News[ISAA Lab.] 핀포인트뉴스(25.09.22) 대기업 곳곳 뚫리는데…보안 전담 인력은 ‘태부족’ (곽진 교수님 인터뷰)
Author 관리자시스템Date 2025-09-22Views 553
최근 잇단 사이버 침해 사고를 계기로 국내 기업의 보안 인력 부족 문제가 다시 수면 위로 떠오르고 있다. 낮은 임금과 열악한 처우 탓에 숙련 인력 이탈이 이어지면서 보안 체계 자체가 흔들리고 있다는 우려가 나온다.
22일 한국인터넷진흥원(KISA)에 따르면 국내 침해사고 신고 건수는 2021년 640건에서 2024년 1887건으로 3배 가까이 급증했다. 그러나 같은 기간 KISA의 침해사고 대응 인력은 124명에서 133명으로 9명 늘어나는 데 그쳤다.
실제 기업 현장에서도 인력 부족 문제는 확연히 드러난다. KISA가 지난 2월 발표한 정부 통계에 따르면 최근 1년 내 보안인력을 채용한 기업은 7.6%에 불과했으며, 향후 1년 내 채용 계획을 세운 기업도 33.2%에 그쳤다. 기업들이 채용 계획을 마련하지 못한 가장 큰 이유로는 ‘적합한 수준의 보안 인력을 구하기 어렵다’(23.8%)는 점이 꼽혔다.
이와 관련해 한 통신업계 관계자는 “숙련된 인력이 계속 빠져나가고, 새로 들어온 인력은 바로 실전에 투입하기 힘들다 보니 사고가 나면 현장에서 대응 공백이 생길 수밖에 없다”고 말했다.
인력 부족을 가중시키는 요인으로는 낮은 임금과 근무환경 문제가 지적된다. 한국정보보호산업협회의 ‘2024 정보보호 인력이탈 방지 방안 연구보고서’에 따르면 정보보호 인력이 이직을 고려하는 주된 이유는 임금 수준(48.4%), 근무환경 및 처우(40.3%), 회사 규모 및 성장성(37.7%) 순으로 나타났다.
곽진 아주대학교 사이버보안학과 교수는 “보안 업무는 기업 입장에서 수익 창출로 직접 연결되지 않고 투입 대비 효과가 낮은 분야로 인식돼
예산이나 투자가 상대적으로 적을 수밖에 없다”며 “또 보안은 24시간 내내 가동돼야 하는 특성 때문에 근무 조건이 다른 직종보다 까다롭다는 지적도 많다”고 설명됐다.
이 같은 인력난을 체계적으로 관리할 수 있는 법적 근거는 이미 마련돼 있다. '정보보호산업의 진흥에 관한 법률' 제15조 제3항은 과학기술정보통신부 장관이 ‘정보보호 전문인력 관리시스템’을 구축·운영할 수 있도록 규정하고 있다. 그러나 2015년 법률 제정 당시부터 포함돼 있던 이 조항은 지금까지 단 한 차례도 실행되지 않았다.
한편 정부도 정보보호 인력 확충을 위한 정책을 추진 중이다. 2022년부터 시작된 ‘사이버 10만 인재 양성’ 정책은 2026년까지 정보보호 신규 인력 4만 명을 길러내고, 재직자 6만 명을 대상으로 역량 강화 교육을 실시해 총 10만 명 규모의 보안 인력을 확보한다는 것이 골자다.
그러나 정책에 따라 양성된 인력이 실제 산업현장에 진출해 활동하고 있는지를 종합적으로 추적･평가하는 체계는 마련돼 있지 않은 상황이다. 또한 양성된 인력이 현장에 안착하지 못하고 이탈하는 현실을 고려하면 정책 효과는 제한적일 수밖에 없다는 평가가 나온다.
반면 해외 주요국은 인력 수급 상황을 체계적으로 관리하는 시스템을 구축해 운영 중이다. 미국 ‘사이버시크(Cyberseek)’는 정부와 민간이 협력해 자격증을 기준으로 보안 인력의 수요·공급 데이터를 실시간 제공한다. 유럽의 ‘사이버어빌러티(CyberAbility)’ 역시 취업시장 현황, 필수 역량, 훈련 과정, 자격증 정보를 체계적으로 제공해 개별 인력 맞춤형 교육 설계를 돕고 있다.
전문가들은 보안 인력 부족 문제를 해결하려면 단순히 신규 인력을 늘리는 데 그치지 말고, 겸직 관행을 막고 기업의 보안 인식을 근본적으로 개선해야 한다고 제언한다.
곽진 교수는 “대기업과 달리 규모가 작은 기업은 보안 전담 인력이 따로 없고, 사고가 없으면 다른 업무를 겸직하는 경우가 많다”며 이 같은 관행을
개선해야 한다고 지적했다. 아울러 “기업은 보안을 단순한 비용으로 치부할 게 아니라, 기업의 핵심 가치를 지켜내고 안정적인 경영 환경을 마련하는 데
필수적인 요소로 인식해야 한다”고 강조했다.