고도화되는 해킹 기술과 뒤처진 보안 예산
인공지능(AI) 기술의 비약적인 발전으로 해커들의 공격 수법이 더욱 빠르고 정교해지고 있으나, 국내 기업들의 보안 관련 투자는 여전히 미미한 수준에 머물러 있다. 사고가 발생한 뒤에야 예산을 늘리는 '사후약방문'식 대응에서 벗어나, 위협에 선제적으로 대응할 수 있는 투자 확대가 시급하다는 목소리가 높다.
과학기술정보통신부와 한국정보보호산업협회의 '2025 정보보호 실태조사' 결과에 따르면, 조사에 참여한 국내 기업 5500개사 중 최근 1년간 정보보호 예산을 지출했다고 답한 곳은 54.8%에 불과했다. 특히 전체 응답 기업의 70.4%가 정보보호 예산 총액으로 500만 원 미만을 책정하고 있어 보안 투자의 저조함을 드러냈다.
금융권마저 뚫린 보안망, 실효성 논란
한국인터넷진흥원(KISA)의 정보보호 공시 종합포털 자료를 분석하면, 공시를 진행한 826개 기업의 보안 분야 투자액은 IT 부문 전체 예산의 평균 6.15% 수준인 것으로 나타났다. 이는 관련 공시가 의무화된 2022년 이후 5년 동안 6%대에 머물러 있는 수치다. 반면 미국 보안 컨설팅기관인 IANS 리서치에 따르면 북미 기업들은 IT 예산의 10.9%를 보안에 할애하고 있어, 국내 기업의 투자 규모가 상대적으로 매우 부족하다는 평가를 피하기 어렵다.
상대적으로 높은 보안 예산 비중을 유지해온 금융권조차 보안 사고의 위협에서 자유롭지 못했다. 신한은행(8.0%), KB국민은행(8.2%), 하나은행(9.0%) 등은 금융당국으로부터 5년 연속 최고 등급(S)을 받았다고 공시했음에도 불구하고, 최근 고객 정보가 유출되는 사고를 겪었다. 특히 김현정 더불어민주당 의원(국회 정무위원회)은 올해 국정감사에서 신한은행이 지난해 편성한 정보보호 예산 중 70%조차 집행하지 않았다는 점을 지적하며 관리 부실 문제를 제기했다.
책임자 권한 강화와 제도적 개선 과제
전문가들은 단순한 예산 증액을 넘어, 보안 책임자의 의사결정 권한을 높이고 AI 시대에 걸맞은 보안 기술력을 확보하는 것이 병행되어야 한다고 강조한다. 권헌영 고려대 정보보호대학원 교수는 최고정보보호책임자(CISO)나 개인정보보호책임자(CPO)의 권한이 여전히 재무·인사책임자에 비해 낮다는 점을 꼬집으며, 보안 책임자가 경영 의사결정 과정에 실질적으로 참여할 수 있는 체계가 마련되어야 한다고 조언했다.
안정상 중앙대 커뮤니케이션대학원 겸임교수 또한 기술의 진화 속도에 맞춘 보안 기술 개발의 시급성을 언급하며, 보안 투자를 의무화하는 제도적 장치가 선행되었어야 한다고 지적했다. 이에 정부는 지난달 11일부터 고의나 중과실로 대규모 혹은 반복적인 개인정보 유출을 일으킨 기업에 대해 매출액의 최대 10%를 징벌적 과징금으로 부과할 수 있도록 제도를 강화했다. 또한 내년부터는 정보보호 공시 의무가 전체 상장사로 확대되며, 기존에 자율적으로 공시하던 금융사와 공공기관도 의무 대상에 포함된다. 정부의 민간 정보보호 예산안 역시 올해보다 44% 증액된 5231억 원으로 편성되었다.
해커 추적 및 국가적 대응 시스템 구축 필요
다만 기업에 대한 제재와 예산 확대만으로는 부족하다는 의견도 존재한다. 권헌영 교수는 현재의 대응 방식이 피해 기업에 대한 제재에 치중되어 있다고 분석하며, 범죄자를 끝까지 추적하고 처벌하는 체계를 강화해야 한다고 주장했다. 그는 해외발 해킹 공격에 대해 단순히 주체를 밝히는 수준을 넘어, '한국을 공격하면 반드시 검거된다'는 인식을 심어줄 수 있는 강력한 추적 시스템이 필요하다고 강조했다. 안 교수는 정부가 국가안보실 및 KISA 등 유관기관과 협력하여 수시로 보안 체계를 점검할 수 있는 종합적인 대응 시스템을 구축해야 한다고 덧붙였다.