일반 기업: 정보보호 공시 제도 도입 이후 삼성전자, 쿠팡 등 대기업의 보안 투자는 해마다 크게 늘어나는 추세입니다. 그러나 중소·중견기업이나 플랫폼 기업 중 상당수는 전체 IT 예산 대비 보안 투자 비중이 2~4%대에 머무르는 경우가 많습니다.
- 보안에 비중을 덜 두는 것처럼 보이는 구조적 이유
① '비용'으로 보는 인식이 강함
많은 한국 기업에서 보안은 "수익을 내는 투자"가 아니라 "사고만 안 나면 버려지는 비용"으로 인식되는 경향이 강합니다. 따라서 사고가 터지기 전까지는 최소한의 법적 요건만 맞추는 방어적 투자에 그치기 쉽습니다.
② 규제 준수(Compliance) 위주의 '도장 찍기' 보안
글로벌 기업은 실제 해킹 시도를 막기 위한 실질적 위협 대응(Zero Trust, Proactive Security)에 집중하는 반면, 국내는 ISMS 인증이나 정부 가이드라인 등 법적 규제를 충족하는 형태의 '서류상·체크리스트형 보안'에 예산이 집중되는 경우가 많습니다.
③ 솜방망이 처벌과 경제적 계산
해외(특히 유럽의 GDPR 등)는 개인정보 유출 시 기업 전체 매출의 수 퍼센트에 달하는 과징금을 부과하여 보안 사고가 기업의 존폐를 흔듭니다. 반면 국내는 과징금이나 배상금 규모가 보안 시스템에 수백억 원을 투자하는 비용보다 상대적으로 적다 보니, "사고 나고 벌금 내는 게 미리 보안 시스템 구축하는 것보다 싸다"는 왜곡된 경제성 판단이 개입하기도 했습니다.
④ 외주화 및 전문 인력 부족
IT 및 보안 업무를 자체 전문 인력보다는 하청·외주업체에 의존하는 비중이 높습니다. 외주 체계에서는 보안 관제가 파편화되고, 핵심 시스템 접근 권한 관리가 허술해지는 취약점이 빈번하게 발생합니다.
최근의 변화 흐름
최근 대규모 개인정보 유출 및 랜섬웨어, 공급망 공격이 급증함에 따라 금융당국과 정부도 과징금을 대폭 상향하고 정보보호 공시를 의무화하는 등 강도를 높이고 있습니다. 그럼에도 불구하고 "사고 예방"보다 "경영 효율과 속도"를 우선시하는 문화가 여전히 남아있어 체감 보안 수준이 낮게 느껴지는 편입니다.