[해킹 도미노]③진화하는 해킹, 뒤늦은 대응

비즈워치 2026년 10월 30일 오전 07:57 조회수

해킹 피해가 끊이지 않고 있지만 국내 기업들의 보안 투자는 여전히 제자리걸음에 머물러 있다. 특히 인공지능(AI) 기술 발달로 해커들의 공격 양상이 한층 정교해지고 빨라진 만큼 사고 뒤 예산을 늘리는 ‘사후약방문’식 대응에서 벗어나 선제적 투자가 시급하다는 지적이 나온다.

과학기술정보통신부와 한국정보보호산업협회가 발표한 ‘2025 정보보호 실태조사’에 따르면 조사대상 국내 기업 5500개사 가운데 최근 1년간 정보보호 예산을 사용한 적이 있다고 응답한 비중은 54.8%에 그쳤다. 정보보호 예산총액도 500만원 미만이 전체의 70.4%로 가장 큰 비중을 차지했다.

한국인터넷진흥원(KISA)의 정보보호 공시 종합포털을 보면 공시기업 826곳은 정보기술(IT)부문 투자액의 평균 6.15%를 보안분야에 썼다. 관련 공시가 의무화된 2022년부터 5년간 6%대에 머물렀다. 미국 보안 컨설팅기관 IANS 리서치에 따르면 북미 기업들은 IT 예산의 10.9%를 보안에 투입한다. 이에 견주면 국내 기업들의 보안 투자가 대체로 미흡하다는 지적을 피하기 어렵다.

상대적으로 보안 예산 비중이 큰 금융권도 뚫렸다. 신한은행(8.0%)과 KB국민은행(8.2%), 하나은행(9.0%) 등은 금융당국 평가에서 5년 연속 최고 등급(S)을 받았다고 공시했지만 최근 고객정보 유출 사고가 발생했다.

국회 정무위원회 김현정 더불어민주당 의원은 올해 국정감사에서 신한은행이 지난해 편성한 정보보호 예산의 70%도 집행하지 않았다고 지적했다.

전문가들은 보안투자뿐 아니라 보안책임자의 의사결정 권한 강화와 AI 발전에 맞춘 보안기술 확보가 병행돼야한다고 입을 모은다.

권헌영 고려대 정보보호대학원 교수는 “기업의 보안 투자가 늘고 있지만 최고정보보호책임자(CISO)나 개인정보보호책임자(CPO)의 권한은 여전히 재무·인사책임자에 미치지 못한다”면서 “보안 책임자가 실질적으로 경영 의사결정에 참여하는 체계 구축이 시급하다”고 조언했다.

안정상 중앙대 커뮤니케이션대학원 겸임교수 역시 “AI 발전에 발맞춘 보안기술 개발을 서둘러야 한다”며 “기술 진화 속도에 걸맞게 보안 투자를 의무화하는 제도 개선이 먼저 이뤄졌어야 했다”고 지적했다.

정부도 제도적 압박 수위를 높이고 있다. 지난달 11일부터 고의·중과실로 개인정보를 반복·대규모로 유출한 기업에는 매출의 최대 10%까지 징벌적 과징금을 부과할 수 있도록 했다. 또한 내년부터는 정보보호 공시 의무가 전체 상장사로 넓어진다. 그동안 자율적으로 공시해왔던 금융회사와 공공기관도 의무공시 대상에 포함된다. 민간 정보보호 예산안도 올해보다 44% 늘린 5231억원을 편성했다.

다만 기업 제재와 예산 확대뿐 아니라 해커에 대한 실질적인 처벌과 국가간 협력체계를 강화해야 한다는 주장도 나온다. 권 교수는 “지금은 해킹 피해 기업에 대한 제재에 집중하는 경향이 있는데 범죄자 추적과 처벌 체계도 강화해야 한다”며 “해외발 해킹 역시 공격 주체를 발표하는 데 그치지 말고 끝까지 추적해 ‘한국을 공격하면 반드시 잡힌다’는 인식을 심어줘야 한다”고 강조했다.

안 교수도 “정부가 선제적으로 나서 국가안보실, KISA 등 유관기관과 함께 수시로 보안 체계를 점검하는 종합 대응 시스템을 갖춰야 한다”고 말했다.