김태성 충북대 경영정보학과 교수
![[포럼] 일자리 창출, 정보보호서비스에 맡겨라](http://contents.dt.co.kr/images/201712/2017120102102251607001[1].jpg "[포럼] 일자리 창출, 정보보호서비스에 맡겨라")
지난달 한국IT서비스학회 추계학술대회에서 GRC보안리더스포럼과 한국정보보호산업협회의 공동 주관으로 진행된 토론회의 주제는 '정보보호 서비스와 일자리 창출'이었다. 정보보호산업은 정보보호 제품과 서비스로 크게 구분할 수 있다. 기밀성, 무결성, 가용성이라는 정보보호 목표를 달성하기 위한 하드웨어나 소프트웨어가 정보보호 제품이고, 정보보호 수준을 평가하고 유지하기 위한 보안컨설팅이나 보안관제가 정보보호 서비스의 대표적인 분야다.
충북대학교 보안경제연구소에서 금년 11월 초에 보안컨설팅과 보안관제 등 정보보호 서비스 기업의 부문장 이상을 대상으로 실시한 조사에 따르면, 기업이 투입하고 있는 노력(비용 또는 인력 기준)의 가장 높은 비중을 '서비스제공'이 차지한다고 한다. 보안컨설팅의 경우 '서비스제공'의 비중이 50% 이상이므로 상대적으로 수행 인력의 중요성이 높은 편이다. 이와 같이 일자리 창출에 매우 효과적인 분야인 정보보호 서비스와 관련해 토론회에서 논의된 내용을 중심으로 애로사항과 개선대안을 정리하면 아래와 같다.
△외부자 중심의 입찰 의사결정 : 해당 사업에 대한 전문성과 책임을 가지고 있는 사업책임자 주도로 구체적인 과제제안요구서를 작성하고 심사위원회를 구성하고 사업을 선정해야한다. 공정성을 확보한다는 명목으로 광범위한 인력풀에서 심사위원단을 구성하는 방식을 많은 공공기관에서 사용하고 있는데, 정보보호 서비스의 경우 외부인력이 내부의 보안활동에 대해 서류나 발표만으로 파악하기 어렵고 해당 기관의 보안관리 책임을 평가위원과 분담할 수는 없다.
△명확하지 않은 과제제안요구서 : 과제에서 수행할 과업의 내용을 과제제안요구서(RFP: Request for Proposal)에 담아서 과제 공고를 내야하는데, 충분한 검토를 마치지 않은 상태에서 과제제안요구서를 작성한 채 사업자선정을 진행하는 경우가 있다. 명확하게 파악하기 어려운 개괄적인 내용만으로 우선협상대상자를 선정하고 기술협상에서 구체적인 내용에 대해 협의를 하는 경우도 있고, 당초 과제제안요구서의 내용에 추가로 무리한 요구를 하거나, 과제의 내용을 엉뚱한 방향으로 변경하는 경우도 있다. 기술 및 정책 환경 등 수행조건의 변화에 따라 조정을 할 수는 있다. 그러나 무리한 분량의 추가나 엉뚱한 방향으로 과제를 수행하게 되는 것은 성공적인 과제수행에 지장을 줄 뿐만 아니라 정보보호 서비스 분야의 장기적인 발전을 위해서도 좋지 않은 영향을 줄 수 있다.
△가격 중심의 사업자 선정 : 정부의 조달체계가 기술평가 80%, 가격평가 20%의 구조를 기본으로 하고 있고, 경우에 따라서 기술평가의 비중을 90%까지 상향할 수 있다. 외부위원 위주로 구성된 평가위원회에서 품질이나 새로운 아이디어에 대해 신뢰할 수 있는 평가를 할 수 없기 때문에 10~20%에 불과한 가격평가에서 낙찰자가 결정되는 경우가 적지 않다(내부이든 외부이든 비전문가가 포함돼 경우는 더욱 심각하다). 전문가들로 구성된 평가위원회가 책임을 지고 기술성에 대한 평가를 하게 하고, 가격 평가는 추후 조정을 통해 과도한 가격을 산정하지 못하게 하는 조정 정도의 역할만 수행해야 한다.
△단기 계약 위주로 특정 시기에 집중되는 구조 : 공공부문의 정보보호 서비스 계약은 몇 개월 또는 1년 계약이 대부분이다. 상대적으로 후반기에 몰려있는 것도 큰 문제다. 회계연도에 맞추고 예산이 확정돼야 사업을 진행할 수 있는 공공부문의 특성상 어쩔 수 없는 부분도 있지만, 1년 미만의 단기 계약 위주로 정보보호 서비스가 진행되면 해당 사업에 대한 이해를 하기 위한 시간도 부족해지고, 실제 사업 수행을 위해 투입되는 노력에 비해 계약 체결이나 종료 등을 위한 행정적인 업무의 비중이 커져서 수익성이 나빠진다. 민간부문의 경우에 3년 정도의 계약을 하고 매년 중간 평가를 하는 방식으로 관리하고 있는 것을 참고할 필요가 있다.
△공공기관 지방이전 : 최근 수년동안 진행된 공공기관의 지방이전으로 해당 기관에 정보보호 서비스업체의 인력 파견 비용이 증가하고, 전문 인력들이 지방 파견을 기피하고, 현지 전문인력을 채용하기가 어렵다고 한다. 사업 수행의 난이도가 증가하고 고급인력에 대한 수요기관의 요구가 증가하면서 수익성이 악화되는 반면 인력단가의 인상이 제한적이라서 숙련인력의 이직률이 증가하고 있다.
기술적인 보안 제품은 수도권 등 일정 지역에서 집중적으로 개발되고 공급돼도 무방하지만, 보안 서비스는 보안 수요처와 인접한 거리에 위치하지 않으면 비용이 과다하게 발생하거나 일정 수준 이상의 서비스를 제공하지 못하게 될 수 있다. 따라서 지역에서 발생하는 보안서비스 수요는 지역에 소재한 업체에서 충족을 시켜야 하고, 지역의 보안서비스 기업을 창업하거나 그런 기업에 취업할 인력을 공급할 수 있는 교육기관에 대한 지원이 필요할 것이다. 이렇게 되면 보안 분야의 선순환적인 지역생태계 구축이 가능하게 될 것이다. 전략 산업 등 지역 특성을 고려한 보안 제품이나 보안 서비스 수요를 발굴하고 전문업체의 창업을 유도하고 지원하면 지역별 보안 분야의 수요와 공급이 자체적으로 해결될 수 있을 것이다. 정보보호 서비스는 '덤'이 아니다. 국가적으로 균형되게 정보보호 수준을 높이고 일자리를 창출할 수 있는 유망 산업이다.
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
