방패를 상징화한 사이버 보안 이미지 [ⓒ 픽사베이]

[디지털데일리 최민지 기자] 최근 중국 해커로 추정되는 인물이 국내 유명 대학부터 병원, 기업 등 100여곳 이상 한국 사이트를 해킹해 경찰청 사이버테러수사대가 수사에 착수했다. 북한이 핵을 포함한 무기개발 자금을 마련하고자, 신기술을 활용해 가상화폐 해킹 등 악의적인 사이버공격을 자행하고 있다는 보고도 잇따르고 있다.

이처럼 급격하게 발전하는 기술 속도에 발맞춰, 사이버공격자 수법 또한 진화되고 있다. 국가 간 경계를 넘는 사이버공격이 계속되고 있으며, 개인과 기업을 향한 정보 탈취를 넘어 국가의 안전까지 위협하고 있다.

이에 따라 정보보호 전문인력 중요성은 더욱 커지고 있다. 하지만, 보안산업 현장에선 인력 부족을 호소한다. 정부는 사이버보안 전문인력을 양성하고자 ‘국가사이버안보전략’을 통해 맞춤형 인력양성 프로그램을 강화하겠다고 밝혔다. 또, 국가‧공공기관 사이버안보 업무 및 정책 활동에 민간 사이버전문인력을 활용하기 위해 혁신적 제도와 보상체계를 마련해 단계적으로 이행할 계획이다.

그럼에도, 현장에선 정보보호 전문인력을 채용해 이들을 붙잡아 둘 요인이 점점 줄어들고 있는데 아쉬움을 나타내고 있다.

보안은 소위 창과 방패의 싸움으로 일컬어진다. 1만번의 공격을 막아도 한 번만 뚫리면 위협이 현실화되기 때문이다. 이에 한 번 뚫렸을 때, 책임을 묻겠다며 정보보호최고책임자(CISO) 등을 교체하거나 제재하는 경우도 숱하게 이뤄진다. 최악의 경우, 형사처벌까지 묻게 된다.

이처럼 개인에 대한 과도한 책임이 오히려 인력양성에 부정적 영향을 미치고 있다는 이야기다. 잘못한 경우엔 처벌하는 것이 맞지만, 무조건적인 제재는 기피 업무로 이어질 수 있기 때문이다. “아무리 잘해도, 결국 책임만 지는 곳”이라는 인식이 깔릴 수밖에 없다.

사실, 보안은 정보보호 담당 부서만 잘한다고 되는 것이 아니다. 조직 전체에서 보안 시스템을 강화하고, 모든 업무에서 보안 내재화를 이루는 것이 급선무다. 서비스를 하나 만들 때도 기획 및 설계 단계부터 보안을 고려해야 한다.

또 다른 문제점은 국내 보안기업들이 대체적으로 영세하다는 점이다. 물론, 상장기업들도 많지만 대부분 중소‧중견기업일 뿐, 대기업군에 오르지는 못했다. 국내 보안산업의 고질적인 문제점도 있겠지만, 이는 한국이 보안 투자에 얼마나 인색한지를 보여주는 지표이기도 하다.

실제 ‘1조 클럽(매출 1조원 이상 기업)’에 속한 국내 보안 기업은 단 한 곳도 없다. 대표 보안기업인 안랩조차 연간 매출은 2000억원대에 그친다. 그러다 보니, 평균 연봉이나 복지 수준에서 네카쿠배라(네이버‧카카오‧쿠팡‧배달의민족‧라인)와 같은 대표적인 IT 기업들과 차이가 날 수밖에 없다.

이에 보안기업보다는 일반 기업‧기관에서 보안 업무를 맡고자 하는 지원자들이 늘 수밖에 없다. 하지만 이들이 기업‧기관에 들어갔을 때, 앞서 말한 개인정보유출과 같은 사고 발생 때 개인적인 책임에서 자유로울 수 없는 부담감을 겪게 된다.

결국 보안시장을 넓히면서, 동시에 보안 담당자에 대한 제도적‧사회적 인식 제고가 필요하다. 그래야만, 임시방편이 아닌 제대로 된 해결책을 담보할 수 있다. 좋은 인재가 몰리는 산업군으로 성장해야만, 결국 사이버 보안‧안보‧국방을 강화할 수 있는 근본적인 길이 될 것이다.