7.7 분산서비스거부(DDoS) 공격을 계기로 정부와 기업, 국민 모두 사이버 보안 의식을 새롭게 다지고 이를 바탕으로 이번 사태에서 큰 역할을 담당한 보안업계를 육성하는 방안을 적극 모색해야 한다는 여론이 높아지고 있다.

특히 국가나 공기업은 물론 일정규모 이상의 기업들이 의무적으로 적정 수준의 정보보호 조치를 하도록 제도화하고 품질보장제도(SLA)도 도입함으로써 국내 보안업체들이 국제적 수준의 기술역량을 축적하도록 유도하는 등 다양한 정책들이 검토돼야 할 시점이다.

이를 바탕으로 정부와 기업의 정보보호 분야 투자를 단계적으로 늘려나감으로써 외국의 보안업계에 비해 매우 영세한 보안업계가 규모의 경제를 갖출 수 있도록 뒷받침하는 것은 유비쿼터스 시대를 맞아 언제 또다시 발생할지 모르는 사이버테러에 정부와 공동 대응할 '사이버예비군'을 강화할 수 있는 좋은 촉매제가 될 것으로 보인다.

◇국내 업계 구멍가게 수준 = 국내 보안업계의 각 업체 매출과 영업이익 규모는 중소기업 수준에 머물고 있다.

국내 주요 보안업체 5곳의 지난해 영업이익은 안철수연구소 97억원, 하우리 27억원, 에스지어드밴텍 7억원, 이스트소프트 107억원, 잉카인터넷 손실 23억원 수준으로 아직 미미한 실정이다.

한국정보보호산업협회에 따르면 또 국내 보안업계 151곳의 지난해 매출액은 7천724억원으로 1조원에 크게 밑돈다.

이는 지난해 세계 보안시장 매출 135억달러(약 18조원, 가트너 기준)의 4% 수준이다.

보안업계의 영세한 규모는 핵심인재 유출, 투자 감소, 규모의 비경제로 악순환으로 이어진다는 점에서 업계구도의 재편이 필요하다.

KT 망관제센터가 지난 7일 1차 DDoS 공격 당시 국내에서 처음으로 악성코드 실행파일을 확보, 보안업체에 전달해 치료백신을 만들도록 나서는 등 정부와 민간 보안업계의 공조가 사이버테러 대응에 주효했던 만큼 보안업계 재편은 국가 사이버보안에도 필수적인 과제가 됐다.

김홍선 안철수연구소 대표이사는 "미국의 경우 보안산업의 매출 규모가 막대해 소프트웨어 산업의 핵심인재가 보안업계로 진출하지만 우리나라는 대다수의 인력이 보안업계를 회피한다"고 지적했다.

◇올해 보안 예산 IT 5.5%..美의 절반 = 정부는 그동안 정보화 예산 규모는 총액 규모를 그대로 유지하되 그중 정보보호 분야 투자는 꾸준히 늘려왔다.

기획재정부에 따르면 올해 정부의 정보보호 분야 투자 예산액은 1천742억원으로 전체 정부의 정보화 예산 3조1천555억원의 5.5%이다.

정보보호 예산은 2007년 957억원(전체 3조3천893억원의 2.8%), 2008년 1천608억원(전체 3조3963억원의4.7%)에 머물던 것에 비하면 점진적인 비중 확대를 이끌어낸 셈이다.

그러나 정부의 이같은 노력도 불구, 보안산업이 규모의 경제를 이루도록 하기에는 역부족이라는 지적이다.

한국정보보호진흥원(KISA)에 따르면 미국은 국토안보부(DHS)의 내년 사이버보안 분야 예산을 426억 달러(55조3천800억원)으로 책정해 올해 401억 달러보다 6.5% 늘렸다.

미국의 정보화 대비 정보보호 예산 비율은 이미 우리나라의 두 배 수준인 것으로 알려져 있지만 사이버보안에 대해 정책적 주안점을 두고 정부 차원에서 관련 산업에 대한 투자를 강화하고 있다는 분석이다.

영국도 최근 사이버보안센터 구축을 추진하는데 최근 전세계 각 정부는 사이버공간을 제2의 국토로 인식하고 있는 실정이다.

◇기업 보안 의식 변화해야 = 지난해 기업별 정보보호 실태 조사결과 정보화 투자 대비 정보보호 투자 비율은 전체 기업 29만 곳의 절반에 가까운 44.5%가 관련 지출이 전무하다고 답했다.

또 1% 미만도 22.2%에 달해 3분의 2가 보안시스템이 부재한 것으로 분석됐다.

특히 사이버보안이 고객의 개인정보와 재정 보호로 직결되는 금융·보험업계도 보안시스템은 허술했다.

금융·보험업체 1만6천532곳의 약 20%가 보안패치를 수동 업그레이드 하거나 사고 뒤에만 업그레이드하기도 했고 심지어 아예 관련 프로그램을 설치하지 않기도 했다.

이들 업체 중 2만7천 곳이 디도스 공격 피해를 입었다고 답변했다.

가장 싼 가격의 시스템 보안으로 고가의 전산장비와 가격을 따질 수 없는 귀중한 기업정보를 방어하려는 대다수 법인 고객들과 무료에 익숙한 국민 개개인의 보안의식이 바뀌어야 한다는 것이 보안업계의 시각이다.

정보화 시스템을 구축하는 기업들은 관련 예산의 일정 부분을 정보보호 분야에 투자하는 한편 최고정보책임자(CSO)를 둬서 고객의 피해를 줄여가고 직원을 상대로 한 정보교육을 주기적으로 실시해야 한다는 것이 업계의 지적이다.

◇품질보장제도(SLA) 도입 = 국내 보안업계는 이번 사태를 성장의 발판으로 삼기 위해서는 정보보호 시스템의 선진화가 필요하다는 지적이다.

시만텍 등 해외 보안업체의 경우는 품질보장제도(SLA, Service Level Agreement)를 도입해 서비스 레벨로 비용을 체계화하되 고객이 예상치 못한 피해를 입을 경우 지체보상금을 지급하고 있다.

취약한 보안으로 피해가 발생할 경우 재정적인 타격으로 직결되는 대규모 기업 고객에게 SLA와 같은 선진시스템은 보안제품과 서비스에 대한 필요성과 신뢰를 높이는 방안이 될 수 있다.

업체로서도 서비스에 대한 신뢰 제고와 함께 차별화된 서비스로 다양한 고객을 유치할 수 있는 윈윈 전략으로 꼽히고 있다.

현재 국내에도 인터넷서비스사업자(ISP), 시스템 통합(SI)업계와 금융업계에서는 SLA를 도입해 선진화를 꾀하고 있다.

안철수연구소 관계자는 "SLA은 제품과 서비스 가격을 분리해 생각하지 않는 국내 풍토상 도입이 어렵다"며 "상황에 따라 임의로 피해보상을 하고 있다"고 말했다.

이스트소프트 관계자는 "백신처럼 사후 대응 위주의 제품은 어렵겠지만 디도스 공격 하드웨어 장비의 경우 특정 트래픽 범위 내에서 서비스 품질을 보장하는 가이드라인 도입은 필요하다"고 말했다.

(서울=연합뉴스)