[디지털데일리 이종현기자] 과학기술정보통신부가 10일 2023년 정보보호 공시 현황 분석보고서의 통계를 발표했다. 2022년 701개 기업들이 정보보호에 얼마나 투자했는지, 분야별 주목할 만한 투자 기업은 어디인지를 살폈다.

보고서는 2023년 정보보호 공시 현황을 토대로 작성됐다. 701개 기업의 2022년 정보보호 투자액, 전담인력, 2년 연속 공시 이행 기업의 전년대비 변화 추이가 담겼다.

정보보호 공시제도는 기업이 스스로 정보보호 현황을 공개하도록 하는 제도다. 2022년부터 매출액 3000억원 이상 또는 일 평균 이용자 수 100만명 이상 사업자는 의무적으로 공시하도록 개편됐다. 의무 공시 대상 기업은 652개사다. 국내 기업뿐만 아니라 국내에 법인을 두고 있는 일부 해외 기업들도 포함됐다.

◆삼성전자‧KT‧쿠팡 업종별 1위 투자 기업

정보보호 투자 업종별 1위 기업으로는 ▲제조 삼성전자(2434억원) ▲통신 KT(1034억원) ▲도‧소매업 쿠팡(639억원) ▲건설 삼성물산(128억원) 등이 꼽혔다. 전년대비 삼성전자 41.7%, KT 1.3%, 쿠팡 19.5%, 삼성물산 –50.8% 등의 변화가 있었다.

분석 대상 기업의 총 정보보호 투자액은 1조8526억원이다. 전년도 분석 보고서 대비 8.6% 줄었다. 다만 이는 일부 기업의 공시 수정이 있었던 결과다. 수정된 내용을 토대로는 전년대비 20.9% 상승했다. 기업별 평균 투자액은 24억원에서 26억원으로 8.3%가량 증가했다.

제도 시행 이후 기업들의 정보보호 투자 상승을 살필 수 있는 지표인 2년 연속 공시 이행 기업의 정보보호 투자액은 1조6968억원으로 1조4839억원이었던 전년대비 14.4% 상승했다. 전반적으로 기업들의 정보보호 투자 규모가 확대되고 있음을 알 수 있다.

업종별 평균 정보보호 투자액은 금융업 69억원, 정보통신업 57억원, 도‧소매업 25억원 순으로 나타났다. 정보보호 투자 규모 상위 10대 기업은 ▲삼성전자(2434억원) ▲KT(1034억원) ▲쿠팡(639억원) ▲SK하이닉스(589억원) ▲SK텔레콤(550억원) ▲국민은행(541억원) ▲삼성SDS(529억원) ▲LG전자(454억원) ▲LG유플러스(442억원) ▲네이버(415억원) 등이다.

701개 기업의 전체 정보보호 전담인력은 약 6891명으로 나타났다. 전년대비 17.6% 늘었는데 기업평 평균 전담인력은 약 9.8%명이다. 정보통신업(23.3명), 금융업(17.4명), 도‧소매업(9명) 등 순으로 정보보호 전담인력을 많이 둔 것으로 나타났다.

정보보호 공시 현황 분석 결과를 공개한 정창림 과기정통부 정보보호네트워크정책관은 “정보보호 공시가 지속될수록 투자 확대 성과가 나타나는 것으로 보인다”며 “이번 보고서를 통해 기업이 스스로 정보보호 역량을 개선하는 데 기여하고 다양한 영역에서 정보보호 정책 수립의 기초자료로 활용되길 기대한다”고 말했다.

주요 업종별 정보보호 투자액 및 전담인력 1위 기업 ⓒ과학기술정보통신부

◆“이러니 당하지”… 해킹 집중되는 제조‧건설업은 투자 미흡

전반적으로 정보보호에 대한 투자가 확대되는 가운데 제조업과 건설업 등 일부 업종에서는 정보보호 활동이 저조한 것으로 확인됐다. 과기정통부는 “제조업과 건설업의 정보보호 활동이 다른 업종에 비해 낮아 정보보호 최고책임자 및 경영진의 지속적인 관심과 노력이 필요해 보인다”고 말했다.

