국내 기업 사이버보안 전문인력은 평균 0.8명...90% 이상 "인력 불필요하다"

기업 평균 0.8명이 사이버 보안 담당, 그마저 64%는 겸업

[그래픽=과학기술정보통신부 '사이버보안 인력 실태조사' 보고서]

통신업계를 비롯한 기업에 대한 해킹 공격이 심각한 사회문제로 대두된 가운데, 국내 기업들의 사이버보안 인식이 낮은 수준으로 조사됐다.
 
국내 기업에서 사이버보안을 담당하는 내부 인력은 평균 3명에도 미치지 못하며, 사이버보안 인력에 대한 필요성도 느끼지 못하는 것으로 나타났다.
 
12일 과학기술정보통신부가 올해 발표한 ‘2024년 사이버보안 인력수급 실태조사’에 따르면, 2023년 12월 31일 기준 국내 기업의 사이버보안 담당 내부 인력은 평균 2.6명 수준이다. 이는 지난해 8월 31일 조사에서도 동일한 수준으로 유지됐다.
 

특히 전업으로 사이버보안을 담당하는 인력은 전체의 28.6%에 불과해, 기업 평균으로는 0.8명 수준에 그친다. 이는 제대로 된 사이버보안 전담 인력이 1명에도 미치지 않는다는 의미다. 사이버보안 인력의 63.6%는 겸업을 하고 있으며, 7.8%는 외부 인력에 의존하고 있다.
 
더 큰 문제는 기업의 사이버보안 인력 수급에 대한 인식이다. 사이버보안 인력을 보유한 기업의 91.3%가 ‘보안 인력이 불필요하다’고 답했으며, 사이버보안 인력을 보유하지 않은 기업의 97.2% 역시 인력 필요성을 느끼지 않는다고 밝혔다.
 
사이버보안 인력이 불필요하다고 여기는 이유로는 ‘주요 업무가 사이버 공격의 위협을 받지 않는다’는 응답이 31.5%로 가장 많았으며, ‘채용의 어려움’과 ‘인건비 부담’ 등의 이유가 있다.
 
이러한 인식으로 인해 사이버보안 인력 채용도 매우 저조하다. 2023년 한해 사이버보안 인력을 채용한 기업은 전체의 7.6%에 불과했으며, 92.4%는 채용을 하지 않았다. 향후 1년 내 채용 계획이 있다는 기업은 33.2%였고, 구체적인 계획이 없다는 기업은 66.8%에 달했다.
 
직무별 사이버보안 인력 현황을 보면, 관리 영역에 71.5%가 집중돼 있으며, 사고 분석·대응은 13.9%, 진단·분석 업무는 7.5%로 분포됐다. 개인정보보호와 같이 민감한 분야에는 7.2%의 인력만 배치된 것으로 조사됐다.
 
경영진의 사이버보안 인력에 대한 인식은 낮은 반면, 현업에서는 인력 부족으로 어려움을 겪고 있다. 직무별 인력 부족 조사 결과, 보안설비/시스템 구축·운영 직무에서 31.8%로 인력 부족이 가장 심각했으며, 보안 장비·솔루션 운영(27.8%), 정보보호 정책 기획(24.7%), 보안 사고 대응(12.8%) 순으로 나타났다.
 
한 대기업 사이버보안 담당자는 “사이버보안 부서는 회사에서 가장 기피되는 부서 중 하나”라며 “평소에는 관심을 받지 못하다가 사고가 발생하면 모든 책임을 지게 된다. 회사 내 위상은 낮아 전문 경영인도 없고, 이사회에서 연 1회 보고되는 수준에 그친다”고 토로했다.
 
국내 기업의 낮은 사이버보안 중요성 인식은 선진국과 비교해 법, 문화, 규제의 차이에서 비롯된 것으로 분석된다. 미국은 CISA(사이버보안 및 인프라 보안청)를 중심으로 국가 기관과 기업의 사이버보안 인력 확충을 지원하며, 교육을 병행한다. 또 개인정보 유출 등 관리 부실에 대해서는 징벌적 손해배상을 적용해 엄중히 처벌한다.
 
영국, 싱가포르, 일본 등도 기업 경영진의 사이버보안 인식 제고를 위한 교육에 힘쓰고 있으며, 중요 정보 인프라 소유자를 법으로 규제하거나 사이버보안 인력 및 인프라 구축을 의무화하고 있다.
 
박춘식 아주대 사이버보안학과 교수는 “국내 기업은 사이버보안을 비용으로만 인식해 사고가 발생하지 않으면 불필요한 지출로 여긴다”며 “한국은 인터넷이 고도로 발달한 국가로, 앞으로 해킹 문제는 더욱 심각한 사회문제가 될 것이다. 피해액은 자연재해를 초월할 수 있다. 정부는 규제 강화와 기업인의 인식 개선을 통해 사이버 안보에 대한 인식을 높여야 한다”고 강조했다.