“사이버 보안 사고가 터져도 그때뿐입니다. 보안 사고가 발생한 기업조차도 정보보호 투자를 후순위로 미루는 실정입니다.”
한 정보보호 기업 임원은 하루가 멀다 하고 사이버 보안 사고가 발생하고 있지만 현장의 기업 경각심은 떨어진다고 푸념했다. 과거 포털 사이트에서 '해킹'을 검색하면 단일 사건에 관한 여러 기사가 나왔는데 최근엔 한 페이지 안에서도 다종다양한 해킹 사고가 나온다. 그만큼 해킹공격이 우리 사회 곳곳을 노리고 있다는 의미다. 정보보안 기업은 사이버 위협이 날이 갈수록 지능화·고도화하고 있다고 목소리를 높이지만 이에 대응해야 할 기업엔 '소귀에 경 읽기'에 불과한 게 현실이다.
모의 침투를 벌여 회사 서비스를 셧다운한 결과 보고서를 들이밀어도 기업은 요지부동이다. 아직 일어나지 않은 일이라 개의치 않겠다는 반응이다. 서비스 완전 마비는 회사 존폐와 직결될 수 있지만 뒷짐을 지고 있는 기업을 보고 있자면 정보보호 기업은 맥이 풀릴 수밖에 없다.
문제는 사고가 발생해도 기업 태도에 큰 변화가 없다는 점이다. A사의 경우 해커가 홈페이지를 해킹하고 화면을 변조하는 '디페이스(Deface) 공격'을 받았다. 해커는 마음만 먹으면 개인정보 탈취는 물론 이용자 목록 삭제 등 다른 공격도 가능했다. 하지만 이 기업은 홈페이지가 일시 마비되는 수준이고 해커 능력 과시를 위한 단순 공격 정도로 치부했다.
공격 이면에 숨겨진 위협을 고민해야 하지만 상당수 기업이 피해 규모로 사고 경중을 판단한다. 하마터면 돌이키기 어려운 피해가 일어날 수 있었고 이후에 발생할 수 있지만 드러난 피해에만 집중한다. 이러한 땜질식 처방으로는 기업 정보보안 역량은 강화되기 어렵다.
정보보호 투자가 뒷전으로 밀린 상황이라면 소를 잃고 외양간이라도 잘 고쳤으면 한다. 지금 이 순간에도 외양간 안 소를 호시탐탐 노리는 해커들이 있다. 아무리 높게 장벽을 쌓아도 난공불락의 정보보안은 현실엔 존재하지 않는다. 침해사고는 언제든 일어날 수 있다는 의미다. 중요한 건 그 다음이다. 소를 잃고 난 뒤 외양간을 제대로 보수하겠다는 기업 의지가 없다면 보안 사고는 계속 발생할 수밖에 없다.
윤석열 정부 들어 한·미 동맹이 사이버 영역으로 확장하면서 국내 정보보안 기업의 역할이 더 막중해졌다. 현재까지 성적표는 아쉬운 대목이다. 연매출 1000억원 이상 기업이 손에 꼽힌다. 글로벌 기업과 어깨를 나란히 하는 정보보안 기업이 절실한 때다. 국내 기업이 외양간만 잘 고쳐도 여건이 좀 나아지지 않을까.
조재학 기자 2jh@etnews.com