실제로 정보보호 투자 상위 10개 기업과 국내 매출 상위 10개 기업의 목록은 판이하다. 한국 제조업을 대표하는 현대자동차는 2022년 정보보호에 210억원을 투자했다. 매출액 대비 정보보호 투자비율은 0.03% 수준으로 크게 낮다. 포스코도 203억원을 투자해 0.06% 수준이다. 중견‧중소기업으로 눈을 돌리면 상황은 더 심각한데, 매출액 8797억원의 STX는 0.0049%인 4300만원을 정보보호에 투자했다.

이런 제조 기업의 투자 저조는 제조업을 해커들이 제조업을 집중 겨냥하는 원인으로 꼽힌다. SK쉴더스는 올해 국내를 향한 전체 위협 중 20%가량이 제조업을 노린 공격으로 확인됐다고 밝혔다. 전 분야 중 가장 많은 공격을 받았다.

실제 제조업을 향한 공격은 끊이질 않고 있다. 지난 11월 산업기술보호의 날을 맞아 진행된 2023년 산업보안 국제콘퍼런스에서 삼성물산 김상신 그룹장은 “해킹에 가장 많이 노출된 업종은 제조 분야”라며 “제조 분야는 해킹됐을 경우 시급하게 복구해야 하는 특성상 해커 입장에서는 돈을 벌기 쉬운 구조”라고 말한 바 있다.

그는 “과거에는 보안이 기업의 문제로만 취급됐지만 이제는 국가와 국민의 안전과도 직결한다”며 “현장에 가서 PC를 보면 깜짝 놀라는 경우가 있다. 심한 경우 윈도XP이거나, 아예 처음 보는 운영체제(OS)가 설치돼 있는 PC가 많다. 스마트팩토리 보안은 미래를 위한 투자다. 많은 관심을 갖고 지원해 주기를 바란다”고 말했다.

건설업도 정보보호에 대한 투자가 부진한 상황이다. 삼성물산 128억원, 현대건설 29억원, 대우건설 16억원, GS건설 11억원, DL이앤씨 26억원, HDC현대산업개발 2억원 등을 정보보호에 투자했다. 가장 투자가 저조한 것은 HDC현대산업개발로 매출대비 정보보호 투자비율이 0.007%에 불과했다. 총 직원 1892명 중 정보보호 인력은 1명이다.

◆포스코그룹 정보보호 투자 규모 ‘쿠팡’ 하나만도 못해

이는 주요 그룹사의 정보보호 투자 규모를 살폈을 때도 확인된다. 제조업을 기반으로 하지만 정보기술(IT) 등 다양한 산업을 하는 삼성그룹은 정보보호에 3498억원, 매출대비 0.12%를 투자했다. SK그룹 2139억원(0.13%), LG그룹은 1679억원(0.13%) 등의 경우 투자액은 삼성그룹보다 낮지만 투자비율은 더 높다.

특히 SK그룹은 10개 계열사가 의무 공시 대상이 아님에도 자율 공시를 하는 등 적극적인 행보에 나섰다. 매출대비 IT 투자액이 10% 넘는 기업이 다수 포진했다는 것도 주목할 만한 점이다. 6대그룹사 중 매출대비 IT 투자비율이 10%가 넘는 기업을 보유한 기업은 SK그룹이 유일하다.

반면 현대자동차그룹과 포스코의 경우 다른 5대 그룹사에 비해 현저히 낮은 투자를 보였다. 가장 투자에 소극적이었던 것은 현대자동차다. 정보보호에 676억원(0.03%)을 투자하는 데 그쳤다. 롯데그룹을 제치고 재계 서열 5위에 오른 포스코그룹도 328억원(0.04%)으로 투자 규모가 낮았다. 롯데그룹은 400억원(0.08%)을 정보보호에 투자했다.

현대차그룹의 경우 그룹 전체 정보보호 투자액이 쿠팡(639억원)보다 5.7%가량, 소폭 높은 수준에 그친다. 포스코그룹에 이르러서는 쿠팡보다 37.4%나 낮다. 정보보호 현황을 공시한 현대차그룹 기업의 매출액 합은 216조원가량이다. 포스코그룹은 82조원이다. 수십, 수백조원의 매출에 수조원의 영업이익을 거두고 있지만 정보보호에는 극히 일부만 투자하고 있다.