 정보보호 체계를 긴급 점검하도록 하고 금융감독원과 금융보안원이 그 점검 결과를 면밀히 감독할 계획이다. 더불어 보안사고 발생 시 사회적 파장에 걸맞은 책임을 묻는 '징벌적 과징금 제도' 도입도 신속히 추진할 예정이다. 과학기술정보통신부는 보안 전문가들과 함께 현행 보안 체계를 원점에서 재검토하겠다고 밝혔다. 이는 단순한 사후 대응이나 임시방편적 조치가 아닌 구조적이고 근본적인 보안 대책 마련에 초점을 맞춘다는 것이다. 또 보안 사고 발생 시 고의로 신고를 지연하거나 신고 자체를 하지 않은 기업에 대해서는 과태료 등 제재를 대폭 강화할 방침이다. 아울러 정부가 해킹 정황을 직접 포착한 경우에는 기업의 신고 여부와 무관하게 즉시 조사를 개시할 수 있도록 제도 개선도 추진된다.☞공감언론 뉴시스 chewoo@newsis.com